Politique de confidentialité

Responsable du traitement

Le responsable du traitement est l’exploitant désigné dans les Mentions légales. Les traitements décrits ci-dessous sont mis en œuvre conformément au Règlement général sur la protection des données (RGPD, Règlement UE 2016/679) et à la loi Informatique et Libertés.

Contact

contact@gribou.me

Adresse postale

200 rue de la Croix-Nivert, 75015 Paris

1Article 1 : Données collectées et finalités

1.0 Avant l’inscription

• Le bilan du premier lancement se fait avant la création du compte. Ses résultats restent sur l’appareil, dans le stockage local du navigateur ou de l’application. Ils ne sont envoyés au serveur qu’à l’inscription, une fois les conditions acceptées, pour être rattachés au compte. Sans inscription, ils ne quittent pas l’appareil.

1.1 Compte

• Adresse email : stockée en clair et en minuscules. Sert à l’authentification, à la vérification de l’adresse et aux emails indispensables au compte. Base légale : exécution du contrat.
• Mot de passe : jamais stocké en clair. Il est haché en argon2id avec un sel aléatoire de 16 octets (mémoire 64 Mo, 4 fils d’exécution, clé de 32 octets, format PHC). Base légale : exécution du contrat.
• Date d’acceptation des conditions, déclaration d’âge et version acceptée ; date de vérification de l’adresse ; date de création du compte. Base légale : exécution du contrat, et intérêt légitime pour garder la preuve de l’acceptation.

1.2 Sessions et sécurité

• Jeton de session : seule son empreinte SHA-256 est conservée, jamais le jeton lui-même. Il est renouvelé à chaque rafraîchissement.
• Adresse IP et navigateur (user-agent, tronqué à 512 caractères) de chaque session ouverte : gestion des sessions, limitation du nombre de tentatives de connexion, détection d’un usage anormal. Base légale : intérêt légitime (sécurité du Service).
• Liens envoyés par email (vérification d’adresse, réinitialisation du mot de passe) : seule l’empreinte du lien est conservée, à usage unique et à durée courte.

1.3 Entraînement

• Chaque réponse : type d’exercice, mot concerné, ce qui a été saisi, la réponse attendue, juste ou faux, temps de réaction, durée d’affichage et niveau du mot.
• Progression : paliers et leçons terminés, examens de fin de monde, ordre des mondes, cours ouverts et lus, maîtrise par compétence, mots déjà vus, statistiques par jour, résultats des bilans.
• Profil de jeu : expérience, gemmes, série, objectif quotidien, vies, nom de la créature, compagnons achetés, réglages de lecture (espacement, vitesse d’affichage), fuseau horaire.
• Base légale : exécution du contrat. Ces données servent à faire fonctionner le parcours, à choisir les mots servis et à afficher les statistiques.

1.4 Signalement d’un son

• Quand un son est signalé : le mot, la source du son, ce qui a été entendu (texte libre, 120 caractères au maximum), le type d’exercice et si la réponse était juste. Base légale : intérêt légitime (qualité des enregistrements).

1.5 Abonnement et achats

• Sur le site, identifiants techniques Stripe : client, abonnement, session de paiement, paiement, prix.
• Statut de l’abonnement, dates de période, montant, devise, périodicité, date du dernier paiement.
• Marque de la carte, quatre derniers chiffres, mois et année d’expiration, transmis par Stripe pour afficher le moyen de paiement enregistré.
• Dans l’application, identifiants techniques de RevenueCat et du store (abonnement, transaction, produit), le store utilisé (App Store ou Google Play), le statut de l’abonnement, la fin de la période en cours et si l’abonnement se renouvellera.
• Pour relier un achat fait dans l’application au bon compte, l’identifiant aléatoire du compte est transmis à Apple avec chaque achat, et une empreinte de cet identifiant à Google. Aucun des deux ne reçoit l’adresse email.
• Pour chaque pack de gemmes ou recharge de vies : le produit, le montant payé, la date et ce qui a été livré (nombre de gemmes ou de vies).
• Le statut fondateur, sa date d’attribution et le paiement qui l’a ouvert.
• Aucun numéro de carte complet ni cryptogramme ne parvient à Gribou ; Apple et Google ne lui transmettent aucune coordonnée bancaire. Base légale : exécution du contrat et obligation légale (conservation comptable).

1.6 Emails de conseils et de nouveautés

• Si la case facultative a été cochée : la date à laquelle elle l’a été et la version du texte affiché à ce moment-là. Base légale : consentement (art. L34-5 du code des postes et des communications électroniques).
• Un jeton aléatoire propre au compte, qui fait fonctionner le lien de désabonnement placé dans chaque message, sans connexion ni formulaire.
• Le consentement se retire à tout moment, d’un clic depuis n’importe quel message ou depuis les Réglages. Il ne conditionne ni la création du compte ni l’accès au Service. Les emails liés au compte et aux paiements ne dépendent pas de lui : ils relèvent de l’exécution du contrat.

1.7 Journaux techniques

• Les journaux d’erreurs et d’activité sont produits par l’infrastructure d’hébergement (Render) à des fins de débogage. Ils ne sont pas conservés en base de données par Gribou.

1.8 Preuves des paiements et des achats

• Le journal des gemmes et des vies : chaque gain et chaque dépense, avec sa raison (achat, séance, quête, objet acheté, vie perdue, recharge, remboursement…), sa date et le solde qui en résulte. Une ligne écrite n’est jamais modifiée.
• Les messages envoyés par Stripe et par RevenueCat pour annoncer un paiement, un renouvellement ou un remboursement, gardés tels qu’ils sont arrivés, avec leur signature. Ils décrivent le paiement (produit, montant, dates, identifiants techniques) et peuvent contenir des coordonnées du payeur, comme son nom, son adresse email ou son pays.
• L’historique des états successifs d’un abonnement pris dans l’application.
• Ce que l’Utilisateur a accepté avant chaque paiement : la version des Conditions générales de vente, la date et l’heure, chaque case cochée, le geste de confirmation, l’achat choisi et le prix affiché.
• Chaque remboursement ou contestation de paiement reçu, et la décision prise (articles 11 et 12 des Conditions générales de vente) ; le cas échéant, l’avertissement envoyé et la suspension des achats.
• Base légale : exécution du contrat pour le journal des gemmes et des vies ; intérêt légitime pour le reste (prouver un paiement, une acceptation ou l’usage d’un achat, et se défendre en cas de remboursement ou de litige).

1.9 Notifications sur le téléphone

• L’application peut demander l’autorisation d’envoyer des notifications. Si elle est accordée, le jeton de notification du téléphone est enregistré avec le compte, ainsi que le système du téléphone (iOS ou Android). Un téléphone n’a qu’un jeton : il suit le dernier compte connecté sur ce téléphone.
• Ce jeton sert à : envoyer à l’Utilisateur des notifications sur son entraînement (rappels de séance et de révisions, leçon du jour, défis, série en danger, vies rechargées, quêtes terminées, trophées obtenus, palier atteint, évolution de son Grimm), sur ses achats (confirmation d’un abonnement Premium, d’un pack de gemmes ou d’une recharge de vies ; renouvellement, fin ou remboursement d’un abonnement) et sur son compte. Aucune notification ne fait la promotion de Gribou ou d’une nouveauté.
• Le jeton est effacé à la déconnexion, à la suppression du compte, et dès qu’un envoi révèle que le téléphone n’accepte plus les notifications (application désinstallée, autorisation retirée).
• L’autorisation se retire à tout moment dans les réglages du téléphone. Base légale : exécution du contrat.

1.10 Amis

• Un nom d’utilisateur (« @ ») propre au compte, fait de 3 à 20 lettres et chiffres. Il est créé à la première ouverture de la page Amis, à partir du nom de la créature, et peut être changé une fois par période de 30 jours. Il n’est jamais publié : un joueur ne se trouve qu’en tapant son @ exact, et aucune liste de joueurs n’existe.
• Les demandes d’ami envoyées et reçues, les amitiés (trois au plus), leur date et leur origine (un @ tapé ou un parrainage), ainsi que les joueurs bloqués. Une demande restée sans réponse est effacée au bout de 14 jours ; retirer un ami efface l’amitié, sans que l’autre joueur en soit prévenu.
• Ce qu’un ami voit : le @, le nom et l’apparence de la créature (son stade d’évolution), et si le joueur a joué dans la journée. Celui qui reçoit une demande voit le @ et la créature de celui qui l’envoie ; celui qui l’envoie ne voit que le @ qu’il a tapé. Aucun ami ne voit les résultats, les réponses, les fautes, le niveau, la série ni les statistiques d’un autre joueur.
• Un compte créé avec le lien ou le code d’un parrain devient l’ami de ce parrain dès l’inscription ; chacun peut ensuite retirer l’autre ou le bloquer.
• Un joueur peut en signaler un autre, par exemple pour un @ ou un nom de créature injurieux : l’autre est bloqué, sans en être prévenu, et le signalement garde les deux comptes, le @ et le nom de la créature signalés, et sa date. L’exploitant en est prévenu et le relit. Le signalement est effacé avec l’un des deux comptes.
• Base légale : exécution du contrat. Cette fonction est facultative : un joueur sans ami ne montre rien à personne.

1.11 Parrainage

• Un code d’invitation propre au compte, créé à la première ouverture de la page Amis.
• Chaque ouverture d’un lien d’invitation : sa date, le parrain concerné et, si une inscription suit, le compte créé. Sur le site, l’ouverture dépose un cookie technique de 30 jours qui ne contient qu’un jeton aléatoire, pour rattacher l’inscription qui suit ; dans l’application, c’est le code tapé à l’inscription qui la rattache.
• Le lien entre le compte du filleul et celui du parrain, et les dates de la première leçon terminée et du passage à Premium du filleul, qui déclenchent les gemmes. Le parrain ne voit que des nombres, jamais qui sont ses filleuls.
• Base légale : exécution du contrat.

2Article 2 : Une donnée qui peut révéler une difficulté de lecture

Les résultats d’entraînement et de bilan peuvent révéler une difficulté de lecture, comme une dyslexie. Ce ne sont pas pour autant des données de santé au sens de l’article 9 du RGPD : Gribou ne demande jamais à l’Utilisateur s’il est dyslexique, n’enregistre aucune information de cette nature, ne pose aucun diagnostic, n’établit aucun profil médical et ne travaille avec aucun professionnel de santé. Ces données sont traitées sur la base de l’exécution du contrat.

Elles sont néanmoins traitées avec la prudence due à une donnée sensible : elles ne servent qu’à faire fonctionner le Service (calculer la progression, choisir les exercices, afficher les statistiques). Elles ne sont ni vendues, ni partagées à des fins publicitaires, ni utilisées pour du profilage.

Elles restent dans la base de données du Service. Elles ne sont transmises à aucun prestataire de paiement ou de notification : ni Stripe, ni RevenueCat, ni Apple, ni Google, ni Expo n’en reçoivent.

Le Labo fait exception, pour l’Utilisateur qui choisit d’y participer : ses données y sont traitées sur la base de son consentement explicite, avec les garanties prévues pour les données sensibles, et ses réponses écrites aux séances sont envoyées à Anthropic pour être corrigées (article 4 et article 12).

3Article 3 : Ce que Gribou ne fait pas

• Aucune publicité, aucune régie publicitaire.
• Aucune mesure d’audience, aucun outil d’analyse de navigation, aucun traceur tiers.
• Aucune revente ni transmission de données à des tiers à des fins commerciales.
• Aucun profilage publicitaire, aucun recoupement avec un autre service.
• Dans l’application, le module d’achat (RevenueCat) ne collecte pas l’identifiant publicitaire et ne sert pas à suivre l’Utilisateur d’une application à l’autre. Les informations techniques qu’il reçoit sont décrites à l’article 4.

4Article 4 : Sous-traitants et transferts hors Union européenne

Gribou fait appel aux sous-traitants suivants :

• Render Services, Inc. (États-Unis) : hébergement de l’application, déployée dans la région de Francfort (Allemagne).
• Neon, LLC, groupe Databricks (États-Unis) : base de données PostgreSQL, déployée dans la région de Francfort (Allemagne).
• Cloudflare, Inc. (États-Unis) : stockage des sons et du lexique, DNS et routage des emails reçus. Cloudflare voit l’adresse IP de l’appareil quand un son est chargé.
• Stripe Payments Europe, Ltd. (Irlande), et Stripe, Inc. (États-Unis) : paiements faits sur le site et gestion des abonnements pris sur le site.
• RevenueCat, Inc. (États-Unis, données hébergées chez Amazon Web Services aux États-Unis) : suivi des achats faits dans l’application. RevenueCat reçoit l’identifiant aléatoire du compte (sans l’adresse email), les informations d’achat transmises par Apple ou Google, l’adresse IP, et des informations techniques sur le téléphone : modèle, version du système, langue, pays de la boutique utilisée, version de l’application et, sur iPhone, l’identifiant qu’Apple attribue à l’éditeur pour cet appareil (IDFV). Il ne reçoit pas l’identifiant publicitaire. Quand l’Utilisateur demande à Apple ou à Google le remboursement d’un achat, il transmet aussi la réponse de l’exploitant (article 13 des Conditions générales de vente).
• 650 Industries, Inc. (Expo, États-Unis) : envoi des notifications sur le téléphone. Expo reçoit le jeton de notification du téléphone et le texte de la notification, et les remet au service de notification d’Apple ou de Google.
• Resend, Inc. (États-Unis) : envoi des emails indispensables au compte et aux paiements.
• Proton AG (Suisse) : boîte de réception des emails envoyés à l’adresse de contact.
• Anthropic Ireland, Limited (6th Floor, South Bank House, Barrow Street, Dublin 4, Irlande) et sa maison mère Anthropic, PBC (548 Market Street, PMB 90375, San Francisco, CA 94104, États-Unis) : correction des réponses écrites aux séances du Labo, pour l’Utilisateur qui y participe, par Claude, son modèle d’intelligence artificielle. Anthropic reçoit la consigne de l’exercice, le texte donné, la réponse de référence et la réponse de l’Utilisateur, dont les adresses email et numéros de téléphone sont masqués ; jamais son nom, son adresse email, l’identifiant de son compte ni son adresse IP. Anthropic supprime ces requêtes dans les 30 jours (jusqu’à 2 ans pour une requête signalée comme contraire à ses règles d’usage, ou plus si la loi l’y oblige) et ne les utilise pas pour entraîner ses modèles. Les requêtes sont traitées aux États-Unis : ce transfert repose sur la certification d’Anthropic au cadre de protection des données UE–États-Unis et, en complément, sur les clauses contractuelles types de son accord de traitement des données.

En dehors de l’hébergement (Render et Neon) et de la correction des séances du Labo (Anthropic), aucun de ces prestataires ne reçoit de données d’entraînement : chacun ne reçoit que ce qui est nécessaire à sa tâche.

Les transferts vers les États-Unis sont encadrés par les Clauses contractuelles types adoptées par la Commission européenne, par la certification du sous-traitant au titre du cadre de protection des données UE–États-Unis (EU–U.S. Data Privacy Framework), ou par un mécanisme équivalent reconnu par la CNIL. La Suisse bénéficie d’une décision d’adéquation de la Commission européenne.

Apple et Google

Dans l’application, les achats sont vendus par Apple (App Store) ou par Google (Google Play). Ils traitent les données de paiement sous leur propre responsabilité, selon leurs propres règles de confidentialité. Gribou leur transmet, avec chaque achat, l’identifiant aléatoire du compte (Apple) ou une empreinte de cet identifiant (Google). Il reçoit d’eux, par RevenueCat, l’état des achats, jamais de coordonnées bancaires.

Quand l’Utilisateur leur demande le remboursement d’un achat, l’exploitant peut leur transmettre, directement ou par RevenueCat, si l’achat a été livré, la part utilisée et sa préférence sur la demande (article 13 des Conditions générales de vente). Base légale : l’accord donné dans la fenêtre d’achat, et l’intérêt légitime de l’exploitant à se défendre contre un remboursement abusif.

5Article 5 : Durées de conservation

• Compte, progression, résultats de bilan, réglages et statut fondateur : tant que le compte existe.
• Sessions (empreinte du jeton, adresse IP, navigateur) : jusqu’à l’expiration de la session, au plus 30 jours après la dernière connexion, ou immédiatement à la déconnexion ou au changement de mot de passe.
• Liens de vérification d’adresse et de réinitialisation : jusqu’à leur usage ou leur expiration.
• Abonnement, achats, journal des gemmes et des vies, décisions de remboursement : tant que le compte existe.
• Messages de paiement liés à un compte, historique d’un abonnement pris dans l’application, acceptations avant paiement : 5 ans à compter de leur date, durée de la prescription de droit commun (article 2224 du code civil). Si le compte est supprimé avant, voir l’article 6.
• Données servant à ne pas traiter deux fois le même message de paiement, messages de paiement qui ne désignent aucun compte, tentatives de paiement sur le site jamais payées : 90 jours.
• Compte suspendu pour manquement aux conditions d’utilisation : un an après la suspension, puis suppression du compte et de toutes ses données.
• Jeton de notification : jusqu’à la déconnexion, jusqu’à ce que le téléphone n’accepte plus les notifications, ou jusqu’à la suppression du compte.
• Nom d’utilisateur, amitiés et blocages : tant que le compte existe, ou jusqu’à ce que l’amitié soit retirée ou le blocage levé. Demandes d’ami sans réponse : 14 jours.
• Code d’invitation, ouvertures du lien et lien entre filleul et parrain : tant que le compte du parrain existe ; une ouverture ne rattache plus d’inscription après 30 jours. À la suppression du compte du filleul, son lien avec le parrain est effacé.
• Pièces comptables des paiements faits sur le site (factures, montants, dates) : 10 ans, conformément aux obligations comptables françaises. Elles sont conservées chez Stripe, et non dans la base de données de Gribou. Pour les achats faits dans l’application, Apple et Google conservent leurs propres pièces.
• Journaux d’infrastructure : soumis à la politique de conservation de Render, non conservés par Gribou.

6Article 6 : Suppression du compte

La suppression se fait depuis les Réglages et demande la saisie du mot de passe. L’abonnement pris sur le site est d’abord résilié auprès de Stripe, et les données que RevenueCat détient sur le compte y sont effacées. Si l’une de ces deux étapes échoue, la suppression est refusée plutôt que de laisser un compte effacé continuer d’être prélevé, ou des données rester chez un prestataire.

Un abonnement pris dans l’application n’est pas résilié par la suppression : seul l’Utilisateur peut le résilier, dans son compte Apple ou Google Play. L’application le prévient avant de supprimer le compte.

Le compte et l’ensemble des données liées (progression, réponses, statistiques, bilans, compagnons, courrier, signalements de sons, achats, jetons de notification) sont ensuite effacés immédiatement et définitivement.

Seules les preuves de paiement et d’acceptation (acceptations avant paiement, messages de paiement, remboursements reçus) sont gardées à part pendant 13 mois, délai pendant lequel un paiement par carte peut être contesté (article L. 133-24 du code monétaire et financier), puis effacées. Elles ne servent qu’à répondre à une contestation de paiement ou à un litige. Les pièces comptables des paiements faits sur le site restent chez Stripe, pour la durée légale.

7Article 7 : Droits sur les données

Depuis la page Réglages, il est possible à tout moment d’exporter ses données au format JSON (l’entraînement, mais aussi l’abonnement, les achats, les acceptations avant paiement, les remboursements et le journal des gemmes et des vies) et de supprimer son compte.

Conformément au RGPD, l’Utilisateur dispose en outre des droits suivants :

• Droit d’accès (art. 15) : obtenir la confirmation du traitement et une copie des données.
• Droit de rectification (art. 16) : faire corriger des données inexactes.
• Droit à l’effacement (art. 17), sous réserve des obligations légales de conservation.
• Droit à la limitation du traitement (art. 18).
• Droit à la portabilité (art. 20).
• Droit d’opposition (art. 21) au traitement fondé sur l’intérêt légitime.

L’Utilisateur peut aussi définir des directives sur le sort de ses données après son décès, conformément à la loi Informatique et Libertés.

Ces droits s’exercent par email à contact@gribou.me. Pour un compte suspendu, qui ne peut plus se connecter, c’est la seule voie. L’exploitant s’engage à répondre dans un délai d’un mois. L’Utilisateur peut également introduire une réclamation auprès de la CNIL.

cnil.fr

8Article 8 : Sécurité

Les mesures techniques suivantes protègent les données :

• Mots de passe hachés en argon2id avec sel aléatoire ; le mot de passe en clair n’est jamais conservé.
• Communications chiffrées en transit (HTTPS/TLS).
• Jetons de session stockés sous forme d’empreinte SHA-256 uniquement, dans des cookies httpOnly, Secure et SameSite=Lax ; le jeton de renouvellement est rotatif et n’est envoyé qu’aux routes d’authentification.
• Limitation du nombre de tentatives de connexion par adresse IP.
• Correction des réponses effectuée par le serveur : les réponses attendues ne sont jamais envoyées au navigateur avant validation.
• Séparation des services (application, base de données, stockage) avec accès restreints ; le stockage des mots du lexique est privé.

En cas de violation de données susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, l’exploitant s’engage à notifier la CNIL dans les 72 heures et à informer les Utilisateurs affectés dans les meilleurs délais.

9Article 9 : Cookies

Gribou dépose deux cookies, tous deux strictement nécessaires au fonctionnement de la connexion :

gribou_at

jeton d’accès, renouvelé toutes les 15 minutes.

gribou_rt

jeton de renouvellement de session, 30 jours, limité aux routes d’authentification.

Ces deux cookies sont httpOnly, Secure et SameSite=Lax. Aucun cookie de mesure d’audience ni de publicité n’est déposé : c’est pourquoi le Service n’affiche aucun bandeau de consentement. Le navigateur conserve par ailleurs localement certains réglages d’affichage et, avant l’inscription, les résultats du bilan (point 1.0). Ces informations ne quittent l’appareil qu’à l’inscription, pour le bilan.

L’application n’utilise pas de cookie : le jeton de renouvellement de session est gardé dans le stockage sécurisé du téléphone.

10Article 10 : Âge minimum

Le Service est réservé aux personnes de 16 ans et plus (article 3 des Conditions générales d’utilisation). L’âge est déclaré à l’inscription ; aucun mécanisme de vérification n’est mis en œuvre. Un compte dont l’exploitant apprend qu’il appartient à une personne de moins de 16 ans est supprimé.

11Article 11 : Modification de la politique

La présente politique peut être modifiée. Chaque version porte une date, affichée en tête du document. Toute modification importante est annoncée par email et dans le Service avant de s’appliquer.

12Article 12 : Le Labo

Le Labo teste de nouvelles façons de s’entraîner. Il est réservé aux abonnés Premium de 18 ans et plus, et y participer est un choix : rien de ce qui suit ne concerne l’Utilisateur qui n’y entre pas. Tant que le Labo n’est pas ouvert, aucune de ces données n’est collectée.

L’Utilisateur qui entre dans le Labo y consent explicitement, par une case dédiée (articles 6, paragraphe 1, a, et 9, paragraphe 2, a, du RGPD) : l’enregistrement de ses réponses, résultats et signalements pour comparer deux façons de s’entraîner, et l’envoi de ses réponses écrites à Anthropic pour leur correction (article 4). Il peut retirer ce consentement à tout moment, en quittant une expérience avec le choix « tout effacer » ou en refusant une nouvelle version des conditions du Labo.

Les données enregistrées, leurs durées de conservation, ce qui est publié et la façon d’exercer ses droits sur les résultats laissés à l’étude sont décrits dans les Conditions du Labo, qui complètent la présente politique.

Lire les Conditions du Labo