Données personnelles
Politique de confidentialité
Cette politique explique quelles données sont traitées par Zoey, pourquoi elles le sont, combien de temps elles sont conservées et comment exercer vos droits.
Version 1.0 — en vigueur le 22 septembre 2026
L'essentiel. Zoey ne vend aucune donnée, n'affiche aucune publicité et n'utilise aucun rejeu de session. Les données applicatives sont hébergées dans l'Union européenne. Les informations relatives aux enfants ne sont accessibles qu'à la personne professionnelle et, pour chaque foyer, aux personnes auxquelles elle a remis un accès.
1. Champ d'application
Cette politique s'applique :
- au site public zoey.fr ;
- à l'application mobile Zoey destinée aux assistants maternels, aux assistantes maternelles et aux autres personnes qui travaillent dans la petite enfance ;
- à l'espace web en lecture remis aux familles ;
- aux échanges adressés à contact@zoey.fr.
2. Qui est responsable des traitements ?
2.1 Données de compte, sécurité et fonctionnement de Zoey
JCT Software Consulting, 102 route du Bas Privas, 69390 Charly, est responsable des traitements nécessaires à la création et à la sécurisation des comptes, à l'exploitation technique, au support, à la prévention des abus et à l'amélioration de Zoey.
2.2 Données saisies par la personne professionnelle sur les enfants et les familles
La personne professionnelle ou la structure qui utilise Zoey décide pourquoi et comment sont traitées les informations relatives aux enfants, aux responsables légaux et aux contacts du foyer. Elle est donc responsable du traitement. JCT Software Consulting héberge, synchronise et affiche ces données sur ses instructions, en qualité de sous-traitant. Le contrat de sous-traitance prévu à l'article 28 du RGPD figure dans les conditions générales d'utilisation.
JCT Software Consulting ne choisit pas les informations que la personne professionnelle saisit, n'en vérifie pas l'exactitude et ne décide pas à quelles personnes elle remet un accès famille. Zoey fournit le lien technique permettant de stocker, synchroniser, cloisonner et afficher ces informations au foyer concerné selon les actions et instructions de la personne professionnelle. JCT Software Consulting reste toutefois tenu de ses obligations propres de sous-traitant, notamment en matière de sécurité, de confidentialité, d'assistance et de respect des instructions documentées.
Pour une demande portant sur le carnet, le profil ou les allergies d'un enfant, la famille contacte d'abord la personne professionnelle qui a recueilli les données. JCT Software Consulting l'assiste pour répondre à la demande.
2.3 Sécurité et fréquentation de l'espace famille
JCT Software Consulting est responsable des données techniques strictement nécessaires à la sécurité des sessions et à la mesure limitée de l'utilisation de l'espace famille. L'intérêt légitime poursuivi est de prévenir les accès non autorisés, diagnostiquer les incidents et vérifier que le service rendu aux familles est utile. Ces données ne servent ni à la publicité ni à établir un profil commercial.
3. Données traitées directement par JCT Software Consulting
| Finalité | Données | Base juridique |
|---|---|---|
| Créer le compte et fournir le service | Adresse e-mail, prénom et nom éventuel, nom et ville de la structure, rôle, identifiants internes | Exécution des CGU et mesures précontractuelles |
| Authentifier et protéger le compte | Adresse e-mail normalisée, défis et codes conservés sous forme hachée, jetons hachés, adresse IP de demande, dates de connexion | Exécution des CGU et intérêt légitime à sécuriser le service |
| Synchroniser et diagnostiquer l'application | Identifiant et nom éventuel de l'appareil, plateforme, version de l'application, état et date de synchronisation, compteurs techniques | Exécution des CGU |
| Superviser la sécurité et les performances | Adresses IP, dates, routes appelées, identifiants opaques, durées, codes d'erreur, type et pile d'un plantage | Intérêt légitime à maintenir un service sûr et fiable |
| Mesurer l'usage de l'espace famille | Foyer et session identifiés par des valeurs techniques, écran consulté, date et heure, jour ou semaine consultés, identifiant technique de l'enfant le cas échéant | Intérêt légitime à évaluer et améliorer le service |
| Répondre aux demandes | Adresse e-mail, identité communiquée, contenu du message et suites données | Intérêt légitime à répondre ; mesures précontractuelles si la demande concerne une souscription |
| Servir le site public | Adresse IP et informations techniques transmises par le navigateur aux hébergeurs et au fournisseur de police de caractères | Intérêt légitime à publier et sécuriser le site |
JCT Software Consulting collecte ainsi des éléments strictement techniques pour assurer la maintenance corrective et préventive, suivre la disponibilité, la sécurité et les performances de la plateforme, diagnostiquer les incidents et améliorer sa fiabilité. Ces éléments ne contiennent ni identité directement lisible, ni contenu du carnet, ni note libre, ni information saisie au sujet d'un enfant ou de sa famille.
Ils sont anonymisés lorsque le suivi peut être réalisé à partir de mesures agrégées. Lorsqu'un diagnostic exige de rapprocher temporairement plusieurs événements, ils sont pseudonymisés au moyen d'identifiants techniques opaques et restent traités comme des données personnelles. Ils ne sont utilisés ni à des fins publicitaires, ni pour établir un profil commercial ou comportemental.
Les champs nécessaires à la connexion et à la fourniture du service sont obligatoires. Sans adresse e-mail valide, le code de connexion ne peut pas être reçu. Les autres champs sont signalés comme facultatifs dans l'interface.
4. Données traitées pour le compte de la personne professionnelle
Selon les fonctions utilisées, Zoey peut traiter :
- les nom, prénom, date de naissance, jours de présence et notes concernant un enfant ;
- les allergies, allergènes et précisions associées, qui peuvent constituer des données de santé ;
- les préférences alimentaires et les aliments servis ;
- le journal quotidien : repas et appréciations, biberons, changes, siestes, notes et demandes ;
- les menus, activités, sorties, rappels et répertoires de la personne professionnelle ;
- le nom du foyer et les coordonnées de ses contacts : nom, e-mail, téléphone et lien de conversation éventuellement renseigné ;
- les informations de remise et d'utilisation de l'accès famille.
La version actuellement prévue ne traite pas de photographies d'enfants. Cette fonction ne sera activée qu'après mise en place d'un consentement distinct, daté et révocable, et mise à jour préalable de cette politique.
La personne professionnelle doit déterminer une base juridique valable pour chaque traitement et, pour les données de santé, une condition autorisant leur traitement au titre de l'article 9 du RGPD. Elle informe les responsables légaux, respecte leurs droits et ne saisit que les informations utiles à l'accueil de l'enfant.
5. D'où viennent les données ?
Les données de compte sont fournies par la personne professionnelle. Les données relatives aux enfants et aux familles sont saisies par la personne professionnelle à partir des informations que les responsables légaux lui communiquent et de ses observations pendant l'accueil. Les données techniques sont produites automatiquement par l'application, le navigateur, les serveurs et les mécanismes de sécurité.
6. Qui reçoit les données ?
Dans la limite de ce qui est nécessaire, les données peuvent être accessibles :
- à la personne professionnelle et aux membres autorisés de sa structure ;
- aux contacts d'un foyer disposant d'une session valide, uniquement pour les enfants de ce foyer ;
- aux personnes habilitées de JCT Software Consulting pour l'exploitation, la sécurité et le support, sans accès courant au contenu des carnets ;
- aux prestataires ci-dessous, soumis à des obligations contractuelles de confidentialité et de sécurité ;
- aux autorités légalement habilitées, uniquement lorsqu'un texte l'exige.
Prestataires et sous-traitants
| Prestataire | Rôle | Localisation principale |
|---|---|---|
| Microsoft Ireland Operations Limited | Hébergement Azure, base de données, stockage, envoi des codes de connexion, file technique, supervision et hébergement du site public | Données applicatives en France Central ; site public en Europe de l'Ouest ; services encadrés par les engagements contractuels Microsoft |
| OVH SAS | Nom de domaine et messagerie recevant les demandes adressées à contact@zoey.fr | Union européenne |
| Google Ireland Limited | Chargement de la police Nunito Sans sur le seul site public ; Google reçoit la requête technique du navigateur | Infrastructure mondiale de Google, avec garanties décrites ci-dessous |
JCT Software Consulting n'utilise ni Stripe, ni outil publicitaire, ni service de rejeu de session dans la version décrite par cette politique. La liste est mise à jour avant tout ajout d'un prestataire ayant accès à des données personnelles.
7. Combien de temps les données sont-elles conservées ?
| Données | Durée ou critère |
|---|---|
| Données de compte et de structure | Pendant l'utilisation du service ; après clôture, les éléments nécessaires à la preuve du contrat peuvent être archivés jusqu'à 5 ans |
| Code de connexion et défi associé | 10 minutes, puis suppression technique après expiration |
| Jeton de rafraîchissement de l'application | 90 jours au maximum, avec remplacement à chaque utilisation ou suppression lors de la révocation |
| Jeton de remise de l'accès famille | 15 à 30 minutes, usage unique ; purge au plus tard 24 heures après expiration |
| Session famille, dernière IP et navigateur | 90 jours glissants au maximum ; plus tôt en cas de déconnexion, révocation ou fin de contrat avec la famille |
| Détail des consultations de l'espace famille | 6 mois, puis suppression ou agrégation irréversible |
| Journaux techniques et télémétrie | 30 jours |
| Messages adressés au contact | Le temps de traiter la demande, puis jusqu'à 3 ans après le dernier échange ; plus longtemps si nécessaire à une obligation légale ou à un litige |
| Données d'un enfant ou d'une structure supprimés | Suppression logique immédiate, puis purge de la base active dans un délai maximal de 90 jours après propagation aux appareils |
| Copies de sauvegarde | Effacement par rotation au plus tard environ 9 mois après la demande initiale de suppression ; copies isolées et utilisées uniquement pour la reprise après incident |
En cas de restauration d'une sauvegarde, les suppressions intervenues depuis sa création sont réappliquées. Les données peuvent aussi être conservées plus longtemps lorsqu'une obligation légale l'impose ou lorsqu'elles sont nécessaires à la constatation, à l'exercice ou à la défense de droits en justice.
8. Où les données sont-elles hébergées ?
La base de données, les services applicatifs, le stockage de fichiers et la télémétrie de production sont configurés dans la région Azure France Central. Le site public, qui ne contient aucune donnée applicative, est hébergé en Europe de l'Ouest.
Microsoft fournit ses services dans le cadre de son avenant de protection des données et de sa frontière européenne des données. Certains accès distants ou flux techniques limités peuvent néanmoins constituer un transfert hors de l'Espace économique européen. Ils sont encadrés notamment par les clauses contractuelles types de la Commission européenne et les garanties prévues par les contrats Microsoft.
Le chargement de Google Fonts depuis le site public peut transmettre à Google des données techniques, notamment l'adresse IP et le type de navigateur, et peut impliquer un traitement hors de l'Espace économique européen. Google indique encadrer ces transferts au moyen des mécanismes prévus par le droit applicable. Aucun contenu de l'application n'est transmis à Google.
Une copie des garanties applicables peut être demandée à contact@zoey.fr.
9. Comment les données sont-elles protégées ?
Zoey met notamment en œuvre :
- le chiffrement des communications par HTTPS et le chiffrement fourni par Azure pour les données stockées ;
- une séparation logique des données de chaque structure et de chaque foyer ;
- des codes de connexion à durée courte, un nombre d'essais limité et des jetons stockés sous forme hachée ;
- des sessions famille révocables, un cookie sécurisé et des liens de remise à usage unique ;
- un stockage sécurisé des jetons sur le téléphone et une base locale propre à l'application ;
- des sauvegardes, des contrôles de disponibilité et une supervision limitant les données journalisées ;
- l'absence de prénom, de contenu de carnet et de note libre dans la télémétrie technique.
Aucun système ne peut garantir une sécurité absolue. En cas de violation de données, JCT Software Consulting applique les obligations de notification prévues par le RGPD et assiste la personne professionnelle lorsqu'elle est responsable du traitement concerné.
10. Cookies, stockage local et traceurs
- Site public : Zoey ne dépose aucun cookie publicitaire ni cookie de mesure d'audience. La police est chargée depuis Google Fonts.
- Espace famille : un cookie strictement nécessaire, sécurisé, HttpOnly et SameSite=Lax conserve la session. Sa durée maximale est de 90 jours glissants. Refuser ou supprimer ce cookie déconnecte l'appareil.
- Application : les jetons sont conservés dans le stockage sécurisé du téléphone. La base locale permet l'utilisation hors ligne et la synchronisation ultérieure.
Ces mécanismes sont nécessaires au service demandé et ne sont pas utilisés pour suivre une personne sur d'autres sites ou applications.
11. Vos droits
Selon le traitement et sa base juridique, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Lorsqu'un traitement repose sur le consentement, celui-ci peut être retiré à tout moment sans remettre en cause les opérations déjà réalisées licitement.
Pour un compte Zoey, un contact ou des données techniques
Écrivez à contact@zoey.fr ou à JCT Software Consulting, 102 route du Bas Privas, 69390 Charly. Une preuve d'identité ne sera demandée qu'en cas de doute raisonnable et seulement dans la mesure nécessaire.
Pour les informations d'un enfant ou d'un foyer
Adressez-vous en priorité à la personne professionnelle ou à la structure d'accueil, responsable du traitement. Elle peut demander à JCT Software Consulting de lui fournir un export, de corriger les données ou de les supprimer. Une procédure écrite est disponible même lorsqu'un bouton dédié n'est pas encore présent dans l'application.
Une réponse est apportée en principe dans un délai d'un mois. Vous pouvez également introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
12. Données des enfants et décisions automatisées
Les enfants n'ouvrent pas de compte et n'utilisent pas directement Zoey. Les données les concernant sont saisies par la personne professionnelle dans le cadre de leur accueil et rendues accessibles aux responsables légaux par un accès propre à leur foyer.
Zoey peut proposer des idées de repas à partir de l'âge, des allergies, des préférences, de la saison et de l'historique. Ces suggestions restent indicatives, n'emportent aucun effet juridique et ne remplacent jamais l'appréciation de la personne professionnelle ni les instructions des responsables légaux ou d'un professionnel de santé.
13. Évolution de la politique
Cette politique peut évoluer avec le service ou la réglementation. Toute modification substantielle est portée à la connaissance des utilisatrices avant son entrée en vigueur. La date et la version publiées en tête de page permettent d'identifier le texte applicable.