Politique de confidentialité — Kiddly

Responsable du traitement : Kiddly, nom commercial de Krapul SRL (société en constitution, représentée par Len Malrain), Rozenstraat 13, 1650 Beersel, Belgique — numéro d'entreprise : en cours d'attribution · privacy@thekiddly.app. Jusqu'à la constitution de la société, Len Malrain assume personnellement les obligations du responsable du traitement.

Cette politique explique, sans jargon, quelles données Kiddly traite, pourquoi, combien de temps, avec qui, et comment exercer vos droits. Elle correspond point par point à notre registre des traitements.

1. En bref

• Kiddly est une application familiale hébergée dans l'Union européenne (Paris). Aucune donnée n'est vendue ; aucune publicité ; aucun profilage.
• Certaines données sont nécessaires à la création et au fonctionnement de votre compte. D'autres données et fonctionnalités sont facultatives et ne sont traitées que lorsque vous choisissez de les utiliser ou, lorsque la loi l'exige, lorsque vous donnez votre consentement (santé, localisation, notifications, Prêts & dons) — consentement distinct des présentes conditions, versionné, horodaté, et retirable aussi simplement qu'il a été donné.
• Kiddly ne prend aucune décision produisant des effets juridiques ou vous affectant significativement sur la seule base d'un traitement automatisé.
• Vous pouvez exporter toutes vos données et supprimer votre compte depuis l'application (Profil → Privacy).

2. Quelles données, pour quoi, sur quelle base

Ce que vous faites	Données	Pourquoi	Base légale	Conservation
Créer un compte et une famille	e-mail, prénom/nom, langue, avatar, téléphone (si Prêts & dons), membres de la famille (nom, relation, sexe, date de naissance), grossesse	fournir le service	contrat (art. 6.1.b) ; les données des enfants sont saisies par un parent titulaire de l'autorité parentale (voir §2 bis)	jusqu'à suppression du compte ou de la donnée par vous ; en cas d'inactivité, selon la durée choisie (§3)
Suivi de santé	vaccins, documents associés, jalons, croissance, allergies, régimes, rendez-vous, grossesse	rappels et carnet de santé familial	consentement explicite (art. 9.2.a), distinct des autres consentements, retirable ; en cas de retrait, les données de santé déjà enregistrées sont supprimées	idem
Agenda, tâches, repas, courses, Trousseau	événements, tâches administratives, plans de repas, listes, objets possédés (photo, état, enfant)	organisation familiale	contrat	idem
Recevoir des notifications	jetons de notification de votre appareil, contenu et statut des notifications	rappels et événements du service	contrat ; autorisation de votre appareil pour les push	jetons : vie du compte ; notifications : 12 mois
Commander un album imprimé	commande, adresse de livraison, montant, identifiant de paiement, photos de l'album	fabrication, livraison, comptabilité	contrat ; obligation légale pour la comptabilité	7 ans (obligation comptable belge), y compris après suppression du compte, détachée de votre identité de compte
Réclamation sur une commande	messages échangés avec l'équipe, note interne	traiter le litige	contrat, puis intérêt légitime : suivi des demandes et constatation, exercice ou défense de droits	7 ans, alignée sur la commande
Prêts & dons	annonces (photos, description, code postal, commune), demandes, contrat de bonne foi, signatures	mise en relation gratuite entre familles	consentement spécifique au module (versionné, retirable)	voir §4
Prêts & dons — contact	e-mail et téléphone du parent signataire	convenir de la remise avec l'autre famille	consentement spécifique (v1.2)	visible pendant l'échange seulement, jamais conservé dans le contrat
Signaler / bloquer	signalement (motif, détails), blocage, mesures de modération	sécurité des échanges et des enfants	intérêt légitime : sécurité du service, prévention des abus, traitement des signalements, défense des droits des parties	signalements : 24 mois après clôture ; blocages : jusqu'à déblocage
Partager votre agenda (ICS)	jeton de partage, événements exposés	abonnement depuis un calendrier tiers	contrat, activation volontaire	jusqu'à révocation
Activités et services proches	position au moment de la recherche (jamais stockée), lieux que vous enregistrez	proposer des activités et services locaux	consentement (autorisation de localisation), retirable	lieux : jusqu'à suppression par vous ou du compte
Preuve de vos consentements	horodatage, version, adresse IP, navigateur/appareil	démontrer votre consentement (art. 7.1)	obligation légale	jusqu'à suppression du compte (voir §6)

2 bis. Données concernant d'autres personnes (enfants, coparent, contacts)

Kiddly reçoit la plupart des données non pas de la personne concernée mais d'un parent qui les saisit : ses enfants, l'autre parent avant qu'il ne rejoigne la famille, des contacts (médecin, crèche, proches) dans l'agenda ou le carnet de santé.

• Enfants : les données sont saisies et contrôlées par un parent titulaire de l'autorité parentale, qui exerce les droits de l'enfant en son nom. Tout parent membre de la famille y a accès et peut les corriger ou les supprimer.
• Autre parent : lorsqu'il rejoint la famille par le code d'invitation, il est informé par la présente politique des données déjà saisies le concernant et acquiert les mêmes droits sur la famille. En cas de désaccord entre parents (séparation, retrait d'un membre), écrivez-nous à privacy@thekiddly.app.
• Contacts et tiers : leurs coordonnées servent uniquement à votre organisation familiale ; elles ne sont jamais utilisées par Kiddly pour les contacter ni partagées. Vous êtes responsable de disposer du droit de les enregistrer. Compte tenu du caractère strictement domestique de cet usage et du nombre de personnes concernées, Kiddly ne les informe pas individuellement (art. 14.5.b) ; elles peuvent exercer leurs droits auprès de privacy@thekiddly.app.

3. Comptes inactifs

Si vous n'utilisez plus Kiddly pendant la durée que vous avez choisie (180 ou 365 jours), nous vous prévenons 14 puis 7 jours avant, par notification, e-mail et dans l'application ; sans reconnexion, le compte et ses données sont supprimés, à l'exception des conservations légales (§2, commandes).

4. Prêts & dons : qui voit quoi

• Tous les utilisateurs connectés voient : vos annonces, leurs photos, votre code postal et votre commune. Jamais votre adresse, jamais de position GPS.
• La famille avec laquelle une demande est acceptée voit en plus : le nom de votre famille, votre prénom, votre e-mail et votre numéro de téléphone — et vous voyez les siens. Ces coordonnées restent visibles jusqu'à la fin de l'échange en cours, y compris si l'une des familles bloque l'autre entre-temps, puis ne sont plus accessibles.
• Personne d'autre ne voit votre profil ni les données de votre famille.
• Contrat de bonne foi : il conserve le nom de famille et le prénom des deux parties. Douze mois après la fin d'un échange, il est anonymisé. Si un échange s'est terminé sans confirmation ou a fait l'objet d'un signalement, ces identités sont conservées jusqu'à 24 mois après la fin de l'échange, même en cas de suppression de compte, pour permettre la défense de droits en cas de litige (art. 17.3.e), puis anonymisées automatiquement.
• Objets inactifs : une annonce sans activité pendant 60 jours est désactivée ; ses photos sont supprimées après 12 mois d'inactivité.
• Modération : en cas de signalement, l'équipe Kiddly peut consulter l'annonce ou l'échange concerné, adresser un rappel des règles, masquer une annonce ou suspendre l'accès d'une famille au module. Vous en êtes informé dans l'application, ainsi que de la levée de la mesure. L'auteur d'un signalement n'est jamais révélé. Contestation : support@thekiddly.app.

4 bis. Vos photos : où, qui, combien de temps

Photos	Qui les voit	Stockage	Durée
Avatars et souvenirs de famille	votre famille	privé, liens temporaires	jusqu'à suppression
Trousseau (objets)	votre famille	privé, liens temporaires (1 h)	jusqu'au retrait de l'objet ou du compte
Albums imprimés	votre famille ; le prestataire d'impression pour la fabrication	privé ; fichier d'impression transmis à Gelato	7 ans pour la commande ; fichier d'impression conservé chez Gelato le temps de la production puis supprimé selon ses conditions de traitement
Annonces Prêts & dons	tous les utilisateurs connectés	public pour les utilisateurs connectés	jusqu'au retrait de l'annonce ; supprimées après 12 mois d'inactivité
Les miniatures et sauvegardes techniques suivent la donnée d'origine. L'équipe n'accède aux photos que pour le support ou la modération d'une annonce signalée.

5. Avec qui vos données sont partagées (sous-traitants)

Nous ne partageons vos données qu'avec des prestataires qui les traitent pour notre compte, sous contrat :

Prestataire	Rôle	Données	Où
Supabase	hébergement, base de données, stockage, fonctions	toutes	Union européenne (Paris)
Google Firebase Cloud Messaging (Google LLC)	envoi des notifications push	jeton de votre appareil, titre et corps des notifications	États-Unis — voir §5 bis
Resend	envoi d'e-mails transactionnels	votre e-mail, contenu de l'e-mail	Union européenne (Irlande, eu-west-1)
Stripe	paiement des albums	données de paiement, montant	Union européenne (Stripe Payments Europe) ; transferts éventuels vers Stripe Inc. — voir §5 bis
Gelato (Gelato AS, Norvège)	impression et livraison des albums	adresse de livraison, fichiers d'impression	Norvège (EEE) ; impression par un imprimeur partenaire proche de l'adresse de livraison, dans l'Union européenne pour la Belgique
OpenStreetMap / Nominatim	géocodage des adresses que vous saisissez	adresse saisie	Union européenne

Aucune donnée n'est transmise à des annonceurs ou à des courtiers en données.

5 bis. Transferts hors de l'Espace économique européen

Vos données sont hébergées et traitées dans l'Union européenne. Certains prestataires peuvent toutefois traiter une partie limitée des données en dehors de l'EEE :

Prestataire	Pays	Données	Mécanisme juridique
Google LLC (Firebase Cloud Messaging)	États-Unis	jeton d'appareil, contenu des notifications	garanties du chapitre V du RGPD : décision d'adéquation (Data Privacy Framework UE-États-Unis) ou clauses contractuelles types de la Commission européenne, selon la certification en vigueur du prestataire
Stripe Inc.	États-Unis (le contrat est conclu avec Stripe Payments Europe Ltd, Irlande)	données de paiement	idem
Resend	Union européenne (Irlande) — pas de transfert	e-mail, contenu des e-mails	—
Gelato	Norvège (EEE, pays adéquat) ; imprimeurs dans l'Union européenne pour la Belgique	adresse, fichiers d'impression	clauses contractuelles types si un imprimeur hors EEE devait intervenir
Vous pouvez obtenir une copie des garanties applicables en écrivant à privacy@thekiddly.app.

6. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, et du droit de retirer un consentement à tout moment (sans effet sur les traitements passés).

• Dans l'application : Profil → Privacy → Exporter mes données (fichier complet, y compris vos consentements) et Supprimer mon compte.
• Retraits : les consentements santé, localisation, notifications et Prêts & dons se retirent depuis le Profil ou les réglages du module ; les notifications push se désactivent aussi dans les réglages de votre téléphone.
• Par e-mail : privacy@thekiddly.app. Nous répondons dans le mois.
• Suppression : votre compte et les données strictement personnelles sont effacés. Sont conservées, détachées de votre identité de compte : les commandes d'impression et leurs réclamations (7 ans, obligation comptable) et, le cas échéant, l'identité contractuelle d'un échange non confirmé ou signalé (jusqu'à 24 mois, voir §4). Si un prêt est physiquement en cours, la suppression est exécutée après le retour de l'objet ; l'application vous l'indique au moment de la demande.
• Réclamation : Autorité de protection des données, rue de la Presse 35, 1000 Bruxelles — autoriteprotectiondonnees.be.

7. Sécurité

Données chiffrées en transit (TLS) et au repos ; accès cloisonné par famille au niveau de la base de données ; photos du Trousseau en stockage privé accessibles par liens temporaires ; accès de l'équipe limité aux opérations de support et de modération, côté serveur uniquement. Signalez tout incident à privacy@thekiddly.app.

8. Enfants

Kiddly s'adresse aux adultes. Les données concernant vos enfants sont saisies et contrôlées par vous, sous votre responsabilité parentale. Ne publiez pas de photo d'enfant dans une annonce de Prêts & dons.

9. Modifications

Nous mettons cette politique à jour lorsque nos traitements changent ; la date et la version figurent en tête, et l'historique est disponible sur thekiddly.app. Une modification substantielle vous est notifiée dans l'application ; lorsqu'un consentement est concerné, il vous est redemandé.

10. Contact

Krapul SRL (en constitution) — Rozenstraat 13, 1650 Beersel — privacy@thekiddly.app (données) · support@thekiddly.app (aide, modération) · legal@thekiddly.app (conditions).