Confidentialité

Quézo est conçu « offline-first » : l'essentiel de tes données reste sur ton appareil.

Responsable de traitement : Antony Pelloux, entrepreneur individuel (reprise d’activité en cours), SIREN 534 022 512, téléphone 06 71 75 52 00, 42 avenue des Vendanges, 31190 Auterive, point de contact « données personnelles » : contact@quezo.fr.

1. Ce qu'on traite et pourquoi

Compte (optionnel) : pour te connecter aux fonctions en ligne, il te faut un compte, et tu peux l'ouvrir de deux façons. Avec une adresse e-mail et un mot de passe : nous conservons ton adresse et ton mot de passe sous forme chiffrée, jamais en clair. Avec ton compte Google : tu te connectes chez Google, et Google nous transmet alors un identifiant technique propre à ton compte Google et ton adresse e-mail, avec l'information que Google l'a vérifiée. Nous ne recevons pas ton mot de passe Google, et nous ne demandons ni ton nom, ni ta photo de profil Google : nous ne les recevons pas, et nous ne les conservons donc pas. En contrepartie, Google apprend que tu utilises Quézo — c'est inévitable dès lors que tu passes par lui pour te connecter. Si tu préfères que Google ne l'apprenne pas, ouvre ton compte avec une adresse e-mail et un mot de passe : tout fonctionne à l'identique. Base légale : exécution du contrat — sans l'un de ces deux moyens, nous ne pouvons pas te reconnaître d'une session à l'autre.
Consentements : un identifiant technique d'appareil (anonyme), la date et la version acceptée, pour prouver ton accord même sans compte. Base légale : obligation légale et intérêt légitime.
Fonctions de création : ce que tu écris (titre, description, souhaits, textes d'étapes) est transmis à nos prestataires de génération pour créer les textes, les voix et les images de ton aventure. Ces contenus ne servent jamais à entraîner des modèles d'intelligence artificielle : nos contrats l'excluent, et chez le prestataire dont l'offre l'autoriserait, nous désactivons l'option correspondante. Chaque prestataire en garde une copie de courte durée dans des journaux destinés à détecter les abus, avant de la supprimer — les durées exactes figurent au § 5. Base légale : exécution du service.
Registre de provenance des contenus générés : chaque fois qu'une image ou une voix est produite pour toi, nous enregistrons de quel type de contenu il s'agit (image ou voix), le modèle qui l'a produit, une empreinte technique du fichier — une suite de chiffres calculée à partir du fichier, qui ne permet pas de le reconstituer — et la date, rattachés à ton compte. Ni le fichier lui-même, ni ce que tu as écrit pour l'obtenir n'y figurent. Ce registre sert à vérifier, au moment où tu publies une aventure au catalogue, que l'image ou la voix publiée est bien celle que Quézo a produite pour toi. Base légale : exécution du service — sans ce registre, aucune publication d'image ni de voix ne serait possible. Durée : tant que ton compte existe ; supprimé avec lui.
Contrôle automatisé des contenus : deux moments déclenchent un contrôle. Au moment de la création, les textes que tu saisis sont envoyés à un service automatisé de détection de contenus inappropriés. Au moment où tu publies une aventure au catalogue, les images qui la composent et les descriptions que tu as écrites sont envoyées au même service. Ce service est opéré par OpenAI Ireland Ltd (Irlande), avec un traitement technique aux États-Unis, et rend un verdict « accepté » ou « refusé ». Le contenu est examiné, jamais ta personne, et aucun profilage n'est réalisé. Ce point de contrôle ne conserve ni le contenu envoyé, ni le détail du verdict. Lorsqu'un contenu est refusé, nous gardons au plus 30 jours le fait qu'un refus a eu lieu, sous un identifiant technique qui ne permet pas de remonter à ton compte. Un refus empêche la publication et n'entraîne aucune sanction sur ton compte. Base légale : intérêt légitime — protéger les enfants qui consultent le catalogue d'un contenu qui ne leur convient pas.
Signalement d'une aventure publiée : si tu signales une aventure du catalogue, nous enregistrons ton compte, l'aventure visée, le motif que tu choisis, le texte que tu écris et la date. Si une aventure est retirée ou rétablie, nous enregistrons la mesure, son motif, la date, et les dates auxquelles l'auteur et les personnes ayant signalé en ont été informés. Si l'auteur conteste la décision, nous enregistrons son texte, la date et l'issue. L'auteur d'une aventure retirée est informé du motif du retrait, mais jamais de l'identité des personnes qui l'ont signalée. Base légale : obligation légale — le règlement européen sur les services numériques nous impose de traiter les signalements, de motiver nos décisions et d'ouvrir une voie de contestation.
Journal de nos interventions d'administration : quand un membre de l'équipe Quézo intervient sur ton compte ou sur un contenu que tu as publié, nous enregistrons qui est intervenu, ce qu'il a fait, sur quoi, la date, et le détail de son geste. Sont concernés l'ajout de crédits et sa raison, la suspension d'un compte et son motif, la réinitialisation d'un mot de passe, le retrait ou le rétablissement d'une aventure ou d'une image publiée et son motif, l'arbitrage d'une contestation, la mise en avant d'un contenu, le changement de prix d'une aventure, l'inscription ou l'invitation en bêta, l'envoi d'une campagne d'e-mails, la clôture d'un rapport d'erreur. Ce qui te désigne dans ce journal, c'est l'identifiant de ton compte ou ton adresse e-mail, la référence du contenu concerné, et ce que l'intervention a modifié. Aucune photo, aucun texte d'aventure ne s'y trouve. Ce journal sert à savoir qui a fait quoi, à réparer une intervention erronée et à te répondre si tu contestes une décision ; il n'est consultable que par nous. Base légale : intérêt légitime — la traçabilité de nos propres interventions et la sécurité de ton compte ; obligation légale pour les décisions de modération, que le règlement européen sur les services numériques nous impose de motiver. Durée : 1 an à compter de l'intervention, puis suppression automatique. Une seule exception, plus longue, et elle te protège : quand tu demandes l'effacement de ton compte, la trace de ce que cet effacement a fait de chacune de tes aventures publiées est conservée 5 ans, parce que c'est notre seule preuve d'avoir fait ce que tu as demandé (§ 5).
Appairer le téléphone de ton enfant : quand tu relies un second appareil pour que ton enfant suive l'aventure, nous créons un code à huit caractères. Pour que l'appareil de ton enfant sache qui il rejoint, ce code porte ton pseudonyme et, si l'aventure lui est destinée, le prénom de ton enfant. Ces informations restent dans la mémoire de notre serveur pendant dix minutes au maximum, le temps que l'appairage se fasse : elles ne sont jamais enregistrées dans une base de données. L'appareil de ton enfant n'a pas besoin de compte ; son adresse réseau est utilisée le temps de la connexion pour empêcher qu'on devine des codes au hasard. Ensuite, quand les deux téléphones ne sont pas du même système (un iPhone et un Android), ils ne peuvent pas se parler directement : les messages et les images de l'aventure transitent alors par nos serveurs, qui les réexpédient sans les enregistrer ni les lire. Base légale : exécution du service — c'est toi qui déclenches l'appairage.
Sécurité technique : quand ton appareil contacte nos serveurs, son adresse réseau (adresse IP) est utilisée pour limiter le nombre de requêtes et empêcher les abus — essais de mots de passe en série, création de comptes en masse, recherche de codes au hasard. Elle figure aussi, avec la date et la page demandée, dans les journaux techniques de nos serveurs. Base légale : intérêt légitime — protéger le service et les comptes. Durée : 30 jours pour les journaux ; les compteurs de quota vivent quelques minutes en mémoire et ne sont pas enregistrés.
Gestes commerciaux : pour chaque aventure que tu fais générer, nous notons ce qu'elle t'a coûté en crédits, la date, si tu l'as lancée au moins une fois, et les crédits que nous t'avons éventuellement offerts (relance offerte, image refaite). Cela sert à te reprendre une génération ratée sans te la refacturer et à mesurer ce que ces gestes représentent. Base légale : exécution du service et intérêt légitime. Durée : tant que ton compte existe, supprimé avec lui.
Achats et paiements : le canal de ton achat décide de qui encaisse. Dans l'application, le paiement est encaissé par Google Play ou par l'App Store — nous ne voyons ni ta carte, ni ton nom, ni ton adresse. Sur quezo.fr, c'est nous qui te vendons, et le paiement est encaissé pour notre compte par Stripe Payments Europe, Limited (Irlande), sur sa propre page : ton numéro de carte, le nom du porteur et ton adresse de facturation sont donnés à Stripe et ne passent jamais par nos serveurs. Pour que cette page s'ouvre, nous transmettons à Stripe ton adresse e-mail, l'identifiant technique de ton compte, le lot choisi et son prix ; Stripe nous renvoie le fait que le paiement a réussi, son montant et une référence de transaction. De notre côté, et quel que soit le canal, nous enregistrons d'où vient l'achat (App Store, Google Play ou quezo.fr), le lot de crédits choisi, son montant — le prix de référence du lot pour un achat en magasin, le montant effectivement payé pour un achat sur quezo.fr —, le nombre de crédits ajoutés, la référence de transaction et la date, rattachés à ton compte. Quand tu achètes une aventure du catalogue avec tes crédits, nous enregistrons l'aventure achetée, son prix en crédits et la date. Cela sert à ne te créditer qu'une fois pour un même achat, à te redonner accès à ce que tu as acheté si tu changes de téléphone, et à suivre notre activité. Base légale : exécution du contrat pour te créditer et te redonner accès à tes achats ; obligation légale pour la conservation de la ligne de vente, que nos obligations comptables nous imposent. Durée : tant que ton compte existe, puis au titre de la comptabilité. Si tu supprimes ton compte, la ligne de vente ne part pas avec lui : c'est une pièce de notre comptabilité et la loi nous oblige à la garder. Nous la détachons de toi — l'identifiant de ton compte en est retiré, et plus rien de ton compte n'y figure —, nous la conservons dix ans, puis elle est supprimée automatiquement. Ce qui y reste, c'est le canal de l'achat, le lot, le montant, le nombre d'étoiles, la date et la référence de transaction. Nous ne pouvons plus te relier à cette ligne ; le magasin ou Stripe, qui tient sa propre comptabilité, peut encore le faire à partir de cette référence. Pour un achat fait dans l'application, ta facture est émise par le magasin et c'est chez lui que tu la retrouves, selon ses propres règles ; pour un achat fait sur quezo.fr, tu peux nous demander un justificatif à contact@quezo.fr.
Sauvegarde cloud : tes aventures et profils, stockés de façon privée pour la synchronisation multi-appareils. Base légale : exécution du service.
Statistiques d'usage : des événements produit (ex. « aventure lancée », « mini-jeu réussi », « livret imprimé »), rattachés à l'identifiant technique d'appareil et, si tu as ouvert ta session, à ton compte — pour comprendre l'usage réel et améliorer Quézo. Un événement transporte le nom du geste, l'écran où il a eu lieu, et quelques repères techniques sur ce que tu étais en train de faire : la référence de l'aventure concernée, le niveau de lecture du profil choisi, l'étape en cours, le type d'épreuve, la voix ou le style d'illustration retenus, l'occasion choisie, le nombre de crédits ou le lot de crédits acheté, ou encore ce qui a manqué pour aller au bout. Un événement ne transporte jamais un texte que tu as écrit, ni le prénom de ton enfant, ni sa photo : nos serveurs n'acceptent qu'une liste fermée de repères de ce genre, et écartent tout le reste sans l'enregistrer. Ils sont envoyés en Wi-Fi (ou en données mobiles uniquement si tu l'as activé dans les réglages) ; s'ils ne peuvent pas partir sous 72 h, ils sont supprimés de l'appareil. Base légale : intérêt légitime. Aucune publicité, aucun profilage commercial.
Consultation des fiches d'aventure : quand une fiche d'aventure est ouverte, sur le site comme dans l'application, nous enregistrons sur nos serveurs qu'une fiche a été consultée, et la date. Si tu n'es pas connecté, cette ligne ne porte rien qui te désigne : aucun cookie, aucun identifiant d'appareil, et pas même l'identifiant de l'aventure consultée. Si tu es connecté, cette consultation est rattachée à ton compte, comme le reste de nos statistiques d'usage. Cela sert à savoir quelles aventures intéressent les parents. Base légale : intérêt légitime. Durée : au plus 12 mois (§ 5).
Rapports d'erreurs : en cas de plantage, un message technique et la pile d'appel (qui ne contiennent ni ce que tu as écrit, ni les données de ton enfant), la version de l'application, le système de ton téléphone et l'identifiant technique de l'appareil, regroupés par type d'erreur — pour corriger les bugs et savoir combien d'appareils sont touchés. Base légale : intérêt légitime.
Coût de fabrication de tes aventures : pour chaque texte, image ou voix produit, nous notons le prestataire, le modèle utilisé, un volume technique (nombre de mots-machine, nombre d'images, nombre de caractères lus à voix haute) et le prix que cela nous a coûté, rattachés à ton compte. Rien de ce que tu as écrit n'est enregistré ici, seulement des quantités. Cela sert à savoir ce que coûte le service, à détecter un usage anormal. Base légale : intérêt légitime — connaître le coût réel de ce que nous fournissons. Durée : conservé tant que ton compte existe, puis détaché de toi. Si tu supprimes ton compte, ces lignes sont détachées de toi : la date y est ramenée au mois, si bien qu'aucun recoupement ne permet de les relier à toi. Elles ne portent plus aucun identifiant qui te désigne.
Liens de sécurité de ton compte : quand tu vérifies ton adresse e-mail, quand tu réinitialises ton mot de passe ou quand tu demandes une copie de tes données, nous enregistrons la nature de la demande, sa date, sa date de péremption, la date à laquelle le lien a été utilisé, et une empreinte du lien — jamais le lien lui-même. Cela sert à faire fonctionner ces liens, à les faire expirer, et à empêcher qu'on en demande des dizaines à la chaîne. Base légale : exécution du service, et intérêt légitime pour la sécurité de ton compte. Durée : 30 jours après la péremption du lien, puis suppression automatique. Tout part avec ton compte si tu le supprimes.
Tes préférences de courrier : ton adresse e-mail, et pour chacune de nos deux catégories de messages (« Nouveautés et informations sur Quézo », « Offres de nos partenaires ») si tu l'acceptes ou non, la date de ta réponse et le texte exact auquel tu as répondu. Cela sert à t'envoyer ce que tu as accepté, et surtout à ne plus rien t'envoyer quand tu nous as demandé d'arrêter. Les offres de partenaires ne partent jamais tant que tu ne les as pas demandées : rien n'est coché d'avance. Base légale : ton consentement pour les offres de partenaires, que tu peux retirer à tout moment par le lien en bas de chaque message ; intérêt légitime pour les informations sur le service. Durée : 3 ans à compter du dernier geste que tu as fait sur ces préférences — le jour où tu as accepté ou refusé une de nos deux catégories, ou le jour où ta fiche de préférences a été modifiée pour la dernière fois. Ouvrir un de nos messages ou cliquer dedans ne repousse pas ce délai, et nos propres envois non plus. Un désabonnement, lui, n'est jamais effacé : c'est la seule façon de garantir qu'on ne te réécrira pas.
Envoi groupé de nos messages : pour écrire au même moment à plusieurs parents, nous préparons à l'avance la liste des destinataires du message — l'adresse e-mail, et le prénom pour ceux qui nous l'ont donné en s'inscrivant — puis nous en retirons chaque adresse dès que le message lui est parti. Cela sert à deux choses et à rien d'autre : envoyer le message, et reprendre un envoi interrompu sans l'expédier deux fois à la même personne. Le choix de chacun est revérifié pendant l'envoi, et pas seulement au moment où la liste est préparée : un désabonnement fait en cours d'envoi est pris en compte. Base légale : la même que celle du message envoyé — ton consentement pour les offres de nos partenaires, notre intérêt légitime pour les informations sur le service. Destinataire : notre prestataire d'envoi d'e-mails (§ 4). Durée : voir § 5.
Formulaires du site : si tu t'inscris à la bêta, nous conservons ton adresse e-mail, ton prénom, la page d'où venait ton inscription, la date de ta demande et le texte exact que tu as accepté ce jour-là. Si tu écris depuis une école, un centre de loisirs ou une association, nous conservons le nom et le type de la structure, sa ville, ton nom, ton adresse e-mail, ton téléphone si tu l'as donné, la formule et la période souhaitées, le nombre et l'âge des enfants concernés, et ton message. Cela sert à te répondre et à t'inviter quand une place se libère dans la bêta. Base légale : ton consentement pour la bêta, retirable à tout moment par le lien de désabonnement ; pour une demande de structure, les démarches faites à ta demande avant un éventuel contrat. Durée : 3 ans après le dernier geste daté que porte ta demande — la tienne ou la nôtre. Tu peux demander la suppression de ces informations à tout moment à contact@quezo.fr, sans avoir de compte. Jusqu'au 29 octobre 2026, un autre formulaire proposait un livret offert et pouvait recueillir le prénom et l'âge de ton enfant pour le personnaliser : ce formulaire a été retiré, plus aucun livret ni message de suivi n'est envoyé, et le prénom et l'âge recueillis à l'époque sont effacés au plus 7 jours après la demande (§ 5).
Partage d'une aventure à un autre parent : quand tu envoies une aventure à quelqu'un par un code, nous transmettons à son compte le titre de l'aventure, son contenu, et ton pseudonyme — c'est lui qui s'affiche chez la personne qui la reçoit, comme nom de l'auteur. Si tu n'as pas de pseudonyme, elle lit « Un parent ». Ton adresse e-mail n'est jamais transmise. Un code non utilisé se périme au bout de 7 jours et la demande est effacée. Base légale : exécution du service — c'est toi qui déclenches l'envoi. Durée : 30 jours après l'acceptation ou le refus, la ligne et les fichiers étant alors supprimés ; 30 jours après le dépôt si la personne ne le traite jamais.

2. Les enfants

Un profil enfant contient ce que tu y mets : son prénom, son âge, une photo si tu en ajoutes une, son niveau de lecture, s'il sait écrire, jusqu'à combien il compte, s'il peut scanner un QR code ou approcher une étiquette, les thèmes qu'il aime et ceux à éviter, et les notes libres que tu écris pour guider la création. Tout cela sert à adapter les aventures à son âge et à ses goûts. N'écris dans les notes que ce qui est utile au jeu : ce champ n'est pas fait pour une information de santé, un suivi médical ou scolaire, ni pour une difficulté personnelle. Si tu utilises un compte, ces informations sont sauvegardées sur nos serveurs comme le reste du profil.

Tant que tu n'utilises pas de compte, tes profils et tes photos restent sur ton appareil : ils ne sont ni envoyés ni enregistrés sur nos serveurs. Deux exceptions, et rien d'autre : si tu appaires le téléphone de ton enfant, le prénom de l'enfant concerné et ton pseudonyme passent par notre serveur le temps de l'appairage, dix minutes au plus, sans être enregistrés ; et nos statistiques d'usage enregistrent le niveau de lecture du profil choisi, rattaché à ton appareil et jamais à un prénom (§ 1).

Dès que tu te connectes à un compte, la sauvegarde cloud s'active — c'est elle qui te permet de retrouver tes profils et tes aventures sur tes autres appareils et de ne rien perdre en changeant de téléphone. Elle fait partie du compte : il n'existe pas de réglage pour la désactiver tout en gardant un compte. Si tu préfères que rien ne quitte ton téléphone, utilise Quézo sans compte — tout y fonctionne, sauf le passage d'un appareil à l'autre. À partir de ce moment, la photo que tu as mise sur le profil de ton enfant est copiée sur nos serveurs, dans un espace privé rattaché à ton compte. Il en va de même pour une photo que tu importes depuis ta galerie et que tu places dans une aventure, et pour l'avatar que tu choisis pour toi-même. Ces photos ne sont visibles que depuis les appareils connectés à ton compte ; elles ne sont transmises à aucun prestataire de génération ni au contrôle automatisé des contenus, qui ne reçoivent jamais d'image de profil, et elles n'apparaissent dans aucune aventure publiée au catalogue. Base légale : exécution du service.

Combien de temps : tant que ton compte existe.

Ce qui les fait disparaître :

tu retires la photo du profil dans l'application : à la synchronisation suivante, la photo est effacée de nos serveurs, la fiche comme le fichier image. Le profil, lui, existe toujours : le prénom et l'âge de ton enfant restent sauvegardés, puisque c'est ce qui te permet de retrouver son profil sur tes autres appareils ;
tu supprimes le profil dans l'application : à la synchronisation suivante, le prénom, l'âge et la photo sont effacés de nos serveurs — la fiche comme le fichier image — et il ne subsiste qu'un marqueur technique, sans contenu, qui empêche le profil de réapparaître sur tes autres appareils ;
tu supprimes ton compte : profils, photos et fichiers sont effacés ;
tu nous écris à contact@quezo.fr, et nous le faisons pour toi.

Une même image utilisée à deux endroits (la même photo comme avatar et comme photo de profil, par exemple) n'est effacée qu'au moment où son dernier usage disparaît. Il peut arriver qu'un fichier résiste à un effacement technique : il n'est alors plus rattaché à rien ni consultable, et nous le supprimons dès que nous le constatons.

Si tu préfères qu'aucune photo de ton enfant ne quitte ton appareil, n'en ajoute pas au profil : Quézo fonctionne sans.

Le prénom, lui, ne quitte ton appareil que si tu demandes que l'aventure appelle ton enfant par son prénom ou qu'une voix le prononce : dans ce cas seulement, il est transmis à nos prestataires de génération, le temps de créer le texte et la voix. Une copie de cet envoi reste ensuite au maximum 30 jours dans les journaux de détection d'abus de chaque prestataire, où une relecture humaine est possible, avant suppression. Si un contenu déclenche les contrôles de sécurité automatiques du prestataire de génération de textes, ce contenu peut être conservé jusqu'à 2 ans, et le score attribué par ces contrôles jusqu'à 7 ans. Le prénom n'est en revanche jamais transmis pour créer une image : il est retiré de la demande avant l'envoi. Il est également retiré avant le contrôle automatisé de ce que tu écris (§ 1). Si tu préfères que son prénom ne parte pas, choisis un surnom ou un nom de personnage au moment de créer l'aventure : tout fonctionne à l'identique.

Le prénom de ton enfant n'apparaît jamais dans une aventure publiée au catalogue : si nous en détectons un, la publication est refusée.

Les données des profils enfants ne servent à aucune publicité, à aucun profilage, et ne sont transmises à aucun tiers pour son propre compte.

3. Hébergement et localisation

Les données sont hébergées par OVHcloud (OVH SAS, 2 rue Kellermann, 59100 Roubaix, France), dans un centre de données situé en France (Gravelines).

4. Prestataires (sous-traitants)

Génération des textes d'aventure : Anthropic Ireland Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, Irlande — traitement technique aux États-Unis. Reçoit ce que tu écris et, si tu l'as demandé, le prénom de ton enfant. Ne reçoit ni photo, ni adresse e-mail, ni donnée de compte.
Génération des images : OpenAI Ireland Ltd (Irlande) — traitement technique aux États-Unis. Les demandes d'image ne portent jamais le prénom de ton enfant : il en est retiré avant l'envoi.
Synthèse vocale et sons d'ambiance : ElevenLabs, Inc. (États-Unis). La synthèse vocale reçoit le texte de l'aventure, donc le prénom de ton enfant quand tu demandes qu'une voix le prononce. Les descriptions de sons, elles, ne portent aucune donnée personnelle.
Contrôle automatisé des contenus : OpenAI Ireland Ltd (Irlande) — traitement technique aux États-Unis.
Envoi de nos e-mails : Resend, Inc. (États-Unis). Reçoit ton adresse e-mail et le contenu du message que nous t'adressons, prénom compris quand c'est le tien qui ouvre le message. Depuis le retrait du livret offert, le 29 octobre 2026, aucun de nos messages ne porte le prénom de ton enfant. Ne reçoit ni photo, ni mot de passe, ni contenu d'aventure.
Paiement dans l'application : achats intégrés Google Play et Apple App Store (nous ne voyons jamais ta carte bancaire).
Paiement sur quezo.fr : Stripe Payments Europe, Limited (Irlande). Reçoit ton adresse e-mail, l'identifiant technique de ton compte, le lot acheté et son prix, puis les coordonnées bancaires que tu saisis sur sa page. Ne reçoit ni photo, ni mot de passe, ni contenu d'aventure, ni aucune donnée du profil de ton enfant. Stripe assure aussi la prévention de la fraude sur les paiements.
Hébergement et stockage : OVHcloud (France).

Ces prestataires font appel à leurs propres sous-traitants, notamment pour l'hébergement et pour la relecture des contenus signalés. Chaque prestataire publie la liste à jour de ces sous-traitants et doit nous annoncer tout changement à l'avance.

Un cas à part, qui n'est pas un sous-traitant : si tu te connectes avec ton compte

Google, Google Ireland Limited (Irlande) n'agit pas pour notre compte. C'est Google

qui gère ton compte Google, qui décide seul de ce qu'il en fait, et qui en répond au

titre de sa propre politique de confidentialité — nous ne lui donnons aucune

instruction. Nous ne lui transmettons rien de ton côté : c'est ton navigateur, ou ton

téléphone, qui dialogue directement avec lui. Ce que nous recevons de lui est écrit

au § 1 : un identifiant technique et ton adresse e-mail, rien d'autre.

Nos deux prestataires d'intelligence artificielle sont établis en Irlande, donc dans l'Union européenne, mais le traitement technique a lieu aux États-Unis. Notre prestataire d'envoi d'e-mails, Resend, Inc., est quant à lui établi aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 (décision d'exécution (UE) 2021/914), intégrées à l'accord de traitement conclu avec chaque prestataire. Une copie de ces clauses s'obtient sur simple demande à contact@quezo.fr.

Notre prestataire de paiement, Stripe Payments Europe, Limited, est établi en Irlande. Le groupe Stripe indique dans sa politique de confidentialité pouvoir transférer des données vers d'autres pays, dont les États-Unis, en s'appuyant notamment sur les clauses contractuelles types de la Commission européenne et, pour Stripe, Inc., sur le cadre de protection des données UE–États-Unis.

5. Durées de conservation

Compte : tant qu'il est actif ; supprimé sur demande. Si tu t'es connecté avec ton compte Google, l'identifiant technique que Google nous a transmis suit la même règle et part avec ton compte. Nous ne conservons aucune photo ni aucun nom venant de Google, puisque nous ne les demandons pas.
Consentements : à des fins de preuve, 5 ans pour les anciennes preuves ; la dernière version que tu as acceptée est conservée tant que ton compte existe. Ton consentement est redemandé chaque année, et à chaque évolution de ces documents.
Sauvegardes cloud : tant que ton compte est actif.
Registre de provenance des contenus générés (type de contenu — image ou voix —, empreinte technique du fichier et modèle utilisé) : conservé tant que ton compte existe, supprimé avec lui.
Contenus envoyés aux prestataires de génération de textes et d'images : ces prestataires s'engagent à les supprimer dans un délai de 30 jours.
Contenu ayant déclenché les contrôles de sécurité automatiques du prestataire de génération de textes : conservé par ce prestataire jusqu'à 2 ans, et le score de ce contrôle jusqu'à 7 ans.
Statistiques d'usage et rapports d'erreurs : au plus 12 mois, puis supprimés.
Coût de fabrication des aventures (prestataire, modèle, volume, prix) : conservé tant que ton compte existe ; détaché de ton compte dès sa suppression.
Liens de sécurité (vérification d'adresse, mot de passe oublié, demande d'export) : 30 jours après leur péremption, puis suppression automatique.
Préférences de courrier : 3 ans à compter du dernier geste que tu as fait sur ces préférences — ton acceptation ou ton refus d'une de nos catégories, ou la dernière modification de ta fiche. Ouvrir un message ou cliquer dedans ne repousse pas ce délai, et nos propres envois non plus. La trace d'un désabonnement est conservée sans limite, pour ne plus jamais t'écrire.
Suppression de ton compte : tes préférences de courrier disparaissent avec lui si ton adresse e-mail a été vérifiée. Sans cette vérification, rien de ce qui est rattaché à ton adresse n'est effacé — ni tes préférences de courrier, ni ton inscription à la bêta, ni une demande de livret offert que tu nous aurais faite avant le 29 octobre 2026, ni ta demande de structure. C'est voulu : cela nous empêche d'effacer les données d'une autre personne qui aurait la même adresse. Écris-nous à contact@quezo.fr et nous le faisons pour toi. Une seule chose reste ensuite, si tu nous avais demandé de ne plus t'écrire : ton adresse e-mail, tes choix de messages et la trace de ton refus, dans notre liste de refus. Cela ne sert qu'à une chose, ne plus jamais t'écrire, et y reste sans limite de durée. Tu peux nous demander de l'en retirer à contact@quezo.fr : ton adresse revient alors dans la liste de diffusion, et nous pouvons de nouveau t'écrire.
Envoi groupé d'un message : quand nous écrivons au même moment à plusieurs parents, nous préparons la liste des destinataires — l'adresse e-mail, et le prénom pour ceux qui nous l'ont donné en s'inscrivant. Chaque adresse en est retirée dès que le message lui est parti : c'est cette liste, et rien d'autre, qui nous permet de reprendre un envoi interrompu là où il s'est arrêté, sans réexpédier le message à ceux qui l'ont déjà reçu. Quand l'envoi va à son terme, elle est vide et ne porte plus aucune adresse. Quand il s'interrompt, ce qui reste est supprimé automatiquement 7 jours après le dernier mouvement de l'envoi — la fin d'une tentative, réussie ou non, ou sa relance ; et si l'envoi s'est figé sans qu'aucune tentative ne s'achève, 7 jours après la préparation de la liste.
Inscription à la bêta, et demandes de livret offert reçues avant le 29 octobre 2026 : 3 ans à compter du dernier geste daté que porte ta ligne — ta demande, ton acceptation de la bêta, l'envoi de ton livret, le message de suivi qui l'a suivi, ou l'invitation que nous t'adressons quand une place se libère dans la bêta. Ouvrir un de nos messages ou cliquer dedans ne repousse pas ce délai. Passé ce terme, la ligne entière est supprimée, et pas seulement vidée de son contenu.
Prénom et âge de ton enfant, donnés avant le 29 octobre 2026 pour personnaliser un livret offert : aucun formulaire ne les demande plus depuis cette date. Ceux que nous avons reçus sont effacés dès qu'ils n'ont plus d'objet — une fois le livret parti et le message de suivi envoyé, ou, à défaut de message de suivi, 48 heures après la demande — et dans tous les cas au plus 7 jours après la demande, quel qu'ait été le sort du livret. L'effacement passe toutes les six heures : il peut donc s'écouler quelques heures entre le moment où ils ne nous servent plus et celui où ils quittent nos serveurs. Tu peux nous demander de les effacer tout de suite à contact@quezo.fr, sans avoir de compte.
Demande venant d'une école, d'un centre de loisirs ou d'une association : 3 ans à compter de notre réponse, ou 3 ans à compter de ta demande si nous n'y avons jamais répondu. Ce que tu nous as écrit sur les enfants concernés — leur nombre, leurs âges, ton message — part avec la ligne à ce terme, et pas avant : c'est ce qui nous permet de te répondre, y compris longtemps après.
Partage d'une aventure à un autre parent : code non utilisé effacé au bout de 7 jours ; une fois l'aventure déposée, 30 jours après l'acceptation ou le refus, ou 30 jours après le dépôt si elle n'est jamais traitée.
Modération : un signalement, la décision qui le suit et l'action de l'administrateur qui l'a prise sont conservés 1 an après la décision, puis supprimés.
Journal de nos interventions d'administration (qui est intervenu, sur quoi, quand, et le détail du geste) : 1 an à compter de l'intervention, puis suppression automatique.
Trace de tes demandes d'effacement : quand nous effaçons ton compte, nous notons ce que cet effacement a fait de chaque aventure publiée — ce qui a été détruit, ce qui a été conservé au catalogue sans plus porter ton nom, et ce qui attend une vérification de notre part. Le titre de l'aventure y est enregistré sans le prénom de ton enfant. Cette trace est la seule preuve que nous avons bien fait ce que tu as demandé : nous la conservons 5 ans, puis elle est supprimée.
Achats et paiements (canal de l'achat, lot acheté, montant, étoiles, référence de transaction, date) : ce sont des pièces de vente. Nous les conservons dix ans, puis elles sont supprimées automatiquement. Si tu supprimes ton compte avant ce terme, elles restent, mais détachées de toi : l'identifiant de ton compte en est retiré et ton compte n'y figure plus. Base légale : obligation légale — nos obligations comptables, et non ton consentement : tu ne peux donc pas en demander l'effacement avant ce terme (§ 6). La référence de transaction, elle, reste lisible : elle permet au magasin ou à Stripe, chacun pour sa propre comptabilité, de retrouver l'achat. Pour un achat fait dans l'application, nos justificatifs de vente nous sont fournis par Google et par Apple, qui encaissent le paiement. Pour un achat fait sur quezo.fr, le vendeur c'est nous : le détail de l'encaissement est conservé par Stripe selon sa propre politique de conservation, et nous pouvons t'établir un justificatif sur demande — après la suppression de ton compte, il nous faut la référence de ta transaction, ou la date et le montant de l'achat, puisque la ligne ne porte plus ton nom.
Preuve de ta renonciation au droit de rétractation, pour une commande d'étoiles sur quezo.fr (la preuve est enregistrée au moment où tu valides ta commande, même si le paiement n'aboutit pas) : ton compte, le lot acheté, l'identifiant de la session de paiement, le texte que tu as accepté et la date, enregistrée par nos serveurs. Elle nous sert à justifier que la fourniture a commencé immédiatement, à ta demande. Durée : jusqu'à 5 ans, à des fins de preuve, comme tes consentements ; si tu supprimes ton compte, elle n'est plus rattachée à lui.

6. Tes droits (RGPD)

Tu peux à tout moment nous demander d'accéder à tes données, de les corriger, de les effacer, d'en limiter l'usage, de t'opposer à un traitement fondé sur notre intérêt légitime, et de recevoir tes données dans un format réutilisable.

Une chose limite ton droit à l'effacement : quand la loi nous oblige à conserver une donnée. C'est le cas des lignes de vente de tes achats d'étoiles, qui sont des pièces de notre comptabilité (§ 5). Nous ne pouvons pas les effacer avant leur terme ; ce que nous faisons, et que nous faisons systématiquement, c'est les détacher de ton compte. Tout le reste de tes données est effacé.

Quand un traitement repose sur ton consentement — les offres de partenaires, l'inscription à la bêta, et le livret offert pour les demandes que nous avons reçues avant le 29 octobre 2026 —, tu peux le retirer quand tu veux, aussi facilement que tu l'as donné ; ce retrait ne remet pas en cause ce qui a été fait avant.

Si une publication t'a été refusée par notre contrôle automatisé, tu peux nous demander de la réexaminer : une personne s'en charge et te répond.

Écris à contact@quezo.fr. Nous te répondons sous un mois ; si ta demande est complexe, nous pouvons prolonger de deux mois en t'en expliquant la raison.

Si notre réponse ne te satisfait pas, tu peux saisir la CNIL — 3 place de Fontenoy, 75007 Paris, ou www.cnil.fr.

Les informations que tu nous donnes sont facultatives, sauf ce qui est nécessaire pour

ouvrir un compte : une adresse e-mail et un mot de passe, ou bien une connexion avec

ton compte Google. Sans l'un ou l'autre, nous ne pouvons pas créer de compte. Les champs d'un profil enfant sont tous facultatifs ; moins tu en remplis, moins les aventures sont personnalisées, et c'est le seul effet.

7. Sécurité

Mots de passe chiffrés, communications sécurisées. Aucune publicité, aucune revente de tes données.