Définitions
- Données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable.
- Traitement : toute opération effectuée sur des données personnelles (collecte, enregistrement, conservation, etc.).
- Responsable de traitement : entité qui détermine les finalités et moyens du traitement des données.
- Sous-traitant : entité qui traite des données pour le compte du responsable de traitement.
Données collectées
Nous collectons plusieurs types de données pour fournir et améliorer notre service :
- Informations de compte : adresse e-mail, nom d'affichage, mot de passe (haché et sécurisé via Firebase Authentication).
- Données de progression : activités et résultats dans les modes « Entraînement », « Fiches » et « Examen », utilisées également pour alimenter nos fonctionnalités intelligentes offrant une expérience d'apprentissage plus adaptative.
- Données de paiement : enregistrements de transactions via Stripe (site web) ou via Apple In-App Purchase / Google Play Billing, gérés par RevenueCat (application mobile). Nous ne stockons pas les détails complets de votre carte de crédit.
- Données d'analyse et d'utilisation : navigation, interactions et performances du site web, mesurées via Google Analytics 4 (uniquement si vous y consentez) et via PostHog, dont les données sont hébergées dans l'Union européenne.
- Données de diagnostic et de plantage : lorsqu'une erreur technique survient sur le site web, nous collectons le message d'erreur, la pile d'appels (trace technique) et la page concernée, via PostHog, afin de corriger les dysfonctionnements.
Données collectées via l'application mobile
En complément des données listées ci-dessus, l'application mobile Franova collecte les données suivantes :
- Historique d'achats : identifiants de transaction, produit acheté et date, traités par RevenueCat pour la gestion des achats in-app.
- Identifiants d'appareil : modèle de l'appareil, version du système d'exploitation, collectés via Firebase pour le diagnostic technique.
- Données de diagnostic et de plantage : rapports d'erreur et de plantage de l'application (message d'erreur, trace technique, marque et modèle de l'appareil, version du système d'exploitation, version de l'application, langue et fuseau horaire de l'appareil), collectés via PostHog dans le seul but de corriger les dysfonctionnements. Aucune donnée de navigation, aucune interaction et aucun contenu de vos réponses ne sont collectés à cette fin.
- Identifiant technique de diagnostic : un identifiant technique aléatoire est généré par le SDK de détection d'erreurs et conservé sur votre appareil tant que l'application reste installée, uniquement pour regrouper les rapports d'erreur provenant d'une même installation. Il n'est lié à aucun identifiant matériel et n'est pas partagé entre applications.
- Jetons de notification push : identifiants techniques générés par Expo Notifications, stockés côté serveur pour l'envoi de notifications. Les notifications sont acheminées via les services de notification de Google (Firebase Cloud Messaging) et d'Apple (APNs).
- Identifiant d'installation : un identifiant aléatoire généré par l'application lors de son installation (il ne s'agit pas d'un identifiant matériel de votre appareil), associé à votre compte et stocké côté serveur. Il sert uniquement à la bonne gestion des notifications push, notamment pour retirer les jetons obsolètes lorsqu'un appareil change de compte. Il est supprimé avec votre compte.
- Stockage local (MMKV) : données de progression, préférences et cache hors-ligne stockés localement sur votre appareil. Ces données ne sont jamais transmises à des tiers.
Partage et transfert de données
Votre base de données principale (Firestore) est hébergée en Europe (région EUR3). Certains services (Firebase Authentication, diagnostics) sont traités via l'infrastructure mondiale de Google, qui peut inclure des serveurs situés aux États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne, conformément à l'article 46 du RGPD. Les données peuvent être partagées avec :
- Équipe interne de HUMANLOGIC LABS
- Google Analytics 4 (analyse sous réserve de votre consentement, site web uniquement)
- Meta Pixel (analyse et publicité sous réserve de votre consentement, site web uniquement)
- Meta (API Conversions) (mesure publicitaire côté serveur, site web et application mobile : lors de la création de votre compte et lors de vos achats, nos serveurs transmettent à Meta une version hachée (SHA-256) de votre adresse e-mail et de votre identifiant de compte, jamais en clair, afin de mesurer l'efficacité de nos campagnes ; sur le site web, la requête transmet également votre adresse IP, votre navigateur (user agent) et les identifiants des cookies Meta (_fbp, _fbc) ainsi que l'URL de la page consultée pour la mise en correspondance ; l'application mobile ne transmet aucune de ces données techniques)
- PostHog (mesure d'audience et détection des erreurs ; données hébergées dans l'Union européenne)
- Firebase (Authentication, Firestore & Cloud Messaging)
- Stripe (traitement des paiements sur le site web)
- RevenueCat (gestion des achats in-app sur l'application mobile)
Sécurité des données
Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données :
- Chiffrement TLS/AES-256 en transit et au repos
- Authentification forte pour les accès console
- Mises à jour automatiques et correctifs de sécurité
- Sauvegardes régulières et contrôle des accès
En cas de violation de données, nous nous engageons à :
- Évaluer l'incident et sa portée
- Notifier la CNIL dans les 72 heures si nécessaire
- Informer les personnes concernées si le risque pour leurs droits est élevé
Mise à jour de la politique
Les modifications de cette politique seront communiquées comme suit :
- Modifications mineures : publication immédiate sur le site web et dans l'application mobile.
- Modifications substantielles : notification par email ou via notification in-app.
Vos droits (RGPD)
Conformément au RGPD, vous disposez des droits suivants sur vos données :
- Accéder à vos données
- Rectifier tout contenu inexact
- Effacer vos données (« droit à l'oubli »)
- Restreindre temporairement un traitement
- Portabilité : récupérer vos données dans un format structuré
- Vous opposer à tout traitement fondé sur l'intérêt légitime
Utilisation des cookies
Nous utilisons des cookies pour les finalités suivantes :
- Vous reconnaître lors de visites ultérieures
- Mémoriser vos préférences
- Mesurer et améliorer la performance de notre service
Gestion du consentement
Votre consentement à l'utilisation des cookies est géré via une bannière interactive :
- Première visite : la bannière apparaît automatiquement
- Si vous refusez : la bannière revient à la connexion suivante
- Si vous refusez à nouveau : la bannière ne réapparaît qu'au bout de 7 jours
- Pour réouvrir la bannière à tout moment : cliquez sur « Préférences cookies » dans le footer
Contrôler les cookies via votre navigateur
Vous pouvez configurer les cookies directement dans votre navigateur :
- Chrome (Windows/Mac) : Paramètres > Confidentialité et sécurité > Cookies et données de sites
- Safari (Mac) : Réglages > Safari > Confidentialité et sécurité
- Firefox : Paramètres > Vie privée et sécurité > Cookies et données de sites
Sur mobile
- iOS (iPhone/iPad) : Réglages > Safari > Cookies
- Android (Chrome) : Menu (⋮) > Paramètres de site > Cookies
Suivi et traceurs sur l'application mobile
L'application mobile Franova n'utilise pas de cookies. Le stockage local (MMKV) est utilisé pour le cache hors-ligne et la persistance de votre progression. Le SDK de détection d'erreurs conserve en outre, dans l'espace de stockage de l'application, une file d'attente des rapports non encore envoyés ainsi que l'identifiant technique de diagnostic décrit plus haut. Ces deux traitements sont strictement nécessaires au fonctionnement et à la fiabilité du service : ils ne servent ni à la publicité, ni à la mesure d'audience, ni au profilage.
- L'application mobile n'intègre aucun SDK publicitaire ni de mesure d'audience (Google Analytics, Meta Pixel). Le SDK PostHog y est présent uniquement pour la collecte des rapports d'erreur et de plantage, et ne suit pas votre navigation. La mesure publicitaire Meta décrite plus haut (API Conversions) est réalisée par nos serveurs à partir d'identifiants hachés, et non par l'application.
- Le SDK RevenueCat collecte uniquement les données nécessaires à la validation des achats in-app.
- Les jetons de notification push sont collectés après votre autorisation explicite via l'invite du système d'exploitation.
Contact
Pour toute question, vous pouvez nous contacter via :
- Email : contact@franova.fr
- Courrier : HUMANLOGIC LABS, 8 place Roger Salengro, 31000 Toulouse
