Politique de confidentialité

La présente politique explique quelles données traitent l'application Lunalulu et son site, pourquoi, sur quelle base, avec qui et pendant combien de temps, conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. L'application raconte des histoires avec la voix d'un parent : votre voix est une donnée personnelle, et nous décrivons ci-dessous, sans rien omettre, ce qu'il en advient.

1. Responsable du traitement

BAUGEY MATHEO, entrepreneur individuel (EI), nom commercial DEVOLIM
248 rue de Bègles, 33800 Bordeaux, France
SIREN 948 000 757
Courriel : [email protected]

L'éditeur n'a pas désigné de délégué à la protection des données : toute question ou demande relative à vos données est traitée directement par lui, à l'adresse ci-dessus.

2. Nos principes

• Aucun compte à créer : ni nom, ni adresse e-mail, ni numéro de téléphone, ni mot de passe ne vous sont demandés.
• Votre voix ne quitte votre téléphone qu'après votre accord explicite, donné sur un écran qui explique ce qui se passe.
• Votre enregistrement n'est conservé ni sur votre téléphone, ni sur nos serveurs, une fois envoyé (Cartesia, qui crée votre voix de synthèse, le garde jusqu'à sa suppression : section 3.2). S'il n'a pas pu partir, il attend son envoi dans l'espace privé de l'application, hors sauvegardes, 30 jours au plus.
• Vous pouvez supprimer votre voix, et tout ce qui a été préparé avec elle, à tout moment depuis l'application.
• Aucune publicité, aucun profilage publicitaire, aucune géolocalisation.
• Aucune donnée vendue, louée, échangée ou cédée, à qui que ce soit.
• Les statistiques d'usage ne contiennent jamais votre voix, le texte de vos histoires ni le titre des histoires écoutées. Seule exception, si vous la remplissez : la réponse libre « Autrement » de l'accueil (section 5.6).

3. Votre voix

3.1 Ce qui est enregistré et envoyé

Pour que les histoires soient racontées avec votre voix, vous enregistrez dans l'application un court échantillon de votre voix, de quelques dizaines de secondes, en lisant à voix haute un texte proposé. Vous pouvez le réécouter et le recommencer avant de l'envoyer. Rien n'est envoyé tant que vous n'avez pas donné votre accord.

Une fois votre accord donné et l'envoi confirmé, l'échantillon est transmis, de façon chiffrée, à notre fonction serveur (Google Cloud Functions, région europe-west1, en Belgique), avec la version de l'accord que vous avez accepté et la langue de l'application (l'une des langues proposées par l'application). Notre serveur vérifie le format et la durée de l'échantillon, puis l'envoie à Cartesia, notre prestataire de synthèse vocale, qui en tire une voix de synthèse (clonage de voix) dans cette langue : c'est dans cette langue que votre voix raconte les histoires. Notre serveur ne garde aucune copie de l'échantillon, et l'application l'efface du téléphone dès que l'envoi a réussi.

Si l'envoi n'aboutit pas sur le moment (pas de réseau, serveur indisponible, limite d'usage atteinte), vous continuez à utiliser l'application normalement : l'échantillon reste sur votre téléphone, dans l'espace privé de l'application, exclu des sauvegardes iCloud et Google, avec la version de l'accord que vous avez donné, et l'application le renvoie d'elle-même un peu plus tard (à l'ouverture, au retour du réseau, à intervalles croissants). Il est effacé dès que l'envoi réussit, si vous touchez « Ne pas l'envoyer » à l'accueil, « Supprimer ma voix » ou « Tout effacer », et au plus tard 30 jours après l'enregistrement. Il n'est jamais envoyé sans l'accord que vous avez donné : si vous le retirez, il est effacé sans être envoyé.

3.2 Ce qui est conservé

• Chez Cartesia : l'échantillon de votre voix reçu pour créer la voix de synthèse, et la voix de synthèse elle-même. Tous deux sont conservés jusqu'à ce que vous supprimiez votre voix (« Supprimer ma voix », un nouvel enregistrement qui la remplace, « Tout effacer ») ou, à défaut, jusqu'à l'effacement automatique après 12 mois sans ouverture de l'application. Cartesia les traite pour notre compte, en qualité de sous-traitant, dans le cadre de son avenant relatif à la protection des données (Data Processing Addendum), qui encadre le transfert vers les États-Unis par les clauses contractuelles types de la Commission européenne (section 8).
• Sur nos serveurs (Google Cloud Firestore, en Europe) : pour chaque voix, son identifiant technique chez Cartesia, dans un espace fermé à toute lecture depuis l'application, sa date de création et la version de l'accord donné, qui prouvent le consentement, sa langue et, si vous en donnez un, le nom qui la désigne dans l'application (« Qui parle ? »).

3.3 À quoi sert votre voix

Votre voix de synthèse sert à lire les passages du narrateur des histoires que vous choisissez d'écouter avec elle, avec l'offre Lunalulu+. Ces passages sont lus par Cartesia avec votre voix, puis assemblés par notre serveur avec les répliques des personnages, enregistrées une fois pour toutes avec d'autres voix de synthèse. Votre voix n'est utilisée que dans votre propre application, n'est jamais diffusée à d'autres personnes, et ne sert ni à vous identifier, ni à vous authentifier. Chaque fichier audio fabriqué avec une voix de synthèse porte une mention lisible par machine indiquant qu'il a été généré par intelligence artificielle (article 50 du règlement (UE) 2024/1689 sur l'intelligence artificielle) ; cette mention ne contient aucune donnée sur vous.

3.3 bis Entraînement des modèles de Cartesia

Nous n'utilisons jamais votre voix pour entraîner un modèle. Les conditions d'utilisation de Cartesia (article 5.3) prévoient toutefois que, sauf accord contraire, les contenus qu'elle reçoit de ses clients (ici l'échantillon de votre voix et les textes à lire) et ceux qu'elle produit peuvent servir à entraîner et à améliorer ses modèles ; elles permettent à ses clients de demander que leurs contenus n'y servent pas, et cette demande ne vaut que pour l'avenir. Nous vous le disons pour que votre accord soit pleinement éclairé. Lorsque cette demande sera prise en compte pour notre compte, nous l'indiquerons ici, avec sa date. Vous pouvez à tout moment supprimer votre voix, ce qui la retire de notre compte Cartesia.

3.4 Une donnée personnelle, traitée sur la base de votre consentement

Votre voix est une donnée personnelle. Elle n'est pas utilisée pour vous reconnaître ou vous identifier : il ne s'agit donc pas d'un traitement de données biométriques aux fins d'identifier une personne de manière unique au sens de l'article 9 du RGPD. Si elle devait néanmoins être regardée comme une donnée sensible, le consentement explicite que vous donnez vaudrait aussi au titre de l'article 9.2.a du RGPD. Nous lui appliquons néanmoins les précautions les plus strictes : son envoi repose sur votre consentement explicite (article 6.1.a du RGPD), recueilli avant tout enregistrement sur un écran dédié, par une case à cocher et un bouton « J'accepte ». En donnant votre accord, vous confirmez enregistrer votre propre voix et être majeur. Avec l'offre Lunalulu+, d'autres adultes de la famille peuvent ajouter leur voix : chacun lit le texte lui-même et donne son propre accord sur le même écran.

3.5 Retirer votre accord

Vous pouvez retirer votre accord à tout moment, aussi simplement que vous l'avez donné : Réglages, « Vos voix », « Supprimer ma voix ». Votre voix est alors supprimée chez Cartesia, son identifiant et la preuve de votre accord sont retirés de nos serveurs, et les histoires préparées avec elle sont effacées de nos serveurs et de votre téléphone. Si Cartesia ne répond pas sur le moment, la demande de suppression est conservée sur nos serveurs (sous la forme du seul identifiant technique de la voix) et relancée automatiquement toutes les 6 heures jusqu'à ce qu'elle aboutisse. Réenregistrer une voix supprime de la même façon l'ancienne ; supprimer une voix ne touche pas aux autres. Le retrait de votre accord ne remet pas en cause les traitements déjà effectués ; le conteur de l'application reste disponible.

Image d'une voix. Vous pouvez donner une image à chaque voix de la famille : une photo prise sur le moment avec l'appareil photo du téléphone ou choisie avec son sélecteur de photos, recadrée en cercle, ou l'un des avatars dessinés de l'application. Cette image reste sur votre téléphone, dans l'espace privé de l'application, exclu des sauvegardes : elle n'est jamais envoyée. Elle est effacée avec la voix, lorsque vous effacez toutes vos données ou à la désinstallation.

3 bis. Créer une histoire

Avec l'offre Lunalulu+, « Créer une histoire » vous permet de faire écrire une histoire rien que pour votre enfant, puis de la faire raconter avec votre voix. Voici, sans rien omettre, ce que deviennent les informations que vous donnez.

Ce que vous donnez

Le prénom du héros (en général celui de votre enfant), et si vous le souhaitez le prénom d'un ami, d'un doudou ou d'un animal, un thème, une courte phrase (par exemple « il a peur du noir »), la durée et l'âge de l'enfant. Ensuite, vous pouvez la modifier vous-même, à la main, autant que vous le souhaitez, et demander à Hibou jusqu'à 3 modifications par une courte consigne (« plus courte », « ajoute son chat »). Ne donnez ni nom de famille, ni adresse, ni téléphone, ni information de santé : l'application refuse d'elle-même les adresses, numéros de téléphone, courriels et liens.

Qui écrit l'histoire

L'histoire est écrite par une intelligence artificielle : un modèle de langage d'OpenAI (GPT), appelé par notre serveur seul, par l'API d'OpenAI. Avant le premier envoi, l'application vous demande votre accord et vous dit ce qui part. Notre serveur envoie à OpenAI votre scénario (ou, pour une modification par Hibou, le texte de l'histoire et votre consigne ; pour une modification à la main, les seuls passages que vous avez changés, pour leur vérification par le service de modération d'OpenAI), et reçoit l'histoire. Il y joint un identifiant de sécurité : une empreinte de votre identifiant anonyme, impossible à inverser, qui aide OpenAI à repérer un usage abusif sans savoir qui vous êtes. Il n'envoie ni votre voix, ni votre identifiant anonyme lui-même, ni la photo de couverture.

OpenAI traite ces données pour notre compte, en qualité de sous-traitant, aux États-Unis (section 8). Selon sa documentation, les données envoyées à son API ne servent jamais à entraîner ses modèles. Nous lui demandons de ne rien garder de ces échanges (option « store » désactivée, mise en cache désactivée) ; OpenAI conserve seulement des journaux de surveillance des abus, 30 jours au plus, sauf obligation légale. Le traitement en Europe proposé par OpenAI (résidence des données) est réservé, à ce jour, aux clients qu'il agrée après étude : il n'est pas disponible pour cette application.

Ce que vous écrivez et l'histoire rendue sont relus automatiquement, par le service de modération d'OpenAI et par des règles données au modèle : violence, sexualité, haine, dangers et données personnelles d'autres personnes sont refusés, avec une explication, et vous pouvez corriger. Les histoires sont écrites pour des enfants de 3 à 10 ans, et le modèle en est informé. Si la vérification ne peut pas avoir lieu (service indisponible), l'histoire n'est pas livrée. Une histoire écrite par l'intelligence artificielle peut contenir des maladresses : relisez-la avant de la faire raconter (vous pouvez la modifier), et signalez-nous depuis l'application tout passage qui vous paraît inapproprié (section 5.5).

Qui la raconte

Une fois l'histoire relue, vous choisissez qui la raconte : votre voix (ou celle d'un autre adulte de la famille), ou un conteur de l'application. Dans les deux cas, notre serveur envoie le texte de l'histoire, qui contient le prénom du héros, à Cartesia, notre prestataire de synthèse vocale, aux États-Unis (sections 7 et 8), qui le lit et nous renvoie l'audio ; lors d'une nouvelle fabrication, seuls les passages nouveaux ou modifiés sont envoyés. Avec un conteur, aucune voix de la famille n'est utilisée. Vous pouvez aussi garder l'histoire sans voix : rien n'est alors envoyé à Cartesia.

Ce que nos serveurs gardent, et ce qu'ils ne gardent pas

Nos serveurs ne gardent ni le prénom de votre enfant, ni votre idée, ni le texte, ni le titre de l'histoire. Ils gardent seulement, rattachés à votre identifiant anonyme : des empreintes techniques des passages (des suites de caractères qui ne permettent pas de retrouver le texte), qui servent à savoir qu'un passage a déjà été relu et à ne refaire que les passages modifiés ; la langue, la durée, l'âge, le nombre de modifications faites ; et, pendant 7 jours au plus après sa fabrication, l'histoire lue avec votre voix (fichiers audio, Google Cloud Storage, en Belgique), le temps que votre téléphone la télécharge. Le prénom de votre enfant est prononcé dans ce fichier audio. L'audio est effacé de nos serveurs 7 jours après sa fabrication, et plus tôt si vous supprimez l'histoire, supprimez ou changez votre voix, ou touchez « Tout effacer ». Les empreintes et les compteurs sont effacés quand vous supprimez l'histoire, par « Tout effacer », et automatiquement 180 jours après la dernière modification de l'histoire.

Ce qui reste sur votre téléphone

Le scénario, le texte, la couverture choisie, la photo de couverture si vous en choisissez une, et l'histoire lue avec votre voix sont gardés sur votre téléphone, dans l'espace privé de l'application, exclu des sauvegardes. La photo n'est jamais envoyée : vous la prenez avec l'appareil photo du téléphone, ou vous la choisissez avec son sélecteur de photos, qui ne donne à l'application que cette photo ; puis l'application la recadre et en garde une copie réduite.

Ce qui est mesuré

Les statistiques d'usage et les rapports de plantage ne contiennent jamais le prénom, l'idée, le texte ni le titre de l'histoire : seulement des événements sans contenu (histoire écrite, thème, durée, âge, refus et son motif).

4. Ce qui reste sur votre téléphone

Sont enregistrés uniquement sur votre téléphone :

• les histoires du conteur que vous avez téléchargées et les histoires préparées avec votre voix, pour que vous puissiez les écouter sans connexion ;
• vos favoris et le nombre d'écoutes de chaque histoire ;
• vos histoires créées (« Mes histoires ») : scénario, texte, couverture ou photo, et histoire lue avec votre voix, hors sauvegardes (section 3 bis) ; l'âge de l'enfant que vous avez indiqué, pour la prochaine histoire ;
• vos réglages (narrateur choisi, musique après l'histoire, écran allumé pendant l'histoire, sons des boutons, rappels choisis) et l'état de l'accueil de l'application ;
• les images de vos voix (photo ou avatar dessiné, section 3.5) ;
• le fait que vous ayez donné votre accord à l'envoi de votre voix, et que vous ayez déjà répondu à la demande de note de l'application.

Pendant l'enregistrement, l'échantillon de votre voix est gardé dans un dossier temporaire de l'application, le temps que vous le réécoutiez et l'envoyiez. Il est effacé dès que l'envoi a réussi. Si l'envoi n'a pas pu aboutir, il attend dans l'espace privé de l'application, exclu des sauvegardes, jusqu'à ce que l'application réussisse à l'envoyer, que vous l'abandonniez, ou au plus tard 30 jours (section 3).

Quand vous prenez ou choisissez une photo, l'appareil photo ou le sélecteur de photos remet à l'application un fichier d'origine, qu'elle recadre avant d'en garder une copie réduite. Ce fichier d'origine est effacé du dossier temporaire de l'application dès que la copie réduite est faite, ou dès que vous quittez l'écran de recadrage ; « Tout effacer » efface aussi ceux qui resteraient, par exemple après un arrêt brutal de l'application. Il n'est jamais envoyé.

Nous n'avons pas accès à ces informations. Elles sont supprimées par « Tout effacer » (Réglages) ou à la désinstallation de l'application. Les histoires préparées avec votre voix sont aussi effacées du téléphone quand vous supprimez ou changez votre voix.

5. Ce qui quitte votre téléphone

5.1 Dès le premier lancement

• Identifiant anonyme : l'application crée un identifiant technique aléatoire (connexion anonyme Firebase Authentication). Il ne contient ni votre nom, ni votre adresse e-mail, ni votre numéro ; nous l'appelons « anonyme » pour cette raison, mais au sens du RGPD il s'agit d'une donnée pseudonyme, puisqu'il est propre à votre installation. Il sert à rattacher votre voix, vos histoires préparées et votre abonnement, à appliquer les limites d'usage et à effacer vos données quand vous le demandez.
• Protection du service : chaque requête vers nos serveurs porte une attestation de Firebase App Check (App Attest d'Apple, Play Integrity de Google) prouvant qu'elle vient de l'application authentique. Cette attestation ne contient aucun contenu personnel, n'est valable qu'une fois et n'est pas conservée par nous.
• État de l'abonnement : l'application relie votre identifiant anonyme à RevenueCat, notre prestataire de gestion des abonnements, pour savoir si un abonnement est actif.
• Réglages à distance : au démarrage, puis une fois par heure au plus, l'application lit auprès de Firebase Remote Config (Google) des réglages communs à tous les utilisateurs : version minimale ou conseillée de l'application, message de mise à jour, mode maintenance, interrupteurs de fonctions et réglages de la demande de note. Pour cela, Google reçoit l'identifiant d'installation Firebase du téléphone et des informations techniques (application et version, système, langue, pays approximatif), qui servent à choisir les bons réglages. Nous n'y ajoutons aucune donnée personnelle : ni votre voix, ni un texte, ni ce que vous faites dans l'application. Les réglages lus restent sur le téléphone.

Les statistiques d'usage (5.6) et les rapports de plantage (5.7) sont également actifs dès le premier lancement.

5.2 Votre voix

Seulement avec votre accord, comme décrit à la section 3.

5.3 Les histoires préparées avec votre voix

Quand vous écoutez une histoire avec votre voix, notre serveur vérifie que vous avez une voix, un abonnement actif (offre Lunalulu+) et des lunes disponibles ; il envoie à Cartesia le texte des passages du narrateur (le texte de l'histoire, jamais un texte que vous auriez écrit) avec l'identifiant de votre voix, puis assemble le fichier audio. Ce fichier est stocké sur nos serveurs (Google Cloud Storage, région europe-west1, en Belgique), rattaché à votre identifiant anonyme, 7 jours au plus après sa fabrication. L'application le télécharge par un lien sécurisé valable 2 minutes, puis le garde sur votre téléphone : c'est cette copie qui sert ensuite. Si le fichier n'est plus sur nos serveurs, il est fabriqué à nouveau, dans les conditions de l'application. Le serveur enregistre aussi l'état de préparation de chaque histoire (prête ou non, date, durée) et une empreinte technique de la voix utilisée, qui évite de vous servir une histoire préparée avec une ancienne voix.

Les histoires racontées par le conteur sont des fichiers communs à tous, qui ne contiennent aucune donnée vous concernant (section 5.3 ter).

5.3 bis Les histoires que vous créez

Seulement si vous utilisez « Créer une histoire », comme décrit à la section 3 bis.

5.3 ter Le téléchargement des histoires du conteur

Les fichiers audio des histoires du conteur sont stockés chez Hetzner, dans son stockage de fichiers situé en Allemagne (Falkenstein). Ce sont des fichiers communs à tous : ils ne contiennent aucune donnée personnelle. Pour télécharger une histoire, l'application demande à notre serveur un lien sécurisé, valable 10 minutes, puis récupère le fichier directement chez Hetzner. Ce lien ne porte ni votre identifiant anonyme, ni aucune information sur vous ; comme pour toute connexion à un serveur, Hetzner voit l'adresse IP du téléphone. Notre serveur compte les téléchargements de chaque identifiant anonyme, par jour et par mois, pour éviter les abus (section 5.4).

5.4 Compteurs techniques et état de l'abonnement sur nos serveurs

Sur nos serveurs (Google Cloud Firestore, en Europe), sont liés à votre identifiant anonyme :

• des compteurs qui appliquent les limites d'usage (voix créées et supprimées, histoires préparées, histoires du conteur téléchargées, messages envoyés, demandes d'effacement), par jour et par mois, et la liste des histoires déjà préparées dans le mois ;
• vos lunes (offre Lunalulu+) : les lunes utilisées dans le cycle en cours, la liste des histoires déjà payées dans ce cycle et, pour le report d'un cycle à l'autre, le nombre de lunes du dernier cycle ;
• vos lunes achetées : un porte-monnaie désigné par un numéro tiré au hasard, qui contient seulement un nombre de lunes, relié à votre identifiant anonyme ; et, pour chaque achat de lunes, une empreinte non réversible de la transaction du store (jamais son numéro en clair), avec le produit, le nombre de lunes et les dates, pour qu'un achat ne soit jamais compté deux fois ;
• l'état de votre abonnement (actif ou non, essai en cours ou non, dates de la période), tel que transmis par RevenueCat, gardé en mémoire pour ne pas le redemander à chaque histoire, et une clé d'abonnement non réversible qui permet de compter les lunes d'un même abonnement après une réinstallation.

Ces éléments ne contiennent ni votre voix, ni aucun texte.

5.5 Suggestions, avis et signalements

Si vous nous écrivez depuis l'application (Réglages, « Suggestions et bugs », ou le formulaire qui suit une note donnée à l'application), nous recevons : le type de message (idée ou problème), le texte que vous écrivez, la note de 1 à 5 étoiles si vous venez d'en poser une, la version de l'application, le système du téléphone (iPhone ou Android), la langue et votre identifiant anonyme. Ces messages ne contiennent ni votre nom ni votre adresse e-mail : nous ne pouvons pas y répondre. N'y écrivez pas d'informations personnelles, ni sur vous, ni sur votre enfant.

Signaler une histoire. Si vous signalez une histoire ou un passage qui vous paraît inapproprié, nous recevons en plus le repère de l'histoire concernée (histoire du catalogue ou histoire créée) et le passage visé, 2 000 caractères au plus. Ce passage peut contenir le prénom que vous avez donné pour une histoire créée. Il sert uniquement à examiner le signalement, à corriger l'histoire ou nos vérifications, et est effacé 90 jours après l'envoi, ou plus tôt par « Tout effacer ».

5.6 Statistiques d'usage sans contenu

Pour savoir combien de personnes utilisent l'application et quelles fonctions servent, l'application envoie à Google Analytics pour Firebase, avec un identifiant d'instance pseudonyme : les écrans affichés ; les actions effectuées, sans leur contenu (par exemple : voix créée, mise en attente d'envoi ou supprimée, avec la raison technique d'un envoi qui n'a pas abouti, histoire lancée ou terminée et son mode, conteur ou voix du parent, favori ajouté, recherche lancée sans le mot cherché, musique après l'histoire réglée, histoires téléchargées, achat commencé et son résultat, note donnée à l'application) ; deux indicateurs, voix enregistrée ou non et abonnement actif ou non ; si vous répondez aux questions facultatives de l'accueil, qui vous êtes (maman, papa, grand-parent ou autre), votre tranche d'âge et la façon dont vous avez connu l'application, avec, si vous choisissez « Autrement » et l'écrivez, votre réponse libre, telle que vous l'avez tapée (100 caractères au plus) ; et les informations que Google Analytics collecte automatiquement (modèle et système du téléphone, langue, pays approximatif, sessions, première ouverture). Ne sont jamais envoyés : votre voix, le texte et le titre des histoires, ce que vous écrivez pour « Créer une histoire », vos messages, le mot que vous cherchez. La réponse libre « Autrement » est la seule saisie envoyée : n'y écrivez ni nom, ni coordonnées, ni information sur votre enfant. La publicité est toujours refusée dans les réglages de consentement de Google Analytics, et l'identifiant publicitaire n'est pas collecté. « Tout effacer » remet à zéro l'identifiant d'instance.

5.7 Rapports de plantage

Quand l'application plante ou rencontre une erreur, Firebase Crashlytics reçoit un rapport technique : trace de l'erreur, modèle de téléphone, version du système et de l'application, et un identifiant d'installation propre à Crashlytics. Ces rapports ne contiennent pas, par conception, votre voix ni ce que vous écrivez.

5.8 Achats

Les paiements sont encaissés par Apple (App Store) ou Google (Google Play) : nous ne voyons ni votre identité, ni vos coordonnées bancaires. RevenueCat reçoit votre identifiant anonyme et, lors d'un achat ou d'une restauration, les informations de transaction transmises par le store (produit, dates, pays et devise du store, reçu), afin d'ouvrir et de vérifier votre accès Lunalulu+. Notre serveur interroge RevenueCat avec votre identifiant anonyme avant de préparer une histoire avec une voix de la famille ou une histoire créée.

5.9 Messages au support

Si vous nous écrivez par e-mail, nous utilisons votre adresse et votre message uniquement pour vous répondre.

5.10 Journaux techniques

Les journaux de nos fonctions serveur indiquent le type d'événement et des nombres (durées, quantités, codes d'erreur), jamais votre voix, un texte, votre identifiant ni l'identifiant de votre voix. Comme pour tout service en ligne, les journaux de requêtes de Google Cloud enregistrent aussi des données techniques de connexion, dont l'adresse IP à l'origine de chaque appel. Pour limiter les abus, notre serveur compte aussi les appels par adresse IP : l'adresse n'est jamais enregistrée par nous, seulement une empreinte calculée avec une clé tirée au hasard chaque jour (pour une adresse IPv6, celle de son préfixe), effacée avec ce compteur au bout de 3 jours ; deux journées ne peuvent pas être reliées entre elles.

5.11 Notifications

L'application vous demande pendant l'accueil si vous acceptez ses notifications ; vous pouvez refuser, et les couper ou les réactiver à tout moment dans les réglages du téléphone. Elles ne contiennent jamais de publicité. Il en existe deux sortes :

• Les notifications programmées sur le téléphone (par exemple le rappel de l'heure de l'histoire, les histoires téléchargées ou les lunes rechargées) : l'application les prépare elle-même, sans rien envoyer.
• Les notifications envoyées par notre serveur, par exemple quand une histoire préparée avec votre voix est prête alors que l'application est fermée : elles passent par Firebase Cloud Messaging (Google) et, sur iPhone, par le service de notifications d'Apple. Pour cela, l'application enregistre sur nos serveurs un jeton de notification propre à ce téléphone, avec le système (iPhone ou Android) et la langue de l'application, rattachés à votre identifiant anonyme, dans un espace fermé à toute lecture depuis l'application. Le message est un texte de l'application, dans votre langue, et ne contient ni votre voix, ni le texte d'une histoire créée.

Le jeton est remplacé quand le téléphone en fournit un nouveau, et supprimé par « Tout effacer » ou après 12 mois sans ouverture de l'application. Si vous refusez les notifications, aucun jeton n'est utilisé pour vous en envoyer.

6. Finalités et bases légales

7. Destinataires et sous-traitants

Vos données ne sont accessibles qu'à l'éditeur et aux prestataires ci-dessous, qui agissent pour son compte en qualité de sous-traitants (article 28 du RGPD), à l'exception d'Apple et de Google pour la vente, qui agissent sous leur propre responsabilité.

Chacun de ces prestataires est tenu contractuellement d'assurer la confidentialité et la sécurité des données. Aucune donnée n'est vendue, louée ou cédée à des tiers. Nous ne communiquerions des données à une autorité que sur demande légalement fondée.

8. Transferts hors Union européenne

Nos fonctions serveur, notre base de données, le stockage des histoires préparées et celui des histoires du conteur (Hetzner, en Allemagne) sont situés dans l'Union européenne. Votre voix, en revanche, est traitée par Cartesia, société établie aux États-Unis : l'échantillon de votre voix, votre voix de synthèse et le texte des passages à lire (y compris celui des histoires que vous créez) peuvent donc être traités aux États-Unis. L'avenant relatif à la protection des données de Cartesia encadre ces transferts par les clauses contractuelles types adoptées par la Commission européenne (décision (UE) 2021/914, module responsable du traitement vers sous-traitant). L'écriture des histoires créées est faite par OpenAI, aux États-Unis : le scénario, les consignes et le texte de ces histoires y sont traités. L'avenant relatif à la protection des données d'OpenAI, conclu avec OpenAI Ireland Limited, encadre ce transfert par les clauses contractuelles types de la Commission européenne (article 46 du RGPD), ou par une décision d'adéquation (article 45) lorsqu'elle s'applique. D'autres données peuvent aussi être traitées hors de l'Union européenne, notamment aux États-Unis, par nos prestataires ou leurs sociétés affiliées : RevenueCat, Google pour ses services mondiaux (connexion anonyme, App Check, Crashlytics, Analytics, Firebase Cloud Messaging, Remote Config) et, le cas échéant, Cloudflare pour la diffusion du site. Ces transferts sont encadrés par le cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsque le destinataire y adhère, et sinon par les clauses contractuelles types de la Commission européenne. Vous pouvez nous demander des informations sur ces garanties à l'adresse indiquée à la section 1.

9. Durées de conservation

Les effacements automatiques sur nos serveurs sont réalisés par Google à l'échéance prévue, généralement dans les jours qui suivent. Important : désinstaller l'application n'efface pas tout de suite votre voix chez Cartesia ni les données de nos serveurs, rattachées à un identifiant anonyme que nous ne pouvons pas relier à vous : elles sont effacées automatiquement 12 mois après la dernière ouverture de l'application. Pour qu'elles le soient immédiatement, touchez « Supprimer ma voix » ou « Tout effacer » avant de désinstaller l'application ou de changer de téléphone. Dans tous les cas, une copie inaccessible peut rester 14 jours au plus dans nos sauvegardes de sécurité avant d'être effacée définitivement (tableau ci-dessus).

10. Ce que nous ne faisons pas

• Pas de publicité, ni dans l'application, ni sur le site.
• Pas de suivi publicitaire ni de profilage : l'identifiant publicitaire n'est pas collecté, et l'application ne vous demande jamais l'autorisation de suivi d'Apple (App Tracking Transparency), puisqu'elle ne suit pas votre activité dans d'autres apps ou sites.
• Pas de géolocalisation, pas d'accès à vos contacts, pas d'accès à votre photothèque : seule la photo que vous prenez ou choisissez pour une couverture ou pour une voix est donnée à l'application, et elle reste sur votre téléphone. L'appareil photo ne sert que lorsque vous choisissez « Prendre une photo ».
• Pas d'utilisation de votre voix en dehors de vos histoires, ni de diffusion à d'autres personnes.
• Pas de vente, de location ou d'échange de données, pas de courtier en données.
• Pas de compte, et rien n'est demandé à votre enfant. Le prénom que vous donnez pour « Créer une histoire » ne sert qu'à l'écrire et à la lire, n'est jamais gardé par nos serveurs et n'entre jamais dans les statistiques.

11. Autorisations du téléphone

• Micro : demandé seulement quand vous enregistrez votre voix. L'application n'écoute jamais en dehors de l'enregistrement que vous lancez.
• Lecture en arrière-plan et écran allumé : pour que l'histoire continue quand l'écran s'éteint, avec ses commandes de lecture sur l'écran verrouillé, ou pour garder l'écran allumé si vous l'avez choisi.
• Appareil photo : utilisé seulement quand vous choisissez « Prendre une photo », pour la couverture d'une histoire créée ou l'image d'une voix. Sur iPhone et iPad, l'autorisation vous est demandée à ce moment-là ; sur Android, l'application ouvre l'appareil photo du téléphone sans demander d'autorisation. Seule la photo que vous validez est remise à l'application : rien n'est filmé ni enregistré en dehors d'elle, elle n'est pas ajoutée à vos photos et elle n'est jamais envoyée. L'application la recadre et en garde une copie réduite dans son espace privé, exclu des sauvegardes (sections 3.5, 3 bis et 4). Vous pouvez refuser l'appareil photo et choisir une photo déjà prise.
• Photos : aucune autorisation d'accès à la photothèque ; le sélecteur de photos du téléphone ne donne à l'application que la photo que vous choisissez pour une couverture ou pour une voix.
• Internet : pour le téléchargement des histoires, votre voix, l'écriture des histoires créées, la préparation des histoires, les achats, les messages à l'équipe, les rapports de plantage et les statistiques.

Vous pouvez retirer ces autorisations à tout moment dans les réglages de votre téléphone.

12. Sécurité

• Tous les échanges avec nos serveurs et avec nos prestataires sont chiffrés (HTTPS).
• Nos serveurs n'acceptent que les requêtes de l'application authentique (App Check, jeton à usage unique) et d'une session identifiée.
• L'identifiant de votre voix chez Cartesia, les compteurs et l'état de l'abonnement sont fermés à toute lecture depuis l'application ; vous seul pouvez lire l'état de vos histoires préparées, et les fichiers audio ne s'obtiennent que par des liens signés valables 2 minutes (10 minutes pour les histoires du conteur).
• Les clés d'accès à Cartesia, à RevenueCat et à OpenAI restent sur le serveur, dans un coffre de secrets lisible par nos seules fonctions, jamais dans l'application ; l'intelligence artificielle est appelée par le serveur seul.
• Des limites d'usage protègent le service et votre voix contre les abus.
• Les données conservées sur nos serveurs s'effacent automatiquement à l'échéance prévue, ou à votre demande depuis l'application.
• Pour réparer le service après une panne ou une erreur, nos serveurs gardent des sauvegardes de sécurité de la base de données et des fichiers. Elles sont inaccessibles depuis l'application et ne servent à rien d'autre ; une donnée effacée n'y reste que 14 jours au plus, puis disparaît définitivement.

Aucun système n'est invulnérable : protégez votre téléphone par un code et gardez son système à jour.

13. Vos choix et vos droits

Vous disposez à tout moment, dans l'application :

• de la fonction « Supprimer ma voix » (Réglages, « Vos voix »), qui retire votre consentement et supprime votre voix et les histoires préparées avec elle, ainsi que l'audio des histoires créées (section 3.5) ;
• de la suppression d'une histoire créée (bouton « Supprimer cette histoire »), qui l'efface de votre téléphone et de nos serveurs ;
• de la fonction « Tout effacer » (Réglages). Elle supprime vos voix chez Cartesia, vos histoires préparées, vos histoires créées et leurs photos, les images de vos voix, l'identifiant de votre voix et la preuve de votre accord, l'état de votre abonnement gardé par nos serveurs, votre jeton de notification, vos suggestions, avis et signalements, ainsi que vos favoris et réglages sur le téléphone ; elle remet à zéro l'identifiant de statistiques. Votre identifiant anonyme est gardé, sans plus aucun contenu, pour que les limites d'usage continuent de s'appliquer. Restent ainsi : vos compteurs techniques et ceux de vos lunes, qui s'effacent à leur échéance (section 9), vos lunes achetées et les empreintes de ces achats, qui vous appartiennent, l'identifiant anonyme (compte de connexion anonyme chez Google et fiche chez RevenueCat), les informations d'abonnement chez Apple ou Google, ainsi que les journaux, rapports et statistiques déjà transmis, qui s'effacent à leur échéance (section 9). Sans connexion, le téléphone est effacé immédiatement et l'effacement sur nos serveurs est relancé à l'ouverture suivante de l'application. Votre abonnement reste lié à votre compte Apple ou Google : « Restaurer mes achats » le retrouve.

Ce que vous effacez disparaît tout de suite de l'application et du service ; une copie inaccessible reste 14 jours au plus dans nos sauvegardes de sécurité, puis est effacée définitivement (section 9).

Conformément aux articles 15 à 22 du RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, du droit de retirer votre consentement à tout moment sans que cela remette en cause les traitements déjà effectués, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés). Ces droits s'exercent par courriel à [email protected]. Il est répondu dans un délai d'un mois, qui peut être prolongé de deux mois en cas de demande complexe.

Comme nous ne connaissons pas votre identité, nous ne pouvons pas retrouver par votre nom ou votre adresse e-mail les données liées à votre identifiant anonyme : les fonctions de l'application ci-dessus sont le moyen le plus sûr et le plus rapide d'exercer vos droits. Vous pouvez vous opposer aux statistiques d'usage et aux rapports de plantage en nous écrivant ; comme ils ne sont reliés à aucune information sur vous, nous ne pouvons pas retrouver ceux qui vous concernent, et la désinstallation de l'application, après « Tout effacer », reste aujourd'hui le moyen certain d'en arrêter l'envoi. Les informations d'achat se gèrent aussi auprès d'Apple ou de Google.

14. Enfants

L'application Lunalulu est destinée aux parents et aux adultes qui s'occupent d'enfants : c'est l'adulte qui installe l'application, enregistre sa propre voix après avoir confirmé être majeur, et gère l'abonnement. L'enfant écoute les histoires, écrites pour des enfants de 3 à 10 ans ; celles que l'intelligence artificielle écrit sont vérifiées avant d'être livrées (section 3 bis), et vous pouvez nous signaler toute histoire depuis l'application. L'application ne crée aucun compte et ne propose à l'enfant ni publicité, ni achat, ni échange avec d'autres personnes. Seule la fonction « Créer une histoire » vous demande, à vous, un prénom et un âge : ils servent uniquement à écrire l'histoire (section 3 bis). Le prénom de votre enfant est une donnée personnelle d'un mineur : n'en donnez pas davantage (nom de famille, école, adresse, santé). N'enregistrez pas la voix d'un enfant, et n'écrivez pas d'informations sur votre enfant dans les messages envoyés depuis l'application. Si vous pensez qu'un mineur a enregistré sa voix, écrivez-nous ; « Supprimer ma voix » et « Tout effacer » la suppriment immédiatement.

Utilisateurs aux États-Unis (COPPA). L'application s'adresse aux adultes : elle n'est pas destinée aux enfants de moins de 13 ans au sens du Children's Online Privacy Protection Act (COPPA). Elle ne recueille aucune information personnelle directement auprès d'un enfant, ne lui propose ni compte, ni achat, ni échange avec d'autres personnes, et ne fait ni publicité ciblée, ni suivi. Le prénom et l'âge donnés pour « Créer une histoire » sont fournis par le parent, pour son propre usage : ils servent seulement à écrire et à lire l'histoire, et nos serveurs ne les gardent pas (section 3 bis). Si vous pensez qu'un enfant de moins de 13 ans nous a transmis des informations personnelles, par exemple en enregistrant sa voix ou en nous écrivant, contactez-nous à [email protected] : nous les supprimerons sans délai.

15. Site web

Ce site ne dépose aucun cookie et n'utilise aucun outil de mesure d'audience, sauf le compteur anonyme décrit ci-dessous. Les polices de caractères sont hébergées avec le site : votre navigateur ne contacte aucun service de polices, de publicité ou de mesure. Le site est hébergé par OVH et peut être diffusé à travers le réseau de Cloudflare, qui le protège contre les attaques et accélère son affichage ; ces prestataires traitent, pour ces seules finalités, les données techniques de votre visite (adresse IP, pages demandées, date) pendant une durée limitée.

Seule exception, la page de partage /app (le lien partagé depuis l'application et publié sur nos réseaux sociaux) tient un compteur anonyme : le nombre de visites et de clics vers l'App Store ou Google Play, par jour, avec la langue de la page, le type d'appareil, le pays et la source indiquée dans le lien. Aucun cookie n'est déposé, aucun identifiant n'est créé et aucune adresse IP n'est enregistrée : ce sont uniquement des totaux, qui ne permettent de reconnaître personne. Ce compteur est hébergé par Cloudflare pour le compte de Devolim et ses chiffres sont effacés au bout de 13 mois.

16. Incident de sécurité

En cas de violation de données personnelles, nous la notifions à la CNIL dans les conditions de l'article 33 du RGPD et, lorsqu'elle est susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informons dans l'application ou sur ce site, conformément à l'article 34.

17. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr. Si vous résidez dans un autre État membre de l'Union européenne, vous pouvez aussi saisir l'autorité de contrôle de votre pays de résidence (article 77 du RGPD).

18. Modifications

La présente politique peut être modifiée pour tenir compte d'évolutions légales ou techniques. La date de dernière mise à jour figure en tête de page ; les modifications substantielles sont signalées dans l'application et, si elles touchent à l'envoi de votre voix, votre accord vous est redemandé.