1. Qui nous sommes
Tendle (l'« App », « nous », « notre », « nos ») est une application iPhone qui aide un parent à être présent auprès de son jeune enfant, ainsi que ce site web. Le responsable du traitement au sens de l'article 4, point 7, du RGPD est :
Nils Schiwora, exerçant sous le nom de Nils Schiwora Trading Services Ahornstr. 37 14547 Beelitz Germany
Si vous avez des questions sur la présente politique ou si vous souhaitez exercer vos droits, écrivez à support@tendle.me.
Pour notre adresse professionnelle dans le Brandebourg, l'autorité de contrôle compétente est Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg). Vous pouvez à tout moment déposer une plainte auprès de l'autorité de votre lieu de résidence habituelle (art. 77 du RGPD).
2. Ce que fait l'App et comment elle traite les données
Tendle fonctionne en priorité localement (local-first). Pendant le « temps enfant », elle bloque les applications distrayantes que vous avez choisies, en utilisant Family Controls (Temps d'écran) d'Apple. Vous regagnez l'accès à votre téléphone en photographiant un objet issu du jeu — par exemple une tour de cubes — qui est vérifié sur votre appareil. L'App tient à jour une série (streak) et un décompte des minutes de présence.
Il n’y a aucun compte utilisateur. Les avis et le chat facultatifs transmettent uniquement les données d’assistance décrites ci-dessous. Photos, applications bloquées, séries et minutes de présence restent sur votre appareil.
2.1 Sur votre appareil uniquement (jamais transmis)
| Données | Où elles résident |
|---|---|
| La photo de l'objet de jeu que vous prenez pendant le temps enfant | Capturée en direct par l'appareil photo et vérifiée en mémoire ; en cas de réussite vérifiée, elle est enregistrée en JPEG dans le conteneur privé de l'App (exclu de la sauvegarde iCloud) pour afficher votre souvenir Recap et votre Historique |
| Les applications que vous avez choisi de bloquer | Stockées par iOS sous forme de jetons Family Controls opaques que l'App ne peut pas lire et qui ne quittent jamais votre appareil |
| Votre registre de présence / série et vos minutes de présence | Stockés sur l'appareil (SwiftData) |
| Vos réglages (surnom, valeurs par défaut, préférence de rappel, état d'onboarding et du paywall) | Stockés sur l'appareil (UserDefaults) |
L'appareil photo est utilisé uniquement pour photographier l'objet de jeu pendant un déblocage de temps enfant. Une image est capturée en direct (aucune importation depuis votre photothèque), vérifiée sur l'appareil et — en cas de réussite vérifiée — enregistrée dans le conteneur privé propre à l'App. Après la première photo confirmée, vous pouvez choisir séparément de l'ajouter, ainsi que les futures photos confirmées, à Photos d'Apple. Tendle demande un accès ajout uniquement et ne peut pas consulter votre photothèque. Si Photos iCloud est activé, Apple peut synchroniser ces copies entre vos appareils. Vous pouvez modifier ce choix dans les Réglages ; un refus ne bloque jamais une session. Tendle ne téléverse jamais une photo d'objet sur ses serveurs ou ceux d'un tiers. Le partage Recap reste une action distincte initiée par vous.
Family Controls (Temps d'écran) offre à l'App un moyen de masquer les applications que vous sélectionnez. Votre sélection est représentée par des jetons opaques du système d'exploitation ; l'App ne peut pas voir de quelles applications il s'agit, et cette sélection ne quitte jamais votre appareil.
2.2 Données traitées par des prestataires de services
Si vous envoyez un avis depuis Réglages, nous transmettons la catégorie, le message, l'adresse e-mail facultative, la version de l'app, la langue et l'état actuel de l'abonnement à notre assistance. L'e-mail sert uniquement à répondre. RevenueCat Customer Center peut aussi recueillir un motif d'annulation prédéfini ; aucun texte libre n'est demandé.
| Données | Finalité |
|---|---|
| Transaction d'abonnement et état des droits d'accès (entitlement) | Traités par Apple et reflétés via RevenueCat pour débloquer les fonctionnalités payantes — voir la section 4 |
Événements explicites d'analyse produit (par ex. app_started, paywall_viewed) |
Envoyés à PostHog tant que l'Analyse produit est activée — voir les sections 3 et 4 |
| Relectures de sessions mobiles masquées | Envoyées à PostHog tant que l'Analyse produit est activée afin de détecter les problèmes de navigation et d'utilisation ; le texte affiché et les champs de texte sont masqués avant transmission, et les surfaces de caméra ou de photos utilisateur sont exclues de la capture |
| Diagnostics de plantage et d'erreur (trace de pile, métadonnées appareil/exécution) | Envoyés à Sentry uniquement lorsque le signalement de plantages est activé — voir la section 4 |
| Votre message et votre adresse e-mail, si vous contactez le support | Utilisés uniquement pour vous répondre — voir la section 4 |
| Données d'assistance achats : décomptes approximatifs de sessions par jour et votre réglage « Assistance achats » | Stockées sur notre API (Cloudflare) afin que nous puissions répondre aux demandes de remboursement d'Apple — voir les sections 3 et 4 |
| Notre réponse à la demande de remboursement d'Apple (achat livré oui/non, essai affiché oui/non, notre recommandation) | Envoyée à Apple uniquement lorsque vous demandez un remboursement auprès d'Apple — voir les sections 3 et 4 |
Par conception, aucune photo, aucun chemin de fichier ni aucune référence d'objet n'est jamais envoyé à l'analyse ou au signalement de plantages — les événements ne contiennent que des décomptes, des durées et des résultats sous forme d'énumérations. Les événements d'analyse ne sont pas liés à votre identité.
2.3 Chat facultatif avec le fondateur
En démarrant une conversation, vous nous transmettez vos messages, un prénom facultatif et un identifiant d’installation aléatoire. Nous recevons aussi langue, fuseau horaire, version de l’app et pays approximatif de la connexion, avec leurs dates. Le pays peut refléter un voyage ou un VPN. Aucun nom d’enfant, photo ou détail de session n’est ajouté automatiquement au contexte d’assistance.
Cloudflare Workers, Durable Objects et D1 hébergent le chat. Nous pouvons vérifier une preuve d’achat signée par Apple auprès de RevenueCat et conserver un résumé minimal daté du forfait et de son état. Cela ne crée pas de compte, ne relie pas les conversations et ne dépend pas de l’analyse produit. La preuve signée n’est pas conservée.
Si vous activez les notifications, Apple APNs reçoit le jeton de l’appareil et une alerte générique. Seul l’état actif/inactif du temps enfant est transmis pour limiter les interruptions ; hors ligne, les alertes en arrière-plan ne peuvent pas être supprimées de façon garantie. Les alertes du fondateur via PurelyMail et les fournisseurs de notifications web ne contiennent ni texte, ni nom, ni détail d’abonnement.
Messages et journaux associés expirent après 90 jours, tout comme le contexte, les noms et les appareils de notification inactifs. La copie locale contient au plus 500 messages pendant 90 jours. Les messages non envoyés restent jusqu’à leur envoi, abandon ou suppression. Les réglages permettent de supprimer la conversation et de désactiver les notifications. Hors ligne, le contenu local est supprimé immédiatement et la suppression serveur reste visiblement en attente. Une trace de révocation sans contenu empêche sa recréation par une requête répétée. Aucun contenu du chat n’est transmis à l’analyse ou aux replays de session.
3. Pourquoi nous les traitons (bases légales)
| Finalité | Base légale (art. 6(1) du RGPD) |
|---|---|
| Faire fonctionner les fonctionnalités principales de l'App sur votre appareil | Exécution d'un contrat — art. 6, par. 1, point b) |
| Traiter votre abonnement App Store | Exécution d'un contrat — art. 6, par. 1, point b) |
| Envoyer les rappels de série locaux que vous avez activés | Consentement — art. 6, par. 1, point a). Programmés sur l'appareil ; voir la section 4. |
| Analyse produit minimisée pour comprendre quelles fonctionnalités sont utiles | Notre intérêt légitime — art. 6, par. 1, point f). Vous pouvez vous y opposer à tout moment dans les Réglages (section 7). |
| Diagnostics de plantage pour maintenir la stabilité de l'App | Intérêt légitime — art. 6, par. 1, point f) |
| Répondre à une demande de support que vous nous envoyez | Exécution d'un contrat / notre intérêt légitime — art. 6, par. 1, points b)/f) |
| Respecter les obligations légales de conservation (fiscalité, comptabilité) | Obligation légale — art. 6, par. 1, point c) |
| Répondre aux demandes de remboursement d'Apple et nous protéger contre les abus de remboursement | Notre intérêt légitime — art. 6, par. 1, point f), considérant 47. Vous pouvez vous y opposer à tout moment dans les Réglages (« Assistance achats », section 7). |
4. Prestataires de services et destinataires
Nous faisons appel à un petit nombre de sous-traitants. Comme Tendle fonctionne en priorité localement, l'essentiel de ce que vous faites ne leur parvient jamais.
| Fournisseur | Rôle | Région | Notes |
|---|---|---|---|
| Apple Inc. | Distribution de l'App et traitement des abonnements App Store | USA (with EU sub-processors) | Apple reçoit directement de vous les métadonnées d'achat et de remboursement, dans le cadre de sa propre politique de confidentialité. Family Controls (Temps d'écran) est un système Apple ; votre sélection d'applications est détenue par iOS sous forme de jetons opaques. |
| RevenueCat | Gestion du droit d'accès à l'abonnement et restitution de celui-ci à l'App | USA | Nous utilisons RevenueCat comme source de vérité pour les abonnements. Il traite les métadonnées de transaction App Store, l'identifiant de produit, le statut du droit d'accès et un identifiant utilisateur d'application émis par RevenueCat. Tant que l'Analyse produit est activée, il reçoit aussi, juste avant l'achat, uniquement l'emplacement général du paywall et la variante configurée afin de comparer les surfaces d'achat. Il ne reçoit aucun identifiant PostHog ni identifiant propre à une présentation. Il ne reçoit pas vos photos. |
| PostHog | Analyse produit pour l'App iOS et ce site web | EU — eu.i.posthog.com |
L'App iOS envoie par défaut des événements produit explicites pseudonymes et des relectures de sessions masquées sur la base de notre intérêt légitime. Ces relectures reconstruisent les écrans, touchers et parcours afin de détecter les problèmes d'utilisation ; le texte affiché et les champs de texte sont masqués avant transmission, les surfaces de caméra et de photos utilisateur sont exclues de la capture, et les journaux ainsi que la télémétrie réseau sont désactivés. Les illustrations décoratives propres à l'App peuvent rester visibles. Vous pouvez vous y opposer à tout moment en désactivant Analyse produit dans les Réglages. La capture automatique des écrans, du cycle de vie et des éléments ainsi que la liaison d'identité RevenueCat restent désactivées. Les événements sont associés à un profil anonyme propre à l'installation afin que PostHog puisse afficher le pays ou la région approximative et le contexte standard de l'appareil. Nous n'ajoutons à ce profil aucun nom, aucune identité de compte, aucun identifiant RevenueCat, aucune donnée concernant un enfant ni aucun texte libre. Aucune photo, aucun prénom d'enfant, aucun texte libre, chemin de fichier ou référence d'objet n'est inclus. Ce site web n'utilise pas la relecture de session. |
| Sentry | Diagnostics de plantage et d'erreur pour l'App iOS | EU | Utilisé uniquement lorsque le signalement de plantages est activé. Reçoit des traces de pile et des métadonnées limitées d'appareil/d'exécution, les valeurs sensibles et médias étant supprimées avant l'envoi. |
| Vercel Inc. | Hébergement de ce site web | Vercel Edge Network globally | Les données de requête standard (adresse IP, agent utilisateur) transitent par les journaux de Vercel à des fins de prévention des abus. |
| Cloudflare | API Tendle, attribution d'achat minimisée et envoi à l'assistance | Infrastructure mondiale | Cloudflare Workers et D1 conservent pendant 730 jours au maximum la lignée de transaction RevenueCat, l'emplacement général du paywall et la variante configurée, uniquement si l'Analyse produit était activée lors de l'achat. L'instantané ne contient aucun identifiant utilisateur RevenueCat, PostHog ou propre à une présentation. Cloudflare Email Service reçoit le message et l'e-mail facultatif uniquement lorsque vous appuyez sur Envoyer. Aucune de ces données n'est utilisée à des fins publicitaires. |
Nous ne vendons pas vos données et nous ne les utilisons pas à des fins de publicité personnalisée.
4.1 Ce site web
Lorsque l'analyse est activée, ce site web charge l'analyse produit PostHog
(région UE, eu.i.posthog.com) sous réserve du consentement aux cookies. Rien
n'est chargé ni envoyé tant que vous n'avez pas accepté la bannière de cookies.
Si vous refusez, aucun cookie PostHog n'est déposé et aucun événement n'est
envoyé. Nous ne chargeons pas d'enregistrement de session, de capture
automatique (autocapture), de publicité, ni aucun autre traceur tiers, et le
projet PostHog est configuré pour supprimer les adresses IP des clients. Les
événements capturés se limitent aux pages vues, aux clics sur l'appel à l'action
App Store, aux changements de langue et aux ouvertures de la FAQ. Votre
navigateur envoie également des données de requête standard (adresse IP, agent
utilisateur, référent) à notre hébergeur à chaque requête de page.
5. Transferts internationaux
Apple et RevenueCat sont basés aux États-Unis ou y opèrent. PostHog fonctionne
dans sa région UE (eu.i.posthog.com) à la fois pour l'App iOS et pour ce site
web, de sorte que les données d'événements PostHog ne quittent pas l'UE, et
Sentry stocke les données de rapports de plantage de ce projet dans sa région
UE. Les conditions de traitement applicables aux sous-traitants hors UE ont été
confirmées pour le lancement. Les transferts vers des destinataires hors UE
reposent sur les clauses contractuelles types adoptées par la Commission
européenne, ainsi que sur des mesures supplémentaires lorsque l'arrêt Schrems II
l'exige. Lorsqu'un prestataire participe au cadre de protection des données
UE-États-Unis (EU-US Data Privacy Framework), nous nous appuyons également sur
sa certification en cours comme garantie supplémentaire.
6. Combien de temps nous conservons vos données
| Catégorie | Conservation |
|---|---|
| Photos d'objets, registre de série, réglages (sur l'appareil) | Jusqu'à ce que vous les effaciez via « Supprimer les données locales » dans les Réglages, ou que vous supprimiez l'App |
| Enregistrements d'abonnement et de droits d'accès (Apple / RevenueCat) | Conservés dans les enregistrements de compte d'Apple et par RevenueCat pour l'historique d'abonnement jusqu'à ce que leur suppression soit demandée |
| Instantanés minimisés d'attribution d'achat (Tendle / D1) | Jusqu'à 730 jours |
| Événements d'analyse produit | PostHog indique actuellement une conservation contrôlée par le fournisseur allant jusqu'à 84 mois ; nous travaillons à la réduire |
| Relectures de sessions mobiles masquées | Jusqu'à 30 jours dans PostHog |
| Rapports de plantage | Régis par la politique de conservation configurée du projet Sentry |
| Correspondance de support | Uniquement le temps nécessaire pour traiter votre demande et respecter les obligations légales |
| Enregistrements d'abonnement et de facturation | Jusqu'à 10 ans lorsque le droit fiscal et commercial allemand l'exige (§ 147 AO, § 257 HGB) |
7. Vos droits
En vertu du RGPD, vous pouvez :
- Demander la confirmation de ce que nous traitons à votre sujet et une copie de ces données (art. 15)
- Faire corriger des données inexactes (art. 16)
- Faire effacer vos données (art. 17), sous réserve des obligations légales de conservation
- Limiter le traitement pendant qu'un litige est en cours (art. 18)
- Recevoir vos données dans un format portable et lisible par machine (art. 20)
- Vous opposer à un traitement fondé sur l'intérêt légitime, y compris l'analyse (art. 21)
- Retirer à tout moment tout consentement que vous nous avez donné, avec effet pour l'avenir (art. 7, par. 3)
- Déposer une plainte auprès d'une autorité de contrôle (art. 77)
Comme Tendle fonctionne en priorité localement, vous contrôlez directement la plupart de vos données : Réglages → Supprimer les données locales supprime les photos d'objets, le registre de série et les réglages stockés sur votre appareil. Pour exercer tout autre droit, écrivez à support@tendle.me. Nous nous efforçons de répondre dans un délai de 30 jours (art. 12, par. 3). Consultez la page Support pour connaître les étapes pratiques.
8. Enfants
Tendle est un outil destiné au parent et ne s'adresse pas aux enfants de moins de 16 ans. Nous ne traitons pas sciemment les données d'utilisateurs de moins de 16 ans sans le consentement vérifiable des parents (art. 8 du RGPD). L'App ne demande pas à un enfant de créer un compte ni de communiquer des données personnelles. Si vous pensez qu'un enfant a utilisé l'App d'une manière qui nous a fourni ses données, écrivez à support@tendle.me et nous les supprimerons.
9. Sécurité
Le contenu sensible de l'App — vos photos, votre sélection d'applications et votre série — reste sur votre appareil. Nous utilisons HTTPS pour tout le trafic vers nos prestataires de services, nous nous appuyons sur le bac à sable (sandbox) d'application d'Apple et sur le trousseau / le stockage sécurisé iOS le cas échéant, et nous limitons l'accès interne selon le principe du besoin d'en connaître. Aucun système n'est parfaitement sécurisé. Si vous avez connaissance d'une vulnérabilité, veuillez la signaler à support@tendle.me.
10. Modifications de la présente politique
Nous publierons ici les modifications importantes et, lorsque la modification vous concerne (par exemple, un nouveau sous-traitant traitant vos données), nous vous en informerons dans l'App au moins 14 jours avant son entrée en vigueur. La date figurant en haut de cette page indique la dernière révision.
11. Contact
Pour toutes les questions de confidentialité et les demandes d'exercice de droits :
Nils Schiwora exerçant sous le nom de Nils Schiwora Trading Services Ahornstr. 37 14547 Beelitz Germany Email: support@tendle.me