Politique de Confidentialité
Dernière mise à jour : 28 octobre 2026
1. Responsable du traitement
Responsable de traitement : Timothée Miminoshvili, entrepreneur individuel (nom commercial TEL-MI Labs) — SIREN 847 659 216
Adresse : 72 rue de Dantzig, Hall 14, 75015 Paris, France
Référent protection des données : Timothée Miminoshvili — dpo@pictoflow.com
Email général : contact@pictoflow.com
2. Données collectées
2.1 Données du compte (parent ou professionnel)
- Adresse email (obligatoire)
- Mot de passe (obligatoire — stocké uniquement sous forme hachée, jamais en clair)
2.2 Données relatives aux enfants
Le compte est créé et administré par un adulte. Dans son espace, il peut créer des profils enfants comportant :
- un prénom ou surnom et une couleur d'affichage ;
- les contenus créés pour l'enfant : cartes (images et libellés), plannings, séquences, récompenses, progression des tableaux.
Les images téléversées peuvent contenir des photos. Nous vous recommandons de n'utiliser que ce qui est nécessaire à l'enfant : un surnom suffit, et une photo n'est jamais obligatoire (voir section 3).
2.3 Données techniques
- Adresse IP — utilisée pour la sécurité (protection anti-robots, journaux de nos hébergeurs) ; nous ne la conservons pas dans nos bases de données
- Informations de navigation (user-agent, langue), traitées dans les mêmes journaux
- Identifiant technique d'appareil (sert à compter les appareils rattachés au compte, pour appliquer la limite d'appareils, et à les lister dans « Mes appareils »)
- Données de consentement (preuve de vos choix)
- Journaux techniques de nos hébergeurs (courte durée)
- Statistiques de fréquentation des pages publiques (page consultée, site d'où vous venez, pays, type d'appareil, navigateur, système, temps de chargement) — sans cookie ni identifiant : voir section 11
- Indicateurs de performance de ces mêmes pages (rapidité d'affichage et de réaction), mesurés avec les statistiques ci-dessus : ils s'accompagnent du nom technique, dans le code de la page, des éléments concernés (par exemple le titre ou une image) et de l'adresse du fichier principal affiché (par exemple l'image d'illustration). Cette adresse peut contenir des réglages techniques d'affichage, comme la largeur ou la qualité de l'image ; ces éléments ne contiennent aucune information vous concernant
2.4 Données d'abonnement (si applicable)
- Informations de facturation (traitées par Stripe)
- Historique des paiements et statut d'abonnement
- Vos numéros de carte bancaire ne transitent jamais par nos systèmes : ils sont saisis directement chez Stripe.
3. Protection des données des enfants
Pictoflow est un service destiné aux parents et accompagnants d'enfants. Les enfants méritent une protection particulière de leurs données ; voici nos engagements :
- Pas de compte enfant : le compte appartient à l'adulte. Aucune donnée n'est collectée directement auprès de l'enfant.
- Le parent garde la main : les données du profil enfant sont renseignées par le titulaire de l'autorité parentale (ou l'accompagnant qu'il a mandaté), qui exerce l'ensemble des droits sur ces données (voir section 9). En créant un profil, l'adulte le déclare (CGU, article 7.3).
- Minimisation : un surnom et une couleur suffisent à créer un profil. Aucune date de naissance, aucune information médicale ne sont demandées, et nous vous demandons de n'écrire aucune information de santé ni aucun diagnostic dans les champs libres.
- Aucune exploitation : les données des enfants ne servent qu'au fonctionnement du service — et, sous forme de simples totaux (par exemple : le nombre de comptes ayant lancé au moins une séance), à mesurer l'usage de Pictoflow pour l'améliorer. Aucun total ne décrit un enfant ou une famille. Jamais de publicité, jamais de profilage, jamais de cession à des tiers.
- Aucune mesure sur l'écran de l'enfant : la mesure de fréquentation ne fonctionne jamais sur le Tableau.
- Aucun message commercial n'apparaît dans l'interface utilisée par l'enfant.
4. Finalités du traitement
- Fournir le service Pictoflow (création de cartes, plannings, suivi des tableaux)
- Gérer les comptes et l'authentification
- Assurer la sécurité et prévenir les abus (protection anti-robots)
- Diagnostiquer les erreurs techniques (rapport d'erreur avec identifiant pseudonymisé — voir section 7)
- Mesurer l'usage du service, uniquement sous forme de statistiques globales : fréquentation des pages publiques, et totaux d'utilisation (comptes créés, plannings configurés, séances lancées, retours) — voir section 11
- Gérer les abonnements et la facturation
- Répondre à vos demandes (support)
5. Bases légales
5.1 Exécution du contrat (article 6.1.b RGPD)
- Gestion du compte de l'adulte, fourniture du service, gestion des abonnements
5.2 Intérêt légitime (article 6.1.f RGPD)
- Données des profils enfants : l'enfant n'est pas partie au contrat, qui est conclu avec l'adulte. Ses données sont traitées au titre de l'intérêt légitime de l'enfant et de l'adulte qui l'accompagne à disposer de l'outil choisi pour lui. Cet intérêt ne l'emporte sur les droits de l'enfant que grâce aux garanties de la section 3 : données réduites au minimum, aucune publicité ni aucun profilage, aucune cession, droits exercés par le titulaire de l'autorité parentale, suppression immédiate du profil à tout moment.
- Sécurité et prévention des abus
- Diagnostic des erreurs techniques
- Mesure de la fréquentation des pages publiques et statistiques d'usage globales, pour améliorer le service
- Support et assistance
5.3 Obligation légale (article 6.1.c RGPD)
- Conservation des données de facturation (obligations comptables et fiscales)
- Preuve du recueil de vos consentements
5.4 Consentement (article 6.1.a RGPD)
À ce jour, aucun traitement n'est fondé sur le consentement. Notre mesure de fréquentation est configurée pour en être exemptée (article 82 de la loi « Informatique et Libertés ») : sans cookie, sans identifiant, pour notre seul usage — vous pouvez vous y opposer à tout moment (section 11). Nous n'utilisons aucun traceur publicitaire. Si cela évoluait, votre consentement serait recueilli avant tout dépôt de traceur, et cette politique serait mise à jour.
La règle du consentement parental pour les mineurs (article 8 RGPD) ne s'applique pas ici : elle vise les services proposés directement à un enfant et fondés sur le consentement. Pictoflow s'adresse à l'adulte, l'enfant n'a pas de compte, et aucun traitement ne repose sur le consentement.
6. Durées de conservation
6.1 Données de compte et de contenu
- Compte actif : conservation tant que le compte existe
- Suppression du compte : effacement immédiat de nos systèmes actifs (profils, cartes, images, préférences) ; les copies présentes dans nos sauvegardes de sécurité sont écrasées sous 30 jours au maximum
- Compte inactif : suppression après 2 ans d'inactivité, précédée d'une information par email et d'un délai de 30 jours pendant lequel une simple connexion suffit à conserver le compte
6.2 Preuves et facturation
- Preuve d'acceptation des CGU et de vos choix de consentement : 5 ans (prescription légale) — après suppression du compte, cette preuve est conservée sous forme dissociée de votre identité
- Factures : 10 ans (obligation comptable)
- Données de paiement : conservées par Stripe selon ses obligations propres
6.3 Données techniques
- Journaux techniques : courtes durées définies par nos hébergeurs
- Traceurs locaux : voir la Politique de cookies
- Statistiques de fréquentation : consultables 6 mois (Cloudflare). Les totaux d'utilisation sont recalculés à la demande : rien n'est conservé à part.
7. Destinataires des données
7.1 Accès interne
Pictoflow est exploité par une entreprise individuelle sans personnel : seul le responsable de traitement accède aux données, dans la stricte limite du nécessaire (assistance, maintenance).
7.2 Sous-traitants
| Sous-traitant | Rôle | Localisation des données |
|---|---|---|
| Supabase | Base de données, authentification, stockage des images, fonctions serveur | Union européenne (Irlande) |
| Vercel | Hébergement du site et de l'application | États-Unis (garanties : voir 7.3) |
| Stripe | Paiements et facturation | États-Unis (garanties : voir 7.3) |
| Brevo | Envoi des emails de service (confirmation, réinitialisation) | France (Union européenne) |
| Sentry | Diagnostic des erreurs techniques | Union européenne (Allemagne) — identifiant utilisateur pseudonymisé (haché) avant envoi |
| Cloudflare | Protection anti-robots (Turnstile), DNS, réception des emails adressés à nos adresses @pictoflow.com, et mesure de fréquentation des pages publiques (Web Analytics) |
États-Unis (garanties : voir 7.3) |
| Google (Gmail) | Lecture des emails que vous adressez au support | États-Unis (garanties : voir 7.3) |
| Infomaniak | Envoi de nos réponses à vos emails (contact@pictoflow.com) |
Suisse (pays reconnu comme offrant une protection adéquate par la Commission européenne) |
Nous ne vendons ni ne louons aucune donnée. Aucun tiers publicitaire n'a accès à vos données ni à celles de vos enfants.
7.3 Transferts hors Union européenne
Les données applicatives (comptes, profils, contenus) sont hébergées dans l'Union européenne. Certains sous-traitants (Vercel, Stripe, Cloudflare, Google) sont établis aux États-Unis : ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et/ou leur certification au cadre de protection des données UE–États-Unis (Data Privacy Framework).
8. Vos droits (et ceux de votre enfant)
Conformément au RGPD, vous disposez des droits suivants :
- Droit d'accès (article 15) : connaître les données détenues et en obtenir copie
- Droit de rectification (article 16) : corriger des données inexactes
- Droit à l'effacement (article 17) : demander la suppression de vos données
- Droit à la limitation (article 18) : suspendre temporairement un traitement
- Droit à la portabilité (article 20) : récupérer vos données dans un format structuré
- Droit d'opposition (article 21) : vous opposer à un traitement fondé sur l'intérêt légitime
- Droit de retrait du consentement : à tout moment, pour les traitements qui en dépendraient
Données des profils enfants : ces droits s'exercent par le titulaire de l'autorité parentale (ou son mandataire), depuis le compte qui héberge le profil.
9. Exercice de vos droits
9.1 Directement dans l'application
- Accès et portabilité : bouton « Télécharger mes données » du Portail RGPD
- Rectification : les profils enfants et les contenus sont modifiables dans l'application ; pour votre adresse email, écrivez-nous
- Effacement : suppression du compte depuis les réglages (effet immédiat)
9.2 Par email
- Contact : dpo@pictoflow.com
- Délai de réponse : 1 mois maximum (prolongeable de 2 mois pour une demande complexe, vous en seriez informé)
9.3 Réclamation
- CNIL : www.cnil.fr
- Ou l'autorité de contrôle de votre pays de résidence
10. Sécurité des données
10.1 Mesures techniques
- Chiffrement des échanges (HTTPS/TLS)
- Hachage des mots de passe (bcrypt — jamais stockés en clair)
- Isolation stricte des comptes : chaque compte n'accède qu'à ses propres données, règle appliquée par la base de données elle-même (Row Level Security)
- Pseudonymisation de l'identifiant utilisateur dans les rapports d'erreur
- Sauvegardes sécurisées (chiffrées en transit)
10.2 Mesures organisationnelles
- Accès limité au seul responsable de traitement
- Revues de sécurité à chaque évolution majeure du service
- Sensibilisation continue de l'exploitant à la protection des données
11. Cookies et traceurs
Pictoflow utilise des traceurs strictement nécessaires au fonctionnement du service, et une mesure de fréquentation sans cookie (Cloudflare Web Analytics) sur ses seules pages publiques : accueil, à propos, guides, inscription.
Cette mesure ne dépose rien sur votre appareil, ne vous attribue aucun identifiant et ne permet pas de vous reconnaître d'une visite à l'autre. Elle n'est jamais active dans l'espace de gestion (Édition) ni sur l'écran de l'enfant (Tableau). Vous pouvez vous y opposer à tout moment depuis la Politique de cookies : votre choix est mémorisé sur votre appareil.
Aucun traceur publicitaire. Détails : Politique de cookies.
12. Modifications de cette politique
Cette politique peut être mise à jour pour refléter l'évolution de nos pratiques, les nouvelles exigences légales ou l'ajout de nouveaux services. Les modifications importantes vous seront notifiées via le site, par email (si vous avez un compte) ou dans l'application.
13. Contact
13.1 Questions générales
Email : contact@pictoflow.com
13.2 Référent protection des données
Référent : Timothée Miminoshvili — dpo@pictoflow.com
13.3 Exercice des droits RGPD
Portail RGPD : Portail RGPD
14. Accessibilité
Nous visons la conformité WCAG 2.2 AA. Si vous rencontrez une difficulté d'accès, écrivez-nous à support@pictoflow.com.
Historique des versions :
- 1.0 (Décembre 2024) - Première version conforme RGPD
- 1.1 (Juillet 2026) - Responsable de traitement réel, corrections factuelles
- 1.2 (Juillet 2026) - Traitements réels (retrait de la mesure d'audience ; déclaration de Vercel, Brevo, Sentry, Cloudflare), section « Protection des données des enfants », durées de conservation précisées, corrections de véracité
- 1.3 (Septembre 2026) - Délai de grâce de 30 jours avant suppression d'un compte inactif : information par email, puis 30 jours pendant lesquels une simple connexion suffit à conserver le compte
- 1.4 (Septembre 2026) - graphie de la marque, aucun changement de fond
- 1.5 (Septembre 2026) - Base légale des données des profils enfants précisée (intérêt légitime, article 8 RGPD non applicable), aucune donnée de santé dans les champs libres, corrections de véracité (pas de pseudo, adresse IP non conservée dans nos bases)
- 1.5.1 (Septembre 2026) - Retrait de la mention d'un avatar pour les profils enfants (fonctionnalité supprimée, aucune donnée de ce type collectée), aucun changement de fond
- 1.6 (Septembre 2026) - Déclaration des prestataires du courrier avec le support : Cloudflare (réception), Google Gmail (lecture) et Infomaniak (envoi des réponses)
- 1.6.1 (Octobre 2026) - Finalité de l'identifiant technique d'appareil corrigée (limite d'appareils et liste « Mes appareils », pas la synchronisation), aucun changement de fond
- 1.7 (Octobre 2026) - Mesure de fréquentation sans cookie des pages publiques (Cloudflare Web Analytics), avec droit d'opposition ; statistiques d'usage globales pour améliorer le service
- 1.8 (Octobre 2026) - Mesure de fréquentation : données mesurées complétées des indicateurs de performance des pages (éléments concernés, adresse du fichier principal affiché) et du système, déjà mesuré mais non listé ; même finalité, même durée de conservation
Dernière mise à jour : 28 octobre 2026