Politique de confidentialité
Dernière mise à jour : 21 octobre 2026
Version préparatoire, en cours de relecture juridique : ce texte n’est pas encore définitif. La mention « information en cours de publication » signale une information que l’éditeur doit encore fournir.
1. Responsable du traitement
Le responsable du traitement est l’éditeur de MyTaskRide : ISCE engineering (siège : information en cours de publication). Contact pour toute question sur vos données : privacy@mytaskride.com.
Délégué à la protection des données : information en cours de publication.
2. Données traitées, finalités et bases légales
| Catégorie | Données | Finalité | Base légale |
|---|---|---|---|
| Compte adulte | Nom, pseudo, adresse e-mail, mot de passe (haché), date de naissance, pays, langue, avatar | Créer et sécuriser le compte, adapter la langue | Exécution du contrat (art. 6.1.b) |
| Connexion par un compte tiers | E-mail, nom et photo de profil transmis par Google, Apple, Facebook ou Twitch | Se connecter sans mot de passe dédié | Exécution du contrat |
| Profil enfant | Prénom, pseudo, avatar, code PIN (haché), rôle dans le foyer | Permettre à l’enfant de jouer sous le contrôle de ses parents | Proposée : exécution du contrat conclu avec le parent, titulaire de l’autorité parentale (art. 6.1.b) ; en cours de validation juridique |
| Vie de l’arène | Missions (titre, description, échéance, commentaires, motif de refus, photo de preuve), emploi du temps et disponibilités, dépenses partagées, sondages, listes de courses, statut de présence | Faire fonctionner les espaces partagés | Exécution du contrat |
| Initiatives de l’enfant | Phrase de l’enfant (140 caractères), catégorie, photo facultative, détails de lecture (titre du livre, pages, matière), décision et mot du parent, partage à la famille, réactions par émoji | Saluer ce que l’enfant fait de lui-même | Exécution du contrat |
| Messages | Texte et médias des discussions, messages éphémères, nature du message (message ordinaire ou carte « Bravo » publiée par un parent) | Échanger au sein de l’arène | Exécution du contrat |
| Jeu | Watts, XP, niveau, séries, compagnon virtuel et répartition de son expérience par type de mission, objets, historique des transactions de watts | Mécaniques de jeu internes | Exécution du contrat |
| Sécurité | Adresse IP, navigateur, journal des connexions et des actions sensibles, appareils appairés (nom, plage d’adresse IP, dates) | Protéger les comptes, détecter les abus, permettre aux parents de révoquer un appareil | Intérêt légitime (sécurité) |
| E-mails | Adresse e-mail, prénom ; adresse d’une personne invitée, saisie par un membre | Vérification de l’adresse, réinitialisation du mot de passe, invitations, création d’un compte par un parent, ouverture d’un secret de salle | Exécution du contrat ; invitation : intérêt légitime du membre qui invite |
Aucune donnée n’est vendue, louée ni utilisée à des fins publicitaires. Aucune donnée n’est transmise à un service d’intelligence artificielle. L’offre payante de MyTaskRide n’est pas encore ouverte : aucun abonnement ne peut être souscrit et aucun paiement n’est encaissé à ce jour.
Aucune décision produisant un effet juridique ou affectant de manière significative une personne n’est prise automatiquement : les watts, niveaux, pénalités de jeu et l’évolution du compagnon restent des mécaniques internes au jeu.
3. Enfants et partage familial
Un profil enfant est créé par un parent ou un tuteur. Le formulaire d’ajout d’un membre lui demande de déclarer qu’il est titulaire de l’autorité parentale. À ce jour, cette déclaration n’est pas demandée sur tous les parcours de création (configuration rapide de l’accueil) et n’est pas enregistrée sur nos serveurs avec sa date : les deux sont prévus.
Âge minimum pour créer un compte seul : 15 ans. Un enfant plus jeune n’utilise MyTaskRide que par le profil créé par son parent, avec l’accord de celui-ci. À ce jour, l’âge déclaré n’est contrôlé que par le navigateur, lors d’une inscription par e-mail sans invitation ; il ne l’est ni lors d’une inscription par invitation, ni lors d’une connexion par un compte tiers. Le contrôle par nos serveurs est prévu.
Dans l’arène Famille, les informations d’un enfant sont visibles ainsi :
- ses parents (administrateurs de l’arène) voient ses missions, ses photos de preuve, ses initiatives, ses messages et les appareils qu’il utilise ;
- une initiative non partagée et sa photo ne sont visibles que de l’enfant et de ses parents, jamais de ses frères et sœurs ;
- un parent peut partager une initiative saluée sous la forme d’une carte « Bravo » dans la discussion de famille : tous les membres de l’arène la voient et peuvent y réagir par un émoji ; la photo n’y figure jamais, et tout parent peut retirer la carte à tout moment ;
- le bandeau « Bravos de la semaine » affiche un total familial, sans classement ni total par enfant ;
- un administrateur de l’arène peut télécharger une copie de la discussion de l’arène, messages de tous les membres compris.
Les données d’un enfant ne servent qu’au fonctionnement du jeu familial : pas de publicité, pas de revente, pas d’intelligence artificielle. Les droits de l’enfant s’exercent par son parent (section 7).
4. Destinataires, sous-traitants et transferts
Vos données sont accessibles aux membres de vos arènes selon les règles de la section 3, et à l’éditeur pour l’exploitation du Service. Elles sont confiées aux sous-traitants suivants :
- OVHcloud (OVH SAS, Roubaix) : hébergement des serveurs, de la base de données, des photos et médias, et des journaux techniques. Données : toutes les données du Service. Centre de données : information en cours de publication. Cadre : l’annexe de protection des données d’OVHcloud fait partie du contrat d’hébergement.
- Brevo (Brevo SAS, Paris) : envoi des e-mails : vérification d’adresse, mot de passe oublié, invitations, création d’un compte par un parent, ouverture d’un secret. Données : adresse e-mail du destinataire, nom affiché, contenu de l’e-mail. Hébergement : Union européenne (France et Belgique, selon la liste des sous-traitants de Brevo). Cadre : l’accord de traitement des données fait partie des conditions de Brevo ; transferts éventuels hors de l’Union encadrés par des clauses contractuelles types ou, vers les États-Unis, par le Data Privacy Framework.
- Supabase (Supabase Pte. Ltd, Singapour) : connexion par un compte tiers, et retrait de cette connexion quand le compte est supprimé. Données : e-mail, nom, photo de profil et identifiant transmis par le fournisseur de connexion ; adresse IP et navigateur au moment de la connexion. Région du projet : information en cours de publication. Cadre : l’accord de traitement des données fait partie des conditions de Supabase et vaut clauses contractuelles types de la Commission européenne.
Si vous choisissez de vous connecter avec un compte tiers, ce fournisseur nous transmet votre e-mail, votre nom et votre photo de profil. Il est responsable distinct des données de votre compte chez lui et vous en informe par sa propre politique de confidentialité ; nous ne lui transmettons aucune donnée sur votre utilisation de MyTaskRide. Fournisseurs proposés : Google, Google Ireland Limited (Irlande) ; Apple, Apple Distribution International Limited (Irlande) ; Meta (Facebook), Meta Platforms Ireland Limited (Irlande) ; Twitch, Twitch Interactive, Inc. (États-Unis).
Stripe est prévu pour le paiement de l’offre Premium. L’offre payante de MyTaskRide n’est pas encore ouverte : aucun abonnement ne peut être souscrit et aucun paiement n’est encaissé à ce jour. Aucune donnée de paiement n’est donc collectée. Une alerte de sécurité interne peut être envoyée à un service de messagerie (Discord) ; elle ne contient que le type d’événement, l’heure et une référence interne, aucune donnée personnelle.
Les images de l’application (motifs, animations, avatars illustrés, image de partage d’une mission) et ses polices sont servies par MyTaskRide lui-même : votre navigateur ne contacte aucun autre site pour les afficher. Par ailleurs :
- À la connexion par un compte tiers, notre serveur copie une seule fois votre photo de profil depuis les serveurs du fournisseur de connexion, qui reçoit alors l’adresse IP de notre serveur, pas la vôtre. La copie est gardée par notre hébergeur et supprimée quand vous changez d’avatar ou supprimez votre compte.
5. Durées de conservation
Le tableau indique ce que MyTaskRide applique aujourd’hui et ce qui est prévu. Les effacements marqués « Déjà appliqué » sont faits chaque nuit par le serveur. Les durées de la colonne « Prévu » ne sont pas encore appliquées automatiquement.
| Données | Aujourd’hui | Prévu |
|---|---|---|
| Compte et profil | Tant que le compte existe ; à la suppression, anonymisation (voir section 7) | Suppression complète du compte et de ses contenus |
| Photo d’une initiative | Plus affichée 30 jours après la fin de l’initiative ; le fichier reste stocké | Fichier effacé 30 jours après la fin de l’initiative |
| Initiatives | Sans limite de durée | 24 mois |
| Photos de preuve des missions | Fichier et lien effacés 30 jours après la validation ou le refus de la mission (compté depuis sa dernière modification) ; jamais tant qu’elle attend la validation | Déjà appliqué |
| Messages et missions | Sans limite de durée, jusqu’à la suppression de l’arène | Durée à fixer avec le juriste |
| Messages éphémères | Média effacé quand il est détruit après lecture ; sinon conservé | Effacement automatique après 24 heures |
| Journaux de connexion et d’appairage | Supprimés 90 jours après l’événement. Depuis octobre 2026 : adresse IP tronquée, navigateur non conservé, adresse e-mail et pseudo saisis remplacés par une référence codée. | Déjà appliqué |
| Compteurs anti-abus (essais de connexion, de code PIN, d’appairage) | Supprimés 7 jours après l’essai. Depuis octobre 2026 : ni l’identifiant saisi ni l’adresse IP exacte ne sont écrits, seulement une référence codée et l’adresse IP tronquée. | Déjà appliqué |
| Autres journaux de sécurité (centre de sécurité, code PIN, changement de profil, import partagé) | Sans limite de durée. Depuis octobre 2026 : adresse IP tronquée, navigateur non conservé. Les lignes plus anciennes gardent l’adresse IP complète et le navigateur jusqu’à leur nettoyage | 6 à 12 mois ; nettoyage des lignes anciennes prévu |
| Connexions d’appareils d’un enfant | Accès expiré à l’échéance choisie par le parent (1 heure à 30 jours ; 7 jours pour une connexion par code PIN) ou après 7 jours sans usage ; ligne supprimée la nuit suivante, ou à la déconnexion et à la révocation. | Déjà appliqué |
| Invitations (adresse e-mail d’un tiers) | Supprimées 30 jours après leur expiration, qu’elles aient été acceptées, refusées ou non (une invitation vaut 7 jours au plus) | Déjà appliqué |
| Comptes inactifs | Aucune suppression automatique | Durée à fixer avec le juriste |
6. Cookies et stockage local
MyTaskRide dépose deux cookies, tous deux exemptés de consentement : « session », indispensable pour vous garder connecté (7 jours, renouvelé à l’usage), et « taskride_lang », qui retient la langue choisie (12 mois). Aucun cookie publicitaire ni de mesure d’audience n’est déposé, quel que soit le choix fait dans le bandeau d’information.
Votre navigateur conserve aussi des préférences locales (langue, thème, ordre des arènes, brouillon d’initiative), votre choix dans le bandeau et, après une connexion par un compte tiers, la session de Supabase. Le déverrouillage par empreinte ou par visage utilise le mécanisme de votre appareil : aucune donnée biométrique ne nous est transmise.
7. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, du droit de retirer votre consentement et de définir des directives sur le sort de vos données après votre décès. Écrivez à privacy@mytaskride.com depuis l’adresse de votre compte ; nous répondons dans un délai d’un mois.
- Rectification : votre profil se modifie dans les réglages du compte.
- Effacement : vous supprimez votre compte depuis les réglages (onglet Profil, avec votre mot de passe ou la ressaisie de votre adresse) ; un parent supprime le profil de son enfant depuis la gestion des membres. Les contenus déjà partagés dans les arènes restent pour l’instant, sous un nom anonymisé : leur effacement s’obtient par e-mail. Ce que la suppression efface aujourd’hui, et les cas où elle est refusée, sont détaillés sur la page suppression des données.
- Accès et portabilité : sur demande par e-mail. Un administrateur d’arène peut aussi télécharger une copie de la discussion de l’arène.
- Les droits d’un enfant s’exercent par son parent ou son tuteur.
Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
8. Sécurité
Les échanges sont chiffrés (HTTPS). Les mots de passe et les codes PIN sont hachés. Chaque arène est cloisonnée : le serveur vérifie l’appartenance avant toute lecture ou écriture. Les photos de preuve et d’initiative ne sont servies qu’aux personnes autorisées.
9. Modifications
Cette politique peut évoluer avec le Service. La version en vigueur et sa date figurent en tête de page.