Politique de confidentialité

1. En une phrase

Vos données personnelles (photos, messages, agenda, contacts) sont stockées exclusivement en Europe (Paris pour la base de données, Suisse pour le site vitrine). My Family Board ne contient aucun traceur publicitaire, et ne revend ni ne partage jamais vos données. Vos souvenirs appartiennent à votre foyer. Point.

2. Responsable de traitement

Association MANTRA, association loi 1901, SIRET 930 704 366 00010, siège 2 bis ruelle Galopine, 97460 Saint-Paul (voir mentions légales). Contact : contact@myfamilyboard.fr.

3. Quelles données et pourquoi

4. Données touchant à la santé

My Family Board n'est pas certifié HDS(Hébergeur de Données de Santé) et n'est pas conçu pour stocker des documents médicaux. Nous demandons expressément à nos utilisateurs de ne pas téléverser de documents médicaux(ordonnances, résultats d'analyses, diagnostics, comptes-rendus).

En revanche, l'application traite naturellement quelques informations qui touchent à la santé : rappels de médicaments, rendez-vous médicaux dans l'agenda, et échanges entre proches et professionnels de santé que vous invitez (médecin généraliste, kiné, infirmier). Ces données peuvent relever des catégories particulières du RGPD (article 9), à ce titre nous appliquons des mesures techniques renforcées : chiffrement, isolation stricte par foyer (Row Level Security), accès limité aux membres invités.

Si vous téléversez tout de même un document médical malgré nos avertissements affichés dans l'application, cela reste sous votre entière responsabilité. My Family Board ne peut être tenu responsable d'un défaut de confidentialité relatif à des données que vous n'auriez pas dû partager sur un service non certifié HDS.

5. Durée de conservation

• Compte actif : tant que votre abonnement ou compte gratuit est utilisé.
• Compte inactif 24 mois : suppression automatique après relance email.
• Messages éphémères : supprimés automatiquement après 24h.
• Appels à l'aide : conservés 30 jours puis anonymisés.
• Factures abonnement : 10 ans (obligation comptable).

Note sur les sauvegardes: après suppression d'un compte, les données peuvent subsister jusqu'à 7 joursdans nos sauvegardes automatiques chiffrées (Supabase PITR), nécessaires à la récupération en cas d'incident. Elles sont ensuite définitivement effacées. Cette pratique est conforme aux recommandations CNIL.

6. Nos prestataires techniques

Pour faire fonctionner My Family Board, nous nous appuyons sur des prestataires que nous avons choisis avec soin pour leur conformité RGPD et leur ancrage européen autant que possible.

Sous-traitants liés par un contrat de protection des données (DPA, art. 28 RGPD) :

• Supabase (base de données, stockage, authentification) — Supabase Inc., société de droit américain (Delaware, USA), avec hébergement physique exclusivement à Paris (eu-west-3) que nous avons exigé à la création du projet. Transferts encadrés par les Clauses Contractuelles Types (SCC, art. 46 RGPD).
• Vercel(hébergement applicatif) — société américaine, réseau Edge mondial servant uniquement le code de l'application. Vercel ne stocke aucune donnée personnelle de nos utilisateurs. Toutes les données de votre famille restent chez Supabase à Paris. Notre choix est assumé pour la qualité technique ; nous étudions à terme une migration vers un hébergeur européen souverain (Scaleway, OVH, Clever Cloud) dès que le volume d'utilisateurs justifiera l'investissement opérationnel.
• Mistral AI(gazette quotidienne, transcription vocale Voxtral, analyse de photos pour l'auto-tagging, notifications proactives) — Paris, France. Choix explicite pour ne pas dépendre d'un acteur d'IA hors UE pour le traitement des données de nos utilisateurs.
• Brevo (envoi emails transactionnels) — Paris, France.
• Infomaniak (hébergement site vitrine) — Genève, Suisse.
• Open-Meteo (météo affichée) — Europe, aucune donnée personnelle transmise.
• Jitsi Meet (ffmuc.net) (appels vidéo) — Allemagne, sans inscription, chiffrement pair-à-pair.

Destinataires de données (co-responsables indépendants) :

• Mollie(paiements et abonnements) — Amsterdam, Pays-Bas (UE). Pour les paiements, Mollie agit en tant que responsable de traitement indépendant (sa position publique). Aucun numéro de carte n'est stocké par My Family Board.

Note de transparence :Supabase liste OpenAI parmi ses sous-traitants pour ses fonctionnalités optionnelles d'intelligence artificielle. My Family Board n'utilise aucune de ces fonctionnalités. Notre IA passe exclusivement par Mistral (Paris). OpenAI ne traite donc aucune donnée de notre service.

Aucun prestataire publicitaire, aucun traceur Google / Meta / autre.

7. Vos droits RGPD

Conformément au Règlement Général sur la Protection des Données, vous disposez des droits suivants :

• Accès : obtenir une copie de vos données (export téléchargeable depuis les réglages, ou sur demande).
• Rectification : corriger vos informations depuis votre espace.
• Effacement : suppression totale de votre compte et de vos contenus (bouton « Supprimer mon compte » dans les réglages).
• Opposition : vous opposer à un traitement pour motif légitime.
• Portabilité : récupérer vos données dans un format ouvert (JSON).
• Limitation : demander le gel temporaire d'un traitement contesté.
• Réclamation : déposer une plainte auprès de la CNIL (cnil.fr).

Pour exercer ces droits : contact@myfamilyboard.fr. Réponse sous 30 jours.

8. Cookies et traceurs

My Family Board utilise uniquement les cookies strictement nécessaires au fonctionnement du service (session authentifiée, préférences d'affichage). Aucun cookie publicitaire, aucun cookie de mesure d'audience tiers. Pas de bannière cookie requise (CNIL, exemption fonctionnelle).

9. Mineurs

La création d'un compte aidant nécessite d'être majeur. L'aidé peut être un mineur : dans ce cas, l'aidant responsable garantit avoir l'autorité parentale et consent au traitement au nom du mineur.

10. Modifications

Nous pouvons faire évoluer cette politique pour refléter des changements techniques ou réglementaires. En cas de modification substantielle, nous vous prévenons par email au moins 30 jours avant l'entrée en vigueur.