Politique de confidentialité

Cette politique explique quelles données nous collectons, pourquoi, où elles sont stockées, et comment tu peux exercer tes droits. Elle s'applique à toute personne utilisant l'application MaTribu.

1. Qui est responsable du traitement

Le Responsable du Traitement au sens du RGPD est l'éditeur de l'application :

AV Formation — Alexandre Vanhoorde, entreprise individuelle (micro-entreprise),
SIRET 522 707 009 00067, siège 31 rue de Cuire, 69004 Lyon, France.

AV Formation édite l'application, détermine les finalités et les moyens des traitements, et en détient la propriété intellectuelle (code, marque, design). Pour l'hébergement et la base de données, AV Formation s'appuie sur le sous-traitant Supabase (voir section 5).

Pour exercer tes droits ou poser toute question relative à tes données, contacte : contact@matribu.net

2. Données collectées

Nous collectons les catégories de données suivantes :

2.1 Données de compte (parent)

• Email (identifiant de connexion)
• Mot de passe (chiffré et stocké uniquement par notre prestataire d'authentification)
• Prénom et nom de famille
• Téléphone (facultatif)
• Ville et code postal de la tribu (facultatif)

2.2 Données d'enfants (renseignées par le parent)

• Prénom
• Année de naissance / âge approximatif (pas la date complète)
• Classe scolaire (facultatif)
• Couleur d'avatar (paramètre cosmétique)

2.3 Données de copains, clans et sorties

• Prénoms et noms de familles des copains renseignés
• Notes libres de la part du parent (contexte de rencontre, école, etc.)
• Clans (groupes de copains : noms et composition)
• Sorties créées, leurs dates, lieux, participants
• Disponibilités déclarées par enfant et par jour

2.4 Données techniques

• Adresse IP (pour la sécurité et la prévention des abus)
• Type de terminal et système d'exploitation (anonymisé)
• Logs d'accès au service (conservés 12 mois)

Nous ne collectons PAS : géolocalisation GPS précise, contacts du téléphone, photos en accès libre, données biométriques, historique de navigation web, données de santé.

3. Finalités et bases légales

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale :

• Exécution du contrat (art. 6.1.b RGPD) : création du compte, gestion des copains, organisation de sorties, mise en relation entre tribus. Base : tu acceptes nos CGU à l'inscription.
• Consentement parental (art. 8 RGPD) : traitement des données des enfants mineurs renseignées par leur parent ou tuteur.
• Intérêt légitime (art. 6.1.f RGPD) : sécurité technique, lutte contre la fraude, statistiques d'usage anonymisées.
• Obligation légale (art. 6.1.c RGPD) : conservation de certains logs en cas de réquisition judiciaire.

4. Destinataires

Tes données sont destinées :

• À toi (via ton compte)
• Aux tribus auxquelles tu as choisi de t'allier explicitement via leur code totem
• À nos sous-traitants techniques (hébergement, e-mails transactionnels) liés par contrat de confidentialité

Nous ne revendons ni ne louons aucune donnée à des annonceurs ou data brokers. Nous ne partageons pas tes données avec des tiers à des fins de marketing.

Partage de contact pour l'organisation d'une sortie. Pour permettre aux parents de coordonner une sortie (qui amène le goûter, covoiturage…), ton email et ton numéro de téléphone peuvent être communiqués aux tribus participant à une même sortie — uniquement si tu y as consenti depuis l'application. Ce consentement est facultatif et révocable à tout moment (écran « Confidentialité » de l'app). Tant que tu ne l'as pas donné, tes coordonnées ne sont jamais partagées.

4.1 L'assistant Ouga

Ouga est le petit compagnon qui t'aide à utiliser l'application. Il peut aussi préparer une action pour toi (créer une sortie, répondre à une invitation, proposer une date, organiser ou annuler une de tes sorties, consulter ton programme…) : il te présente une carte récapitulative que tu peux modifier, et rien n'est exécuté sans ta validation — l'annulation d'une sortie exige même une double confirmation écrite de ta main. L'action validée est ensuite exécutée par l'application avec tes propres droits — le modèle d'IA n'a aucun accès direct à ton compte.

Pour les données les plus sensibles, la carte est dite « hybride » : le prénom et le nom d'un nouveau copain ou d'un enfant, ou un code totem, se tapent à la main directement dans la carte et partent de ton téléphone vers nos serveurs sécurisés sans jamais transiter par le modèle d'IA. De même, quand l'assistant t'ouvre un e-mail pour écrire aux tribus d'une sortie, les adresses sont retrouvées sur ton téléphone (uniquement les tribus ayant consenti) et l'envoi reste un geste 100 % humain dans ton application e-mail.

Aucune donnée personnelle n'est envoyée au modèle : avant chaque échange, les prénoms et noms (enfants, copains, clans, tribus) sont remplacés par des étiquettes neutres (« Enfant 1 », « Copain A », « Famille A »), rétablies uniquement sur ton téléphone. Tes sorties ne sont transmises que sous forme pseudonymisée (type, date, statut — jamais les titres, lieux ou prénoms), et les listes affichées par l'assistant sont calculées directement sur ton téléphone. Ta conversation est traitée en Europe (modèle GPT-5 mini hébergé par Microsoft Azure — Union européenne — avec repli Mistral, France). Tes conversations ne sont jamais utilisées à des fins publicitaires. Par précaution, nous te conseillons de ne pas saisir d'informations sensibles dans la discussion (données de santé ou d'allergies, mots de passe…) : ces informations se partagent directement avec l'organisateur d'une sortie, jamais via l'assistant.

5. Sous-traitants

Pour fournir le service, nous utilisons les prestataires suivants, tous engagés contractuellement à respecter le RGPD :

• Supabase Inc. — base de données, authentification, stockage. Données hébergées en région UE (Paris, France).
• O2switch SAS (Clermont-Ferrand, France) — hébergement du site vitrine.
• Apple / Google — distribution de l'application via leurs stores respectifs.

6. Durée de conservation

Nous conservons tes données pendant la durée d'utilisation active du service, augmentée de 30 jours après la suppression du compte (fenêtre de rétractation).

Au-delà, seules sont conservées les données strictement nécessaires à nos obligations légales (logs techniques 12 mois pour la sécurité, facturation 10 ans le cas échéant).

7. Tes droits

En tant que personne concernée, tu disposes des droits suivants (RGPD art. 15 à 22) :

• Droit d'accès : connaître les données te concernant que nous traitons
• Droit de rectification : corriger les données inexactes
• Droit à l'effacement (« droit à l'oubli ») : faire supprimer tes données
• Droit à la portabilité : récupérer tes données dans un format structuré (JSON)
• Droit d'opposition : refuser certains traitements (notifications notamment)
• Droit de limitation : geler temporairement le traitement de tes données
• Droit de retirer ton consentement à tout moment
• Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr)

Pour exercer ces droits, contacte contact@matribu.net ou utilise les fonctions directes dans l'application (« Supprimer mon compte », « Télécharger mes données », toggles Notifications, etc.).

8. Données d'enfants — Précautions renforcées

Conformément au RGPD article 8 et aux recommandations de la CNIL, nous appliquons les mesures suivantes pour la protection des données des mineurs :

• Consentement parental obligatoire à l'inscription de chaque enfant
• Minimisation : nous ne collectons que le minimum nécessaire
• Pas de profilage automatique, pas d'IA décisionnelle
• Pas de publicité ciblée — l'app est sans publicité
• Pas de communication directe entre enfants (seuls les parents communiquent)
• Droit à l'oubli renforcé : suppression immédiate sur simple demande du parent

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement TLS des communications, mots de passe hashés et salés, sauvegardes régulières, contrôle d'accès strict, journalisation des opérations sensibles.

En cas de violation de données, nous notifierons la CNIL sous 72h conformément à l'art. 33 RGPD, et les utilisateurs concernés si un risque élevé pour leurs droits est identifié.

10. Transferts hors UE

Les données sont principalement hébergées dans l'Union européenne (Paris, France). Certains sous-traitants peuvent traiter des données techniques de manière incidente hors UE (États-Unis pour Apple/Google notamment) ; ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne.

11. Cookies et traceurs

L'application mobile ne dépose pas de cookies tiers ni de traceurs publicitaires. Seul un stockage local (AsyncStorage) est utilisé pour mémoriser tes préférences (enfant sélectionné, toggles notifications), sans transmission vers des tiers.

Le site matribu.net ne dépose aucun cookie de tracking. Seules les polices Google Fonts sont chargées depuis leurs serveurs (Google peut collecter une adresse IP technique à cette occasion, transfert encadré par les clauses contractuelles types UE).

12. Modifications de la politique

Toute modification substantielle de la présente politique te sera notifiée par e-mail et via une notification in-app au moins 15 jours avant son entrée en vigueur. Tu pourras alors choisir d'accepter ou de supprimer ton compte.