Dernière mise à jour : octobre 2026. Cette politique de confidentialité s’applique au site web vokakitty.nl, à l’application mobile « VokaKitty » pour Android et à l’application web « VokaKitty », qui s’exécute dans le navigateur (notamment sur iPhone et iPad). L’application Android et l’application web sont désignées ensemble par « application » ; lorsqu’elles diffèrent, cela est indiqué expressément. Ceci est une traduction de courtoisie ; la version juridiquement contraignante est la Datenschutzerklärung allemande.
1. Responsable du traitement
Le responsable du traitement des données au sens du règlement général sur la protection des données (RGPD) est :
Christian Staehler
Wendelsweg 60
60599 Frankfurt am Main
Allemagne
E-mail : info@vokakitty.nl
En l’état actuel, il n’existe aucune obligation légale de désigner un délégué à la protection des données, et aucun n’a été désigné.
2. Principes
Nous ne traitons les données personnelles que dans la mesure nécessaire pour fournir un service fonctionnel et les fonctionnalités que vous demandez. VokaKitty est conçu pour la minimisation des données : il n’y a aucune analyse de votre comportement d’utilisation, aucun pistage publicitaire et aucune collecte de données de localisation. Aucun SDK d’analyse ou de rapport de plantage de tiers n’est intégré. Aucune décision automatisée ayant un effet juridique au sens de l’art. 22 du RGPD n’a lieu.
3. Visite de ce site web
3.1 Fichiers journaux du serveur
Lorsque vous accédez au site web, l’hébergeur enregistre automatiquement dans des fichiers journaux du serveur les informations transmises par votre navigateur : adresse IP, date et heure d’accès, URL demandée, volume de données transférées, URL de provenance, type de navigateur et système d’exploitation. La base légale est l’art. 6(1)(f) du RGPD (intérêt légitime au fonctionnement technique et à la sécurité informatique). Les journaux d’accès de l’hébergeur sont supprimés ou anonymisés au bout d’environ huit semaines (durée de conservation standard d’IONOS).
3.2 Hébergement
Le site web, l’application web et le composant serveur de l’application sont exploités chez IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Allemagne. Le fournisseur traite les données mentionnées ci-dessus exclusivement pour notre compte ; un contrat de sous-traitance au sens de l’art. 28 du RGPD est en place avec IONOS (DPA IONOS version 1.3, en date de 03/2026). Le traitement a lieu dans un État membre de l’UE ou de l’EEE ; les transferts vers des pays tiers n’ont lieu que lorsque cela est nécessaire à la fourniture du service, et alors dans les conditions des art. 44 et suivants du RGPD. IONOS est certifié ISO 27001 et fait appel à des sous-traitants ultérieurs sur la base d’une autorisation générale assortie d’un droit d’opposition.
3.3 Cookies
Tel que livré, le site web ne place que des cookies techniquement nécessaires (par exemple pour la fonction de commentaires ou pour la connexion à l’administration WordPress). Aucun cookie n’est placé à des fins d’analyse ou de marketing. La base légale des cookies techniquement nécessaires est le § 25(2) de la TDDDG en combinaison avec l’art. 6(1)(f) du RGPD.
4. Utilisation de l’application « VokaKitty »
4.1 Compte et inscription
Un compte est nécessaire pour utiliser l’application. Lors de l’inscription, nous traitons : nom d’utilisateur, adresse e-mail, mot de passe (stocké uniquement sous forme de hachage cryptographique), date de naissance et la langue que vous sélectionnez, ainsi que la version des conditions que vous avez acceptées. Vous pouvez également vous connecter via Google (application Android et application web) ou Apple (application Android uniquement) (OAuth) ; dans ce cas, nous recevons de ces fournisseurs un identifiant ainsi que les données de profil que vous avez autorisées.
La date de naissance est collectée lors de l’inscription et sert à vérifier l’âge (voir 4.2). Nous ne collectons pas de pays d’origine et n’effectuons pas de géolocalisation par IP.
Base légale : art. 6(1)(b) du RGPD (exécution d’un contrat) ; concernant l’information sur l’âge, en outre l’art. 6(1)(c) en combinaison avec l’art. 8 du RGPD.
4.2 Âge minimum et enfants
L’application peut être utilisée dès l’âge de 4 ans. La date de naissance collectée lors de l’inscription sert à vérifier l’âge. Pour les utilisateurs de moins de 16 ans, les fonctionnalités sociales et en ligne – la fonction amis, le partage de pools et le défi en ligne – restent bloquées jusqu’à ce que le consentement d’un parent ou tuteur au sens de l’art. 8 du RGPD ait été donné. Le déblocage est contrôlé par le serveur au moyen de ce que l’on appelle des capabilities ; la date de naissance elle-même ne pilote pas l’interface. L’apprentissage avec ses propres listes de mots peut être utilisé indépendamment de cela.
Si nous apprenons que les fonctionnalités sociales ont été débloquées pour une personne de moins de 16 ans sans le consentement requis, nous les bloquerons sans délai et supprimerons les données issues de cette utilisation. Merci d’envoyer toute information de ce type à info@vokakitty.nl.
4.3 Contenu d’apprentissage et progression
Nous traitons les listes de mots (pools) et mots que vous créez, votre progression d’apprentissage (positions dans les boîtes de cartes, échéances, résultats des réponses), vos paramètres d’apprentissage et des éléments ludiques tels que le compteur de série et les pièces. Ces données sont stockées localement – dans l’application Android, dans une base de données chiffrée, dans l’application web, dans l’espace de stockage de votre navigateur (voir 4.10) – et synchronisées avec le serveur afin d’être disponibles sur plusieurs appareils et de ne pas être perdues. Base légale : art. 6(1)(b) du RGPD.
4.4 Amis et partages
Pour la fonction amis, nous traitons votre code ami, les demandes d’amis entrantes et sortantes, votre liste d’amis et votre liste de blocage. Les autres utilisateurs ne voient que votre identifiant utilisateur et votre nom d’utilisateur – jamais votre adresse e-mail, votre date de naissance, vos pièces, votre série ou vos paramètres. Base légale : art. 6(1)(b) du RGPD.
4.5 Défi en ligne
Dans le défi en ligne, nous traitons les données de la partie (participants, manches, résultats, scores). Elles sont visibles par les deux participants avec l’historique des parties. Base légale : art. 6(1)(b) du RGPD (exécution d’un contrat). L’application n’offre pas de fonction de chat ou de messagerie.
4.6 Notifications push (Firebase Cloud Messaging, application Android uniquement)
Pour les notifications push (invitations à un défi, événements sociaux, pools partagés, rappels d’apprentissage facultatifs), nous utilisons Firebase Cloud Messaging (FCM) de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. Un jeton d’appareil est transmis à Google et y est stocké. Le contenu des notifications est minimisé (uniquement le type d’événement, l’identifiant concerné et le nom d’utilisateur du compte à l’origine de l’événement) – aucun contenu de vocabulaire, nom de pool, adresse e-mail ou score. Un transfert vers les États-Unis ne peut être exclu ; Google s’appuie sur les clauses contractuelles types de l’UE ou sur le cadre EU-US Data Privacy Framework.
La base légale des notifications liées aux transactions est l’art. 6(1)(b) du RGPD. Les rappels d’apprentissage et de série reposent expressément sur un consentement préalable (opt-in) (art. 6(1)(a) du RGPD) et peuvent être désactivés à tout moment dans les paramètres de l’application. Vous pouvez également désactiver entièrement les notifications push au niveau du système d’exploitation. L’application web n’utilise pas Firebase Cloud Messaging (voir 4.10).
4.7 Fonctions d’IA
Certaines fonctionnalités facultatives utilisent un modèle de langage externe : textes à trous générés par IA dans le mode d’entraînement D (phrases isolées et courtes histoires), suggestions de traduction, détection de la langue d’un mot, informations complémentaires sur le vocabulaire, ainsi que l‘importation de listes de mots à partir de texte collé, de fichiers et de photos. Le fournisseur est configuré par le serveur au moment de l’exécution ; il s’agit actuellement d‘OpenAI, L.L.C. (3180 18th Street, San Francisco, CA 94110, États-Unis). Le fournisseur peut changer – par exemple pour un fournisseur compatible OpenAI ou pour Anthropic ; les informations actuelles sont tenues à jour à cet endroit du texte.
Seul ce dont la fonctionnalité concernée a besoin est transmis au fournisseur : les mots ou paires de mots et langues concernés, pour les histoires en outre les centres d’intérêt que vous avez éventuellement indiqués, lors de l’importation le texte que vous avez collé ou les photos que vous avez sélectionnées. Ne sont pas transmis : nom d’utilisateur, identifiant utilisateur, adresse e-mail, date de naissance, nom du pool, identifiant de l’appareil ou localisation. Veuillez noter que les photos et les textes collés sont transmis tels que vous les sélectionnez. S’ils contiennent des noms ou d’autres données personnelles (par exemple sur une feuille d’exercices), celles-ci parviennent également au fournisseur – rognez au préalable ces passages.
Les requêtes passent par notre propre serveur : l’application les envoie au backend de VokaKitty, qui les transmet au fournisseur. Le fournisseur ne connaît donc que l‘adresse IP de notre serveur, pas la vôtre, et la clé d’accès au fournisseur ne quitte jamais notre serveur. Ni l’application Android ni l’application web ne s’adressent directement au fournisseur. Les fournisseurs sont basés aux États-Unis ; le transfert repose sur les clauses contractuelles types de l’UE ou, lorsque le destinataire est certifié, sur le cadre EU-US Data Privacy Framework. Si vous n’utilisez aucune de ces fonctionnalités, aucun transfert vers le fournisseur n’a lieu. Base légale : art. 6(1)(b) du RGPD (fourniture de la fonctionnalité que vous avez appelée).
4.8 Médias
De courts clips de récompense (vidéos de chats) sont servis de façon statique depuis l’espace web et mis en cache sur l’appareil ou dans le navigateur. Cela implique uniquement la connexion techniquement nécessaire au serveur web (voir 3.1).
4.9 Stockage sur l’appareil (application Android)
Les jetons d’accès et de rafraîchissement sont stockés dans le trousseau Android (keystore) ou dans un espace de stockage chiffré, et la base de données locale d’apprentissage est chiffrée avec SQLCipher. La base de données et les jetons sont exclus de la sauvegarde automatique de l’appareil.
4.10 Particularités de l’application web
L’application web est chargée sous forme de fichiers de programme depuis notre serveur chez IONOS, puis s’exécute dans votre navigateur. Lors du chargement, les fichiers journaux du serveur décrits au point 3.1 sont générés. L’application web n’intègre aucun service d’analyse, de publicité ou de pistage et ne place aucun cookie à de telles fins.
Stockage dans le navigateur : afin que l’application web fonctionne aussi hors connexion, elle enregistre dans votre navigateur : la base de données d’apprentissage (pools, mots, progression d’apprentissage, paramètres) dans IndexedDB, les jetons d’accès et de rafraîchissement, un identifiant d’appareil généré aléatoirement ainsi que des paramètres de l’appareil (par exemple la langue) dans le localStorage, et les fichiers de programme ainsi que les clips de récompense dans le cache d’un Service Worker. Contrairement à l’application Android, ces données ne sont pas chiffrées en plus ; le navigateur et le système d’exploitation les isolent des autres sites web. Nous n’avons accès à aucune autre donnée de votre navigateur. La base légale du stockage et de la lecture est le § 25(2), n° 2 de la TDDDG (strictement nécessaire au service que vous demandez) en combinaison avec l’art. 6(1)(b) du RGPD.
Lors de la déconnexion, les jetons d’accès sont supprimés. Vous supprimez entièrement les autres données stockées localement en effaçant les données de site de l’application web dans votre navigateur (sur iPhone et iPad : Réglages → Apps → Safari → Avancé → Données de sites web). Les modifications non encore synchronisées sont alors perdues. Sur les appareils partagés, vous devriez vous déconnecter après utilisation et effacer les données de site.
Connexion avec Google : si vous appuyez sur « Se connecter avec Google » dans l’application web, votre navigateur ne charge un script de Google (accounts.google.com) qu’à ce moment-là. Google Ireland Limited reçoit alors votre adresse IP et des données techniques du navigateur ; la connexion elle-même est régie par les conditions de Google. Un transfert vers les États-Unis ne peut être exclu (voir 6). Sans cette action, aucun script de Google n’est chargé. La connexion avec Apple n’est pas disponible dans l’application web.
Rappels au lieu de notifications push : l’application web n’envoie pas de notifications push via Google ou Apple. Elle affiche les rappels d’apprentissage – uniquement si vous l’autorisez dans le navigateur – sous forme de notification locale tant que l’application web est ouverte. Aucune donnée n’est alors transmise à des tiers.
Appareil photo et photos : l’application web n’accède à l’appareil photo ou à la photothèque que si, lors de l’importation de listes de mots, vous prenez ou sélectionnez vous-même une photo ; pour le traitement ultérieur, voir 4.7. Inviter des amis : si vous partagez votre code ami, l’application web utilise la fonction de partage de votre système d’exploitation ; nous ne savons pas quel canal vous choisissez. Lorsqu’une personne ouvre un lien d’invitation, l’application web lit le code ami qu’il contient dans l’adresse.
5. Destinataires et sous-traitants
- IONOS SE, Montabaur – exploitation du site web, de l’application web et du serveur de l’application, ainsi que des boîtes de messagerie et de l’envoi des e-mails système et de confirmation (traitement pour notre compte, UE/Allemagne).
- Google Ireland Limited – notifications push via Firebase Cloud Messaging (application Android uniquement).
- Google Ireland Limited / Apple Inc. – lors de la connexion via « Se connecter avec Google » (application Android et application web) ou « Se connecter avec Apple » (application Android uniquement).
- OpenAI, L.L.C. (États-Unis) – lors de l’utilisation des fonctionnalités d’IA (voir 4.7), exclusivement via notre serveur, jamais directement depuis votre appareil. Le fournisseur de modèle de langage peut être modifié.
6. Transferts vers des pays tiers
Les transferts vers les États-Unis (notamment vers Google, OpenAI et – lors de la connexion via Apple – Apple) reposent sur les clauses contractuelles types de l’UE au titre de l’art. 46(2)(c) du RGPD et, lorsque les destinataires sont certifiés, sur le cadre EU-US Data Privacy Framework au titre de l’art. 45 du RGPD. Une copie des garanties peut être obtenue auprès du responsable du traitement.
7. Durées de conservation
- Données de compte et d’apprentissage : jusqu’à la suppression du compte.
- Après suppression du compte : suppression définitive des données d’identification, anonymisation irréversible du contenu ; puis suppression finale après le délai indiqué.
- Données de parties : tant que les comptes concernés existent ; en cas de suppression du compte, comme ci-dessus.
- Fichiers journaux du serveur : environ huit semaines.
- Données dans le navigateur (application web) : jusqu’à ce que vous effaciez les données de site dans le navigateur ; les jetons d’accès au plus tard jusqu’à la déconnexion.
- Jetons d’accès : 30 jours, jetons de rafraîchissement : 180 jours (invalides automatiquement ensuite).
8. Vos droits
Vous disposez du droit d‘accès (art. 15), de rectification (art. 16), d‘effacement (art. 17), de limitation du traitement (art. 18), de portabilité des données (art. 20) et d‘opposition (art. 21 du RGPD). Vous pouvez retirer un consentement donné à tout moment, avec effet pour l’avenir.
Vous pouvez exercer votre droit à l’effacement directement dans l’application : le compte entier via Profil → Supprimer le compte (instructions sous supprimer votre compte), et des mots, pools ou progressions d’apprentissage individuels directement dans la zone « Pools » (instructions sous supprimer des mots et des pools). Pour toute autre demande, veuillez contacter info@vokakitty.nl.
Vous avez le droit d‘introduire une réclamation auprès d’une autorité de contrôle. L’autorité compétente est celle de votre lieu de résidence, ou l’autorité compétente pour le responsable du traitement :
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Postfach 31 63, 65021 Wiesbaden, Allemagne
Téléphone : +49 611 1408-0 · E-mail : poststelle@datenschutz.hessen.de
9. Obligation de fournir des données
La fourniture d’un nom d’utilisateur, d’une adresse e-mail, d’un mot de passe et d’une date de naissance est nécessaire à la conclusion du contrat. Sans ces informations, aucun compte ne peut être créé et l’application ne peut pas être utilisée.
10. Modifications de cette politique de confidentialité
Nous adaptons cette politique de confidentialité lorsque le traitement des données évolue ou que des exigences légales le rendent nécessaire. La version actuelle est toujours disponible sur cette page.