1. Responsable du traitement et contact
Le responsable du traitement des données dans cette application est :
RawGuide, Florian Seeger
Schellenbergstr. 9, 82110 Germering, Allemagne
E-mail : contact@rawguide.de
Téléphone : +49 177 4706601
2. Principe : tes données restent sur ton appareil
Tout ce que tu saisis – enfants, journal, photos, heures de sommeil et de repas, étapes, vaccinations, examens, données de croissance, idées, listes de courses et notes – est enregistré exclusivement sur ton appareil. Il n'y a ni compte utilisateur ni inscription. Rien de tout cela ne nous est transmis tant que tu n'actives pas l'une des fonctions décrites ci-dessous.
Comme les données n'existent que sur l'appareil, elles sont définitivement perdues en cas de perte ou de changement d'appareil si tu n'as pas créé de sauvegarde. Tu crées la sauvegarde toi-même et décides où elle est stockée.
La sauvegarde automatique du système d'exploitation est également désactivée pour Farolino : tes entrées ne sont copiées ni dans ton compte Google ni dans ton iCloud. Seul le fichier de sauvegarde que tu crées toi-même quitte l'appareil – et il va uniquement là où tu le déposes.
Les photos du journal restent elles aussi uniquement dans Farolino. Dans ton profil, tu peux activer leur enregistrement supplémentaire dans la galerie de ton téléphone ; ce réglage est désactivé par défaut. Attention : depuis la galerie, de nombreux téléphones envoient automatiquement les photos vers un service cloud, par exemple Google Photos ou Photos iCloud. Nous n'avons aucune influence là-dessus.
3. Connexion anonyme (nécessaire aux fonctions cloud)
Dès que tu utilises l'Équipe parentale ou la Communauté, l'application te connecte de manière anonyme via Firebase Authentication. Un identifiant aléatoire est créé, sans lien avec ton nom, ton adresse e-mail ou ton numéro de téléphone. Sans lui, il n'est techniquement pas possible de savoir quel enregistrement chiffré appartient à quelle paire d'appareils.
Finalité : protection de l'accès à l'enregistrement cloud. Base légale : art. 6, par. 1, point b) RGPD (exécution du contrat).
4. Équipe parentale – chiffrement de bout en bout
L'Équipe parentale relie deux appareils afin que les deux parents voient les mêmes informations. La fonction est facultative et désactivée par défaut.
Appairage : un appareil génère un code, l'autre le saisit. Les appareils échangent ainsi des clés publiques (X25519), conservées brièvement dans un enregistrement de rendez-vous puis expirées. Chaque appareil calcule lui-même la clé commune ; celle-ci ne quitte jamais les appareils. Pour vérification, les deux appareils affichent le même code de sécurité à comparer.
Ce qui est transmis : les données à synchroniser (enfants, journal, sommeil et repas, étapes, état des vaccinations et des examens, idées, rappels, listes de courses et un nom d'affichage que tu définis) sont chiffrées sur ton appareil avec AES-256-GCM et déposées sous forme de paquet illisible dans Cloud Firestore. Nous ne pouvons pas lire ce contenu : nous n'avons pas la clé.
Ce qui figure en clair à côté : l'identifiant anonyme du dernier appareil ayant écrit, des sommes de contrôle pour détecter les modifications, un marqueur du type d'événement pour les notifications (par exemple « idée faite ») et un horodatage. Aucun contenu ne peut en être déduit.
Données de santé : les vaccinations, examens et données de croissance de ton enfant sont des données de santé au sens de l'art. 9 RGPD. Elles ne sont transmises que si tu configures activement l'Équipe parentale – et même alors uniquement chiffrées de bout en bout.
Base légale : art. 6, par. 1, point b) RGPD ; pour les données de santé également art. 9, par. 2, point a) RGPD (consentement explicite par la configuration de la fonction). Si tu romps la liaison, la clé commune est supprimée sur ton appareil : tu ne peux plus lire toi-même l'enregistrement chiffré. Ton partenaire conserve sa clé jusqu'à ce qu'il rompe la liaison à son tour. L'enregistrement chiffré est automatiquement supprimé au plus tard 365 jours après la dernière modification dans l'Équipe parentale.
5. Photos dans l'Équipe parentale (uniquement avec consentement explicite)
Les photos du journal ne sont pas transmises par défaut et restent sur ton appareil, même lorsque l'Équipe parentale est active. Ce n'est que si tu actives le réglage « Partager les photos avec le partenaire » (par défaut : désactivé) que les nouvelles photos sont chiffrées sur ton appareil avant l'envoi (AES-256-GCM) et déposées sous forme de fichier chiffré dans Firebase Storage, afin que l'appareil appairé puisse les afficher.
Si tu supprimes une entrée ou désactives le partage, aucune nouvelle photo n'est envoyée ; la photo chiffrée d'une entrée supprimée est retirée.
Comme il peut s'agir d'images d'un enfant, vérifie avant d'activer si tu es d'accord pour les partager avec le second parent appairé. Base légale : art. 6, par. 1, point a) RGPD (consentement, révocable à tout moment en désactivant la fonction).
6. Notifications
Les rappels (rendez-vous, idées du jour, jour de courses, examens à venir, sauvegarde, souvenirs) sont programmés sur l'appareil. Aucune donnée ne quitte ton appareil à cette fin.
Les notifications de l'Équipe parentale passent par un serveur. À cette fin sont enregistrés, à côté de l'enregistrement chiffré : un jeton push de ton appareil, la langue choisie, ta sélection des types de notification et – si tu définis des heures calmes – leur plage horaire ainsi que le décalage de l'heure de ton appareil par rapport au temps universel. L'envoi passe par le service Expo Push puis par Apple (APNs) ou Google (FCM). Aucun contenu n'est transmis : la notification indique uniquement le type d'événement, jamais le contenu.
Sont signalés uniquement : idée faite, liste de courses terminée, rendez-vous de vaccination ou médical pris, rendez-vous marqué comme effectué et rupture de l'Équipe parentale.
Base légale : art. 6, par. 1, point a) RGPD (consentement via la demande du système, désactivable à tout moment dans les réglages).
7. Communauté (facultative)
Si tu utilises la Communauté, tu choisis toi-même ton pseudo. Ton pseudo, ton code ami et tes chiffres de réussite (points, jours de série, ton record de jours de série, nombre d'idées faites, ton taux du jour et ton taux moyen des 30 derniers jours) se trouvent chiffrés dans le cloud et ne sont lisibles que par les parents avec lesquels tu t'es connecté toi-même. Le fait qu'une connexion existe et les demandes entrantes sont enregistrés dans le cloud afin que les deux parties puissent les voir. Pour ton code ami, nous conservons une valeur calculée à partir de lui, afin qu'une demande puisse te parvenir. Une personne qui n'a pas reçu ton code ami de ta part ne trouve pas la valeur. À côté de la valeur figure toutefois ton identifiant anonyme : nous-mêmes pourrions ainsi rattacher la valeur à ton profil de communauté. Nous n'exigeons pour cela ni nom réel, ni adresse e-mail, ni numéro de téléphone. Ces données sont pseudonymes, et non anonymes : elles peuvent être rattachées à une personne via le pseudo et ton identifiant, et relèvent donc du RGPD.
Code de récupération : en cas de changement d'appareil, tu peux facultativement faire afficher un code composé de mots. Le serveur n'en conserve qu'une valeur de contrôle irréversible, accompagnée de son horodatage de création et du rattachement à ton identifiant anonyme, jamais le code lui-même. Nous ne pouvons ni lire le code ni le retrouver à partir de la valeur conservée ; toi seul le connais. Pour que personne ne puisse le deviner, nous comptons les tentatives infructueuses par identifiant et n'en autorisons pas plus de cinq par heure. Si tu saisis un code qui n'existe pas, nous conservons peu de temps une valeur calculée à partir de ton adresse réseau. C'est le seul moyen d'empêcher quelqu'un d'essayer un code après l'autre.
Paquet de récupération : si tu définis un code, nous conservons en outre un paquet chiffré pour toi. Il contient ton pseudo, ton code ami, la clé de Communauté de ton appareil et la liste de tes connexions. Le chiffrement a lieu sur ton appareil, et la clé correspondante est calculée uniquement à partir de ton code composé de mots. Nous ne pouvons pas ouvrir ce paquet, car nous n'avons pas le code. Il a toujours la même taille, afin que sa longueur ne révèle rien du nombre de tes connexions. Il sert uniquement à te restituer ces données sur un nouvel appareil : sans lui, elles seraient perdues lors du changement d'appareil. Quiconque connaît ton code peut ouvrir le paquet ; conserve ton code comme tu conserverais un double de clé. Si tu ne définis pas de code, ni la valeur de contrôle ni le paquet ne sont créés.
Base légale : art. 6, par. 1, point a) RGPD (consentement par l'utilisation active). La révocation s'effectue en quittant la Communauté ; tes données y afférentes sont alors supprimées.
8. Abonnement Premium
L'achat et le renouvellement passent par la boutique d'applications concernée (Apple App Store ou Google Play). Nous ne recevons aucune donnée de paiement. Pour vérifier la validité de l'abonnement, nous utilisons RevenueCat ; un identifiant anonyme et le statut d'achat y sont transmis.
Dans l'Équipe parentale, un abonnement vaut pour les deux parents. À cette fin, ton propre statut Premium (actif ou non, date d'expiration, renouvellement ou non) circule à l'intérieur du paquet chiffré, afin que l'appareil appairé sache s'il est encore débloqué. Base légale : art. 6, par. 1, point b) RGPD.
9. Rapports de plantage
En cas de plantage de l'application, un rapport technique est envoyé à Sentry (fournisseur : Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, États-Unis). Comme lieu de conservation, nous avons choisi la région européenne, dont le centre de données se trouve à Francfort-sur-le-Main.
Sont enregistrés un identifiant d'installation aléatoire, l'heure et la version de l'application, le modèle d'appareil, le système d'exploitation et le journal technique de l'erreur. Nous avons expressément désactivé : les captures d'écran, les enregistrements d'écran, la lecture des textes affichés, les adresses réseau, les sorties de console et la collecte de ton adresse IP. Le contenu de ton journal ou les données de tes enfants n'y figurent pas. Les rapports sont supprimés automatiquement par Sentry, au plus tard 30 jours après leur transmission.
Point décisif : le service n'est démarré qu'après ton accord. Sans ton consentement, rien n'est enregistré ni lu sur ton appareil pour les rapports de plantage, rien n'est transmis, et l'application fonctionne intégralement. Tu peux modifier ton choix à tout moment dans ton profil, sous « Envoyer les rapports de plantage » ; dès la révocation, le service est arrêté et n'envoie plus rien.
Indépendamment de cela, Google et Apple nous fournissent des données de plantage issues de leurs propres systèmes (Google Play Console et App Store Connect). Nous les recevons uniquement sous forme agrégée, sans lien avec une personne. Leur collecte se règle dans les paramètres de ton système d'exploitation, et non dans notre application.
Base légale : § 25, al. 1, TDDDG (loi allemande sur la protection des données dans les télécommunications et les services numériques) pour l'enregistrement et la lecture de l'identifiant sur ton appareil (consentement), ainsi que l'art. 6, par. 1, point a) RGPD pour le traitement ultérieur des données de plantage (consentement). Le transfert vers le fournisseur américain repose sur les clauses contractuelles types de l'UE ; Sentry déclare en outre respecter l'EU-U.S. Data Privacy Framework.
10. Autorisations sur ton appareil
L'application ne demande une autorisation que lorsque tu utilises la fonction correspondante. Les données restent sur l'appareil.
Tu peux retirer à tout moment toute autorisation accordée — non pas dans l'application, mais dans les réglages de ton téléphone : sous Android dans « Paramètres › Applications › Farolino › Autorisations », sous iOS dans « Réglages › Apps › Farolino » (sur les versions antérieures d'iOS : « Réglages › Farolino »). La fonction correspondante n'est alors plus disponible ; tout le reste continue de fonctionner comme avant.
11. Destinataires et lieux de stockage
Nous faisons appel aux sous-traitants suivants :
• Google Ireland Limited (Firebase) : Cloud Firestore, Firebase Storage, Firebase Authentication et Cloud Functions. L'enregistrement chiffré de l'Équipe parentale se trouve dans l'emplacement Firestore eur3 (Europe) ; les Cloud Functions s'exécutent dans europe-west1 (Belgique). Les Data Processing and Security Terms de Google s'appliquent.
• Functional Software, Inc. d/b/a Sentry (États-Unis) : rapports de plantage, conservés dans la région européenne (Francfort-sur-le-Main). Uniquement en cas de consentement ; la base est l'accord de sous-traitance de Sentry, complété par les clauses contractuelles types de l'UE.
• Expo (650 Industries, États-Unis) : transmission des notifications du partenaire. Seul le jeton push est transmis ; le contenu de la notification n'est pas conservé, il est uniquement traité le temps de la distribution.
• Apple (APNs) et Google (FCM) : distribution des notifications sur l'appareil.
• RevenueCat Inc. (États-Unis) : vérification du statut d'abonnement. RevenueCat fonde le transfert sur les clauses contractuelles types de l'UE ; l'accord de sous-traitance fait partie des conditions d'utilisation.
12. Durées de conservation
• Sur l'appareil : jusqu'à ce que tu supprimes les données ou l'application.
• Équipe parentale : jusqu'à la rupture de la liaison ; ensuite tu ne peux plus lire l'enregistrement chiffré et ton partenaire conserve sa clé jusqu'à ce qu'il rompe la liaison à son tour. L'enregistrement chiffré lui-même est automatiquement supprimé au plus tard 365 jours après la dernière modification dans l'Équipe parentale.
• Appairage de l'Équipe parentale : pendant la connexion, les clés publiques des deux appareils sont conservées brièvement dans un enregistrement de rendez-vous. Il est supprimé dès que la liaison est établie ou que tu fermes la fenêtre, et au plus tard 10 minutes après la création du code.
• Photos partagées : jusqu'à la suppression de l'entrée ou la désactivation du partage ; elles sont automatiquement supprimées au plus tard en même temps que l'enregistrement chiffré de l'Équipe parentale.
• Jeton push : jusqu'à la désactivation des notifications du partenaire ou la rupture de la liaison.
• Communauté : jusqu'à ton départ.
• Code de récupération : jusqu'à ce que tu définisses un nouveau code ou que tu quittes la Communauté.
• Paquet de récupération : jusqu'à ce que tu définisses un nouveau code ou que tu quittes la Communauté.
• Rapports de plantage : 30 jours.
• Valeur calculée à partir de ton adresse réseau en cas de tentatives infructueuses avec le code de récupération : au plus tard 2 heures après la dernière tentative infructueuse.
13. Tes droits
Tu disposes des droits d'accès (art. 15 RGPD), de rectification (art. 16), d'effacement (art. 17), de limitation du traitement (art. 18), de portabilité (art. 20) et d'opposition (art. 21). Tu peux retirer à tout moment un consentement donné, avec effet pour l'avenir, en désactivant la fonction correspondante dans l'application. Tu disposes en outre du droit d'introduire une réclamation auprès d'une autorité de contrôle.
Pas de profilage, pas de décision automatisée : nous n'analysons pas ton comportement dans l'application afin d'établir des profils sur toi ou sur ton enfant. Tu ne fais l'objet d'aucune décision automatisée au sens de l'article 22 du RGPD produisant des effets juridiques te concernant ou t'affectant de manière significative de façon similaire.
14. Enfants
L'application s'adresse aux parents, non aux enfants. Les informations saisies concernent toutefois des enfants – en partie des données de santé. Les parents ou représentants légaux sont responsables de ces saisies. Avant d'activer l'Équipe parentale ou le partage de photos, il convient de s'assurer que les deux sont d'accord.
15. Mises à jour de l'application
Afin que nous puissions corriger rapidement les erreurs, l'application peut télécharger des mises à jour du programme. La requête n'a lieu qu'une fois que tu as terminé l'introduction ; avant cela, l'application n'établit aucun contact à cette fin.
Lors de la requête, les éléments suivants sont transmis à notre prestataire 650 Industries, Inc. (Expo), États-Unis : la version de ton application, ton système d'exploitation et un identifiant généré aléatoirement, enregistré sur ton appareil, qui rend les requêtes reconnaissables. Il n'existe aucun lien avec ton nom. Les données du journal, de l'enfant et les données de santé ne sont pas transmises.
Base légale : art. 6, par. 1, point f) RGPD (notre intérêt légitime à disposer d'une application fonctionnelle et sans erreur) ; le transfert vers les États-Unis repose sur les clauses contractuelles types.
Version du : 27.07.2026