Politique de confidentialité

Nestido sert à noter où dorment des enfants dont les parents vivent séparément. Ce sont des données de la vie privée d'une famille, et elles concernent des mineurs : elles méritent d'être traitées avec sérieux, et d'être décrites sans détour. Ce document dit tout ce que le service sait de vous.

Qui est responsable

Les données traitées par Nestido le sont sous la responsabilité de Eric Mollenthiel, entrepreneur individuel, SIREN 795 225 226, 103 avenue Lacassagne, 69003 Lyon, France. Pour toute question relative à cette politique ou à vos données : team@nestido.com.

Quelles données sont traitées

Votre compte : votre adresse e-mail, votre mot de passe (conservé uniquement sous forme d'empreinte, jamais en clair, et illisible même pour l'éditeur), la langue que vous avez choisie, la date de création du compte et le fait que votre adresse ait été vérifiée.

Le fait que vous soyez venu : la date de votre dernière visite et le nombre de jours où vous êtes venu, gardés sur votre compte. Rien d'autre : ni page consultée, ni heure, ni parcours. C'est ce qui permet de savoir si Nestido sert à quelqu'un, au titre de l'intérêt légitime de l'éditeur. Rien n'est déposé sur votre appareil, et aucun service extérieur n'est appelé.

Comment votre inscription est arrivée : deux indications sur le formulaire d'inscription lui-même, gardées sur votre compte : si un champ caché du formulaire, qu'aucune personne ne voit, a été rempli, et si le formulaire est parti en moins de trois secondes. Elles servent à distinguer une inscription posée par un programme automatique d'une inscription posée par un parent, pour que les chiffres de l'éditeur ne comptent pas des machines pour des personnes, au titre de son intérêt légitime. Elles n'ont jamais empêché ni ralenti une inscription, et elles ne le feront pas : votre compte est créé et servi de la même façon dans tous les cas. Ni votre adresse IP, ni votre navigateur, ni votre appareil, ni le réseau que vous empruntez ne sont enregistrés.

Par quel lien vous êtes arrivé : un mot gardé sur votre compte, pris dans une courte liste écrite par l'éditeur (le nom d'un annuaire, la boutique Google Play, l'application Android, ou « autre »), et « inconnu » quand le lien ne dit rien, ce qui est le cas le plus fréquent. Il sert à savoir par quels canaux les gens arrivent, au titre de l'intérêt légitime de l'éditeur. Il est posé une seule fois, à la création du compte, et n'est jamais modifié ensuite. Ni l'adresse de la page d'où vous venez, ni les pages que vous consultez, ni l'heure, ni votre adresse IP ne sont enregistrées.

Votre famille : le nom que vous lui donnez, son fuseau horaire, son pays et sa zone de vacances scolaires si vous les déclarez, le prénom, le rôle et la couleur de chaque membre, y compris ceux qui n'ont pas de compte.

Vos enfants : leur prénom, leur couleur, et leur date de naissance si vous choisissez de la renseigner, ce qui reste facultatif. Nestido ne demande ni nom de famille, ni école, ni adresse, ni photo, ni aucune donnée de santé.

Le planning : les lieux que vous créez et leur nature (la maison d'un parent, l'école, chez des proches, un séjour), les nuits passées à chacun, les passations notées, leur confirmation ou leur contestation par l'autre parent, le rythme de garde déclaré et ses parenthèses. C'est le cœur du service : sans ces données, il n'y a pas de planning.

Les rappels du soir, si vous les activez : l'adresse technique fournie par votre navigateur pour joindre votre appareil, les clés qui chiffrent la notification, et la date du dernier rappel envoyé. Cette adresse n'identifie pas votre appareil autrement que pour lui parler, et disparaît dès que vous désactivez les rappels.

Le rappel du soir par courriel, si vous le demandez : la date de votre demande. Il part vers l'adresse de votre compte, une fois celle-ci confirmée, et seulement la veille d'une bascule ; il dit le prénom des enfants, le lieu et l'heure. Il s'arrête d'un clic depuis le courriel lui-même ou depuis l'écran « Aujourd'hui ».

Le planning dans votre agenda, si vous le demandez : une adresse secrète, la date de votre demande et le dernier jour où votre agenda l'a relue. Votre agenda (Google, Apple, Microsoft ou un autre) y lit le prénom des enfants, le nom des lieux tels que vous les avez nommés et les heures de bascule, sur un mois passé et trois mois à venir ; ni adresse, ni notes, ni statistiques. Toute personne avec qui vous partagez cet agenda les voit aussi. Le bouton « Couper ce lien », sur l'écran « Aujourd'hui », arrête tout aussitôt.

Les journaux techniques du serveur : adresse IP, date, page demandée et navigateur, comme sur tout site web. Ils servent à la sécurité et au diagnostic de panne, et à rien d'autre.

Pourquoi, et sur quelle base légale

Fournir le service (tenir votre compte, votre famille et son planning, calculer le prévisionnel et les statistiques, permettre l'invitation de l'autre parent) : exécution du contrat qui nous lie, au sens de l'article 6.1.b du RGPD. Ces données ne sont pas facultatives : sans elles, il n'y a rien à afficher.

Vous envoyer les messages nécessaires (vérification d'adresse, mot de passe oublié, invitation que vous décidez d'envoyer) : exécution du contrat. Nestido n'envoie aucune lettre d'information et aucun message commercial.

Les rappels du soir sur votre téléphone : votre consentement, donné en activant les notifications, et retirable à tout moment depuis le même écran, sans conséquence sur le reste.

Le rappel du soir par courriel : votre consentement, donné en le demandant, et retirable à tout moment d'un clic depuis le courriel ou depuis l'écran « Aujourd'hui ».

Le planning dans votre agenda : votre consentement, donné en le demandant, et retirable à tout moment avec « Couper ce lien » sur l'écran « Aujourd'hui ».

Tenir le service debout et à l'abri (journaux, sauvegardes, blocage des tentatives de connexion en masse) : l'intérêt légitime de l'éditeur à ce que le service fonctionne et ne soit pas attaqué.

Les données des enfants

Les informations concernant vos enfants sont saisies par vous, et par vous seul. En les notant, vous déclarez être titulaire de l'autorité parentale, ou agir avec l'accord de celui qui l'est. Nestido ne s'adresse pas aux mineurs : aucun compte ne leur est destiné, et aucun enfant ne se connecte à l'application.

Le service est conçu pour en demander le moins possible : un prénom et une couleur suffisent à faire fonctionner un planning. La date de naissance ne sert qu'à afficher un âge, et rien ne vous oblige à la renseigner.

Ce que voit l'autre parent

C'est la question la plus importante d'une application partagée, et elle mérite une réponse nette. Les membres d'une même famille voient le même planning : les lieux, les nuits, les passations, les statistiques, et le prénom de qui a noté quoi. C'est l'objet même du service.

En revanche, votre adresse e-mail, votre mot de passe et votre langue restent à vous : ils n'apparaissent sur aucun écran de l'autre parent. Une famille est étanche : aucun compte ne peut lire le planning d'une famille dont il n'est pas membre, même en possession d'un lien.

Une invitation rattache un compte à un membre existant. Tant qu'elle n'a pas été acceptée, la personne invitée ne voit rien ; une fois acceptée, elle voit tout l'historique de la famille, y compris ce qui a été noté avant son arrivée. Une invitation peut être annulée tant qu'elle n'a pas servi.

Ce que Nestido ne fait pas

• Aucune donnée n'est vendue, louée, échangée ou cédée à un tiers.
• Aucune publicité, aucun profilage, aucune décision automatisée.
• Aucun traceur d'audience, aucun bouton de réseau social, aucun script tiers. Les pages de Nestido n'appellent aucun serveur extérieur.
• Le contenu de votre famille n'alimente l'entraînement d'aucun modèle d'intelligence artificielle : aucun assistant ne le lit (voir « Qui d'autre y a accès »).
• Aucune donnée n'est stockée sur votre appareil par l'application installée : son cache ne contient que l'écran « hors ligne » et les fichiers de style. Un téléphone perdu ne raconte pas où dorment vos enfants.

Cookies

Nestido n'utilise que des cookies nécessaires à son fonctionnement, ce qui le dispense de vous demander un consentement, et lui évite de vous imposer une bannière :

• un cookie de session, qui vous garde connecté le temps de votre visite ;
• un cookie de reconnexion, si vous restez connecté d'une visite à l'autre, valable trente jours ;
• un cookie d'autorisation pour le temps réel, qui permet à votre écran de se mettre à jour quand l'autre parent note quelque chose.

Votre choix de thème clair ou sombre est gardé par votre navigateur seul, et n'est jamais envoyé au serveur.

Combien de temps

Votre compte et le planning de votre famille

Tant que le compte existe. Vous pouvez le supprimer à tout moment, et cette suppression est immédiate.

La famille elle-même

Elle disparaît avec le dernier compte qui en fait partie. Tant qu'un autre parent a un compte, la famille et son historique lui restent : votre départ ne peut pas effacer sa mémoire, mais votre compte, lui, est bien supprimé.

Les sauvegardes de sécurité

Quatorze jours. Une donnée supprimée peut donc encore vivre ce délai dans une sauvegarde chiffrée, à laquelle personne n'accède hors incident, avant de disparaître pour de bon.

Les journaux techniques du serveur

Un an.

Les invitations non acceptées

Elles expirent d'elles-mêmes et cessent alors de fonctionner.

Qui d'autre y a accès

OVH SAS (Roubaix, France) héberge le serveur et la base de données, et achemine les courriers électroniques du service. Les serveurs sont situés en France. Le planning de votre famille ne quitte jamais l'Union européenne.

Si vous vous abonnez à Nestido+, le paiement est tenu par Stripe (Stripe Payments Europe, Dublin, Irlande), qui reçoit votre adresse e-mail, votre adresse de facturation, votre moyen de paiement et un identifiant de votre famille, et rien d'autre : ni prénom, ni lieu, ni planning. Stripe peut traiter ces données aux États-Unis, encadré par les clauses contractuelles types de la Commission européenne. Sans abonnement, Stripe ne reçoit rien de vous.

Les rappels du soir transitent par le service de notification de votre navigateur (Apple, Google ou Mozilla selon votre appareil), qui reçoit un message chiffré qu'il ne peut pas lire, uniquement si vous avez activé les rappels.

L'éditeur, en tant qu'administrateur du serveur, a techniquement accès à la base de données : c'est inévitable pour la maintenir. Il ne consulte le contenu d'une famille ni par curiosité, ni pour aucune raison commerciale, et n'y touche que sur demande explicite de la personne concernée ou pour réparer une panne qui l'exige.

L'éditeur exploite le serveur avec l'aide d'assistants d'intelligence artificielle : Claude, d'Anthropic (Anthropic Ireland, Dublin, Irlande), et Codex, d'OpenAI (OpenAI Ireland, Dublin, Irlande), qui traitent aux États-Unis ce qu'on leur donne à lire. Ils reçoivent les chiffres d'usage du service, où un compte n'est désigné que par un numéro (par exemple les dates d'inscription et de visite, la langue, la provenance), et, seulement quand la sécurité, une panne ou votre propre demande l'exige, les journaux techniques du serveur (adresse IP, navigateur) ou l'adresse e-mail d'un compte. Ils ne reçoivent jamais le contenu de votre famille : ni son nom, ni un prénom, ni un lieu, ni le planning. Ce ne sont pas des sous-traitants de l'éditeur : chacun traite ces données sous sa propre responsabilité, selon sa politique de confidentialité, et encadre leur transfert vers les États-Unis par les clauses contractuelles types de la Commission européenne ou par une décision d'adéquation. Le réglage qui leur permettrait d'entraîner leurs modèles sur ces échanges est coupé ; seul un échange signalé par les contrôles de sécurité d'Anthropic peut encore servir à entraîner ces contrôles.

Sécurité

Les échanges sont chiffrés de bout en bout par HTTPS. Les mots de passe sont conservés sous forme d'empreinte calculée par un algorithme conçu pour être lent à casser. Les identifiants qui voyagent dans les adresses web sont tirés au sort et impossibles à deviner. Chaque écran vérifie que ce qu'il montre appartient bien à la famille du compte connecté, et cette vérification est éprouvée automatiquement, route par route, à chaque modification du code.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, la CNIL sera informée dans les 72 heures et vous serez averti directement lorsque le risque est élevé.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données. Deux d'entre eux ne demandent aucune démarche, parce qu'ils sont dans l'application :

• Accès et portabilité : l'écran de votre compte télécharge, en un clic, un fichier contenant tout ce que Nestido sait de vous, dans un format ouvert et lisible par une machine comme par vous.
• Effacement : le même écran supprime votre compte, ce qui est immédiat et définitif.
• Rectification : les écrans de la famille, des enfants et des lieux modifient tout ce que vous y avez saisi.

Pour les autres, ou si quelque chose ne fonctionne pas : team@nestido.com. La réponse vous parviendra dans un délai d'un mois.

Si la réponse ne vous satisfait pas, vous pouvez adresser une réclamation à la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou depuis cnil.fr.

Supprimer votre compte

Vous pouvez supprimer votre compte Nestido vous-même, à tout moment et sans nous écrire : connectez-vous, ouvrez l'écran Mon compte, choisissez Supprimer mon compte, saisissez votre mot de passe, puis Supprimer définitivement. L'effacement a lieu tout de suite, il est définitif, et vous êtes déconnecté dans la foulée.

L'écran vous dit avant de confirmer ce qui va partir : si l'autre parent a un compte, la famille et son planning lui restent et votre prénom y redevient un membre sans compte ; si vous êtes le seul compte de la famille, tout part avec vous. Le même écran télécharge vos données, si vous voulez en garder une trace avant.

Si vous ne pouvez plus vous connecter, écrivez à team@nestido.com depuis l'adresse e-mail de votre compte : la suppression sera faite pour vous, une fois vérifié que la demande vient bien de vous.

Tout n'oblige pas à fermer votre compte : depuis l'application, vous pouvez supprimer une nuit notée, un lieu qui n'a jamais servi, un membre de la famille ou le rythme de garde déclaré. Un enfant s'efface tant qu'aucune nuit n'a été notée pour lui, ce qui répare une saisie de trop ; dès qu'il en a une, il s'archive : il quitte les écrans et son histoire reste, pour que la frise des nuits déjà notées ne se coupe pas.

Modifications

Cette politique peut être mise à jour, notamment si le service change. La date en tête de page indique la dernière version. Un changement qui toucherait vraiment vos données vous serait annoncé par courrier électronique, et non glissé discrètement dans un paragraphe.