Politique de confidentialité

1. Responsable du traitement et contact confidentialité

Pour toute question sur la vie privée, l’exercice de vos droits ou une opposition, contactez privacy@kinavela.com. Cette adresse est le contact confidentialité. Aucun délégué à la protection des données n’a été désigné ; cette adresse ne doit pas être comprise comme un contact de DPO.

2. Données traitées

Les informations culturelles, patrimoniales et linguistiques peuvent révéler des aspects sensibles de l’identité. Elles sont fournies volontairement et utilisées uniquement pour les fonctions familiales et de découverte choisies. N’ajoutez pas d’information sur une autre personne sans y être autorisé.

• Données de compte : adresse e-mail, identifiant d’authentification, langue, fuseau horaire, nom d’affichage, état de vérification et du compte.
• Données familiales et de découverte : nom et biographie de la famille, pays et ville, localisation approximative choisie par recherche de ville/code postal, rayon, visibilité, disponibilités, intérêts, cultures et langues.
• Données d’enfant gérées par un responsable : surnom, année de naissance, mois de naissance et genre facultatifs, réglages de visibilité et contenu Roots Passport géré par le responsable. Kinavela ne crée pas de comptes publics pour enfants et ne demande pas de date de naissance exacte.
• Données de contenu et de sécurité : messages, récits, enregistrements vocaux, transcriptions, signalements, actions de modération, participation à des événements et événements de sécurité/audit.
• Données opérationnelles : enregistrements de consentement, préférences de notification et, en cas d’activation expresse, clés Push, métriques produit internes après consentement, consentement marketing séparé, événements PageView et CompleteRegistration sans paramètres de profil ou contenu Kinavela, et métadonnées techniques nécessaires à la protection du service.

3. Finalités et bases légales

• Compte, inscription, outils familiaux, Roots, messages et fonctions communautaires : exécution du contrat demandé, art. 6, §1, b) RGPD.
• Sécurité, prévention des abus, modération, traitement des incidents et intégrité du service : intérêts légitimes, art. 6, §1, f) RGPD, et obligations légales le cas échéant, art. 6, §1, c) RGPD.
• E-mails produit facultatifs : consentement, art. 6, §1, a) RGPD ; révocable à tout moment dans les réglages.
• Métriques produit internes facultatives et stockage associé : consentement enregistré dans le panneau de confidentialité. Le refus ne réduit pas l’accès au service.
• Pixel Meta pour la mesure publicitaire et l’optimisation des campagnes : consentement explicite, art. 6, §1, a) RGPD. Le pixel n’est pas chargé avant ce choix, révocable à tout moment sur la page Cookies.
• Documents fiscaux, comptables et autres documents légaux : obligation légale, art. 6, §1, c) RGPD, lorsque l’obligation existe.

4. Enfants et responsables

Kinavela est un service géré par des adultes. Un parent ou autre responsable autorisé doit saisir et gérer les données d’enfant. Les profils d’enfants sont privés par défaut ; la visibilité pour les connexions ou Villages n’est disponible que via des réglages contrôlés par le responsable. Ne publiez pas l’adresse exacte, les coordonnées directes, la date de naissance exacte, l’école ou des médias sensibles d’un enfant. Un responsable peut demander rectification, export ou suppression via les contrôles du compte ou privacy@kinavela.com.

5. Destinataires et sous-traitants utilisés en production

Le traitement OpenAI, les autres analyses tierces, CAPTCHA et la livraison Web Push ne sont pas activés en production. Le pixel Meta est activé uniquement après consentement marketing. Stripe n’est actif que pour la facturation Roots Family décrite ci-dessus. Si un autre sous-traitant est activé, cette politique et le parcours de consentement seront mis à jour avant le traitement.

• Supabase pour l’authentification, la base PostgreSQL, le stockage privé et Realtime. Il reçoit les données de compte, famille, contenu, sécurité et fonctionnement nécessaires à la fonction.
• Zoho Europe SMTP à smtp.zoho.eu pour les e-mails de compte et de notification expressément acceptés. Il reçoit l’adresse du destinataire et le minimum nécessaire à la livraison.
• Nominatim / OpenStreetMap pour les recherches explicites de ville ou code postal côté serveur lors de l’inscription et de la découverte. La requête peut inclure pays, ville/code postal et langue de l’interface ; le GPS précis de l’appareil n’est pas utilisé.
• Stripe pour le Checkout hébergé de l’abonnement Roots Family, les sessions du portail client et les webhooks de paiement signés. Stripe reçoit les informations de paiement et identifiants de facturation nécessaires ; Kinavela ne reçoit pas les données complètes de carte.
• Sentry (région allemande) pour la surveillance technique des erreurs et performances. Les données sont limitées aux erreurs et traces techniques, modèles de route, environnement d’exécution, navigateur ou appareil et à un échantillon de performances. L’adresse IP technique peut être traitée pendant le transport réseau. Les données personnelles par défaut, Session Replay, formulaires, corps de requête, messages, récits, transcriptions et données d’enfant sont désactivés ou filtrés avant l’envoi.
• Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlande, pour le pixel Meta après consentement marketing. Kinavela envoie uniquement PageView sur les pages d’accueil publiques et CompleteRegistration après confirmation de l’inscription, sans nom, e-mail, téléphone ni valeur d’enfant, famille, communauté, localisation, culture, langue ou contenu provenant de Kinavela comme paramètre. Meta traite les données techniques nécessaires relatives à l’événement, au navigateur/appareil, au référent, aux identifiants de cookie et au réseau ; l’adresse IP peut être traitée pendant la transmission.

6. Transferts internationaux

Des transferts peuvent avoir lieu lorsqu’un sous-traitant ou son infrastructure se trouve hors de l’Espace économique européen. Nous utilisons les garanties exigées par le droit applicable, notamment une décision d’adéquation, des clauses contractuelles types ou un autre mécanisme autorisé. Cette politique ne prétend pas que tout traitement de production est limité à l’EEE.

7. Conservation et suppression

Les données ne sont pas conservées plus longtemps que nécessaire à leur finalité. La tâche automatisée de conservation s’exécute via le cron de confidentialité. La suppression d’un compte enlève d’abord les médias privés, supprime le contenu d’enfant et les récits lorsque cela est techniquement possible, anonymise les messages rédigés et ne laisse qu’un marqueur minimal de sécurité/intégrité lorsqu’une clé étrangère ou un besoin de sécurité empêche une suppression physique immédiate.

Lorsqu’une obligation comptable ou fiscale existe, l’enregistrement légalement requis est conservé pour cette obligation avec un accès restreint. Les identifiants de facturation Stripe et les métadonnées d’audit de webhook minimisées sont conservés pour l’autorisation d’abonnement, l’assistance, la comptabilité et les obligations légales.

8. Vos droits

Sous réserve des conditions légales, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité ou vous opposer au traitement. Vous pouvez retirer votre consentement à tout moment ; ce retrait n’affecte pas la licéité du traitement déjà effectué. Utilisez les réglages lorsqu’ils sont disponibles ou contactez privacy@kinavela.com. Vous avez également le droit d’introduire une réclamation auprès de l’autorité compétente.

9. Autorité de contrôle

L’autorité de contrôle compétente pour le siège du responsable est Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI Rheinland-Pfalz), Postfach 30 40, 55020 Mainz ; adresse visiteurs Hintere Bleiche 34, 55116 Mainz ; téléphone +49 (0) 6131 8920-0 ; e-mail poststelle@datenschutz.rlp.de ; datenschutz.rlp.de.