Politique de confidentialité de Santolingo

1. Qui est responsable#

Santolingo est publié par GRACEFOLD TECH LTDA, CNPJ 69.276.507/0001-79, SAUS Quadra 4, Bloco A, s/n, Sala 513 Parte 1002, Plano Piloto, Brasília/DF, CEP 70070-938, Brasil, qui est le responsable du traitement des données décrites dans la présente politique, au sens de la loi brésilienne n° 13.709/2018, loi générale sur la protection des données personnelles (« LGPD »).

Canal pour la personne concernée : privacy@santolingo.com, pour toute demande ou question concernant vos données. Gracefold est un agent de traitement de petite taille et, de ce fait, ne désigne pas de délégué à la protection des données (« encarregado ») (Résolution CD/ANPD n° 2/2022, art. 11). Si nous commençons à effectuer des traitements à haut risque, nous désignerons un délégué et publierons ici son nom et ses coordonnées.

2. Champ d’application de la présente politique#

• l’application Santolingo pour iPhone/iPad (iOS) et Android ;
• Santolingo Web (app.santolingo.com), Santolingo dans le navigateur (section 4.2). Ce que la présente politique dit de « l’application » s’applique aussi à lui, sauf lorsque la section 4.2 ou le texte lui-même en dispose autrement ;
• le site santolingo.com, y compris le centre d’aide et les adresses ouvertes par le QR code des cartes physiques (santolingo.com/c/…).

Les achats effectués sur l’App Store ou sur Google Play, les comptes Apple et Google et les services du système de votre appareil sont également régis par les politiques d’Apple et de Google.

3. Ce que nous ne faisons pas#

• nous n’exigeons ni compte, ni inscription, ni connexion pour utiliser l’application ;
• sans compte, nous ne demandons ni nom, ni adresse e-mail, ni numéro de téléphone, ni date de naissance, ni localisation, ni contacts, ni photos ;
• nous ne conservons jamais votre photo, votre mot de passe, vos contacts ou votre localisation, même avec un compte ;
• nous n’affichons pas de publicité et n’utilisons pas de SDK de publicité, d’attribution de campagnes ou de pistage entre applications ;
• nous n’enregistrons ni les sessions ni l’écran, nous n’utilisons pas de SDK d’analyse de tiers dans l’application et nous ne constituons pas de profil sur vous : les données d’utilisation décrites à la section 5.1 sont peu nombreuses, sans contenu et liées à un code aléatoire, jamais à votre nom ;
• nous ne vendons ni ne louons de données personnelles et ne les partageons pas à des fins de marketing ;
• nous n’envoyons pas à nos serveurs les images de l’appareil photo ni l’audio du micro ;
• nous ne remettons pas vos données à des tiers pour qu’ils entraînent leur intelligence artificielle, et nous n’utilisons jamais votre voix ni les données relatives à la foi (section 8) pour entraîner des modèles.

4. Données qui restent uniquement sur votre appareil#

Pour fonctionner, l’application conserve localement, dans l’espace qui lui est réservé sur votre appareil :

• les cours (paires de langues) que vous avez choisis et les paquets de contenu téléchargés ;
• votre progression d’étude : leçons terminées, révisions, test de niveau, niveau de maîtrise de chaque mot, série de jours, engagements et réussites ;
• les favoris, versets et passages enregistrés ;
• les préférences de l’application, comme la voix, la vitesse de l’audio, les heures de rappel et le thème ;
• le contenu affiché dans les widgets et les activités en direct (Live Activities / mises à jour en cours), généré sur l’appareil lui-même.

Tant qu’aucun compte n’est associé, ces données ne sont pas envoyées à Gracefold (la seule exception est la section de PDF que vous débloquez après un achat, section 10). Elles sont effacées lorsque vous désinstallez l’application.

4.1 Sauvegarde du système (iCloud et Google)

Si la sauvegarde de votre appareil est activée, le système lui-même copie une partie de ces données dans votre compte iCloud (Apple) ou Google, avec les autres applications : la progression d’étude, les préférences et l’historique de votre pratique, qui comprend les jours de dévotionnel terminés, les versets et passages enregistrés et les engagements pris, ainsi que le texte des cours. Sur Android, les mêmes données sont aussi transmises lors du transfert direct d’un téléphone à un autre.

Cela se produit même sans compte Santolingo et même si vous avez choisi « Seulement la progression d’étude » (section 8) : ce choix détermine ce qui est envoyé aux serveurs de Gracefold, et non ce que le système copie dans la sauvegarde. La copie se trouve dans votre compte Apple ou Google, sous votre contrôle et conformément aux politiques d’Apple et de Google ; Gracefold n’y a pas accès et ne la reçoit pas.

• ce qui reste hors de la sauvegarde : les fichiers téléchargés (audios, images et PDF), la session du compte, le code d’acheteur (section 10), le code d’installation utilisé pour télécharger le contenu (section 5), les applications choisies dans La Parole d’abord et, sur Android, le code aléatoire des données d’utilisation (section 5.1). Sur iPhone, ce code aléatoire est inclus dans la sauvegarde et revient si vous restaurez l’appareil à partir de celle-ci ;
• comment éviter la copie : sur iPhone, dans les réglages de la Sauvegarde iCloud, vous pouvez désactiver la sauvegarde de l’appareil ou seulement celle de Santolingo ; sur Android, dans les paramètres de sauvegarde Google, vous pouvez désactiver la sauvegarde de l’appareil ;
• pourquoi nous le déclarons ainsi : la sauvegarde est la seule protection de la progression des personnes qui n’ont pas de compte. Nous prévoyons de retirer de la sauvegarde les données du dévotionnel des personnes qui n’ont pas choisi de les synchroniser ; lorsque cela changera, la présente politique sera mise à jour.

4.2 Santolingo Web (dans le navigateur)

Santolingo Web (app.santolingo.com) fonctionne avec le compte (section 9), le même compte Apple ou Google que celui des applications. Sans connexion, il ne propose qu’un aperçu : le dévotionnel du jour et la première leçon. Il n’y a rien à installer : ce qu’il conserve reste dans votre navigateur ou dans votre compte.

• historique du compte dans ce navigateur : une copie de ce que Santolingo Web utilise de votre compte (les événements d’étude, les cours, les préférences synchronisées et les événements du dévotionnel, qui ne vont au compte qu’avec votre choix de la section 8), ainsi que les favoris et les éléments récents de la Bibliothèque, qui ne vont pas au compte. Elle est conservée dans la base de données du navigateur (IndexedDB), séparée par compte, et elle est effacée lorsque vous vous déconnectez dans ce navigateur. Rien n’est perdu dans le compte ;
• préférences de ce navigateur : le thème, la langue de l’interface, « Réduire les animations », la taille du texte du dévotionnel, le papier choisi dans À imprimer, le format de partage, les derniers Fonds dynamiques affichés et l’avis pour téléphone écarté sont conservés dans le stockage local du navigateur (localStorage). Ils ne vont ni au compte ni à nos serveurs et restent après la déconnexion ; pour les effacer, effacez les données du site dans les réglages du navigateur ;
• contenu téléchargé : les textes des cours et des leçons sont conservés dans un espace du navigateur réservé au contenu (Cache Storage). Ils sont identiques pour tout le monde et ne contiennent aucune donnée vous concernant ;
• aperçu sans connexion : la progression de la première leçon reste uniquement dans cet onglet (sessionStorage) et disparaît lorsque vous le fermez ; si vous vous connectez dans le même onglet, elle passe au compte. L’aperçu n’utilise pas de cookie et n’envoie aucune donnée vous concernant ;
• pas d’outil d’analyse : Santolingo Web n’envoie pas les données d’utilisation de la section 5.1, n’utilise pas Sentry et ne charge aucun script tiers (ni d’analyse, ni de publicité, ni de réseaux sociaux). La connexion avec Apple ou Google n’est qu’une redirection vers leur page. Les seuls signalements automatiques sont les signalements d’erreur de la section 5.3 ;
• le navigateur comme appareil : dans le compte, le navigateur apparaît dans Appareils connectés avec le nom du navigateur et du système, sans version (par exemple, « Chrome · macOS »), et la version de Santolingo Web (section 9).

Cookies. Santolingo Web n’utilise que les cookies de session ci-dessous, tous strictement nécessaires pour vous connecter au compte et utiliser le service. Ils sont créés par notre serveur, ne sont renvoyés qu’à app.santolingo.com (jamais au site santolingo.comni à des tiers) et sont marqués HttpOnly et Secure : le code de la page ne peut pas les lire, et ils ne circulent qu’en HTTPS. Nous n’utilisons pas de cookies d’analyse, de publicité ni de tiers ; c’est pourquoi il n’y a pas de cookies facultatifs à accepter ou à refuser.

Base légale : exécution du service que vous demandez en vous connectant au compte (LGPD, art. 7, V) et intérêt légitime pour la sécurité du service (art. 7, IX), pour la protection de la connexion et le jeton d’accès au contenu.

5. Données traitées lorsque l’application ou le site accèdent à Internet#

L’application accède au réseau pour télécharger le catalogue, les paquets de leçons, les images et les audios, et pour vérifier les mises à jour du contenu. Ces requêtes sont adressées à des serveurs de Gracefold exploités sur l’infrastructure de Cloudflare (api.santolingo.com,cdn.santolingo.com, media.santolingo.com). Il en va de même pour les personnes qui visitent le site santolingo.com et pour Santolingo Web (app.santolingo.com). Comme pour tout accès à Internet, l’infrastructure enregistre des données techniques de la requête : adresse IP, date et heure, ressource demandée et identification de l’application ou du navigateur et du système (user agent).

Nous utilisons ces enregistrements uniquement pour fournir le contenu, protéger le service contre les abus (par exemple, limite de requêtes par adresse IP) et diagnostiquer les pannes. Ils ne sont pas associés à un profil vous concernant : lors du téléchargement de contenu, l’application n’envoie ni nom, ni adresse e-mail, ni compte, seulement le jeton d’accès décrit ci-dessous. Ils sont conservés pendant la durée prévue par la politique de conservation de Cloudflare (les journaux de diagnostic de nos serveurs, jusqu’à 7 jours) et, lorsque la loi l’exige, pendant la durée de conservation des journaux d’accès aux applications prévue par le Marco Civil da Internet (cadre juridique brésilien de l’Internet, loi n° 12.965/2014, art. 15). Pour suivre l’état de santé du service, nous conservons aussi des décomptes agrégés (par exemple, combien de requêtes ont été refusées par type d’erreur), sans adresse IP, sans code d’installation et sans aucune donnée vous concernant.

Jeton d’accès pour télécharger le contenu. Pour protéger les leçons, les audios, les images et les PDF gratuits contre la copie en masse, l’application demande à notre serveur un jeton d’accès temporaire (valable de 1 à 24 heures) et l’envoie avec chaque requête de contenu. Pour l’obtenir, l’application envoie :

• un code d’installation, aléatoire, créé sur l’appareil lors de l’installation de l’application. Il ne comporte ni nom, ni adresse e-mail, ni compte, ni donnée de l’appareil, reste hors de la sauvegarde du système et disparaît lorsque vous désinstallez l’application ;
• le système (iOS ou Android) et une preuve qu’il s’agit de l’application authentique : sur iPhone, une signature App Attest, générée par l’appareil lui-même avec une clé certifiée par Apple ; sur Android, un résultat de l’API Play Integrity, que Google produit à partir d’informations sur l’appareil, l’application et le compte de la boutique, conformément à la politique de confidentialité de Google, et qui nous indique seulement si l’application et l’appareil sont intègres ;
• si la preuve n’est pas disponible et que vous êtes connecté à votre compte, un ticket à usage unique du serveur de comptes, à la place de la preuve. Sans preuve et sans compte, le jeton d’accès est limité (un nouveau paquet de contenu par jour et par appareil).

Le serveur conserve la clé publique App Attest liée au code d’installation, pour vérifier les renouvellements suivants, ainsi que des compteurs quotidiens par installation et par adresse IP, pour appliquer les limites. Dans ces compteurs, le code d’installation et l’adresse IP ne sont conservés que sous forme d’empreinte cryptographique, jamais en clair, et sont effacés à la fin de la journée. Rien de tout cela n’est utilisé à des fins d’analyse ni lié aux données d’utilisation de la section 5.1.Base légale : intérêt légitime à la sécurité du service et à la protection du contenu contre la copie (LGPD, art. 7, IX), avec les garanties ci-dessus.

Le site santolingo.com n’utilise ni cookies, ni outils d’analyse, ni publicité : il ne conserve dans votre navigateur que votre choix de thème, et la recherche du centre d’aide s’exécute dans votre navigateur. Santolingo Web (app.santolingo.com) n’a pas non plus d’outil d’analyse ni de publicité et n’utilise que les cookies de session strictement nécessaires de la section 4.2.

Base légale : exécution du service que vous avez demandé en utilisant l’application ou le site (LGPD, art. 7, V), intérêt légitime à la sécurité du service (art. 7, IX) et respect d’une obligation légale (art. 7, II), le cas échéant.

5.1 Données techniques et d’utilisation de l’application (diagnostic et amélioration)

Ce qui reste uniquement sur votre appareil : vos prières, ce que vous dites dans les exercices vocaux et ce que vous enregistrez et annotez.

Ce que Santolingo collecte : des données techniques (erreurs, plantages et performances) et des données d’utilisation sans contenu (écrans ouverts, leçons et dévotionnels commencés, terminés ou abandonnés, fonctionnalités utilisées, langue du cours, version de l’application, type d’appareil et système, pays approximatif), liées à un code aléatoire généré sur l’appareil, et non à votre nom, à votre adresse e-mail ou à votre compte. Ce code est remplacé tous les 13 mois et effacé lorsque vous supprimez le compte ou désinstallez l’application. Aucune de ces données ne contient ce que vous avez écrit, dit, enregistré ou prié, ni le verset ou le passage que vous avez gardé. L’adresse IP n’est pas conservée : le pays est déterminé sur le moment, en périphérie du réseau, et l’adresse IP est supprimée.

Dans quel but : corriger des problèmes et améliorer l’application, par exemple découvrir à quel endroit les personnes abandonnent une leçon ou quelles fonctionnalités personne ne trouve. Nous ne vendons jamais ces données, ne les utilisons jamais pour de la publicité et ne les remettons jamais à des tiers pour qu’ils entraînent leur intelligence artificielle. Nous pouvons les utiliser, toujours sans contenu et sans vous identifier, pour améliorer Santolingo lui-même, y compris avec des outils d’intelligence artificielle.

Base légale : intérêt légitime (LGPD, art. 7, IX, et art. 10), évalué par écrit avec les garanties ci-dessus (données minimales, sans contenu, code aléatoire, conservation limitée). C’est pourquoi cette collecte fait partie du fonctionnement de l’application et ne dépend pas d’une option individuelle. Comme ces données ne vous identifient pas, nous ne pouvons pas les retrouver à partir de votre nom ou de votre adresse e-mail ; désinstaller l’application ou supprimer le compte efface le code, et ce qui a déjà été envoyé expire dans les délais de la section 14.

Avec qui : Sentry (diagnostic des erreurs) et PostHog (analyse de l’utilisation), avec des données stockées dans l’Union européenne (section 7). Les données d’utilisation passent d’abord par un collecteur de Gracefold (telemetry.santolingo.com), qui supprime l’adresse IP et conserve les données brutes dans un espace de stockage de Gracefold situé dans l’Union européenne (Cloudflare R2), et ne sont transmises qu’ensuite à PostHog. L’application ne contient ni SDK de PostHog ni d’aucun autre outil d’analyse. Santolingo Web n’envoie ni ces données d’utilisation ni de rapports à Sentry ; ses erreurs relèvent de la section 5.3.

Rapports d’erreur (Sentry) : lorsque l’application ou un serveur de Gracefold tombe en panne, Sentry reçoit le type d’erreur et l’endroit du code où elle s’est produite, les derniers écrans ouverts, la version de l’application, le système, la catégorie d’appareil (sans nom, modèle ni identifiant de l’appareil) et le code aléatoire ci-dessus. L’envoi de données personnelles par défaut du SDK est désactivé, l’application retire du rapport, avant l’envoi, les messages libres, les données de la requête et les identifiants de l’appareil, et Sentry est configuré pour ne pas conserver l’adresse IP et pour filtrer les données sensibles également sur son propre serveur. Aucun nom, adresse e-mail, compte, contenu, capture d’écran ni enregistrement de session n’est envoyé.

5.2 Signalements de problèmes et suggestions que vous envoyez

À plusieurs endroits de l’application (le menu « ⋯ » d’un contenu, la leçon, Réglages › Aide ou en secouant le téléphone) et de Santolingo Web (Réglages › Mes retours, le menu du compte, la leçon, l’Explique ou la touche « ! »), vous pouvez signaler un problème ou suggérer une amélioration. Rien n’est envoyé tant que vous n’avez pas touché « Envoyer ».

• ce qui est joint : ce que vous avez écrit ; la catégorie ; le contenu concerné (par exemple, le paquet, la carte ou le jour du dévotionnel, par son identifiant) ; l’écran ; la version de l’application, le système et le type d’appareil ; le code aléatoire de la section 5.1 ou, si vous êtes connecté à votre compte, l’identifiant du compte (jamais les deux ensemble) ; et, si vous le laissez, une capture d’écran et jusqu’à 3 images de votre choix. Avant l’envoi, vous voyez la capture d’écran et pouvez en masquer des parties ou la retirer. Vérifiez la capture d’écran : elle peut montrer vos prières ou vos notes ;
• adresse e-mail pour la réponse : facultative, et seulement pour les personnes qui déclarent avoir 12 ans ou plus ou être le responsable. Sans adresse e-mail, vous recevez seulement le numéro du signalement ;
• avec un compte : l’envoi de signalements exige d’être connecté au compte. Avant chaque envoi, l’application demande au serveur de comptes un ticket à usage unique ; le serveur ne conserve qu’une empreinte de ce ticket, le compte et l’heure, pour limiter les envois (jusqu’à 5 par jour et 20 par semaine), et efface cet enregistrement au bout de 8 jours ;
• dans Santolingo Web : les mêmes données sont envoyées, avec deux différences : à la place du système et du type d’appareil, sont envoyés le navigateur sous une forme approximative (nom, version principale et système, par exemple « Chrome 131 · macOS » ; l’identifiant complet du navigateur, le user agent, ne quitte pas notre serveur) et la taille de l’écran (téléphone, tablette ou ordinateur) ; et aucune capture d’écran ni image n’est envoyée. L’envoi exige d’être connecté au compte, avec le même ticket et les mêmes limites, et le signalement est conservé aux mêmes endroits, pendant la même durée, avec la même demande d’effacement par le numéro (ci-dessous) ;
• Mes retours : le numéro de chaque signalement est enregistré dans l’application, dans Réglages › Mes retours, avec une clé aléatoire que seul votre appareil connaît ; le serveur ne reçoit qu’une empreinte cryptographique de cette clé. L’application utilise la clé pour consulter l’état du signalement (reçu, mis en œuvre ou non prévu) ; sans elle, personne ne peut le consulter. Avec un compte, le numéro, la clé, la date, la catégorie et le début de ce que vous avez écrit (jusqu’à 80 caractères) sont aussi conservés dans votre compte, pour apparaître sur vos autres appareils et dans Santolingo Web, et sont effacés avec lui ;
• testeurs : dans les versions de test, le signalement d’un testeur inscrit porte cette indication et l’environnement de test, jamais son adresse e-mail ;
• dans quel but : corriger des problèmes et améliorer l’application et le contenu ;
• base légale : votre consentement, donné à chaque envoi (LGPD, art. 7, I). Si ce que vous envoyez révèle quelque chose de votre foi, l’envoi vaut consentement spécifique à cette fin (art. 11, I). Vous pouvez demander la suppression à tout moment ;
• où c’est conservé : le texte et les images sont conservés dans un espace de stockage privé de Gracefold situé dans l’Union européenne (Cloudflare R2), et chaque signalement devient une entrée dans un dépôt privé de Gracefold sur GitHub, où l’équipe le lit et l’organise. Ils n’entrent jamais dans les données d’utilisation de la section 5.1 ;
• pendant combien de temps : jusqu’à 12 mois après la résolution du signalement ; ensuite, le texte, les images et l’adresse e-mail sont effacés, et il ne reste qu’un enregistrement sans aucune de ces données (catégorie, écran et contenu), à des fins statistiques. Nous conservons aussi l’état final lié au numéro, sans aucun contenu, pour que l’application continue d’afficher l’état ;
• comment l’effacer plus tôt : écrivez à l’adresse e-mail dédiée à la confidentialité (section 19) en indiquant le numéro du signalement, et nous effaçons tout. Cela efface aussi l’état : le numéro ne répond plus dans l’application.

5.3 Signalements d’erreur de Santolingo Web

Lorsqu’une page de Santolingo Web échoue dans votre navigateur (une erreur JavaScript), le navigateur envoie un court signalement au serveur de Santolingo Web lui-même (app.santolingo.com), sans cookie. Il ne contient que : le type d’erreur ; le message et la pile d’appels de l’erreur, nettoyés dans le navigateur puis à nouveau sur le serveur (sans adresses avec paramètres, adresses e-mail, textes cités, codes longs ni identifiants de connexion) ; le modèle de l’adresse de l’écran, sans les valeurs ni la requête (par exemple, l’écran d’une leçon, sans dire laquelle) ; la version de Santolingo Web ; et le navigateur sous une forme approximative (nom, version principale et système, par exemple « Chrome 131 · macOS »), déterminé sur le serveur, qui ne conserve pas le user agent.

Il ne contient ni le compte, ni le nom, ni l’adresse e-mail, ni les cookies, ni la session, ni le contenu que vous étudiez. L’adresse IP n’est pas conservée : le serveur en utilise une empreinte cryptographique, sur le moment, uniquement pour limiter les envois, et le navigateur envoie au plus 5 signalements par page. Les signalements sont conservés uniquement dans les journaux de diagnostic de Santolingo Web chez Cloudflare, pendant 7 jours au plus (sections 5 et 14), et ne servent qu’à corriger les erreurs : ils ne vont ni à Sentry, ni à PostHog, ni à aucun autre tiers, et ne sont pas reliés à vous.Base légale : intérêt légitime au bon fonctionnement du service (LGPD, art. 7, IX), avec les garanties ci-dessus.

6. Autorisations du système#

L’application ne demande pas l’accès à votre photothèque, à vos contacts ni à votre localisation. Toutes les autorisations sont facultatives et peuvent être révoquées dans les réglages de l’appareil ; les fonctionnalités correspondantes cessent alors de fonctionner.

7. Services de tiers et sous-traitants#

• Cloudflare, Inc. (États-Unis) : hébergement et diffusion du contenu, du site, de Santolingo Web et du serveur de comptes (sections 4.2, 5 et 9).
• Apple et Google, en tant que boutiques (App Store et Google Play) : distribution, installation, mise à jour et achats intégrés à l’application. Si vous l’autorisez dans les réglages de l’appareil, Apple et Google peuvent nous envoyer des statistiques d’utilisation agrégées et des rapports de plantage (crash), sans vous identifier.
• Google Play (Android) : l’application utilise le service de mise à jour intégrée de Google Play pour signaler qu’une nouvelle version est disponible.
• Google ML Kit (Android) : lecture du QR code et du code imprimé sur les cartes, effectuée sur l’appareil. Selon la documentation de Google, ML Kit envoie à Google des métriques techniques de performance et d’utilisation de la bibliothèque elle-même (par exemple, modèle de l’appareil, version de l’application et de la bibliothèque, temps de traitement et erreurs). Les images de l’appareil photo ne sont pas envoyées.
• Apple (Sign in with Apple et Private Email Relay) et Google (Google Sign-In) (section 9) : authentification et, pour Apple, le relais des e-mails pour les personnes qui choisissent de masquer leur adresse.
• Resend, Inc. (États-Unis) : envoi des e-mails de service et, pour les personnes qui l’autorisent, des e-mails de nouveautés (section 9). Reçoit l’adresse e-mail, le nom, le cas échéant, et le contenu du message.
• RevenueCat, Inc. (États-Unis) : affiche les formules et les prix de votre boutique, traite les achats et les restaurations et informe notre serveur de chaque achat, renouvellement, résiliation ou remboursement, à partir des reçus des boutiques (section 10). Ne reçoit ni nom, ni adresse e-mail, ni compte Santolingo, ni données de paiement, ni identifiants publicitaires.
• Functional Software, Inc. (Sentry) (États-Unis ; données stockées dans l’Union européenne, en Allemagne) : diagnostic des erreurs et des plantages de l’application et des serveurs (section 5.1). Reçoit le type d’erreur, les derniers écrans ouverts, la version de l’application, la catégorie d’appareil et le code aléatoire ; ne reçoit ni nom, ni adresse e-mail, ni compte, ni contenu, ni captures d’écran, ni enregistrement de session, et ne conserve pas l’adresse IP.
• Apple (App Attest) et Google (Play Integrity) : vérification que l’application est l’application authentique, sur un appareil intègre, pour délivrer le jeton d’accès au contenu (section 5). Sur Android, Google produit le résultat à partir de données de l’appareil, de l’application et du compte de la boutique, conformément à sa propre politique ; Gracefold ne reçoit que le résultat.
• GitHub, Inc. (États-Unis) : dépôt privé où sont conservés les signalements et suggestions de la section 5.2 (texte, catégorie, contexte technique, liens temporaires vers les images et, si vous la laissez, l’adresse e-mail).
• PostHog, Inc. (États-Unis ; données stockées dans l’Union européenne, en Allemagne) : analyse des données d’utilisation de la section 5.1, envoyées par les serveurs de Gracefold, sans l’adresse IP et sans contenu.
• Backblaze, Inc. (États-Unis ; données stockées dans l’Union européenne, aux Pays-Bas) : conserve les copies de sauvegarde de Gracefold, y compris celle de la base de données des comptes et des achats (section 14). Les copies sont chiffrées avant de quitter Gracefold, et Backblaze ne détient pas la clé.
• Services vocaux et de voix du système (Apple, Google) : reconnaissance vocale (section 6) et l’option « Voix de l’appareil », qui utilise le synthétiseur vocal du système lui-même.

Les modifications de cette liste seront publiées ici avant d’être mises en œuvre.

8. Données relatives à la foi#

Santolingo enseigne les langues avec des textes bibliques et dévotionnels. Les informations sur ce que vous étudiez, enregistrez ou priez peuvent révéler une conviction religieuse, que la LGPD traite comme une donnée personnelle sensible (art. 5, II, et art. 11). C’est pourquoi :

• le contenu reste uniquement sur votre appareil : ce que vous avez lu, enregistré, annoté ou prié n’est jamais envoyé sans compte. Les données d’utilisation de la section 5.1 enregistrent seulement le fait qu’une leçon ou le dévotionnel du jour a été ouvert, terminé ou abandonné, sans aucun contenu et lié à un code aléatoire. Comme l’application elle-même est consacrée à l’étude biblique, cet enregistrement d’utilisation ne révèle rien de plus que le fait que l’application est installée chez vous, et il n’est jamais utilisé pour découvrir ou classer la foi de qui que ce soit ;
• sauvegarde du système : les jours de dévotionnel terminés, les versets et passages enregistrés et les engagements restent sur l’appareil et, si la sauvegarde du système est activée, sont aussi copiés dans la sauvegarde de votre compte Apple ou Google, même sans compte Santolingo et même avec le choix « Seulement la progression d’étude » (section 4.1). Cette copie vous appartient et ne passe pas par Gracefold ;
• si vous associez un compte (section 9), l’application vous demande un choix actif, sans aucune option présélectionnée : « Tout enregistrer, y compris la dévotion » ou « Seulement la progression d’étude ». Nous ne synchronisons les données du dévotionnel que si vous choisissez la première option, et nous conservons l’enregistrement de ce choix avec la version du texte affiché. Dans Santolingo Web, le choix apparaît à la fin d’un dévotionnel (« Autoriser » ou « Pas maintenant ») et dans Réglages › Confidentialité ;
• vous pouvez révoquer ce choix à tout moment, dans Profil › Compte et synchronisation ou, dans Santolingo Web, dans Réglages › Confidentialité. En cas de révocation, les données du dévotionnel sont effacées de nos serveurs, et le reste du compte est conservé. Dans Santolingo Web, la révocation efface aussi les enregistrements du dévotionnel conservés dans ce navigateur ; ce qui se trouve déjà sur un téléphone y reste ;
• nous ne les utilisons jamais pour de la publicité, ne les vendons jamais et ne les partageons jamais avec des tiers autres que les sous-traitants de la section 7.

9. Compte facultatif pour enregistrer la progression#

Avant que la moindre donnée ne quitte l’appareil, l’application vous demande votre âge (section 13) et ce que vous voulez enregistrer (section 8). Vous choisissez ensuite Continuer avec Apple (Sign in with Apple) ou Continuer avec Google.

• ce que nous conservons :
  • l’identifiant qu’Apple ou Google nous fournit pour votre compte, et la date de création du compte ;
  • profil : votre nom, si le fournisseur l’envoie (facultatif ; vous pouvez le modifier ou l’effacer), et votre adresse e-mail. Si vous choisissez de masquer votre adresse e-mail chez Apple, nous conservons l’adresse de relais créée par Apple (Private Email Relay), et non votre véritable adresse. Apple n’envoie le nom et l’adresse e-mail que lors de la première connexion ;
  • votre réponse sur l’âge, votre choix concernant le dévotionnel et votre choix concernant les e-mails de nouveautés, avec la version du texte affiché ;
  • un identifiant aléatoire par installation de l’application (dans Santolingo Web, par navigateur) et la session (seulement une empreinte cryptographique du jeton, jamais le jeton lui-même) ;
  • les appareils connectés au compte : le système, le modèle de l’appareil (dans Santolingo Web, seulement le nom du navigateur et du système, sans version) et la version de l’application, pour que vous puissiez voir et déconnecter chacun d’eux dans Appareils connectés ;
  • les numéros des signalements que vous avez envoyés, avec la clé et le résumé décrits à la section 5.2 (Mes retours) ;
  • les événements d’étude (leçons, révisions, test de niveau, engagements, réussites), les cours, les favoris et les versets enregistrés ainsi que les préférences (voix, vitesse) ; les événements du dévotionnel, seulement si vous le choisissez ;
  • un modèle de vos heures de rappel, proposé lorsque vous vous connectez sur un nouvel appareil (« Utiliser les mêmes rappels que l’autre appareil ? »). Il ne s’applique jamais de lui-même, et ensuite chaque appareil gère ses propres rappels ;
• ce que nous ne conservons pas : photo, mot de passe, numéro de téléphone, contacts ou localisation ;
• ce qui reste uniquement sur l’appareil : les fichiers téléchargés, l’utilisation des données mobiles, les notifications programmées, les éléments récents et les recherches ;
• dans quel but : conserver votre progression, la restaurer sur un nouvel appareil, la synchroniser entre iPhone et Android, fusionner deux de vos comptes (par exemple, un compte Apple et un compte Google) sans rien perdre, afficher votre nom dans le Profil et vous contacter par e-mail (ci-dessous) ;
• base légale : exécution du service que vous avez demandé (LGPD, art. 7, V) pour le compte, le profil et la progression d’étude ; votre consentement spécifique (art. 11, I) pour les données du dévotionnel (section 8) ; et, pour les enfants, le consentement du responsable (art. 14, § 1 ; section 13) ;
• où : dans une base de données de Gracefold sur l’infrastructure de Cloudflare, dans la région Est de l’Amérique du Nord (États-Unis), car le service de base de données utilisé (Cloudflare D1) n’a pas de région en Amérique du Sud. Il s’agit d’un transfert international (section 17) ;
• protection contre les abus : le serveur limite le nombre de requêtes par adresse IP et par compte. Pour télécharger le contenu, l’application utilise la vérification d’intégrité d’Apple et de Google (App Attest / Play Integrity), décrite à la section 5. Un compte utilisé en violation des conditions peut être suspendu : les sessions sont fermées et la connexion est bloquée, sans rien effacer ; la suspension peut être levée (conditions, section 12).

E-mails

• Messages de service (concernant le compte, la sécurité, les reçus et les modifications des conditions ou de la présente politique) : envoyés aux titulaires d’un compte, sans qu’une autorisation soit nécessaire, car ils font partie du service (LGPD, art. 7, V) ou sont exigés par la loi (art. 7, II).
• Nouveautés et contenu : seulement avec votre consentement (art. 7, I), donné par une option distincte, décochée par défaut. Chaque message contient un lien de désinscription, et vous pouvez aussi désactiver cette option dans le Profil.
• Moins de 12 ans : les personnes qui ont déclaré avoir moins de 12 ans ne reçoivent jamais d’e-mails de nouveautés ou de contenu, même si l’option est cochée.
• Pour remettre les messages aux adresses du Private Email Relay, notre domaine d’envoi est enregistré auprès d’Apple. Si vous désactivez le relais dans les réglages d’Apple, nous ne pouvons plus vous contacter par e-mail.

Associer un compte n’est jamais obligatoire. L’application peut vous rappeler d’enregistrer votre progression, mais vous pouvez toujours refuser et continuer à l’utiliser sans compte. La déconnexion du compte ne vaut que pour l’appareil concerné ; la progression locale est conservée.

10. Santolingo Plus et achats intégrés à l’application#

Cette section s’applique à Santolingo Plus et aux achats de PDF (conditions d’utilisation, section 6).

• paiement : il est traité par Apple ou par Google, qui sont responsables des données de paiement. Gracefold n’a accès ni à votre carte ni à votre compte de la boutique, et ne reçoit pas le nom ou l’adresse e-mail du compte de la boutique ;
• RevenueCat : pour afficher les formules et les prix de votre boutique, effectuer et restaurer des achats et savoir si vous êtes abonné, l’application fait appel à RevenueCat, Inc., en tant que sous-traitant. RevenueCat reçoit les reçus et les données des transactions envoyés par les boutiques (produit, prix, devise, pays de la boutique, dates, statut de l’abonnement et identifiants des transactions), un identifiant de l’acheteur et les données techniques des connexions de l’application à ses services (adresse IP, modèle et système de l’appareil, version de l’application, langue et région). Jusqu’au premier achat ou à la première restauration, cet identifiant est un code aléatoire créé par RevenueCat elle-même ; à partir de là, c’est le code d’acheteur anonyme décrit ci-dessous. RevenueCat ne reçoit ni votre nom, ni votre adresse e-mail, ni votre compte Santolingo, ni données de paiement, et l’application ne lui envoie ni identifiants publicitaires (l’IDFA d’Apple ou l’identifiant publicitaire d’Android) ni données d’attribution de campagnes ;
• code d’acheteur anonyme : lors du premier achat ou de la première restauration, notre serveur crée un code d’acheteur aléatoire et une clé secrète, conservés sur l’appareil dans une zone protégée (sur le serveur, nous ne conservons qu’une empreinte cryptographique de la clé). Le code ne comporte ni nom, ni adresse e-mail, ni donnée de l’appareil. Une personne qui n’achète ni ne restaure jamais rien ne reçoit pas ce code ;
• ce que notre serveur conserve : RevenueCat nous transmet les avis des boutiques concernant chaque achat, renouvellement, résiliation, remboursement ou transfert. Nous conservons, liés au code d’acheteur : l’état de l’abonnement (essai, actif, résilié, en délai de grâce, expiré ou remboursé) et les dates ; chaque prélèvement (produit, prix, devise et date) et les achats à l’unité ; les crédits et les sections de PDF débloquées ; et chaque avis tel qu’il a été reçu, sans les attributs supplémentaires qu’une application peut y joindre. Si vous avez un compte, le code d’acheteur y est lié, pour être valable sur tous vos appareils ; un achat est lié à un seul compte à la fois (conditions, section 6) ;
• lorsque vous débloquez une section de PDF : l’application envoie la section choisie, le jour et le fuseau horaire de l’appareil et, pour la règle de l’essai gratuit, la section où vous vous trouvez sur le parcours. Sans compte, c’est la seule information sur votre étude qui quitte l’appareil, et seulement lorsque vous débloquez une section ;
• PDF payants : chaque téléchargement passe par un lien temporaire (10 minutes), émis sur files.santolingo.com après vérification de votre droit. Au moment du téléchargement, le serveur inscrit dans le pied de page du PDF un code de licence (dérivé du code d’acheteur) et, si votre compte comporte un nom, votre prénom et l’initiale de votre nom de famille (par exemple, « João S. »), ainsi que la marque de Membre fondateur ou de Soutien, le cas échéant. Sans nom dans le compte, seul le code est inscrit. Nous ne conservons aucune copie du PDF portant votre nom. Nous conservons pendant 30 jours un enregistrement de chaque téléchargement (le fichier, la date, le code de licence et, le cas échéant, le compte), pour résoudre des problèmes et identifier l’origine d’un PDF diffusé en masse ;
• dans quel but : vendre et fournir ce que vous avez acheté, débloquer des sections et permettre de les télécharger de nouveau, restaurer sur un autre appareil, appliquer les règles relatives aux crédits, au rythme quotidien et aux remboursements (conditions, section 6), prévenir la fraude et les abus, et respecter les obligations fiscales et celles du Código de Defesa do Consumidor (code brésilien de protection du consommateur). Nous n’utilisons pas les données d’achat à des fins publicitaires et ne les vendons pas ;
• base légale : exécution du contrat d’achat (LGPD, art. 7, V) ; respect d’une obligation légale (art. 7, II) et exercice régulier de droits (art. 7, VI) pour conserver les enregistrements d’achat après la fin de l’abonnement ou la suppression du compte ; et intérêt légitime (art. 7, IX) pour le pied de page de licence et l’enregistrement des téléchargements, avec les garanties ci-dessus (nom abrégé, aucune copie conservée, enregistrement pendant 30 jours) ;
• où : chez RevenueCat, aux États-Unis, et dans la base de données de Gracefold chez Cloudflare, dans la région Est de l’Amérique du Nord (section 9). Les deux sont des transferts internationaux (section 17) ;
• enfants : les achats sont effectués avec le compte de la boutique, et les parents contrôlent les achats des enfants avec les outils d’Apple (Autorisation d’achat) et de Google (Family Link). Une personne qui a déclaré avoir moins de 12 ans lors de l’association d’un compte ne voit pas les offres Plus.

11. Partage et fonctionnalités sociales#

Lorsque vous partagez un verset, une prière ou un mot, l’image ou le texte est créé sur votre appareil et transmis à la fenêtre de partage du système. Vous choisissez la destination (WhatsApp, Instagram, etc.), et la suite relève des règles de ce service. Rien n’est envoyé à nos serveurs, et l’image ne comporte ni votre nom ni vos chiffres.

Santolingo n’a ni profils publics, ni messagerie, ni amis, ni classements, ni aucun contact entre utilisateurs. Si de telles fonctionnalités sont créées, la présente politique sera mise à jour au préalable, et la participation sera facultative.

12. Voix de synthèse et intelligence artificielle#

Les « voix naturelles » de l’application sont des audios générés par synthèse vocale au moyen de l’intelligence artificielle et préparés par Gracefold avant que vous ne téléchargiez les leçons ; ils n’utilisent aucune donnée vous concernant. L’application n’a ni assistant, ni messagerie, ni aucune autre fonctionnalité d’IA qui traite ce que vous écrivez ou dites. Votre voix n’est utilisée que pour vérifier la prononciation, par le service vocal du système (section 6), et n’est jamais utilisée pour entraîner des modèles ni pour créer des voix.

13. Enfants et adolescents#

Santolingo peut être utilisé par des personnes de tout âge, et les enfants doivent l’utiliser sous la responsabilité de leurs parents ou responsables. Nous traitons toujours les données des enfants et des adolescents dans leur intérêt supérieur (LGPD, art. 14). En pratique :

• l’application ne demande ni l’âge ni des données d’identification, et n’a ni publicité, ni pistage, ni fonctionnalités sociales ;
• sans compte, les seules données qui quittent l’appareil sont les enregistrements techniques et le jeton d’accès au contenu de la section 5 (avec le code d’installation et la vérification d’intégrité), les données techniques et d’utilisation sans contenu de la section 5.1 (liées à un code aléatoire), les données techniques des bibliothèques de la section 7, les signalements et suggestions que vous décidez d’envoyer (section 5.2), les consultations des formules et des prix auprès de RevenueCat et les données d’achat de la section 10, en cas d’achat ; et, si le micro est utilisé, l’audio traité par le service vocal d’Apple ou de Google. Les parents peuvent désactiver le micro dans les réglages de l’appareil ;
• avant d’associer un compte, l’application demande une auto-déclaration : « J’ai 12 ans ou plus » ou « Je suis le représentant légal et j’autorise ». Pour un enfant de moins de 12 ans, le compte ne doit être associé que par l’un des parents ou par son représentant légal, qui donne le consentement prévu à l’art. 14, § 1, en cochant la seconde option. La réponse est une déclaration : l’application ne vérifie pas de documents, et les parents doivent accompagner cette étape. Les comptes Apple et Google des enfants sont créés et contrôlés par les parents (Partage familial et Family Link) ;
• les personnes qui ont déclaré avoir moins de 12 ans ne reçoivent jamais d’e-mails de nouveautés ou de contenu, seulement les messages de service du compte (section 9) ;

Sur l’App Store, l’application est classée 4+ et ne fait pas partie de la catégorie Enfants (Kids). Sur Google Play, le public cible déclaré est de 13 ans et plus, et l’application ne participe pas actuellement au programme « Familles ». Les enfants de moins de 12 ans utilisent l’application avec l’un des parents ou leur représentant légal, qui est la personne qui fait l’auto-déclaration « Je suis le représentant légal et j’autorise » lors de l’association d’un compte. Si vous pensez que nous avons traité les données d’un enfant sans base légale, écrivez à privacy@santolingo.com et nous effacerons ce qui aura été identifié.

14. Durée de conservation#

Nous ne pouvons conserver des données plus longtemps que lorsque la loi l’exige ou pour l’exercice de droits dans le cadre d’une procédure judiciaire, administrative ou arbitrale (LGPD, art. 16).

15. Comment effacer vos données#

• Sans compte : désinstallez l’application. Cela efface le contenu téléchargé, votre progression et vos préférences. Il n’y a rien vous concernant sur nos serveurs en dehors des enregistrements techniques de la section 5 et des données d’utilisation sans contenu de la section 5.1, qui ne vous identifient pas et expirent dans les délais de la section 14.
• Avec un compte : supprimez le compte dans l’application, dans Profil › Compte et synchronisation. Pour confirmer qu’il s’agit bien de vous, l’application vous demande de vous reconnecter avec Apple ou Google. La suppression efface le compte, le profil (nom et adresse e-mail), les choix de consentement, les identités Apple ou Google qui y sont liées et toute la progression synchronisée, et nous demandons à Apple de révoquer le lien entre Santolingo et votre compte Apple. La progression qui se trouve sur l’appareil y reste jusqu’à ce que vous désinstalliez l’application. Supprimer le compte ne résilie pas les abonnements : la résiliation se fait sur l’App Store ou sur Google Play. Les enregistrements de vos achats sont dissociés du compte et conservés comme décrit à la section 14 ; l’appareil qui possède encore le code d’acheteur peut toujours télécharger de nouveau ce qui a été payé.
• Dans Santolingo Web : la déconnexion efface du navigateur l’historique du compte, les favoris et les éléments récents ; les préférences du navigateur disparaissent lorsque vous effacez les données du site dans les réglages du navigateur. Pour effacer les données du compte, supprimez le compte (ci-dessus ou sur santolingo.com/fr/compte/supprimer).
• Achats sans compte : les enregistrements sont liés uniquement au code d’acheteur anonyme et aux transactions de la boutique. Pour demander l’accès ou la suppression, écrivez à privacy@santolingo.com en indiquant la boutique, la date et le numéro de commande ; nous donnerons suite dans la mesure du possible, sans effacer ce que la loi impose de conserver (section 14).
• Sans accès à l’application : demandez la suppression sur santolingo.com/fr/compte/supprimer, en vous connectant avec le même compte Apple ou Google. Vous pouvez aussi écrire à privacy@santolingo.com depuis l’adresse e-mail du compte.

Exception légale : en cas de décision judiciaire ou d’obligation légale de conserver les données d’un compte (par exemple, une demande de conservation formulée par la police ou par le ministère public, prévue par le Marco Civil da Internet), la suppression demandée rend le compte inactif immédiatement (il disparaît de l’application, les sessions sont fermées et la connexion est bloquée), mais les données sont conservées, isolées et sans utilisation, pendant la durée exigée. Elles sont ensuite effacées. La LGPD le permet (art. 16, I).

La marche à suivre se trouve dans Données et suppression.

16. Vos droits#

En vertu de la LGPD (art. 18), vous pouvez demander à tout moment : la confirmation que nous traitons des données vous concernant et l’accès à celles-ci ; leur rectification ; l’anonymisation, le blocage ou l’effacement des données inutiles ou traitées de manière non conforme à la loi ; la portabilité ; des informations sur les personnes avec qui nous les partageons ; l’effacement des données traitées avec votre consentement et la révocation de ce consentement ; et l’opposition à un traitement irrégulier. Nous ne prenons pas de décisions automatisées qui affectent vos intérêts.

Pour exercer l’un de ces droits, écrivez à privacy@santolingo.com. Comme presque tout reste sur votre appareil, de nombreuses demandes peuvent être traitées dans l’application elle-même. Nous répondons dans un délai de 15 jours (art. 19, II). Vous pouvez aussi adresser une réclamation à l’Autoridade Nacional de Proteção de Dados (ANPD, l’autorité brésilienne de protection des données). Si vous habitez hors du Brésil, nous respectons les droits équivalents prévus par la loi de votre pays.

17. Sécurité, incidents et transfert international#

Tout le trafic entre l’application et nos serveurs est chiffré (HTTPS). Nous conservons le minimum de données, et le serveur de comptes ne conserve que l’empreinte cryptographique des jetons de session. En cas d’incident de sécurité susceptible d’entraîner un risque ou un dommage important, nous en informerons l’ANPD et les personnes concernées (LGPD, art. 48). Les sous-traitants de la section 7 traitent des données hors du Brésil, notamment aux États-Unis : Cloudflare (y compris la base de données des comptes, dans la région Est de l’Amérique du Nord), Resend, Sentry et PostHog (entreprises des États-Unis, avec les données de Santolingo stockées dans l’Union européenne), GitHub (signalements de la section 5.2), RevenueCat (achats, section 10) et Backblaze (entreprise des États-Unis, avec les copies de sauvegarde conservées dans l’Union européenne). Ces transferts reposent sur l’art. 33 de la LGPD, sur la base des contrats de traitement de données de ces fournisseurs, qui comprennent des clauses contractuelles types. Les détails figurent dans la politique de Gracefold. Les journaux d’accès au serveur de comptes (section 14) sont également conservés aux États-Unis, dans la même région que la base de données des comptes.

Demandes des autorités

• nous ne remettons des journaux d’accès ou des données d’un compte que sur décision judiciaire (Marco Civil da Internet, art. 10, § 1, et art. 22) ; les données d’inscription (nom et adresse e-mail) peuvent aussi être remises aux autorités administratives légalement compétentes pour les demander (art. 10, § 3) ;
• nous vérifions l’authenticité de chaque décision avant d’agir, ne remettons que ce qu’elle demande et conservons la trace de chaque demande et de chaque réponse ;
• nous informons la personne concernée, sauf si la décision l’interdit ou si l’information risque de nuire à une enquête ;
• les données d’utilisation de la section 5.1 sont liées à un code aléatoire, et non au compte : nous ne pouvons pas les retrouver à partir du nom, de l’adresse e-mail ou du compte de qui que ce soit.

18. Modifications#

Les modifications de la présente politique recevront une nouvelle version et une nouvelle date sur cette page. Si une nouvelle version de l’application se met à traiter des données différemment (par exemple, une nouvelle fonctionnalité qui envoie des données qui restent aujourd’hui sur l’appareil), la politique sera mise à jour avant la publication de cette version, et les modifications importantes seront annoncées dans l’application. Lorsque la modification dépendra de votre consentement, celui-ci vous sera demandé de nouveau.

19. Contact#

Confidentialité et demandes des personnes concernées : privacy@santolingo.com. Assistance de l’application : support@santolingo.com. GRACEFOLD TECH LTDA, SAUS Quadra 4, Bloco A, s/n, Sala 513 Parte 1002, Plano Piloto, Brasília/DF, CEP 70070-938, Brasil.

Historique des versions#

• 1.2 (06/11/2026) : compte et achats désormais disponibles, sans les réserves « lorsque le compte existera » et « lorsqu’il y aura » (sections 5.2, 7, 9, 10 et 15) ; aucun traitement de données ne change.
• 1.1 (03/11/2026) : Santolingo Web (app.santolingo.com) : ce qui reste dans le navigateur et est effacé à la déconnexion, les cookies de session strictement nécessaires et l’absence d’outil d’analyse (sections 2, 4.2 et 5) ; signalements d’erreur JavaScript, sans compte, sans cookie et sans IP conservée, dans les journaux de diagnostic de 7 jours au plus (section 5.3) ; signalements et suggestions aussi depuis Santolingo Web, sans capture d’écran ni image (section 5.2) ; « Mes retours » : la clé de consultation, ce qui est conservé dans le compte et l’état après la conservation ou l’effacement (sections 5.2 et 9) ; révocation du consentement au dévotionnel aussi dans Réglages › Confidentialité de Santolingo Web, qui efface la copie de ce navigateur (section 8) ; les appareils connectés parmi les données du compte (section 9). Le site santolingo.com reste sans cookies.
• 1.0 (26/10/2026) : première version en vigueur, lors du lancement dans les boutiques. Sauvegarde du système (section 4.1) : les données de pratique (jours de dévotionnel, versets enregistrés et engagements) sont copiées dans la sauvegarde iCloud ou Google même sans compte et même avec « Seulement la progression d’étude » ; ce qui reste hors de la sauvegarde ; comment la désactiver. Jeton d’accès pour télécharger le contenu (section 5) : code d’installation, App Attest et Play Integrity, compteurs quotidiens sous forme d’empreinte cryptographique, base légale ; Apple et Google en tant que vérificateurs d’intégrité (section 7). Sentry : ce qui est envoyé et ce qui est retiré avant l’envoi, sans adresse IP (section 5.1) ; collecteur propre avant PostHog ; journaux de diagnostic des serveurs pendant 7 jours au plus et décomptes agrégés sans donnée personnelle. Signalements avec un compte : identifiant du compte à la place du code aléatoire, ticket à usage unique, limite d’envois et enregistrement de 8 jours, clé de suivi (section 5.2). Intègre le projet 0.10, qui n’a jamais été publié : Santolingo Plus et achats (section 10), avec RevenueCat comme sous-traitant (sans identifiants publicitaires), le code d’acheteur anonyme, ce que le serveur conserve, la section envoyée lors du déblocage de PDF, le pied de page de licence et l’enregistrement des téléchargements pendant 30 jours ; conservation des enregistrements d’achat (5 ans après la suppression du compte, sans donnée du compte) ; copies de sauvegarde effacées dans un délai de 35 jours, avec Backblaze comme sous-traitant (données dans l’Union européenne) ; la copie de sauvegarde des signalements ; transferts internationaux. Le compte et les achats ne sont plus marqués « bientôt » : ils s’appliquent dès qu’ils apparaissent dans votre application.
• 0.9 (21/10/2026) : révision rédactionnelle des textes, des adresses et des contacts (support@, privacy@) ; aucun traitement de données ne change.
• 0.8 (18/10/2026) : ajustements rédactionnels ; aucun traitement de données ne change.
• 0.7 (06/10/2026) : signalements de problèmes et suggestions envoyés depuis l’application (section 5.2) : ce qui est joint, capture d’écran avec masquage, adresse e-mail uniquement avec auto-déclaration d’âge, consentement à chaque envoi, GitHub comme sous-traitant, conservation de 12 mois après résolution.
• 0.6 (06/10/2026) : journaux d’accès au serveur de comptes conservés pendant 6 mois, en vertu d’une obligation légale (Marco Civil, art. 15), au lieu de « jusqu’à 7 jours » ; exception de conservation sur décision judiciaire ou obligation légale lors de la suppression ; suspension de compte ; traitement des demandes des autorités.
• 0.5 (06/10/2026) : données techniques et d’utilisation de l’application (section 5.1), sur la base de l’intérêt légitime, sans contenu et liées à un code aléatoire de 13 mois ; Sentry et PostHog comme sous-traitants, avec des données dans l’Union européenne ; l’engagement relatif à l’intelligence artificielle précise désormais ce que nous ne faisons jamais (remettre des données à des tiers pour qu’ils entraînent leur IA ; utiliser votre voix ou les données relatives à la foi pour entraîner des modèles) et ce que nous pouvons faire (utiliser des données d’utilisation, sans contenu et sans vous identifier, pour améliorer Santolingo lui-même) ; conservation et transferts mis à jour.
• 0.4 (03/10/2026) : Gracefold en tant qu’agent de petite taille, sans délégué (« encarregado »), avec le canal privacy@gracefold.tech ; classification dans les boutiques (App Store 4+, hors de la catégorie Kids ; Google Play 13+, hors du programme Familles) ; base de données des comptes aux États-Unis (Cloudflare D1, Est de l’Amérique du Nord) en tant que transfert international ; journaux jusqu’à 7 jours et copies de restauration jusqu’à 30 jours ; page de suppression sur le Web ; Resend pour les e-mails et RevenueCat pour les abonnements ; entrée en vigueur au lancement du compte facultatif.
• 0.3 (03/10/2026) : compte facultatif : profil avec nom (facultatif) et adresse e-mail, y compris le relais d’Apple ; e-mails de service et de nouveautés (consentement distinct, jamais pour les moins de 12 ans) ; choix actif concernant le dévotionnel, avec effacement en cas de révocation ; auto-déclaration d’âge ; modèle de rappels pour un nouvel appareil ; fusion de comptes ; suppression avec nouvelle connexion et sur le Web.
• 0.2 (03/10/2026) : révision à partir d’une comparaison avec les politiques d’applications de référence ; nouvelles sections sur les données relatives à la foi, le compte facultatif (bientôt), les achats, le partage, la voix de synthèse, la conservation et les droits ; ajout de ML Kit (Android) et des statistiques des boutiques parmi les tiers ; le site santolingo.com est désormais couvert.
• 0.1 (01/10/2026) : première rédaction, fondée sur le comportement actuel de l’application (sans compte, sans outils d’analyse, contenu et progression locaux).