Politique de confidentialité

1. Responsable du traitement

[Dénomination sociale]
[Forme juridique] au capital de [montant] €
Siège social : [Adresse complète]
RCS [Ville] n° [numéro]
Email : privacy@finquest-app.com
Représentée par Alexandre Vuillerot, en qualité de Directeur de la publication.

2. Données personnelles collectées

2.1. Données de compte

• Adresse email (obligatoire*) — Création de compte, communication
• Mot de passe (hashé, obligatoire*) — Authentification
• Nom d'affichage (optionnel) — Personnalisation, classements
• Avatar / photo de profil (optionnel) — Personnalisation du profil
• Identifiant social (Google, Apple) — Connexion via compte tiers

* L'email et le mot de passe sont obligatoires pour un compte classique. En cas de connexion via Google ou Apple, l'identifiant social remplace le mot de passe. Un mode anonyme est disponible avec des fonctionnalités limitées.

2.2. Données d'utilisation et de progression

• Leçons suivies, modules et parcours complétés
• Réponses aux quiz et scores
• Points d'expérience (XP), séries quotidiennes
• Participation aux ligues et classements
• Activité quotidienne et historique de connexion
• Énergie, Coins et Jetons (soldes et transactions)
• Préférences et objectifs financiers

2.3. Données financières (optionnelles)

Si vous choisissez de connecter un compte bancaire, les données suivantes sont collectées en lecture seule :

• Identifiant de connexion bancaire (fourni par le prestataire tiers)
• Transactions : montant, devise, catégorie, commerçant, date
• Métadonnées de la connexion (date de synchronisation, statut)

FinQuest n'a jamais accès à vos identifiants bancaires (login, mot de passe, codes). Vous pouvez déconnecter votre compte bancaire à tout moment.

2.4. Données techniques

• Identifiant unique de l'appareil (Device ID)
• Modèle d'appareil, système d'exploitation et version
• Version de l'Application
• Adresse IP (conservée 30 jours maximum)
• Langue et fuseau horaire
• Plateforme (iOS / Android)

3. Finalités et bases légales du traitement

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale :

• Exécution du contrat (Art. 6.1.b) : création et gestion du compte, fourniture du service, personnalisation des leçons et quiz par IA, gestion des abonnements et achats, fonctionnement de la gamification
• Consentement (Art. 6.1.a) : analyse pédagogique des transactions bancaires, envoi de notifications push
• Intérêt légitime (Art. 6.1.f) : analyses statistiques et amélioration du service, détection de fraude et sécurité
• Obligation légale (Art. 6.1.c) : respect des obligations légales et fiscales

4. Destinataires et sous-traitants

Vos données peuvent être transmises aux sous-traitants suivants :

• Hetzner Online GmbH (Allemagne, UE) — Hébergement de l'infrastructure
• RevenueCat Inc. (États-Unis, CCT) — Gestion des abonnements
• Expo (650 Industries Inc.) (États-Unis, CCT) — Service de notifications push (relais APNs/FCM)
• PostHog Inc. (Union européenne) — Analyses statistiques
• Sentry / Functional Software Inc. (États-Unis, CCT) — Suivi des erreurs
• Anthropic PBC (États-Unis, CCT) — Génération de quiz par IA
• Apple Inc. / Google LLC (États-Unis, CCT) — Distribution, paiements

Nous ne vendons jamais vos données personnelles à des tiers.

4.1. Transferts hors Union européenne

Certains sous-traitants sont situés hors de l'UE (États-Unis). Ces transferts sont encadrés par des clauses contractuelles types (CCT) adoptées par la Commission européenne, conformément à l'article 46.2.c du RGPD.

5. Durée de conservation

• Données de compte : durée de vie du compte + 3 ans après suppression
• Données de progression : durée de vie du compte, supprimées à la clôture
• Données financières (transactions bancaires) : 12 mois maximum ou jusqu'à déconnexion
• Données techniques (logs, IP) : 30 jours
• Données de facturation : 10 ans (obligation légale comptable)
• Données de notifications push : jusqu'au retrait du consentement

À l'expiration des durées de conservation, les données sont supprimées ou anonymisées de manière irréversible.

6. Vos droits

Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Accès (Art. 15) — Obtenir la confirmation que vos données sont traitées et en recevoir une copie
• Rectification (Art. 16) — Corriger vos données inexactes ou incomplètes
• Effacement (Art. 17) — Demander la suppression de vos données (« droit à l'oubli »)
• Limitation (Art. 18) — Demander la limitation du traitement
• Portabilité (Art. 20) — Recevoir vos données dans un format structuré et lisible par machine
• Opposition (Art. 21) — Vous opposer au traitement fondé sur l'intérêt légitime
• Retrait du consentement (Art. 7.3) — Retirer votre consentement à tout moment
• Décision automatisée (Art. 22) — Ne pas faire l'objet d'une décision exclusivement automatisée

6.1. Comment exercer vos droits

Écrivez à privacy@finquest-app.com ou par courrier au siège social. Nous répondrons dans un délai maximum de 30 jours (Art. 12.3 RGPD).

6.2. Suppression du compte

Vous pouvez supprimer votre compte depuis les paramètres de l'Application. La suppression entraîne l'effacement de vos données personnelles, sous réserve des obligations légales de conservation.

6.3. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez saisir la CNIL :
3, place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07
Site web : www.cnil.fr

7. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles conformément à l'article 32 du RGPD :

• Chiffrement en transit : protocole TLS (HTTPS)
• Chiffrement au repos : données sensibles chiffrées sur les serveurs
• Mots de passe : hashés avec bcrypt (jamais stockés en clair)
• Accès restreint : principe du moindre privilège
• Hébergement sécurisé : Hetzner Online GmbH en Allemagne (UE), datacenters certifiés ISO 27001
• Monitoring : surveillance continue via Sentry

8. Cookies et traceurs

8.1. Sur le site internet

• Cookies essentiels (session, CSRF) — Pas de consentement requis
• Cookies analytiques (PostHog) — Consentement requis

Vous pouvez gérer vos préférences via le bandeau de consentement ou les paramètres de votre navigateur.

8.2. Dans l'application mobile

L'application utilise des SDK tiers (PostHog, Sentry, Expo) pouvant collecter des données techniques. Conformément aux recommandations de la CNIL (septembre 2024), nous recueillons votre consentement pour les traceurs non essentiels et ne demandons que les permissions strictement nécessaires.

9. Intelligence artificielle

FinQuest utilise l'IA (Anthropic) pour générer des quiz personnalisés. Les données transmises se limitent aux informations nécessaires à la génération du contenu (thème de la leçon, niveau). Aucune donnée financière personnelle n'est transmise. Ce traitement est encadré par un contrat de sous-traitance conforme à l'article 28 du RGPD.

10. Classements et données sociales

En participant aux ligues et classements, les informations suivantes peuvent être visibles par d'autres utilisateurs : nom d'affichage (ou pseudonyme), avatar, points d'expérience et classement. Aucune autre donnée personnelle n'est partagée.

11. Mineurs

L'Application est destinée aux personnes de 18 ans et plus. Nous ne collectons pas sciemment de données de mineurs. Si nous découvrons qu'un mineur a créé un compte, nous procéderons à sa suppression dans les meilleurs délais.

12. Modification de la politique

Nous nous réservons le droit de modifier cette politique à tout moment. En cas de modification substantielle, vous serez informé par notification dans l'Application et par email. La date de dernière mise à jour est indiquée en haut de cette page.

13. Contact

Pour toute question relative à la protection de vos données :
Email : privacy@finquest-app.com
Courrier : [Dénomination sociale] — [Adresse complète]