Informations sur la protection des données

1. Responsable du traitement

Ci-après dénommé « Fornava » ou « nous ».

2. Contact protection des données

Pour toute question relative à la protection des données ou pour exercer vos droits, vous pouvez nous joindre à l'adresse de contact protection des données indiquée ci-dessus. Vous pouvez nous écrire par e-mail ou utiliser « Vos données » dans Fornava.

Nous répondons en principe sans délai injustifié, au plus tard dans un délai d'un mois (art. 12 par. 3 du RGPD). Pour les demandes complexes, ce délai peut être prolongé de deux mois supplémentaires. Nous vous en informons en temps utile.

L'exercice de vos droits est en principe gratuit. En cas de demandes manifestement infondées ou excessives, nous pouvons exiger une redevance raisonnable ou refuser la demande (art. 12 par. 5 du RGPD).

3. Délégué à la protection des données

Aucun délégué à la protection des données n'est actuellement désigné, sauf si la loi l'exige. L'existence d'une obligation de désignation au titre de l'art. 37 du RGPD en liaison avec le § 38 du BDSG dépend notamment de l'identité et de l'ampleur du responsable et fait l'objet d'un examen continu.

Si un délégué à la protection des données est désigné, son nom et ses coordonnées seront ajoutés ici.

4. Finalités du traitement

Nous traitons des données à caractère personnel notamment aux fins suivantes :

• Mise à disposition de votre compte, connexion et gestion des sessions
• Stockage de votre progression d'apprentissage, de vos paires de langues, cartes et révisions
• Mise à disposition de contenus de jeu, scènes du village, outils et aperçus de progression
• Intégration, évaluation de niveau et adaptation de votre parcours d'apprentissage
• Chat, dialogue et fonctions d'apprentissage assistées par IA, si vous y avez consenti
• Saisie et synthèse vocales via notre propre infrastructure, si vous utilisez les fonctions IA
• Chronique, duels, forge et autres outils assistés par IA
• Traitement des retours et des demandes d'assistance
• Traitement des demandes en matière de protection des données (art. 15 à 22 du RGPD)
• Sécurité informatique, prévention des abus et fonctionnement stable
• Analyse d'utilisation optionnelle pour améliorer Fornava, uniquement si vous y avez consenti. Nous ne collectons actuellement aucune donnée d'utilisation.

5. Bases juridiques

Selon l'opération, nous fondons le traitement sur les bases juridiques suivantes du RGPD :

• Art. 6 par. 1 lit. b du RGPD : contrat ou mesures précontractuelles (exploitation de votre compte, stockage de votre progression d'apprentissage, mise à disposition des fonctions principales)
• Art. 6 par. 1 lit. a du RGPD : consentement (IA et traitement vocal, analytics optionnels, lorsqu'activés)
• Art. 6 par. 1 lit. f du RGPD : intérêt légitime (voir section 6)
• Art. 6 par. 1 lit. c du RGPD : obligation légale, dans la mesure où des obligations légales nous incombent

Vous pouvez retirer à tout moment un consentement donné avec effet pour l'avenir (art. 7 par. 3 du RGPD). Le traitement jusqu'au retrait reste licite.

6. Intérêts légitimes

Lorsque nous traitons des données à caractère personnel sur la base d'intérêts légitimes (art. 6 par. 1 lit. f du RGPD), il s'agit notamment des intérêts suivants :

• Sécurité informatique, intégrité de votre session et prévention des abus lors de la connexion
• Stabilité du service et journaux d'exploitation proportionnés et expurgés, sans contenu brut de vos conversations
• Traitement des demandes en matière de protection des données avec des données de vérification minimales
• Qualité du produit et assistance lorsque vous nous envoyez des retours

Nous mettons ces intérêts en balance avec vos droits et intérêts fondamentaux. Vous pouvez vous opposer à tout moment au traitement sur cette base (art. 21 par. 1 du RGPD), le cas échéant. Nous documentons en interne les analyses de mise en balance détaillées.

7. Catégories de données à caractère personnel

Selon votre utilisation, nous traitons notamment :

• Données de compte (p. ex. identifiant interne, nom d'affichage, e-mail, fournisseur de connexion, rôles)
• Contexte linguistique et d'apprentissage (langue maternelle, langue d'apprentissage, cartes, révisions, titres, progression, valeurs quotidiennes)
• Contenus de jeu et de chat (textes de conversation, saisies de dialogue, statut des relations et des scènes)
• Contexte IA (prompts, textes générés, mots de la forge, contenus de chronique et de duels)
• Paramètres liés à l'appareil et cache local sur l'appareil (dans la mesure où ils sont stockés localement)
• Paramètres et demandes de protection des données (consentements, exportations, demandes de suppression)
• Métadonnées techniques pour l'exploitation et la sécurité (p. ex. métadonnées de fournisseur et d'utilisation expurgées sans prompts bruts)
• Retours et messages d'assistance lorsque vous nous écrivez

Les entrées audio sont transmises pour un traitement immédiat lorsque vous utilisez les fonctions vocales. Nous ne stockons pas ensuite de manière permanente l'audio brut dans la base de données.

Nous ne traitons pas de catégories particulières de données à caractère personnel au sens de l'art. 9 du RGPD, sauf si vous nous les communiquez vous-même dans des champs de texte libre.

8. Origine des données

Nous obtenons des données à caractère personnel :

• directement auprès de vous (saisies dans le jeu, le chat, la forge, les retours, les demandes de protection des données)
• lors de la connexion via Kanidm (p. ex. e-mail, nom d'affichage, rôles et identifiants)
• automatiquement lors de l'exploitation (données de session, métadonnées techniques, données de journalisation)

Si nous ne collectons pas de données auprès de vous, nous vous en informons ici. Lors de la connexion, les données principales du compte proviennent du service d'identité Kanidm.

9. Destinataires et sous-traitants

Les destinataires peuvent être :

• L'exploitation de Fornava et les administrateurs techniquement habilités sur notre infrastructure.
• Hetzner Online GmbH (hébergement cloud en Allemagne) : sous-traitant pour l'application, la base de données et les sauvegardes sur notre VPS.
• Kanidm (KANIDM/OIDC) sur notre propre infrastructure chez Hetzner (Allemagne, UE) : connexion, identifiants et gestion des mots de passe. Fornava ne stocke pas les mots de passe dans la base de données ; les données de connexion restent auprès du service d'identité Kanidm.
• MS Azure Europe : mise à disposition de fonctions IA telles que conversations avec les villageois, exercices personnalisés, traductions, génération de textes et traitement vocal (speech-to-text et text-to-speech), si vous avez consenti à l'utilisation des fonctions IA.
• Mistral AI SAS (France) : mise à disposition de fonctions IA et génération de textes, si ces services sont utilisés et si vous avez consenti à l'utilisation des fonctions IA.
• Services vocaux sur notre propre infrastructure (le cas échéant) : traitement de courte durée de l'audio. L'audio brut n'est pas stocké de manière permanente dans la base de données.

Avec les sous-traitants, nous concluons — dans la mesure requise par la loi — des contrats de sous-traitance conformément à l'art. 28 du RGPD.

10. Transferts vers des pays tiers

Les destinataires mentionnés à la section 9 traitent actuellement les données au sein de l'Union européenne ou de l'Espace économique européen (notamment l'Allemagne et la France).

Un transfert de données à caractère personnel vers des pays tiers en dehors de l'UE/EEE n'est actuellement pas envisagé.

Si cela devait changer (p. ex. en raison d'autres sous-traitants ultérieurs, d'accès d'assistance depuis des pays tiers, de réplication cloud ou de services vocaux du navigateur activés), nous mettrons ces informations à jour en temps utile et fonderons les transferts — le cas échéant — sur des garanties appropriées conformément au chapitre V du RGPD (p. ex. décision d'adéquation ou clauses contractuelles types), y compris les analyses d'impact sur les transferts requises.

11. Durée de conservation

Nous conservons les données à caractère personnel uniquement aussi longtemps que nécessaire aux fins indiquées ou tant que des obligations légales de conservation existent.

• Données de session jusqu'à expiration ou déconnexion
• Données de compte et progression d'apprentissage tant que votre compte existe
• Contenus de chat et IA tant que votre compte existe, si vous utilisez les fonctions IA
• Demandes de protection des données, exportations et justificatifs conformément aux obligations légales de preuve
• Journaux d'exploitation uniquement aussi longtemps que nécessaire pour la sécurité, la prévention des abus ou la facturation
• Les données locales de l'appareil peuvent être réinitialisées sur l'appareil à tout moment

Après les demandes de suppression, nous examinons quelles données doivent être supprimées, limitées ou conservées pour des raisons juridiques. Les sauvegardes sur notre VPS Hetzner peuvent retarder la suppression ; nous visons à ne pas réintroduire les données supprimées lors d'une restauration.

Les données de compte Kanidm (mot de passe, passkeys, audit d'identité) sont gérées séparément dans le service d'identité et soumises à leurs propres processus de suppression ou de désactivation.

12. Stockage sur l'appareil, cookies et données locales

Outre les données serveur, nous utilisons le stockage sur l'appareil :

• Web : cookie de session (HttpOnly, SameSite=Lax) pour votre connexion et la gestion des sessions. Base juridique : art. 6 par. 1 lit. b du RGPD et § 25 par. 2 n° 2 TTDSG (strictement nécessaire).
• App : stockage sécurisé de jetons (Secure Store) pour votre connexion.
• Web et app : stockage local sur l'appareil (stockage du navigateur ou de l'app) pour les paramètres, l'état de l'interface et l'état du jeu. Vous pouvez supprimer ces données dans « Vos données » ou dans le profil avec « Réinitialiser l'appareil ».

Nous n'utilisons actuellement ni cookies marketing ni suivi par des tiers. L'analyse d'utilisation optionnelle n'est pas encore implémentée ; seul votre consentement est stocké.

L'accès optionnel aux services vocaux du navigateur ou du système d'exploitation est désactivé par défaut et — s'il venait à être activé — n'interviendrait qu'après un examen juridique distinct et une mise à jour de ces informations.

13. Sécurité du traitement

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées conformément à l'art. 32 du RGPD, notamment :

• connexions de transport chiffrées (HTTPS/TLS) pour la connexion et l'utilisation de l'app
• cookies de session HttpOnly signés, OIDC avec state, nonce et PKCE
• pas de stockage permanent des jetons d'accès OIDC dans le frontend
• journalisation expurgée pour les connexions IA sans prompts bruts dans les journaux
• traitement vocal de courte durée sans stockage permanent de l'audio brut dans la base de données
• accès basés sur les rôles et contrôles de consentement pour les fonctions IA

Les mesures de protection sont continuellement adaptées à l'état de l'art. Les détails sur le durcissement du VPS, le chiffrement au repos, les accès aux sauvegardes et la réponse aux incidents sont documentés dans le registre des activités de traitement conformément à l'art. 30 du RGPD.

14. Obligation de fournir des données

Les données de connexion et de compte ainsi que les données nécessaires au fonctionnement de l'apprentissage sont requises pour utiliser Fornava (art. 6 par. 1 lit. b du RGPD). Sans ces données, nous ne pouvons pas vous fournir de compte ni les fonctions principales.

Les fonctions IA, le traitement vocal et l'analyse d'utilisation optionnelle sont volontaires. Ils requièrent un consentement distinct. Le fonctionnement principal sans IA reste disponible si vous n'accordez pas ces consentements.

Il n'existe aucune obligation légale de fournir des données pour les fonctions volontaires.

15. Vos droits

Sous réserve des conditions du RGPD, vous disposez notamment des droits suivants :

• Accès (art. 15 du RGPD) et copie de vos données
• Rectification (art. 16 du RGPD)
• Effacement (art. 17 du RGPD)
• Limitation du traitement (art. 18 du RGPD)
• Portabilité des données (art. 20 du RGPD), le cas échéant
• Opposition au traitement fondé sur des intérêts légitimes (art. 21 par. 1 du RGPD), le cas échéant
• Retrait des consentements accordés (art. 7 par. 3 du RGPD). Le traitement jusqu'au retrait reste licite.

Si nous avons rendu publiques des données à caractère personnel et que vous avez droit à l'effacement, nous informons dans la mesure du possible les autres responsables de votre demande d'effacement (art. 19 du RGPD), le cas échéant.

Vous pouvez lancer de nombreuses demandes directement dans « Vos données » dans Fornava. Avant l'accès, l'exportation ou la suppression, nous pouvons vérifier votre identité pour prévenir les abus.

Vous n'êtes pas soumis à une prise de décision automatisée au sens de l'art. 22 du RGPD (voir section 17).

16. Informations, contrat et consentements

Ces informations sur la protection des données vous informent sur notre traitement (art. 13/14 du RGPD). Avant utilisation, vous confirmez les avoir lues. Il ne s'agit pas d'un consentement global à l'ensemble des traitements.

Nous fondons la mise à disposition du compte et des fonctions principales sur l'art. 6 par. 1 lit. b du RGPD (contrat ou mesures précontractuelles).

Pour les fonctions assistées par IA (conversations avec les villageois, traductions, chronique, forge, duels, saisie et synthèse vocales), un consentement distinct est requis. Le traitement s'effectue via Mistral AI (UE/EEE) et notre propre infrastructure vocale.

Vous pouvez activer séparément l'analyse d'utilisation optionnelle. Nous stockons actuellement uniquement votre consentement. La collecte de données analytics n'est pas encore implémentée.

Vous pouvez modifier vos consentements à tout moment dans « Vos données ». Le retrait n'affecte pas la licéité du traitement jusqu'au retrait.

17. Décisions automatisées et profilage

Fornava ne prend pas de décisions fondées exclusivement sur un traitement automatisé au sens de l'art. 22 du RGPD produisant des effets juridiques à votre égard ou vous affectant de manière significative de façon similaire.

Les recommandations d'apprentissage, titres, contenus de jeu ou textes générés par IA servent la conception didactique. Ils ne constituent pas des évaluations juridiquement contraignantes.

Nous n'effectuons actuellement aucun profilage au sens de l'art. 4 n° 4 du RGPD à des fins publicitaires ou d'évaluation.

18. Violations de données

En cas de violation de la protection des données à caractère personnel, nous évaluons le risque et agissons conformément aux art. 33 et 34 du RGPD.

• Notification à l'autorité de contrôle dans un délai de 72 heures si un risque existe
• Notification des personnes concernées si un risque élevé pour vos droits et libertés est probable
• documentation interne de tous les incidents

Nous vous recommandons de nous contacter immédiatement si vous suspectez une utilisation abusive de votre compte.

19. Enfants et jeunes

Fornava ne s'adresse pas spécifiquement aux enfants. Lorsque le droit national exige le consentement parental pour les mineurs (en Allemagne, en principe à partir de 16 ans pour les services de la société de l'information), le service ne peut pas être utilisé sans ce consentement.

Si vous pensez que nous traitons des données d'un enfant sans le consentement requis, contactez-nous. Nous examinerons la situation et supprimerons ou limiterons le traitement dans la mesure requise par la loi.

20. Modifications de ces informations

Nous pouvons adapter ces informations sur la protection des données lorsque la situation juridique, les fonctions ou les traitements changent.

• La version est affichée dans Fornava.
• En cas de modifications importantes, nous vous informerons de manière appropriée (p. ex. dans l'app ou par e-mail) avant que de nouveaux traitements ne prennent effet, le cas échéant.
• Lisez la version actuelle avant d'utiliser Fornava.

La documentation structurée de conformité du responsable est tenue en interne dans le registre des activités de traitement conformément à l'art. 30 du RGPD.

21. Droit de réclamation

Vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle en matière de protection des données (art. 77 du RGPD), notamment dans l'État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation présumée.

L'autorité de contrôle compétente est la Commissaire à la protection des données et à la liberté d'information de Berlin [(https://www.datenschutz-berlin.de/)](https://www.datenschutz-berlin.de/).

Veuillez nous contacter avant d'introduire une réclamation auprès d'une autorité de contrôle. Nous examinerons votre demande et vous répondrons. Votre droit de réclamation auprès d'une autorité de contrôle reste intact.