Politique de confidentialité

1 L'essentiel

Lanti est conçue pour que les informations de votre famille restent sur votre iPhone.

• Aucun compte, rien chez l'éditeur. Ni vous ni votre enfant n'avez de compte à ouvrir. VISION PM (l'« Éditeur ») ne reçoit, ne stocke et ne consulte aucune donnée personnelle issue de l'Application : les textes envoyés au service d'intelligence artificielle passent par un serveur de l'Éditeur qui les transmet sans les enregistrer (§ 4), et seule la mesure d'audience anonyme, que vous pouvez désactiver, lui parvient (§ 5). Les documents juridiques se lisent sur des pages de ce même serveur, que l'Espace parent ouvre quand vous le demandez (§ 5 bis).
• Pas de compte pour l'enfant, pas de publicité, pas de traceur publicitaire, pas de SDK de publicité. Seule une mesure d'audience anonyme, pour le seul compte de l'Éditeur et désactivable à tout moment, compte quelles fonctions servent ; elle ne contient ni question, ni réponse, ni information permettant d'identifier votre enfant ou vous-même.
• La voix de votre enfant ne quitte jamais l'iPhone : elle est transformée en texte sur l'appareil, puis le son est effacé.
• Votre voix (quand vous lisez un défi) reste sur l'iPhone : l'Application ne l'envoie nulle part et l'exclut des sauvegardes.
• Les textes ne sortent de l'iPhone qu'avec votre accord explicite : pour rédiger une réponse ou un quiz, le texte de la question et les échanges précédents de la séance, l'âge et le genre de votre enfant, et des consignes sont envoyés au service d'intelligence artificielle de Mistral AI, entreprise française, qui les traite en Europe (§ 4) — et, pour vérifier qu'ils conviennent à un enfant, le texte de cette question puis celui de la réponse sont vérifiés par le service de modération de Mistral AI (§ 4 bis). Ces textes ne servent pas à entraîner ses modèles, Mistral AI ne les conserve pas, et ils ne quittent pas l'Europe. Par ailleurs, sauf si vous les désactivez, des statistiques d'utilisation anonymes, sans aucun texte et sans lien avec vous, mesurent l'audience de l'Application pour l'Éditeur (§ 5). Le prénom de votre enfant n'est jamais envoyé.

2 Qui est responsable

Éditeur : VISION PM, EURL. Ses coordonnées, dont le contact pour les données personnelles, sont en fin de document (§ 11).

Les données décrites au § 3 sont conservées sur votre iPhone, sous votre contrôle. Pour la rédaction des réponses (§ 4) et la vérification de sécurité des questions et des réponses (§ 4 bis), l'Éditeur est responsable du traitement : les textes passent par son serveur, hébergé en France par Scaleway (§ 4), qui les transmet à Mistral AI, son sous-traitant, avec sa propre clé d'accès — vous n'avez pas de compte à ouvrir chez lui, et ce serveur ne conserve aucun texte. Pour la mesure d'audience (§ 5), l'Éditeur est responsable du traitement et fait appel à TelemetryDeck GmbH.

3 Ce qui est conservé sur votre iPhone

La voix de l'enfant. Pendant que l'enfant appuie sur le personnage, le son est enregistré dans un fichier temporaire, transcrit en texte par la reconnaissance vocale d'iOS sur l'appareil, puis le fichier est supprimé. Aucun son n'est conservé ni transmis.

Face ID. Si vous l'activez, c'est iOS qui reconnaît votre visage (ou votre empreinte, avec Touch ID) ; l'Application ne reçoit qu'un « oui » ou un « non », jamais votre visage ni aucune donnée biométrique, et n'envoie rien.

Votre voix. Les enregistrements des défis sont des fichiers conservés dans le dossier privé de l'Application, exclus des sauvegardes iCloud et des sauvegardes sur ordinateur, et protégés par le chiffrement de l'iPhone. L'Application ne les envoie jamais, ni à Mistral AI, ni à l'Éditeur, ni à quiconque.

Aucune coordonnée. L'Application ne vous demande ni adresse e-mail, ni numéro de téléphone, ni adresse postale. Une adresse e-mail donnée dans une version précédente de l'Application est effacée de l'iPhone à la première ouverture de la nouvelle version.

Sauvegardes et iCloud. Si la sauvegarde iCloud ou la sauvegarde sur ordinateur de votre iPhone est activée, iOS peut y inclure les données de l'Application (sauf vos enregistrements vocaux, et sauf le code parent, lié à cet iPhone). Ces sauvegardes, comme tout stockage dans iCloud ou dans un autre service que vous choisiriez pour vos contenus (y compris votre voix), relèvent de votre compte Apple ou de ce service et de votre responsabilité : VISION PM n'en est pas responsable et n'y a pas accès.

4 Ce qui est envoyé au service d'intelligence artificielle (Mistral AI)

Quand une question n'a pas de réponse déjà connue sur l'iPhone, l'Application envoie au service d'intelligence artificielle de Mistral AI, qui rédige la réponse, par une connexion chiffrée et par le serveur de l'Éditeur (ci-dessous), les éléments suivants. Si le modèle principal de Mistral AI ne répond pas (panne, délai dépassé, réponse inutilisable), les mêmes éléments sont envoyés à un autre modèle de Mistral AI, par le même chemin et dans les mêmes conditions, qui rédige alors la réponse à sa place. Aucun autre fournisseur n'intervient.

• le texte de la question (jamais le son) — y compris celui de la question que le personnage propose après une réponse, quand l'enfant répond « oui » ;
• pendant une même séance de questions (de l'ouverture de « Poser une question » à la sortie), les questions et réponses précédentes de cette séance et les questions déjà proposées, pour que la réponse suive la conversation et qu'une proposition ne revienne pas. L'Application n'ouvre aucune conversation conservée chez ces services : chaque envoi contient ce qu'il faut, et la séance est oubliée sur l'iPhone dès que l'enfant quitte « Poser une question » ;
• l'âge de l'enfant, en années (jamais son année de naissance), et son genre (garçon ou fille), pour adapter la réponse ;
• les noms des sujets bloqués activés, y compris ceux que vous créez, pour qu'une question sur ces sujets soit renvoyée vers vous (jamais la liste de leurs mots) ;
• des consignes de rédaction adaptées à un enfant ;
• pour fabriquer un quiz : quelques paires question / réponse déjà entendues par l'enfant, avec son âge en années et son genre ;
• un jeton d'accès au serveur de l'Éditeur, obtenu une fois pour cette installation grâce à l'attestation d'Apple (App Attest), qui prouve que la demande vient d'une vraie copie de Lanti sur un vrai appareil Apple : le serveur en tire un identifiant d'installation pseudonyme, sans lien avec vous, le numéro de série ou l'identifiant publicitaire de l'iPhone, qui sert seulement à limiter le nombre d'appels par installation : le serveur ne le garde qu'en mémoire, sans base de données, l'oublie à chaque redémarrage et ne l'écrit dans aucun journal, pas même sous une forme abrégée. Rien n'identifie votre foyer ; une réinstallation en crée un nouveau. La clé d'accès à Mistral AI n'est jamais dans l'Application : le serveur de l'Éditeur l'ajoute.

Une question refusée par le filtre de mots ou par la vérification de sécurité (§ 4 bis) n'est pas envoyée. Aucun autre élément n'est transmis : ni la voix, ni le prénom de l'enfant, ni vos défis, vos enregistrements, le numéro de série ou l'identifiant publicitaire de l'appareil, ou la localisation.

Le serveur de l'Éditeur. Chaque envoi passe par un serveur de l'Éditeur (api.lanti.visionpm.fr), hébergé en France par Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris (région Paris). Il vérifie que la demande vient d'une vraie copie de Lanti et a la forme attendue, y ajoute la clé d'accès de l'Éditeur et la transmet telle quelle à Mistral AI, puis renvoie la réponse. Il ne conserve aucun texte : il n'a pas de base de données, et son journal technique ne note, pour chaque demande, que la route appelée, le résultat, l'heure et la durée — jamais la question, la réponse, l'âge ou le genre. Le nombre d'appels de chaque installation est compté en mémoire, le temps de la journée, sous l'identifiant pseudonyme ci-dessus.

Votre accord. Avant toute première question, un écran de la configuration vous explique ce qui est envoyé, ce qui ne l'est jamais, à qui et pourquoi, et vous demande « J'accepte » ou « Je refuse ». Rien n'est envoyé avant « J'accepte ». Vous pouvez changer d'avis à tout moment dans Espace parent › Réglages › Intelligence artificielle : dès la question suivante, plus rien n'est envoyé, et l'Application ne répond qu'avec les réponses déjà présentes sur l'iPhone. Si ce qui est envoyé change, votre accord vous est redemandé.

Mistral AI traite ces données comme sous-traitant de l'Éditeur, uniquement pour rédiger la réponse ou le quiz (et pour la vérification du § 4 bis). Mistral AI, société de droit français immatriculée au RCS de Paris sous le numéro 952 418 325, 15 rue des Halles, 75001 Paris, reçoit ces textes du serveur de l'Éditeur, avec la clé d'accès de l'Éditeur : vous n'avez pas de compte à créer, et rien n'identifie votre foyer. Aucune conservation chez Mistral AI. Mistral AI applique au compte de l'Éditeur la conservation nulle (« Zero Data Retention ») : pour les services qu'utilise l'Application (rédaction des réponses et vérification de sécurité), il ne conserve ni n'enregistre les textes reçus et ses réponses au-delà du temps strictement nécessaire pour produire sa réponse. Ces textes ne sont donc ni conservés ni utilisés pour entraîner les modèles de Mistral AI. Traitement en Europe. Le serveur de l'Éditeur n'appelle Mistral AI que par son point d'accès européen (api.eu.mistral.ai) : selon Mistral AI, les textes reçus et ses réponses y sont traités dans des centres de données situés dans l'Union européenne et dans les pays de l'AELE (Islande, Liechtenstein, Norvège, Suisse). Les données du compte de l'Éditeur chez Mistral AI (clé d'accès, facturation, volumes d'utilisation) peuvent être traitées ailleurs ; elles ne contiennent aucun texte de votre enfant.

Les garanties de Mistral AI. Le traitement est encadré par l'accord de traitement des données de Mistral AI, conforme au RGPD et intégré à ses conditions (legal.mistral.ai/terms/data-processing-addendum) ; la liste de ses propres sous-traitants est publiée sur trust.mistral.ai/subprocessors. Selon Mistral AI, ses données sont hébergées par défaut dans l'Union européenne, avec des sauvegardes chiffrées réparties entre plusieurs zones de l'Union, et ses services sont conformes aux référentiels de sécurité SOC 2 Type II, ISO 27001 et ISO 27701 ; ses rapports et certificats sont consultables sur son centre de confiance (trust.mistral.ai). Ses conditions et sa politique de confidentialité : legal.mistral.ai/terms.

4 bis La vérification de sécurité par Mistral AI

Pour s'assurer que ce que l'enfant demande et ce qu'il entend lui conviennent, l'Application fait vérifier ces textes par le service de modération de Mistral AI, par une connexion chiffrée :

• le texte d'une question (jamais le son) qui va être envoyée au service d'intelligence artificielle (§ 4), juste avant cet envoi, avec les questions précédentes de la même séance, pour en juger le sens dans son contexte : la question est vérifiée seule et dans ce contexte — une question à laquelle l'iPhone sait déjà répondre, ou une question de départ de l'Application, n'est pas envoyée ;
• le texte de la réponse rédigée par le service d'intelligence artificielle, avec la question que le personnage proposera ensuite, avant que Lanti ne la dise ;
• le texte d'un quiz rédigé par le service d'intelligence artificielle (ses questions, leurs choix de réponse et leurs explications), avant qu'il ne soit proposé à l'enfant.

Rien d'autre n'est transmis : ni l'âge, ni le genre, ni le prénom de l'enfant, ni les sujets bloqués, ni les réponses précédentes de la séance, ni l'identifiant de l'appareil ou la localisation.

Ce qu'il en résulte. Une question refusée n'est pas envoyée au service d'intelligence artificielle ; une réponse refusée est retenue et n'est jamais dite à l'enfant, qui est invité à en parler avec ses parents. La question, la catégorie en cause et, le cas échéant, la réponse retenue sont conservées sur l'iPhone, dans l'onglet Incidents de l'Espace parent ; rien n'est décompté des questions du jour. Un quiz refusé, ou qui n'a pas pu être vérifié, n'est jamais proposé. Un quiz refusé est conservé sur l'iPhone, avec la catégorie en cause, dans l'onglet Incidents de l'Espace parent, et l'Application en fabrique un autre quand l'enfant aura posé de nouvelles questions ; quand la vérification n'a pas pu se faire (sans connexion, par exemple), rien n'est conservé et elle réessaie plus tard.

Qui. Mistral AI, le même sous-traitant qu'au § 4, dans les mêmes conditions et par le même serveur de l'Éditeur : clé d'accès de l'Éditeur, point d'accès européen, aucune conservation des textes (« Zero Data Retention »), aucun entraînement de ses modèles.

Votre accord. Cette vérification fait partie de l'envoi au service d'intelligence artificielle que vous acceptez ou refusez (§ 4) : si vous refusez, rien n'est envoyé à Mistral AI.

5 Statistiques d'utilisation (mesure d'audience)

Pour savoir quelles fonctions de l'Application servent vraiment, à quelle fréquence ses limites sont atteintes et si ses quiz sont à la bonne mesure pour chaque âge, l'Application envoie des statistiques d'utilisation. C'est une mesure d'audience faite pour le seul compte de l'Éditeur, qui ne sert qu'à produire des statistiques anonymes : jamais à suivre une personne, à la reconnaître, à faire de la publicité ou à croiser ces statistiques avec d'autres données. Conformément aux recommandations de la CNIL sur la mesure d'audience, elle ne demande pas votre accord préalable, mais vous pouvez la désactiver à tout moment ; l'Application fonctionne alors exactement de la même façon.

Ce qui est envoyé :

• le nom de l'action effectuée, choisi dans une liste fixe et rattaché au personnage concerné (par exemple « Lanti : question répondue », « Wonderli : quiz terminé », « Comète : défi joué ») ou à l'Espace parent (par exemple « page Mots bloqués ouverte », « mot ajouté »), et, le cas échéant, des précisions tirées elles aussi de listes fixes : d'où venait une réponse (service d'intelligence artificielle, mémoire de l'iPhone ou réponses de départ), pourquoi une question est restée sans réponse (par exemple filtre de mots, vérification de sécurité, limite de questions du jour, absence de connexion), comment une activité a été ouverte, la galaxie jouée ou l'accessoire porté (parmi ceux fournis avec l'Application), le résultat d'un quiz terminé (son nombre de questions, de bonnes réponses et d'étoiles gagnées), la fin du temps de jeu du jour, avec la durée choisie (par exemple 1 h), si elle dépassait ou non la durée conseillée pour l'âge de l'enfant, et l'activité où était l'enfant ; la nature d'une question refusée, le mot ou le sujet en cause ne sont jamais envoyés, pas plus que ce que vous écrivez dans l'Espace parent (mots bloqués, sujets, défis, cartes) ;
• la tranche d'âge de l'enfant (4-6, 7-9 ou 10-12 ans) ;
• des informations techniques ajoutées automatiquement par l'outil de mesure : version et numéro de build de l'Application, version d'iOS, modèle d'iPhone, architecture, taille, échelle et orientation de l'écran, fuseau horaire, langue, région, thème clair ou sombre, sens de lecture, date et heure du jour (jour, semaine, mois, trimestre, heure), mode d'installation (App Store, TestFlight ou développement), identifiant aléatoire de la session en cours (renouvelé à chaque lancement). Les réglages d'accessibilité de l'iPhone et l'historique d'utilisation que l'outil tient d'ordinaire (date du premier lancement, nombre de jours et de sessions, durée des sessions) sont remplacés par un tiret avant l'envoi ;
• aucun identifiant propre à votre iPhone : l'Application envoie le même mot pour tous les iPhone, de sorte que TelemetryDeck compte tous les iPhone ensemble et ne peut pas distinguer les statistiques de l'un de celles d'un autre ; seul l'identifiant de la session en cours, cité plus haut, change à chaque lancement. L'identifiant tiré au hasard que gardaient les versions précédentes de l'Application est effacé de l'iPhone à la mise à jour.

Ce qui n'est jamais envoyé : le texte des questions et des réponses, le prénom, l'année de naissance ou le genre de l'enfant, votre voix ou celle de l'enfant, vos défis, l'identifiant de l'appareil ou son identifiant publicitaire, la localisation. L'adresse IP n'est pas conservée.

Qui les collecte : VISION PM, l'Éditeur, est le responsable de cette mesure d'audience, qu'il fait pour son seul compte. Les statistiques sont reçues par TelemetryDeck GmbH, Von-der-Tann-Str. 54, 86159 Augsburg (Allemagne), dont les serveurs sont dans l'Union européenne (Amsterdam, Francfort, Falkenstein et Nuremberg) et qui ne conserve jamais les adresses IP, ni dans sa base ni dans ses journaux. TelemetryDeck ne reçoit de l'Application que des données qu'elle traite comme anonymes et considère, selon ses conditions, comme ne relevant pas du RGPD ; elle n'annonce pas de durée de suppression de ces statistiques anonymes. L'Éditeur ne consulte que des tableaux de statistiques anonymes et ne peut pas les relier à une personne ; il ne les croise avec aucune autre donnée.

Votre choix : l'Application vous présente cette mesure d'audience à la fin de la configuration. Vous pouvez vous y opposer à tout moment, sans avoir à vous justifier, dans Espace parent › Réglages › Statistiques d'utilisation : dès que vous les désactivez, plus rien n'est envoyé, et les statistiques en attente sur l'iPhone sont effacées. Votre choix est conservé sur l'iPhone ; vous pouvez réactiver les statistiques au même endroit.

5 bis Les documents juridiques en ligne

L'Application ne contient pas de copie des documents juridiques. Dans l'Espace parent (Réglages › Informations légales, et l'écran de l'accord pour l'intelligence artificielle), un lien ouvre, quand vous le touchez et seulement alors, la page qui les rassemble — conditions d'utilisation, présente politique, conditions de vente, mentions légales et aide, chacun avec sa version et sa date (https://api.lanti.visionpm.fr/) — dans un navigateur intégré à l'Application, qui ne partage ni cookies ni historique avec Safari.

Ces pages sont servies par le serveur de l'Éditeur décrit au § 4, hébergé en France par Scaleway SAS (région Paris) : elles ne passent plus par un hébergeur situé hors de l'Union européenne. Comme toute page web, le serveur reçoit ce que tout navigateur transmet, notamment l'adresse IP et le type d'appareil, mais il ne les enregistre pas : son journal technique ne note, pour chaque page, que son adresse, le résultat, l'heure et la durée. Les pages n'ont ni cookie, ni script, ni mesure d'audience, et ne chargent rien depuis un autre site. L'Application n'y envoie rien d'autre : ni le prénom ou l'âge de l'enfant, ni ses questions, ni rien de ce que vous avez écrit. Sans connexion, la page ne s'ouvre pas ; les documents restent consultables à la même adresse depuis tout autre appareil.

6 Apple

L'Application est téléchargée depuis l'App Store et utilise des fonctions d'iOS (reconnaissance vocale sur l'appareil, Face ID ou Touch ID si vous l'activez, trousseau, sauvegardes). Apple traite les données liées à votre compte Apple et, si vous l'avez accepté dans les réglages d'iOS, des rapports de diagnostic, selon sa propre politique de confidentialité.

7 Bases légales

• Exécution du service que vous avez choisi d'utiliser : historique, quiz, défis, réglages conservés sur l'iPhone ; l'accès de cette installation au serveur de l'Éditeur (§ 4).
• Consentement : l'envoi des questions à Mistral AI et leur vérification de sécurité par Mistral AI (retirable dans Espace parent › Réglages › Intelligence artificielle).
• Intérêt légitime de l'Éditeur à mesurer l'audience de son Application pour l'améliorer : les statistiques d'utilisation (§ 5), anonymes, exemptées de consentement selon les recommandations de la CNIL sur la mesure d'audience ; vous pouvez vous y opposer à tout moment dans Espace parent › Réglages › Statistiques d'utilisation.

Les données concernant l'enfant sont traitées à l'initiative et sous le contrôle de son parent ou représentant légal, qui configure l'Application et accepte la présente politique.

8 Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (articles 15 à 21 du RGPD), ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Pour les données de votre iPhone, vous les exercez directement :

• consulter : Espace parent (Questions, Quiz, Défis, Incidents, Réglages) ;
• corriger : prénom, année de naissance, genre, défis, sujets et mots bloqués dans l'Espace parent ;
• effacer : supprimer un défi, « Supprimer ma voix », retirer votre accord à l'envoi des questions, ou supprimer l'Application pour tout effacer ;
• textes transmis à Mistral AI : auprès de l'Éditeur (§ 11), qui transmet votre demande à son sous-traitant ; comme l'Éditeur ne reçoit pas ces textes et que rien ne les relie à vous, il peut ne pas pouvoir les retrouver ;
• statistiques d'utilisation : opposez-vous-y en les désactivant dans Espace parent › Réglages ; comme rien ne les relie à vous, l'Éditeur ne peut pas retrouver celles d'un parent en particulier.

Pour toute question, écrivez à l'Éditeur (§ 11). Vous pouvez aussi adresser une réclamation à la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

9 Sécurité

Code parent dans le trousseau d'iOS, lié à cet iPhone ; données protégées par le chiffrement de l'appareil ; Espace parent protégé par un code et une porte d'accès adulte ; échanges avec le serveur de l'Éditeur et envoi des statistiques chiffrés (HTTPS) ; serveur de l'Éditeur réservé aux vraies copies de Lanti (attestation Apple), sans base de données, et seul détenteur de la clé d'accès à Mistral AI, jamais présente dans l'Application ; Accès guidé recommandé pour que l'enfant reste dans l'Application.

10 Modifications

Chaque version de cette politique porte un numéro et une date. Elle est mise à jour avant toute évolution de l'Application qui change les données traitées ou les destinataires, et consultable à tout moment dans Espace parent › Réglages › Informations légales et à l'adresse https://api.lanti.visionpm.fr/confidentialite/.

11 Coordonnées de l'éditeur