MindyCards:
Politique de confidentialité

1. Responsable du traitement

MindyWorld OÜ est le responsable du traitement des données traitées dans le cadre de MindyCards.

Siège social: Jõe tn 3-315, 10151 Tallinn, Estonie

Numéro d’immatriculation: 17339961

Contact: [email protected]

Autorité de contrôle: Inspection estonienne de la protection des données (Andmekaitse Inspektsioon), www.aki.ee/en

2. Résumé

MindyCards propose deux façons d’utiliser l’Application: de manière anonyme (sans compte) ou avec un compte permettant la synchronisation de la progression et un abonnement Premium supprimant la publicité. Les données que nous traitons dépendent de l’option choisie.

Dans la formule gratuite, l’Application est financée par de la publicité non personnalisée. Aucune publicité personnalisée n’est utilisée dans MindyCards.

Nous ne collectons que les données personnelles strictement nécessaires pour fournir l’Application, traiter les abonnements Premium et faire fonctionner les fonctionnalités de compte.

3.1 Si vous utilisez MindyCards sans compte

Modèle de l’appareil et version du système d’exploitation.

Version de l’Application et rapports de plantage.

Métriques de session anonymisées (parties lancées, parties terminées, temps passé dans l’application, écrans consultés).

Préférences de langue et de paramètres régionaux.

Région approximative déduite de l’adresse IP (au niveau du pays uniquement).

Données de publicité non personnalisée (voir Section 7).

3.2 Si vous créez un compte dans MindyCards

Données supplémentaires traitées :

Identifiant de compte (identifiant de sujet Keycloak, identifiant Se connecter avec Apple, identifiant de compte Google ou adresse e-mail utilisée lors de l’inscription).

Nom d’utilisateur ou nom d’affichage que vous avez choisi.

Photo de profil, si vous choisissez d’en téléverser une.

Progression de jeu, succès, monnaie virtuelle et choix de personnalisation synchronisés entre vos appareils.

Préférences de l’Application et réglages d’accessibilité liés à votre compte (lorsque vous activez leur synchronisation entre appareils).

3.3 Si vous souscrivez à MindyCards Premium

Statut de l’abonnement (actif, suspendu, résilié) et date de renouvellement.

Pays du compte de la boutique d’applications utilisé pour souscrire l’abonnement.

Identifiant de transaction associé à votre achat.

Les données de paiement complètes (numéro de carte, code de sécurité, adresse de facturation) ne sont jamais accessibles à MindyCore. Elles sont traitées directement par Apple, Google ou notre prestataire de paiement, selon le mode d’achat utilisé. Voir Section 8.

3.4 Données que nous NE collectons PAS

Nous ne collectons pas de données biométriques.

Nous ne collectons pas de données de localisation précise en temps réel.

Nous ne collectons pas vos contacts, photos ou fichiers en dehors de l’Application.

Nous ne collectons aucune information sur votre profil neurodivergent, votre diagnostic ou votre état de santé. Les réglages d’accessibilité, même lorsqu’ils sont synchronisés via le compte, sont enregistrés comme préférences utilisateur et ne sont ni interprétés, ni déduits, ni analysés comme des données de santé.

Nous ne vendons pas de données personnelles.

4. Pourquoi nous traitons ces données (finalités)

Faire fonctionner l’Application, gérer votre compte et synchroniser votre progression entre appareils.

Traiter et vérifier les abonnements Premium.

Afficher de la publicité non personnalisée dans la formule gratuite (les utilisateurs Premium ne voient pas de publicité).

Détecter, diagnostiquer et corriger les plantages et anomalies.

Analyser des tendances d’utilisation agrégées et anonymisées afin d’améliorer le jeu et l’accessibilité.

Communiquer avec vous au sujet de votre compte, de votre abonnement ou de modifications substantielles de l’Application.

Nous protéger contre la fraude, les abus et les violations de nos règles.

Respecter les obligations légales qui nous incombent, notamment en matière fiscale et de protection des consommateurs.

5. Base légale (RGPD)

Exécution d’un contrat (art. 6, §1, b): pour fournir l’Application, gérer votre compte et faire fonctionner l’abonnement Premium.

Intérêt légitime (art. 6, §1, f): pour détecter les plantages, analyser des métriques agrégées et prévenir la fraude, mis en balance avec vos droits et libertés.

Consentement (art. 6, §1, a): pour les technologies de suivi soumises à consentement en vertu des règles ePrivacy de l’UE et pour toute fonctionnalité facultative (par exemple, les communications marketing, si elles étaient introduites).

Obligation légale (art. 6, §1, c): pour respecter les lois et réglementations qui nous sont applicables, y compris fiscales.

6. Création de compte et authentification

L’authentification dans MindyCards est gérée via Keycloak, un système de gestion des identités et des accès exploité par MindyWorld OÜ sur une infrastructure hébergée dans l’Union européenne, en combinaison avec Firebase Authentication. Vos identifiants et jetons d’identité sont traités par ces systèmes.

Pour créer un compte MindyCards, vous pouvez utiliser l’une de ces méthodes :

Se connecter avec Apple: Apple nous communique un identifiant stable et, à votre choix, votre adresse e-mail (ou une adresse de relais privé). Votre mot de passe Apple ID ne nous est jamais communiqué.

Se connecter avec Google: Google nous communique un identifiant stable et votre adresse e-mail. Votre mot de passe Google ne nous est jamais communiqué.

Inscription par e-mail et mot de passe: nous demandons une adresse e-mail et un mot de passe. Les mots de passe sont stockés au moyen d’un hachage cryptographique conforme aux standards du secteur et ne sont jamais conservés en clair.

Vous pouvez supprimer votre compte MindyCards à tout moment depuis le menu Paramètres de l’Application, ou en écrivant à [email protected]. Après la suppression, vos données personnelles sont effacées dans un délai de 30 jours, à l’exception des documents que nous sommes légalement tenus de conserver (tels que les registres de transactions relevant du droit fiscal estonien et européen, conservés jusqu’à 7 ans).

7. Publicité et consentement

La formule gratuite de MindyCards n’affiche que de la publicité non personnalisée. L’abonnement Premium supprime toute publicité.

Lorsque le droit de l’UE et du Royaume-Uni l’exige, nous utilisons la User Messaging Platform (UMP) de Google pour recueillir votre consentement à l’utilisation d’identifiants publicitaires avant l’affichage de toute publicité. Vous pouvez modifier votre décision à tout moment depuis les options de confidentialité disponibles dans les réglages de l’Application.

Sur iOS, l’App Tracking Transparency (ATT) d’Apple s’applique. MindyCards n’utilisant pas de suivi inter-applications, l’invite ATT n’est pas affichée.

Sur Android, l’identifiant publicitaire Android peut être utilisé de manière limitée à des fins de prévention de la fraude et de limitation de la fréquence d’affichage, comme décrit dans les règles de Google AdMob relatives à la publicité non personnalisée.

8. Abonnements Premium et paiements

Les abonnements Premium souscrits dans l’Application sont facturés via Apple In-App Purchase ou Google Play Billing, conformément à leurs règles respectives. Les données de paiement relatives à ces achats sont traitées directement par Apple ou Google.

Nous utilisons RevenueCat comme service de gestion des abonnements. RevenueCat reçoit l’identifiant de transaction, votre identifiant d’utilisateur de l’application, le statut de l’abonnement, l’identifiant du produit, la plateforme ainsi que les dates de renouvellement ou d’expiration. Il ne reçoit pas les données de votre carte de paiement. RevenueCat agit en qualité de sous-traitant pour notre compte, dans le cadre d’un accord de traitement des données.

Pour les achats effectués en dehors des boutiques d’applications, lorsque cela est proposé, les paiements sont traités par Stripe. Stripe reçoit les données de paiement nécessaires à la réalisation de la transaction et agit en qualité de responsable de traitement indépendant pour les données de paiement qu’il traite, en plus d’être notre sous-traitant pour les registres de transactions. MindyCore ne conserve à aucun moment les données complètes de votre carte.

Les abonnements se renouvellent automatiquement jusqu’à résiliation. Vous pouvez gérer ou résilier votre abonnement à tout moment depuis les réglages de votre compte Apple ID ou Google Play, ou par le mécanisme indiqué au moment de l’achat. Les demandes de remboursement relatives aux achats en boutique d’applications sont traitées par la boutique concernée.

9. Enfants et mineurs

MindyCards est destinée aux utilisateurs âgés de 13 ans ou plus, comme indiqué dans nos Conditions Générales d’Utilisation.

Si vous avez entre 13 ans et l’âge du consentement numérique dans votre pays (16 ans par défaut selon le RGPD de l’UE, avec des variations nationales), vous confirmez disposer du consentement explicite d’un parent ou tuteur légal pour créer un compte et utiliser l’Application.

Nous ne collectons pas sciemment de données personnelles auprès d’enfants de moins de 13 ans. Si nous apprenons qu’un utilisateur a moins de 13 ans, nous fermerons le compte et supprimerons les données personnelles associées sans délai injustifié. Si vous êtes parent ou tuteur légal et pensez que votre enfant de moins de 13 ans a créé un compte, veuillez nous contacter à [email protected].

Les contrôles parentaux du système d’exploitation (Apple Temps d’écran, Google Family Link ou équivalent) demeurent le principal mécanisme permettant aux parents de superviser l’usage des services numériques par leur enfant. MindyCore fournit le cadre technique et contractuel, mais la supervision parentale relève de la responsabilité du parent ou du tuteur légal.

Pour tous les utilisateurs, quel que soit leur âge, nous appliquons des réglages de confidentialité stricts par défaut dans MindyCards: uniquement de la publicité non personnalisée, aucune communication marketing sans consentement explicite et une collecte de données minimale dès la conception.

10. Partage de données avec des tiers

Nous ne vendons pas vos données personnelles. Nous partageons des données limitées avec les prestataires de services énumérés ci-dessous, chacun étant lié par des contrats exigeant une protection équivalente à celle du RGPD. Certains de ces services sont déjà utilisés ; d’autres sont intégrés et seront activés dans de prochaines versions de l’Application, et sont mentionnés ici par souci de transparence.

Identité et authentification

Keycloak: gestion des identités et des accès, exploitée par MindyWorld OÜ sur une infrastructure hébergée dans l’Union européenne.

Hostinger International Ltd: hébergeur de l’infrastructure sur laquelle fonctionnent nos services d’authentification.

Firebase Authentication: Google Ireland Limited et Google LLC.

Se connecter avec Apple: Apple Inc.

Se connecter avec Google: Google Ireland Limited et Google LLC.

Stockage des données et backend

Firebase Cloud Firestore: stockage de la progression de jeu et des préférences de compte. Google Ireland Limited et Google LLC.

Firebase Storage: stockage des contenus téléversés par les utilisateurs, tels que les photos de profil. Google Ireland Limited et Google LLC.

Firebase Cloud Functions: traitement côté serveur de la logique applicative, y compris les événements d’abonnement. Google Ireland Limited et Google LLC.

Analyse et diagnostic

Firebase Analytics: analyse d’usage agrégée, sous réserve du consentement lorsqu’il est requis. Google Ireland Limited et Google LLC.

Publicité

Google AdMob: publicité non personnalisée dans la formule gratuite. Google Ireland Limited et Google LLC.

Paiements et abonnements

Apple App Store: distribution, facturation et abonnements. Apple Inc.

Google Play: distribution, facturation et abonnements. Google LLC.

RevenueCat, Inc.: gestion des abonnements et vérification des droits.

Stripe Payments Europe, Ltd.: traitement des paiements pour les achats effectués en dehors des boutiques d’applications, lorsque cela est proposé.

Communications

Brevo (Sendinblue SAS): envoi d’e-mails transactionnels et de newsletters, le cas échéant.

Zoho Corporation B.V.: services de messagerie électronique.

Chacun de ces services dispose de sa propre politique de confidentialité. Les liens peuvent être demandés à [email protected].

Nous pouvons également divulguer des données lorsque la loi, une décision de justice ou une demande contraignante d’une autorité compétente l’exige, ou pour protéger nos droits ou les droits de tiers.

11. Transferts internationaux de données

Certains de nos prestataires traitent des données en dehors de l’Espace économique européen (EEE), notamment aux États-Unis. Lorsque des données sont transférées à l’international, nous garantissons une protection adéquate au moyen :

des Clauses Contractuelles Types approuvées par la Commission européenne, lorsqu’elles sont applicables ;

du cadre de protection des données UE-États-Unis (DPF), lorsque le destinataire est certifié ;

d’autres mécanismes juridiques équivalents reconnus par le RGPD.

Notre infrastructure d’authentification est hébergée au sein de l’Union européenne. La progression de jeu et les données de compte stockées dans Firebase Cloud Firestore peuvent être hébergées dans des régions situées en dehors de l’EEE ; dans ce cas, les garanties décrites ci-dessus s’appliquent.

12. Conservation

Comptes actifs: les données sont conservées tant que votre compte est utilisé.

Comptes inactifs: les comptes sans activité pendant 24 mois consécutifs peuvent être supprimés, moyennant un préavis par e-mail lorsque nous disposons d’une adresse valide.

Après suppression du compte: les données personnelles sont effacées dans un délai de 30 jours, à l’exception des documents que nous sommes légalement tenus de conserver.

Registres de transactions (abonnements Premium): conservés jusqu’à 7 ans, conformément au droit fiscal estonien et européen.

Journaux de plantage et données de diagnostic: conservés jusqu’à 90 jours.

Analyses agrégées et anonymisées: peuvent être conservées indéfiniment à des fins statistiques.

13. Vos droits

En vertu du RGPD de l’UE et de législations similaires, vous disposez des droits suivants :

Droit d’accès: savoir quelles données personnelles nous traitons.

Droit de rectification: faire corriger des données personnelles inexactes ou incomplètes.

Droit à l’effacement (droit à l’oubli): vous pouvez supprimer votre compte depuis le menu Paramètres de l’Application, ou en nous contactant.

Droit à la limitation: restreindre la manière dont nous traitons vos données personnelles.

Droit d’opposition: vous opposer à un traitement fondé sur l’intérêt légitime.

Droit à la portabilité des données: recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.

Droit de retirer votre consentement: à tout moment, sans que cela n’affecte la licéité du traitement fondé sur le consentement avant son retrait.

Droit d’introduire une réclamation auprès d’une autorité de protection des données: notamment dans l’État membre de l’UE de votre résidence habituelle.

Pour exercer ces droits, veuillez nous contacter à [email protected]. Nous répondons dans un délai de 30 jours, avec une prolongation possible de 60 jours supplémentaires pour les demandes complexes.

14. Résidents des États-Unis (CCPA / CPRA)

Si vous résidez en Californie (États-Unis), le California Consumer Privacy Act (CCPA) et le California Privacy Rights Act (CPRA) vous accordent des droits spécifiques, notamment :

Le droit de savoir quelles catégories d’informations personnelles ont été collectées.

Le droit de faire supprimer les informations personnelles que nous avons collectées.

Le droit de vous opposer à toute « vente » ou « partage » d’informations personnelles. Nous ne vendons ni ne partageons d’informations personnelles au sens du droit californien.

Le droit de faire corriger des informations personnelles inexactes.

Le droit de ne pas subir de discrimination pour avoir exercé vos droits.

Pour exercer les droits propres à la Californie, veuillez nous contacter à [email protected]. Des droits similaires peuvent s’appliquer si vous résidez dans d’autres États américains dotés de lois comparables, et nous les respectons sur demande.

15. Sécurité

Nous protégeons les données au moyen de mesures de sécurité conformes aux standards du secteur: chiffrement en transit (TLS), chiffrement au repos lorsque cela est applicable, hachage des mots de passe avec des algorithmes standards du secteur, contrôles d’accès fondés sur le moindre privilège, infrastructure cloud sécurisée et revues de sécurité régulières.

En cas de violation de données personnelles susceptible d’affecter vos droits, nous en informerons l’autorité de protection des données compétente dans un délai de 72 heures et, lorsque la loi l’exige, nous informerons également les utilisateurs concernés sans délai injustifié.

16. Identifiants d’appareil et technologies similaires

Bien que MindyCards soit une application mobile et n’utilise pas de cookies au sens technique, elle s’appuie sur des technologies similaires sur votre appareil, en particulier :

le stockage local sur l’appareil pour mémoriser les réglages d’accessibilité, la progression de jeu, l’état de connexion et les préférences de consentement ;

des jetons d’authentification pour vous maintenir connecté d’une session à l’autre ;

des identifiants publicitaires (IDFA sur iOS, identifiant publicitaire Android sur Android) utilisés de manière limitée par Google AdMob dans la formule gratuite à des fins de prévention de la fraude et de limitation de la fréquence d’affichage en publicité non personnalisée ;

des identifiants de session anonymisés utilisés par Firebase Analytics, sous réserve du consentement lorsqu’il est requis.

Vous pouvez réinitialiser les identifiants publicitaires, désactiver le suivi publicitaire ou configurer les autorisations de suivi dans les réglages système de votre appareil (iOS: Confidentialité → Suivi ; Android: Paramètres → Confidentialité → Annonces).

17. Décisions automatisées

MindyCards ne prend pas de décisions vous concernant fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative de façon similaire.

18. Modifications de la présente Politique de confidentialité

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre. Les modifications significatives seront annoncées via l’Application, par e-mail (aux titulaires de compte) et sur mindycore.com au moins 30 jours à l’avance, lorsque cela est raisonnablement possible. La date de version figurant en tête de la présente Politique sera mise à jour pour refléter chaque modification.

19. Contact et réclamations

Pour toute question, demande relative à vos données ou réclamation concernant la présente Politique de confidentialité, contactez-nous à: [email protected].

Si vous n’êtes pas satisfait de notre réponse, vous avez le droit d’introduire une réclamation auprès de l’Inspection estonienne de la protection des données (www.aki.ee/en) ou auprès de votre autorité locale de protection des données.