Politique de
confidentialité

Girafoufou est un jeu pour les enfants de trois à six ans. La confiance des parents est tout ce que nous avons : cette page dit, sans jargon, ce que nous gardons de vous et de votre enfant, où, combien de temps, et ce que vous pouvez en faire. Nous n’avons ni publicité, ni traceur, ni revente de quoi que ce soit.

Qui est responsable

Le responsable du traitement est Marcel Venturino, entrepreneur individuel, 4 rue Papassaudi, 13100 Aix-en-Provence (SIREN 999 463 847). Pour toute question sur vos données : marcel@girafoufou.fr. Il n’y a pas de délégué à la protection des données désigné, la taille du projet ne l’exige pas ; la même adresse reçoit toutes les demandes. Qui est derrière le jeu : qui fait Girafoufou.

Quand vous visitez le site

Nous comptons combien de fois chaque page du site est vue, par jour, sans savoir qui : un nombre par page et par jour, sans cookie, sans identifiant, sans adresse IP. Si le lien qui vous a amené porte le nom d’une vidéo ou d’une campagne (les paramètres « utm » de l’adresse), ce nom est compté avec la page d’arrivée, et rien d’autre. Ce que fait votre enfant dans les jeux (ses réponses, ses niveaux, ses étoiles) n’est jamais compté, même en nombre. Seule l’entrée dans le jeu (l’adresse /jouer, la porte) compte comme une page du site. Depuis le 20 octobre 2026, nous comptons aussi quelques étapes, en nombre et par jour : le jeu ouvert (la première fois, le lendemain ou plus tard), la sieste de Girafoufou, et, de votre côté, la feuille « Pour vous, les parents » ouverte, l’accès famille regardé, un code de connexion demandé (l’adresse tapée, puis le code parti : jamais l’adresse elle-même), un compte ouvert au paiement, une connexion par Google ou Apple, une formule choisie, la page de paiement ouverte, un paiement. Chaque tablette compte chaque étape une fois par jour au plus, et c’est elle qui s’en souvient : elle garde pour elle seule le dernier jour de jeu et le nom de la campagne qui vous a amené la première fois (treize mois au plus). Ce qui part chez nous, c’est un « +1 » avec ce nom s’il existe : jamais votre appareil, jamais l’heure, jamais votre compte. Sur le site seulement, jamais dans l’app. Depuis le 25 octobre 2026, au départ de certains jeux, un petit film d’une minute explique ce que votre enfant va apprendre : nous comptons aussi, en nombre, par jour et par film, s’il a été lancé, revu, regardé jusqu’au bout ou passé (à dix secondes près). C’est ce qui nous dit si ces films aident ; jamais quel enfant, ni sur quel appareil, ni rien de ses réponses. Sur le site seulement, jamais dans l’app. À cette entrée, nous comptons aussi, en nombre et par jour, si le petit film de Girafoufou a été lancé, vu jusqu’au bout ou passé, et si les trois questions posées au parent ont été finies : c’est ce qui nous dit si cet accueil est utile. Quand vous créez votre compte sur le site, puis après un achat sur le site, nous vous demandons aussi, si vous le voulez, comment vous avez connu Girafoufou : votre réponse ajoute un au nombre de familles qui l’ont choisie ce jour-là, sans votre nom, sans votre adresse, sans votre achat, sans rien qui vous désigne. Ces nombres sont effacés au bout de treize mois. Rien de plus : aucun outil d’audience, aucun pixel publicitaire, aucun cookie de suivi. Les vidéos sont servies par nous, sans lecteur tiers. Pour qu’elles arrivent vite, des copies des images, des voix et des films du site (les mêmes pour tout le monde) sont gardées un jour au plus par les serveurs de notre hébergeur les plus proches de vous ; jamais une page, jamais une donnée de compte. Les journaux techniques de notre hébergeur conservent notamment l’adresse IP, le navigateur, le chemin consulté, le statut et la durée de la réponse. Railway les traite aussi pour assurer le fonctionnement et la sécurité de ses services. Il les stocke aux États-Unis (sa région US West), quelle que soit la région du site, et les efface définitivement au bout de 90 jours ; ils ne peuvent être effacés ni plus tôt, ni ligne par ligne. Ce transfert hors de l’Union européenne est encadré par le cadre de protection des données UE–États-Unis, auquel Railway est certifié, et par les clauses contractuelles types de son accord de traitement. Ces diagnostics ne sont donc pas anonymes ; ils ne servent pas à suivre les jeux ou les progrès de votre enfant. Notre application écrit elle-même, pour chaque appel à son serveur, une ligne technique : l’heure, la route, le statut, la durée, et la nature d’une erreur s’il y en a une, jamais votre adresse, votre e-mail ni le contenu de la demande. L’adresse IP sert aussi, une heure au plus, à limiter les abus sur nos formulaires : elle est alors brouillée avec un sel du jour que personne ne connaît, et jamais écrite.

Si vous vous étiez préinscrit

Les préinscriptions sont fermées : on ne peut plus en faire. Pour celles faites avant l’ouverture, nous avons enregistré votre adresse e-mail de parent, la date et la version du texte auquel vous avez donné votre accord. Rien sur votre enfant. Cela sert uniquement à vous annoncer l’ouverture du jeu par e-mail ; pas de lettre d’information, pas d’achat. Base légale : votre consentement. La liste est hébergée dans notre base à Amsterdam ; une demande de plus de douze mois est supprimée automatiquement. Le lien privé affiché après la préinscription retire votre adresse sans compte ni mot de passe ; si vous le perdez, écrivez-nous depuis l’adresse utilisée.

Quand votre enfant joue, sans compte

La progression reste sur votre tablette : les étoiles, le jardin, le journal du jour, les dessins, ce que votre enfant sait déjà notion par notion (pour choisir les bonnes questions et vous le dire), le prénom si vous l’avez donné, le réglage de l’âge et vos choix au coin des parents. La vitesse de ses réponses, qui sert à voir s’il touche au hasard, ne se garde que le temps de la séance, sur la tablette. Ces données de jeu ne sont pas synchronisées par nous ; dans l’app, elles suivent la sauvegarde de l’appareil si vous l’avez activée (iCloud sur iPhone et iPad, Google sur Android) : votre sauvegarde, chez Apple ou Google, sans la connexion au compte. Le chargement du site transmet les informations techniques de connexion nécessaires à notre hébergeur ; cela ne transfère pas votre progression. Vous effacez tout depuis le coin des parents (« Tout remettre à zéro »). Le jeu n’utilise jamais le micro.

Si vous créez un compte parent

Le compte est facultatif et sert à retrouver les étoiles et le jardin sur un autre appareil. C’est votre compte, pas celui de votre enfant : aucun enfant n’a d’e-mail, de date de naissance ni de photo chez nous.

Ce que nous gardons de vous : votre e-mail (le seul identifiant, un code à usage unique vous est envoyé ; seule la famille fictive de revue possède un accès privé réutilisable), la langue de l’édition où vous avez ouvert votre compte (français ou anglais), la liste de vos appareils avec le nom que vous leur donnez, les dates de connexion, vos choix pour l’option décrite plus bas avec leur date, et, si votre famille a l’accès famille, depuis quand et jusqu’à quand (et, s’il vous a été offert par un lien d’accès, lequel). Si vous parrainez une famille amie : votre lien d’invitation et le nombre de familles venues par lui ; si une famille amie vous a invité, la date de votre arrivée. Aucune des deux familles ne voit jamais l’autre. Jamais un moyen de paiement : si vous payez l’accès famille, vos informations de paiement vont chez Stripe pour le site, ou chez Apple ou Google pour l’app, et nous ne voyons jamais votre carte.

Ce que nous gardons de votre enfant : son petit nom (ou un surnom, comme vous voulez), son avatar, et sa progression : étoiles, jardin, journal de jeu, dessins, prénom et « fille » ou « garçon » si vous les avez indiqués, réglage pédagogique 3/4/5 ans. Des identifiants aléatoires relient famille, profils, appareils, consentements et sessions ; le serveur conserve des empreintes des jetons, jamais les jetons en clair. Le petit nom et la progression sont chiffrés dans la base de données. La clé est conservée séparément, dans la configuration du serveur. Le serveur les déchiffre pour vous les restituer : ce chiffrement protège une copie isolée de la base, mais ne protège pas contre un accès au serveur et à sa clé.

Pourquoi, et sur quelle base : l’exécution du service que vous demandez (retrouver la progression, rester connecté). Où : sur des serveurs à Amsterdam, aux Pays-Bas. Combien de temps : jusqu’à ce que vous demandiez la suppression du compte. La suppression automatique des comptes inactifs n’est pas encore en service ; s’il existe des copies de secours, elles sont effacées sous trente jours.

Si vous vous connectez avec Google ou Apple (sur le site) : c’est vous qui choisissez ce bouton, et le code par e-mail reste toujours possible. Nous n’affichons aucun bouton ni script de Google ou d’Apple sur nos pages : votre navigateur passe chez eux, puis revient chez nous. Ils apprennent seulement que vous vous connectez à Girafoufou ; Google LLC et Apple Inc. sont des sociétés américaines (cadre de protection des données UE–États-Unis). Nous recevons votre adresse e-mail vérifiée et l’identifiant qu’ils vous donnent, dont nous ne gardons qu’une empreinte, avec le nom du fournisseur et la date. Si Google ou Apple ne garantit pas une adresse qui a déjà un compte chez nous, nous y envoyons un code avant de les relier. Si vous aviez deux comptes, l’un à votre adresse habituelle et l’autre ouvert par Google ou Apple, nous les réunissons dès que vous les prouvez tous les deux (en ajoutant Google ou Apple à votre compte, ou par un code) : vos enfants, vos adresses, vos appareils et l’accès famille se retrouvent dans un seul compte, celui qui a payé s’il y en a un ; si les deux ont des enfants, nous vous demandons d’abord. L’autre compte est effacé, et nous le notons au journal de votre compte. Pendant la connexion, deux petits cookies techniques de dix minutes au plus gardent l’état de la demande ; ils ne suivent personne.

Si votre code n’a pas pu partir : quand notre service de courrier est en panne, nous gardons votre demande (votre e-mail, la langue de la page, sa date), jamais un compte. Dès que le courrier remarche, nous vous écrivons une seule fois de revenir demander un nouveau code, puis nous effaçons la demande. Elle s’efface aussi dès qu’un code vous parvient ou que vous vous connectez, et au plus tard au bout de sept jours, sans e-mail.

Qui y a accès : vous, depuis le coin des parents. Chez nous, une seule personne peut voir votre e-mail, vos dates de connexion, le nombre de vos appareils et de vos enfants, et l’accès famille : c’est ce qu’il lui faut pour vous aider. Chacun de ses gestes sur votre compte est noté avec sa date et sa raison, et vous le retrouvez dans « Tout emporter ». L’interface d’administration n’affiche ni le petit nom ni la progression. Un accès technique au serveur et à sa clé permet toutefois de les déchiffrer.

Le récit du soir par e-mail, si vous le demandez

Au coin des parents, sur le site, une case jamais cochée d’avance vous propose de recevoir, chaque soir où votre enfant a joué, un court récit de sa journée : ses jeux du jour, ce qui tient déjà, une mission à faire ensemble et une idée pour prolonger sans écran. Seulement si vous la cochez, la tablette envoie le résumé du jour (les jeux faits, jamais son petit nom) ; notre service de courrier, Brevo (France et Allemagne), vous l’envoie, puis le résumé est effacé, et rien n’est gardé du texte envoyé. Un e-mail par jour au plus, en texte simple, sans image de suivi ni lien suivi, avec un lien pour l’arrêter en un clic. Votre accord est daté au journal des consentements de votre compte.

Le bilan du lendemain par e-mail, si vous le demandez

Au coin des parents, sur le site, une case jamais cochée d’avance vous propose de recevoir, le lendemain de son premier jour, un seul e-mail sur votre enfant : ce qu’il a fait, là où il commence en chiffres et en lettres, et ce qui l’attend. Seulement si vous la cochez, la tablette envoie son premier jour (les jeux faits et son point de départ, jamais son petit nom) ; Brevo vous l’envoie, puis tout est effacé, et rien n’est gardé du texte envoyé. Un seul e-mail, en texte simple, sans image de suivi ni lien suivi. Votre accord est daté au journal des consentements de votre compte.

Si vous payez l’accès famille

Sur le site, l’accès famille se paie depuis la page des tarifs ou le coin des parents, connecté à votre compte. Pour l’offre des familles fondatrices, vous pouvez aussi payer avant d’avoir un compte : vous donnez alors votre adresse e-mail à Stripe, et nous la relisons chez Stripe à votre retour. Si elle n’a pas encore de compte, votre compte s’ouvre aussitôt avec elle, sur l’appareil qui a payé, sans code ; nous notons seulement qu’elle n’a pas encore été confirmée par un code. Si elle a déjà un compte, nous vous envoyons le code qui l’ouvre. Dans les deux cas, votre achat s’y attache. Le paiement se fait sur la page de Stripe, notre prestataire de paiement : c’est à Stripe que vous donnez votre carte (ou Apple Pay, Google Pay), jamais à nous. Ce que nous envoyons à Stripe : votre adresse e-mail (pour que le reçu arrive au bon endroit), la formule choisie, et un numéro de famille tiré au hasard, qui ne dit rien de vous hors de chez nous. Jamais rien sur votre enfant. Ce que nous gardons : la formule, depuis quand, jusqu’à quand, et la référence de l’achat chez Stripe, qui vous permet de changer de formule ou de résilier. Pourquoi, et sur quelle base : l’exécution du contrat de vente ; et la loi, pour la comptabilité. Combien de temps : chez nous, tant que vous gardez votre compte ; les reçus et factures restent chez Stripe dix ans, comme la loi nous oblige à garder notre comptabilité. Effacer votre compte arrête aussi l’abonnement. Ce paragraphe concerne uniquement le site. Dans les apps, les achats intégrés suivent le parcours décrit ci-dessous. Votre enfant ne voit jamais de prix dans le jeu.

Si vous êtes une famille fondatrice

L’offre des familles fondatrices (pour les cent premières familles) comprend deux cadeaux : une vidéo où Girafoufou dit le prénom de votre enfant et, en France, une carte postale. Avant de payer, une case vous le propose, jamais cochée d’avance : « J’accepte que Girafoufou m’écrive pour me demander le prénom de mon enfant (sa vidéo) et, si nous habitons en France, notre adresse (sa carte postale). » Si vous la cochez, votre paiement porte seulement « cadeaux : oui », que nous gardons aussi à côté de votre achat, et nous vous écrivons depuis marcel@girafoufou.fr ; pour tenir nos délais, nous notons le jour où nous vous écrivons et celui où vos cadeaux partent, rien d’autre. Ce que vous nous donnez, si vous le voulez : en répondant à cet e-mail, le prénom ou le petit nom de votre enfant, et votre adresse postale en France. Ce que nous en faisons : la vidéo, composée sur notre ordinateur et envoyée à vous seul (pour dire le prénom, la voix de Girafoufou est fabriquée par ElevenLabs, aux États-Unis, comme dans le jeu) ; la carte, écrite à la main et confiée à La Poste. Ni son prénom ni votre adresse n’entrent dans le jeu, dans l’application ni dans notre base. Combien de temps : nous effaçons ces e-mails dès que la vidéo et la carte sont parties, et au plus tard le 31 décembre 2026. Nous ne publions jamais une vidéo, et nous ne vous écrivons pour rien d’autre. Si vous renoncez au contrat : vous gardez votre droit de rétractation de quatorze jours. Sur la page « Renoncer au contrat ici », vous donnez votre nom, l’adresse e-mail de votre achat et, si vous l’avez, sa référence. Ils partent par Brevo, dans un accusé de réception pour vous et une copie pour nous, qui vous remboursons ; c’est la loi qui le demande. Rien n’entre dans notre base, et nous gardons la copie cinq ans au plus, comme preuve de votre demande.

Les achats dans les apps

Les prénoms que Girafoufou sait déjà dire

Dans l’app, seules les voix aux prénoms déjà enregistrées dans le jeu sont utilisées. Aucun prénom n’est envoyé à un fournisseur de voix. La génération décrite ci-dessous est réservée au site.

Pour une centaine de prénoms parmi les plus donnés, Girafoufou connaît déjà sa voix : nous l’avons fabriquée nous-mêmes, à partir de la liste publique des prénoms de l’INSEE, et elle est rangée dans le jeu. Si votre enfant porte l’un d’eux, Girafoufou le dit sans rien demander : aucun service extérieur ne reçoit son prénom. Dans l’app, la lecture de cette voix reste locale ; sur le site, la tablette demande ses voix à notre serveur une seule fois, toutes ensemble, dans le corps de la requête (jamais dans l’adresse, que les journaux de l’hébergeur gardent), puis les garde.

La génération de voix au prénom sur le site, éteinte par défaut

La vraie voix de Girafoufou pour dire un prénom qui n’est pas dans cette liste. Elle demande un compte parent : vous l’allumez au coin des parents, connecté. Ce qui part : le prénom, et « fille » ou « garçon » si vous l’avez dit, une seule fois, depuis votre compte. Vers qui : notre serveur à Amsterdam ; s’il ne connaît pas encore ce prénom, ElevenLabs (États-Unis), qui fabrique la voix, et OpenAI (États-Unis) en secours. Ce qu’on garde : six petites phrases reviennent sur la tablette ; notre serveur garde la voix du prénom, sans aucun lien avec votre famille (ni compte, ni date), pour la prochaine famille qui porte le même, le fournisseur n’est appelé qu’une fois par prénom. Il garde aussi le prénom écrit et combien de fois on l’a demandé, toujours sans lien avec votre famille : un prénom assez demandé, et porté par au moins vingt enfants en France, entre dans le jeu pour toutes les familles. Base légale : votre consentement, donné au coin des parents après avoir lu ce qui part, horodaté, et révocable d’un tap. Ce transfert hors de l’Union européenne n’a lieu que si vous l’avez voulu, informé du pays et du fournisseur ; sans lui, Girafoufou dit « Bravo ! » sans le prénom.

Nos sous-traitants

Railway Corporation (San Francisco, États-Unis ; représentant en Europe à Hambourg) héberge le site, la base de données et ses sauvegardes, en région Europe-Ouest, à Amsterdam, sur une infrastructure Google Cloud ; ses journaux techniques, eux, sont stockés aux États-Unis pendant 90 jours (voir « Quand vous visitez le site »). Railway est certifié au cadre de protection des données UE–États-Unis et s’engage par contrat (clauses contractuelles types) à protéger vos données selon le droit européen ; les champs concernant votre enfant sont chiffrés dans la base ; le serveur hébergé et sa clé permettent de les déchiffrer pour vous les restituer. Ses propres serveurs, répartis dans le monde au plus près des visiteurs, gardent aussi des copies des fichiers publics du site (images, voix, films), jamais une donnée vous concernant.

Brevo (société française, données en France et en Allemagne) envoie à votre e-mail le code de connexion (votre adresse et un code à six chiffres), un seul mot pour vous inviter à revenir si ce code n’a pas pu partir, et, si vous payez l’accès famille, la confirmation de votre achat (la formule, le prix, la date et nos conditions de vente). Si vous demandez le récit du soir ou le bilan du lendemain, Brevo les envoie aussi : ce que votre enfant a fait dans le jeu, sans son petit nom ; sinon, jamais une donnée d’enfant.

Stripe (Stripe Payments Europe, Limited, à Dublin, et Stripe, Inc., aux États-Unis) n’intervient que si vous payez l’accès famille, décrit plus haut. Stripe est certifié au cadre de protection des données UE–États-Unis et s’engage par contrat (clauses contractuelles types) ; pour la lutte contre la fraude et ses obligations financières, il décide lui-même de ce qu’il fait de vos données, selon sa politique de confidentialité.

ElevenLabs et OpenAI (États-Unis) n’interviennent que sur l’option de la voix, décrite plus haut, et, pour ElevenLabs, sur la vidéo des familles fondatrices qui la demandent. OVHcloud (société française, données en France) héberge notre courrier, marcel@girafoufou.fr : ce que vous nous écrivez, dont, pour une famille fondatrice, le prénom de son enfant et son adresse, effacés dès l’envoi des cadeaux. Apple et Google interviennent dans les achats intégrés décrits ci-dessus. Aucune donnée n’est vendue ou transmise pour la publicité.

Pour la connexion Apple, nous gardons aussi un jeton de révocation chiffré. À la suppression du compte, il sert à retirer l’autorisation Apple, puis il est effacé avec le compte. Il ne figure jamais dans votre export de données.

Supprimer votre compte Girafoufou

Sur le site ou dans l’application, ouvrez le coin des parents, puis « Le compte parent » et « Effacer le compte… ». Vous pouvez aussi demander la suppression par e-mail à marcel@girafoufou.fr, depuis l’adresse du compte, sans réinstaller l’application. La suppression retire le compte, ses profils, les progressions synchronisées, les appareils et les sessions. Les copies de secours disparaissent sous trente jours ; les factures d’un éventuel achat restent conservées pour la comptabilité. Les données restées sur une tablette se retirent séparément avec « Tout remettre à zéro » au coin des parents.

La protection contre les abus

Pour éviter les envois répétés et les abus, nous gardons aussi des compteurs temporaires liés à votre adresse parent sous une empreinte protégée, ou à votre compte. Ils ne contiennent ni adresse IP, ni prénom, ni progression. Ils sont purgés régulièrement, au plus après vingt-cinq heures en fonctionnement normal ; après une interruption, le nettoyage reprend au démarrage. Les compteurs liés au compte sont inclus dans son export et effacés avec lui. Ceux des demandes de connexion expirent séparément. Les copies de secours sont effacées sous trente jours, comme le reste (voir « Si vous créez un compte parent »).

Vos droits

Vous pouvez accéder à vos données, les corriger, les emporter, les effacer, limiter ou vous opposer à leur traitement, et retirer un consentement à tout moment. La plupart de ces gestes se font seul, en un tap, au coin des parents : « Tout emporter » (un fichier lisible avec tout ce que nous gardons), effacer un enfant sans fermer le compte, effacer le compte entier, déconnecter un appareil à l’instant, éteindre l’option. Pour le reste, écrivez à marcel@girafoufou.fr depuis l’adresse de votre compte ; nous répondons sous un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (cnil.fr).

Les enfants

Le jeu s’adresse à des enfants de trois à six ans, mais rien ne leur est demandé, ni compte, ni e-mail, ni consentement : tout ce qui concerne les données vit au coin des parents, derrière une question pour les grands, et c’est le parent qui décide. Aucun profilage, aucune publicité, aucune sollicitation dans le jeu. Le prénom donné au jeu peut être un surnom.

Les cookies

Deux cookies, tous deux strictement nécessaires et donc sans bannière : celui qui vous garde connecté à votre compte parent (réservé aux échanges du compte, jamais lu par une page), et celui de l’administration du site, réservé à la personne qui s’en occupe. Aucun cookie de mesure ni de publicité.

Si cette page change

Un changement de ce que nous faisons de vos données demande un nouveau consentement là où il était nécessaire, et la date ci-dessous change. La version en français simple, pour un parent pressé, reste la page de transparence du coin des parents ; l’éditeur et l’hébergeur sont sur la page des mentions légales.

Dernière mise à jour : 29 octobre 2026.