La présente Politique de confidentialité décrit les traitements de données personnelles mis en œuvre lors de l'utilisation du site https://littlesagas.fr/ et des applications Little Sagas (ci-après les « Services ») : navigation, création de compte, création des profils lecteurs, lecture, achat d'abonnement et prise de contact.
En tant que responsable de traitement, la micro-entreprise MOCHEL, éditrice des Services (ci-après « Little Sagas »), veille au respect du Règlement (UE) 2016/679 (ci-après « RGPD »), de la loi Informatique et Libertés n°78-17 du 6 janvier 1978 modifiée et, plus généralement, de toute réglementation française et européenne relative à la protection des données personnelles.
Le RGPD définit la donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable ». Une donnée personnelle peut être un nom, un prénom, un numéro de téléphone, mais également une adresse IP.
1. Qui est responsable du traitement de vos données ?
Micro-entreprise MOCHEL
Domiciliée au 3 rue des Vignes, 67310 WESTHOFFEN
Inscrite au RCS de Saverne
SIREN : 102032067 - SIRET : 102 032 067 00013
Vous pouvez contacter le responsable de traitement :
- par courrier : Micro-entreprise MOCHEL, 3 rue des Vignes, 67310 WESTHOFFEN ;
- par courrier électronique : contact@littlesagas.fr
2. Quelles données sont collectées ?
Little Sagas collecte uniquement les données suivantes, auprès du parent ou du titulaire de l'autorité parentale, ou générées par l'utilisation des Services :
- Données du compte parent : prénom*, nom*, identifiant, adresse électronique*, mot de passe*, code PIN parental, et numéro de téléphone (facultatif, uniquement si vous acceptez d'être contacté pour un entretien de lancement).
- Données des profils lecteurs (saisies par le parent) : prénom du héros (un surnom peut être utilisé), genre (pour les accords grammaticaux du texte), mois et année de naissance (pour adapter les histoires à l'âge exact de l'enfant), niveau de lecture (ajustable par le parent) et avatar.
- Données relatives aux achats : abonnement, factures, justificatifs et preuves d'achat, achats pour le compte d'autrui (cartes cadeaux), codes d'activation et de parrainage. Les paiements sont traités par Stripe (sur le site) ou par l'App Store et Google Play (dans les applications) : Little Sagas n'a jamais accès à votre numéro de carte bancaire.
- Données de lecture et d'utilisation : type de service (gratuit ou payant), langue de lecture, catégorie de lecture, police de lecture adaptée, histoires lues (tags, catégorie et genre narratif, type de fin choisie), date et heure d'utilisation, avancement de la lecture, mots sélectionnés dans le dictionnaire interactif, choix réalisés dans les histoires à embranchements, notes attribuées aux histoires, jours consécutifs de lecture, succès, badges et récompenses numériques.
- Données de préférences : langue, préférences en matière de tags, catégories et genres narratifs, coefficient d'affinité et recommandations qui en découlent.
- Données techniques : journaux serveur (date, heure et pays de connexion, adresse IP, système d'exploitation et navigateur) et données de fréquentation (pages consultées, durée et source de la visite, identifiant de session), utilisées uniquement pour produire des statistiques agrégées.
- Données de mesure publicitaire : uniquement sur les pages d'accueil, d'inscription et d'abonnement, et uniquement si vous l'acceptez, des événements de navigation sont transmis à Meta par son pixel (voir notre Politique de traceurs).
- Données liées à l'exercice de vos droits : le contenu de votre demande et, uniquement en cas de doute raisonnable sur votre identité, une copie de pièce d'identité.
* Les données signalées par un astérisque sont nécessaires à la création du compte. Les autres sont facultatives.
3. Comment les données des enfants sont-elles protégées ?
Profil public. Le profil public est désactivé par défaut. Il ne peut être activé que par le parent, avec son code PIN, et peut être désactivé à tout moment. Il n'affiche que l'initiale et l'avatar de l'enfant, jamais son prénom. Il n'est accessible que par un lien anonyme que le parent choisit de partager : aucun annuaire ni aucune recherche ne permet de retrouver un profil.
Bien que Little Sagas soit un service européen soumis au droit français et européen, il s'inspire également des principes du Children's Online Privacy Protection Act (COPPA) américain : aucune information d'identification n'est demandée à un enfant de moins de 13 ans, toute information le concernant étant saisie par l'intermédiaire du compte parent.
4. Pourquoi vos données sont-elles traitées, et sur quelle base légale ?
| Finalité | Base légale |
|---|---|
| Création et gestion du compte parent et des profils lecteurs | Exécution du contrat |
| Fourniture du service de lecture : bibliothèque, avancement, dictionnaire interactif, histoires à embranchements, succès et badges | Exécution du contrat |
| Adaptation des histoires à l'âge de l'enfant et recommandations personnalisées | Exécution du contrat |
| Suivi parental et bilan hebdomadaire par e-mail | Exécution du contrat |
| Gestion des abonnements, des paiements et de la facturation | Exécution du contrat ; obligation légale (comptabilité) |
| Profil public de l'enfant | Consentement du parent |
| Entretien téléphonique de lancement | Consentement (numéro de téléphone renseigné de façon facultative) |
| Suivi des inscriptions et organisation des entretiens de lancement | Intérêt légitime |
| Mesure de l'efficacité de nos campagnes publicitaires (pixel Meta, pages d'accueil, d'inscription et d'abonnement) | Consentement |
| Statistiques agrégées et amélioration du catalogue d'histoires | Intérêt légitime |
| Sécurité des Services, journaux serveur et statistiques de fréquentation | Intérêt légitime |
| Réponse aux demandes d'exercice de droits et aux réquisitions des autorités | Obligation légale |
Aucun traitement ne repose sur le consentement de l'enfant : les profils lecteurs sont créés par le parent dans le cadre du contrat qu'il conclut avec Little Sagas.
Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment : depuis les réglages du profil public, via le lien « Gérer les cookies » en pied de page, ou par simple demande à contact@littlesagas.fr.
Lorsque le traitement repose sur l'intérêt légitime, Little Sagas a évalué que cet intérêt ne porte pas une atteinte excessive à vos droits ni à ceux de votre enfant, notamment grâce à l'agrégation des données et à l'absence de toute décision individuelle. Vous pouvez obtenir le détail de cette évaluation sur demande et vous opposer à ces traitements (voir section 8).
5. Qui sont les destinataires de vos données ?
Vos données sont traitées par Little Sagas et peuvent être communiquées à des prestataires agissant en tant que sous-traitants, dans la limite de ce qui est nécessaire à leur mission :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage | Hébergement UE (Irlande). Société américaine : clauses contractuelles types |
| OVH SAS | Hébergement du site et de l'API | France (UE) |
| Stripe, Inc. | Traitement des paiements sur le site | États-Unis : Data Privacy Framework |
| RevenueCat, Inc. | Gestion des abonnements souscrits via l'App Store et Google Play | États-Unis : Data Privacy Framework |
| Sendinblue SAS (Brevo) | Envoi des e-mails transactionnels et du bilan hebdomadaire | France (UE) |
| LeadConnector LLC | Suivi des inscriptions et organisation des entretiens de lancement (données du parent uniquement) | États-Unis : Data Privacy Framework |
Certaines données sont également traitées par des tiers agissant pour leur propre compte :
- Meta Platforms Ireland Limited, responsable conjoint avec Little Sagas de la collecte réalisée par le pixel Meta sur les pages d'accueil, d'inscription et d'abonnement, si vous l'acceptez. Meta traite ensuite ces données selon sa propre politique de confidentialité.
- Apple et Google, pour les achats réalisés dans les applications, selon leurs propres politiques.
- Les autorités administratives et judiciaires compétentes, notamment dans le cadre de réquisitions.
6. Vos données sont-elles transférées hors de l'Union européenne ?
Certains destinataires sont établis aux États-Unis. Ces transferts sont encadrés :
- par la décision d'adéquation de la Commission européenne relative au Data Privacy Framework, pour Stripe, RevenueCat, LeadConnector et Meta Platforms, Inc. Little Sagas vérifie l'inscription de chacun de ces destinataires sur la liste officielle (dataprivacyframework.gov) ;
- par les clauses contractuelles types de la Commission européenne pour Supabase, dont les données sont par ailleurs hébergées dans l'Union européenne (Irlande).
7. Combien de temps vos données sont-elles conservées ?
Compte et profils lecteurs : pendant toute la durée d'utilisation du compte. Après 2 ans d'inactivité continue, le compte est supprimé, après notification préalable.
Données brutes utilisées pour les recommandations : 15 jours glissants.
Événements de lecture et notes : pendant toute la durée du compte, pour le suivi parental, la progression et l'amélioration des Services. Ils sont supprimés avec le compte.
Statistiques agrégées : elles peuvent être conservées après la suppression du compte, dès lors qu'elles ne permettent plus d'identifier un utilisateur.
Profil public : jusqu'à sa désactivation ou la suppression du compte.
Numéro de téléphone : supprimé au plus tard 12 mois après l'inscription, ou plus tôt sur simple demande.
Données transmises à l'outil de suivi des inscriptions : supprimées au plus tard 3 ans après votre dernier contact avec Little Sagas, ou dès la suppression de votre compte.
Choix relatif aux traceurs : 6 mois.
Journaux serveur : 12 mois maximum, puis suppression ou anonymisation par agrégation.
Pièce d'identité : supprimée dès que la vérification de votre identité est effectuée.
Données comptables : 10 ans, conformément aux obligations légales.
8. Quels sont vos droits ?
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez à tout moment, pour vous et pour votre enfant, des droits suivants :
- Droit d'accès à vos données et à une copie de celles-ci (article 15) ;
- Droit de rectification des données inexactes ou incomplètes (article 16) ;
- Droit à l'effacement de vos données (article 17) ;
- Droit à la limitation du traitement (article 18) ;
- Droit à la portabilité de vos données (article 20) ;
- Droit d'opposition aux traitements fondés sur l'intérêt légitime (article 21) ;
- Retrait du consentement à tout moment, lorsque le traitement repose sur celui-ci (article 7.3).
Vous pouvez également définir des directives relatives au sort de vos données après votre décès.
9. Comment exercer vos droits ?
- Directement depuis l'application : vous pouvez modifier les profils lecteurs, et supprimer votre compte et l'ensemble des données associées dans Réglages parent → Supprimer mon compte.
- Par e-mail : contact@littlesagas.fr
- Par courrier : Micro-entreprise MOCHEL, 3 rue des Vignes, 67310 WESTHOFFEN
Little Sagas répond dans un délai d'un mois. Une copie de pièce d'identité ne vous sera demandée qu'en cas de doute raisonnable sur votre identité.
Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr - 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
10. Quelles mesures de sécurité protègent vos données ?
Afin de sécuriser vos données contre la destruction, l'altération et les accès non autorisés, Little Sagas met notamment en œuvre : le hachage des mots de passe et des codes PIN (jamais stockés en clair), le chiffrement des communications via HTTPS/TLS, la protection de la base de données par des politiques de sécurité au niveau des lignes (Row Level Security), et le traitement des paiements exclusivement par des prestataires certifiés PCI-DSS (Stripe, Apple, Google). Little Sagas ne stocke jamais les numéros de carte bancaire.
This Privacy Policy describes how personal data is processed when you use the website https://littlesagas.fr/ and the Little Sagas apps (the "Services"): browsing, creating an account, creating reader profiles, reading, purchasing a subscription and contacting us.
As data controller, the sole proprietorship MOCHEL, publisher of the Services ("Little Sagas"), complies with Regulation (EU) 2016/679 ("GDPR"), the French Data Protection Act No. 78-17 of 6 January 1978 as amended and, more generally, all applicable French and European data protection rules.
The GDPR defines personal data as "any information relating to an identified or identifiable natural person". Personal data may include a name, a first name, a phone number, but also an IP address.
1. Who is the data controller?
Sole proprietorship MOCHEL
3 rue des Vignes, 67310 WESTHOFFEN, France
Registered with the RCS of Saverne
SIREN: 102032067 - SIRET: 102 032 067 00013
You may contact the data controller:
- by post: Sole proprietorship MOCHEL, 3 rue des Vignes, 67310 WESTHOFFEN, France;
- by email: contact@littlesagas.fr
2. What data is collected?
Little Sagas only collects the following data, from the parent or legal guardian, or generated through use of the Services:
- Parent account data: first name*, last name*, username, email address*, password*, parental PIN code, and phone number (optional, only if you agree to be contacted for a launch interview).
- Reader profile data (entered by the parent): hero's first name (a nickname works too), gender (for grammatical agreement in the text), month and year of birth (to match stories to the child's exact age), reading level (adjustable by the parent) and avatar.
- Purchase data: subscription, invoices, proof of purchase, purchases on behalf of others (gift cards), activation and referral codes. Payments are processed by Stripe (on the website) or by the App Store and Google Play (in the apps): Little Sagas never has access to your card number.
- Reading and usage data: service type (free or paid), reading language, reading category, dyslexia-friendly font, stories read (tags, category and narrative genre, ending chosen), date and time of use, reading progress, words selected in the interactive dictionary, choices made in branching stories, ratings given to stories, consecutive reading days, achievements, badges and digital rewards.
- Preference data: language, tag, category and narrative-genre preferences, affinity coefficient and the resulting recommendations.
- Technical data: server logs (date, time and country of connection, IP address, operating system and browser) and traffic data (pages viewed, visit duration and source, session identifier), used only to produce aggregated statistics.
- Advertising measurement data: only on the home, sign-up and subscription pages, and only if you accept, browsing events are sent to Meta through its pixel (see our Tracker Policy).
- Data related to rights requests: the content of your request and, only where there is reasonable doubt about your identity, a copy of an ID document.
* Data marked with an asterisk is required to create an account. All other data is optional.
3. How is children's data protected?
Public profile. The public profile is off by default. It can only be turned on by the parent, with their PIN code, and can be turned off at any time. It only shows the child's initial and avatar, never their first name. It can only be reached through an anonymous link that the parent chooses to share: there is no directory and no search that would allow anyone to find a profile.
Although Little Sagas is a European service governed by French and European law, it also follows the principles of the US Children's Online Privacy Protection Act (COPPA): no identifying information is ever requested from a child under 13, and all information about the child is entered through the parent account.
4. Why is your data processed, and on what legal basis?
| Purpose | Legal basis |
|---|---|
| Creating and managing the parent account and reader profiles | Performance of a contract |
| Providing the reading service: library, progress, interactive dictionary, branching stories, achievements and badges | Performance of a contract |
| Matching stories to the child's age and personalised recommendations | Performance of a contract |
| Parental tracking and weekly email report | Performance of a contract |
| Managing subscriptions, payments and invoicing | Performance of a contract; legal obligation (accounting) |
| Child's public profile | Parent's consent |
| Launch phone interview | Consent (phone number provided on an optional basis) |
| Tracking sign-ups and organising launch interviews | Legitimate interest |
| Measuring the effectiveness of our advertising campaigns (Meta pixel, home, sign-up and subscription pages) | Consent |
| Aggregated statistics and improvement of the story catalogue | Legitimate interest |
| Security of the Services, server logs and traffic statistics | Legitimate interest |
| Handling rights requests and requests from authorities | Legal obligation |
No processing relies on the child's consent: reader profiles are created by the parent under the contract they enter into with Little Sagas.
Where processing is based on your consent, you can withdraw it at any time: from the public profile settings, through the "Manage cookies" link in the footer, or simply by writing to contact@littlesagas.fr.
Where processing is based on legitimate interest, Little Sagas has assessed that this interest does not unduly affect your rights or your child's, in particular because data is aggregated and no individual decision is ever made. You can request the details of this assessment and object to this processing (see section 8).
5. Who receives your data?
Your data is processed by Little Sagas and may be shared with service providers acting as processors, only to the extent needed for their task:
| Processor | Role | Location |
|---|---|---|
| Supabase Inc. | Database, authentication, storage | EU hosting (Ireland). US company: Standard Contractual Clauses |
| OVH SAS | Website and API hosting | France (EU) |
| Stripe, Inc. | Payment processing on the website | United States: Data Privacy Framework |
| RevenueCat, Inc. | Management of subscriptions purchased through the App Store and Google Play | United States: Data Privacy Framework |
| Sendinblue SAS (Brevo) | Transactional emails and weekly report | France (EU) |
| LeadConnector LLC | Tracking sign-ups and organising launch interviews (parent data only) | United States: Data Privacy Framework |
Some data is also processed by third parties acting on their own behalf:
- Meta Platforms Ireland Limited, joint controller with Little Sagas for the collection carried out by the Meta pixel on the home, sign-up and subscription pages, if you accept it. Meta then processes this data under its own privacy policy.
- Apple and Google, for purchases made in the apps, under their own policies.
- The competent administrative and judicial authorities, in particular when legally required.
6. Is your data transferred outside the European Union?
Some recipients are based in the United States. These transfers are safeguarded:
- by the European Commission's adequacy decision on the Data Privacy Framework, for Stripe, RevenueCat, LeadConnector and Meta Platforms, Inc. Little Sagas checks that each of these recipients appears on the official list (dataprivacyframework.gov);
- by the European Commission's Standard Contractual Clauses for Supabase, whose data is in any case hosted in the European Union (Ireland).
7. How long is your data kept?
Account and reader profiles: for as long as the account is used. After 2 years of continuous inactivity, the account is deleted, following prior notice.
Raw data used for recommendations: rolling 15-day period.
Reading events and ratings: for as long as the account exists, for parental tracking, progress and service improvement. They are deleted with the account.
Aggregated statistics: may be kept after the account is deleted, provided they no longer allow any user to be identified.
Public profile: until it is turned off or the account is deleted.
Phone number: deleted no later than 12 months after sign-up, or earlier on request.
Data sent to the sign-up tracking tool: deleted no later than 3 years after your last contact with Little Sagas, or as soon as your account is deleted.
Your tracker choice: 6 months.
Server logs: 12 months maximum, then deleted or anonymised through aggregation.
ID document: deleted as soon as your identity has been verified.
Accounting data: 10 years, as required by law.
8. What are your rights?
Under the GDPR and the French Data Protection Act, you have the following rights at any time, for yourself and for your child:
- Right of access to your data and to a copy of it (Article 15);
- Right to rectification of inaccurate or incomplete data (Article 16);
- Right to erasure of your data (Article 17);
- Right to restriction of processing (Article 18);
- Right to data portability (Article 20);
- Right to object to processing based on legitimate interest (Article 21);
- Right to withdraw consent at any time, where processing is based on consent (Article 7.3).
You may also set instructions regarding what happens to your data after your death.
9. How can you exercise your rights?
- Directly in the app: you can edit reader profiles, and delete your account and all associated data under Parent Settings → Delete my account.
- By email: contact@littlesagas.fr
- By post: Sole proprietorship MOCHEL, 3 rue des Vignes, 67310 WESTHOFFEN, France
Little Sagas replies within one month. A copy of an ID document will only be requested where there is reasonable doubt about your identity.
You also have the right to lodge a complaint with the French data protection authority (CNIL): www.cnil.fr - 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France.
10. What security measures protect your data?
To secure your data against destruction, alteration and unauthorised access, Little Sagas implements in particular: hashing of passwords and PIN codes (never stored in plain text), encryption of communications via HTTPS/TLS, protection of the database through Row Level Security policies, and payment processing exclusively by PCI-DSS certified providers (Stripe, Apple, Google). Little Sagas never stores card numbers.