Politique de confidentialité

1. Responsable de traitement

Xavier Damie, personne physique, éditeur de MERITS
Adresse : 15 Avenue André Diligent, BCoworker, 59100 Roubaix, France
Contact : contact@merits-app.com

2. Contact pour vos données personnelles

MERITS n'a pas désigné de délégué à la protection des données (DPO) à ce jour. Pour toute question relative à vos données personnelles ou à celles de vos enfants, écrivez à :
admin@merits-app.com

3. Catégories de données collectées

3a. Questionnaire de découverte (avant la création du compte)

• Sur l'ado : prénom, sexe, classe, moyennes des derniers bulletins
• Sur ses besoins : votre intention, votre ressenti, les difficultés rencontrées, son autonomie, ce qui le motive, l'organisation de la famille (par exemple une garde alternée)
• Sur l'argent de poche : montant actuel, budget visé

Ces réponses servent à recommander un profil motivationnel et à configurer les premiers MERITS. Le profil recommandé est une simple suggestion : c'est vous qui le validez ou le modifiez, aucune décision n'est prise automatiquement à votre place ou à celle de votre enfant. Pendant le questionnaire, les réponses sont conservées dans le stockage local de votre navigateur, sur l'appareil utilisé (vous pouvez les effacer en supprimant les données du site). À la création du compte, elles sont enregistrées et rattachées à votre compte, conservées tant qu'il existe et supprimées avec lui.

Si le questionnaire ne peut pas aboutir (bêta complète, famille hors de France, besoin non couvert) et que vous laissez votre adresse e-mail pour être prévenu, nous enregistrons cette adresse et le motif, uniquement pour vous écrire à l'ouverture.

Les données des anciennes candidatures bêta (formulaire d'accès anticipé, supprimé le 16 octobre 2026) ont été effacées.

3b. Compte utilisateur (app MERITS)

• Données de profil du parent : nom, prénom, adresse e-mail, rôle (parent/enfant), avatar ou photo de profil, code postal (pour connaître la zone de vacances scolaires)
• Second parent : lorsque vous invitez un autre parent dans le foyer, le lien d'invitation et, s'il crée son compte, ses données de profil
• Données de l'enfant : prénom, nom s'il est renseigné, pseudo, identifiant de connexion, adresse e-mail si vous la renseignez, sexe, date de naissance, classe, filière, établissement, avatar ou photo, thème de couleur choisi
• Accord du parent : pour chaque enfant, date de l'accord sur le traitement de ses données, choix sur la mesure d'audience dans son espace, parent qui l'a donné et version des textes en vigueur ; pour chaque parent, date et version des conditions d'utilisation et de la politique de confidentialité qu'il a acceptées
• Données scolaires : notes, moyennes, matières, mention du conseil de classe. Si vous déposez le bulletin de votre enfant (PDF), il est lu sur nos serveurs sans être conservé : seuls la période, les moyennes et la mention sont extraits, et seuls les chiffres que vous validez sont enregistrés. Le nom, l'INE, la date de naissance et les appréciations du bulletin ne sont jamais retenus.
• Profil motivationnel et règles : profil retenu, MERITS configurés, socle et paliers de bonus ou malus
• Événements comportementaux : bonus, malus, MERITS ponctuels, observations parentales, propositions et contestations de l'enfant
• Cagnotte et versements : montants calculés, historique des mouvements, rythme et déclarations de versement (aucune coordonnée bancaire)
• Classements : moyenne et progression de l'enfant, comparées à celles d'autres ados MERITS (voir ci-dessous)
• Notifications : notifications affichées dans l'app et, si vous les activez, l'abonnement de votre appareil aux notifications push
• Données de navigation : pages visitées, fréquence d'utilisation, données techniques (navigateur, appareil), seulement si vous l'acceptez (pour l'espace d'un enfant, si son parent l'autorise)

Les comptes créés avec une version antérieure de l'inscription peuvent aussi contenir la date de naissance, le sexe, la profession, la ville et le numéro de téléphone du parent, s'ils avaient été renseignés. Ces informations ne sont plus demandées.

Photos de profil : la photo d'un enfant ou d'un parent n'est visible que par l'enfant concerné et les parents de son foyer. Elle est supprimée avec le compte.

Les observations et commentaires sont des champs libres : merci de ne pas y écrire d'informations de santé ou d'autres informations sensibles sur votre enfant.

Classements : par défaut, l'enfant apparaît dans les classements de l'espace enfant, visibles des autres ados MERITS (pendant la bêta, un classement unique réunit toutes les familles). Il y figure sous son pseudo ou, à défaut, sous son prénom suivi de l'initiale de son nom, avec sa moyenne ou sa progression. Un classement ne s'affiche qu'à partir d'un nombre minimum d'enfants. Le parent peut retirer l'enfant des classements à tout moment depuis la fiche de l'enfant (« Participer aux classements »).

Les données de navigation sont mesurées via PostHog (hébergement Union européenne) et Google Analytics 4, uniquement si vous l'acceptez dans le bandeau d'information. Dans l'espace parent, PostHog inclut une relecture de session : les champs de formulaire (e-mail, montants, informations sur l'enfant) y sont systématiquement masqués. Cette relecture est conservée 30 jours au plus, distinctement des 13 mois applicables aux autres données de navigation. Dans l'espace enfant, aucun bandeau n'est présenté à l'enfant : la mesure n'a lieu que si vous l'avez autorisée pour cet enfant, à la création de son espace ou depuis sa fiche. Il n'y a alors ni relecture de session, ni profil individuel, ni envoi à Google Analytics : seuls des compteurs d'écrans et d'actions sont mesurés, sans le nom ni l'identifiant de compte de l'enfant.

3c. Formulaire de contact et e-mails

Le formulaire de contact transmet votre nom, votre adresse e-mail et votre message à notre messagerie. Il n'est pas enregistré dans l'application. Les e-mails que vous nous envoyez, notamment pour exercer vos droits, sont conservés le temps de traiter votre demande et d'en garder la trace.

4. Finalités du traitement

• Fourniture et gestion du service MERITS (suivi scolaire et comportemental)
• Calcul de la cagnotte de l'enfant à partir des règles fixées par le parent
• Personnalisation de l'expérience utilisateur (profil motivationnel, badges, séries, classements)
• Amélioration du service via la mesure d'audience, si vous l'acceptez
• Statistiques sur l'usage des cagnottes, pour étudier l'évolution des comportements à l'échelle de l'ensemble des familles (voir section 6)
• Communication avec les utilisateurs (notifications, alertes, e-mails liés au compte, information à l'ouverture pour les personnes inscrites)
• Sécurité du service (protection contre les robots et les abus, traçabilité des mouvements de cagnotte)
• Respect des obligations légales

5. Base légale des traitements

• Exécution des CGU (Art. 6.1.b RGPD) : questionnaire, données de compte, données de l'enfant, données scolaires, comportementales, cagnotte et versements, nécessaires à la fourniture du service. À la création de l'espace de chaque enfant, quel que soit son âge, le parent confirme accepter ce traitement pour lui ; son accord est enregistré et daté, avec la version des textes en vigueur
• Consentement (Art. 6.1.a RGPD) : mesure d'audience (PostHog, Google Analytics) et inscription pour être prévenu de l'ouverture. Pour l'espace d'un enfant, c'est le parent qui consent, quel que soit l'âge de l'enfant. Vous pouvez retirer votre consentement à la mesure d'audience à tout moment : pour votre espace depuis Profil, rubrique « Sécurité et données » (« Mesure d'audience »), ou en effaçant les données du site dans votre navigateur ; pour l'espace d'un enfant depuis sa fiche (Profil, Ma famille)
• Intérêt légitime (Art. 6.1.f RGPD) : sécurité du service et prévention des fraudes ; classements entre ados (le parent peut s'y opposer à tout moment, voir section 3) ; statistiques sur l'usage des cagnottes (Art. 89 RGPD, voir section 6)

6. Durées de conservation

• Données de compte : durée de l'utilisation du service, puis 3 ans au plus après la dernière activité
• Données scolaires et comportementales : année scolaire en cours + 2 ans, et jamais au-delà de la suppression du compte
• Fin de la bêta : la bêta prend fin le 31 décembre 2026. Si vous ne poursuivez pas avec un abonnement, votre compte et les données de votre foyer sont alors supprimés (voir CGU, article 4)
• Inscription pour être prévenu de l'ouverture : 12 mois au plus après votre inscription, puis votre adresse est effacée
• Notifications : 12 mois au plus après leur envoi
• Données de navigation / mesure d'audience : 13 mois au plus
• Relecture de session (PostHog, espace parent) : 30 jours au plus
• Journal de sécurité des mouvements de cagnotte et journaux techniques : 12 mois au plus, y compris après la suppression du compte
• Statistiques sur les cagnottes : 5 ans après la suppression du compte (voir ci-dessous)

Statistiques sur les cagnottes : à la suppression d'un compte, MERITS conserve la liste des mouvements de cagnotte (montant, type de mouvement, date, libellé dont les noms sont retirés), sans nom, sans adresse e-mail et sans identifiant de compte, et sans lien entre les mouvements d'un même enfant. Elle sert uniquement à produire des statistiques d'ensemble sur l'évolution des comportements (par exemple la part des bonus et des malus au fil de l'année), jamais à prendre une décision sur une personne. Si vous ne souhaitez pas que les mouvements de votre foyer y figurent, écrivez-nous avant de supprimer votre compte.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès (Art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie
• Droit de rectification (Art. 16) : corriger vos données inexactes ou incomplètes
• Droit à l'effacement (Art. 17) : demander la suppression de vos données
• Droit à la portabilité (Art. 20) : recevoir vos données dans un format structuré et lisible par machine
• Droit à la limitation (Art. 18) : faire suspendre l'utilisation de vos données le temps de vérifier une contestation
• Droit d'opposition (Art. 21) : vous opposer aux traitements fondés sur l'intérêt légitime, par exemple la participation de votre enfant aux classements ou l'utilisation statistique des mouvements de cagnotte
• Retrait du consentement (Art. 7) : retirer à tout moment votre accord à la mesure d'audience, sans conséquence sur l'accès au service

Droit à l'effacement : la suppression du compte depuis l'application est immédiate (compte du parent, comptes des enfants et données du foyer). Seuls subsistent le journal de sécurité, effacé dans les 12 mois, et les statistiques sur les cagnottes décrites en section 6.

Pour exercer vos droits, notamment pour recevoir une copie de vos données, contactez-nous à : admin@merits-app.com. Nous répondons dans un délai d'un mois, à l'adresse e-mail de votre compte.

La copie vous est envoyée par e-mail dans un format structuré et lisible par machine (JSON ou CSV), pour vous et pour les enfants de votre foyer. Votre enfant peut aussi exercer ses droits lui-même ou par votre intermédiaire.

8. Prestataires et transferts de données hors UE

MERITS s'appuie sur les prestataires techniques suivants, qui traitent des données pour son compte. Certains sont établis hors de l'Union européenne :

• Supabase Inc. (États-Unis) : base de données, authentification, stockage des photos et traitements serveur. Les données sont hébergées dans l'Union européenne (région Paris)
• Vercel Inc. (États-Unis) : hébergement du site web et de l'application
• Resend (États-Unis, s'appuie sur Amazon Web Services) : envoi des e-mails liés au compte
• PostHog (données hébergées dans l'Union européenne) : mesure d'audience, après consentement
• Google (États-Unis) : Google Analytics 4 après consentement, polices de caractères, et connexion avec un compte Google si vous la choisissez
• Cloudflare (États-Unis) : protection anti-robots (Turnstile) sur les formulaires, en mode invisible. Voir le Turnstile Privacy Addendum de Cloudflare
• Zoho (données hébergées dans l'Union européenne) : messagerie pour recevoir le formulaire de contact et répondre à vos e-mails
• Services de notification push de votre navigateur ou téléphone (Google, Apple, Mozilla), si vous activez les notifications

Les transferts vers des pays hors de l'Union européenne, y compris un accès à distance par un prestataire établi aux États-Unis, sont encadrés par les clauses contractuelles types de la Commission européenne ou, lorsque le prestataire y adhère, par le cadre de protection des données UE-États-Unis (Data Privacy Framework).

9. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
Site web : www.cnil.fr