Politique de confidentialité

Version 2026-11-12 · Dernière mise à jour : 12 novembre 2026

Cette page explique quelles données Bababa traite, pourquoi, qui les reçoit, combien de temps elles sont gardées et quels sont vos droits. Elle décrit le fonctionnement réel de l'application et des pages de partage.

1. Qui est responsable

Le responsable du traitement est Aerneo SAS, éditeur de Bababa. Siège social : [À COMPLÉTER : adresse du siège]. Contact pour vos demandes : [À COMPLÉTER : adresse e-mail de contact pour les données personnelles].

2. Données que nous traitons

Catégorie	Données
Compte	Nom d'utilisateur ; mot de passe, haché par Supabase Auth (il n'est jamais stocké en clair) ; une adresse technique de la forme « nom@users.bababa.invalid », qui n'est pas une vraie adresse e-mail et ne reçoit aucun message.
Votre enfant	Prénom ; date de naissance ; langues parlées ; photo facultative ; votre réglage « afficher la photo sur les liens partagés ».
Mots et enregistrements	Le mot et sa langue ; l'enregistrement audio ; la date et l'heure de l'enregistrement ; sa durée ; les bornes de découpe choisies.
Liens de partage	Un jeton aléatoire qui fait office d'adresse, la date de création, la date de désactivation le cas échéant.
Données techniques	Adresse IP, type de navigateur ou d'application, date et heure des requêtes, journaux de sécurité et d'erreurs tenus par nos hébergeurs.

Nous ne collectons pas d'adresse e-mail pour le compte, pas de numéro de téléphone, pas de position, pas de contacts, et pas de données de publicité.

3. Pourquoi, et sur quelle base

Finalité	Base légale
Fournir le service : enregistrer, rejouer, découper, rechercher, sauvegarder et retrouver vos mots, créer et gérer le compte, partager un lien.	Exécution du contrat (article 6.1.b du RGPD).
Traiter les données de votre enfant (prénom, date de naissance, voix, photo) et la voix elle-même.	Votre consentement, en tant que parent ou représentant légal, que vous donnez en enregistrant et en saisissant ces informations (article 6.1.a).
Assurer la sécurité, prévenir les abus et les accès non autorisés, corriger les erreurs.	Intérêt légitime (article 6.1.f), dans la limite des journaux nécessaires.

Bababa n'envoie pas de newsletter. Nous ne tenons pas de registre distinct de vos consentements ; votre consentement se matérialise par l'usage que vous faites de l'application pour votre enfant.

4. Qui reçoit les données

Nous confions le traitement technique à deux prestataires, qui n'agissent que sur nos instructions :

Supabase : base de données, authentification, stockage des fichiers audio et des photos, fonctions de partage et de suppression du compte. Région d'hébergement : Union européenne, Irlande (eu-west-1).
Cloudflare : hébergement des pages publiques de Bababa, dont la page d'écoute des liens partagés.

Aucune autre entreprise ne reçoit vos données à ce jour. Personne d'autre que vous n'a accès à votre compte, et les personnes à qui vous envoyez un lien ne voient que ce qui est décrit dans la section 7.

5. Transferts hors de l'Union européenne

La base de données, les fichiers audio et les photos sont hébergés dans l'Union européenne. Les prestataires peuvent faire appel à des entités ou à du personnel situés hors de l'Union. [À VÉRIFIER : garanties appliquées par Supabase et Cloudflare pour ces transferts, par exemple clauses contractuelles types ou cadre de transfert].

6. Durées de conservation

Compte, mots, enregistrements, photo, liens : conservés tant que le compte existe. La suppression du compte, depuis l'application, efface les lignes de la base, les fichiers audio et la photo sur nos serveurs.
Liens révoqués : le lien reste enregistré comme révoqué jusqu'à la suppression du compte, mais il ne donne plus accès à rien.
Données restées sur le téléphone : elles restent sur l'appareil jusqu'à leur suppression dans l'application ou jusqu'à la suppression de l'application.
Sauvegardes et journaux techniques : [À VÉRIFIER : durée de conservation des sauvegardes de la base et des journaux techniques chez Supabase et Cloudflare].
Enregistrement supprimé seul : [À VÉRIFIER : effacement définitif côté serveur du fichier audio lorsqu'un enregistrement est supprimé sans supprimer le compte].

7. Les liens de partage

Quand vous partagez un mot par lien, toute personne qui ouvre le lien voit et entend :

le mot et sa langue ;
la date de l'enregistrement, et l'âge de l'enfant à ce moment-là (en mois et en jours) ;
l'enregistrement audio, uniquement la partie que vous avez gardée ;
la photo de l'enfant, seulement si vous l'avez autorisée (réglage « afficher la photo sur les liens partagés », activé par défaut et modifiable à tout moment).

Ni le prénom de l'enfant, ni sa date de naissance, ni votre nom d'utilisateur ne sont montrés sur la page de partage. L'audio et la photo sont servis par des liens temporaires de 10 minutes, créés chaque fois que la page est ouverte. Désactiver un lien l'empêche de fonctionner immédiatement. Une personne qui a déjà téléchargé ou transmis un fichier audio en garde une copie, que nous ne pouvons pas effacer.

8. Les données de votre enfant

Bababa est conçu pour un parent ou un représentant légal. Seul un adulte peut créer un compte ; votre enfant n'a pas de compte et n'a aucun accès direct au service. Les informations sur votre enfant ne sont pas un profil public : elles servent uniquement à vous montrer ses mots, son âge à chaque enregistrement et les liens que vous décidez de partager. Nous ne les utilisons pas pour la publicité ni pour du profilage. Vous pouvez supprimer à tout moment la photo, les enregistrements ou le compte entier.

9. Sur votre téléphone et dans votre navigateur

Application : une base de données locale (enfant, mots, enregistrements), les fichiers audio et la photo, la session de connexion, et le choix de langue. Ces données sont dans l'espace privé de l'application.
Pages web (écoute des liens et ces pages) : aucun cookie, aucun stockage local, aucun outil de mesure d'audience, aucun script ou police venant d'un tiers. Le navigateur de la personne qui ouvre le lien envoie seulement ce qui est nécessaire pour charger la page et lire l'audio.

10. Sécurité

Toutes les communications passent par HTTPS.
Les mots de passe sont hachés par Supabase Auth.
Les fichiers audio et les photos sont dans des espaces de stockage privés, accessibles uniquement à leur propriétaire.
Chaque compte ne peut lire et modifier que ses propres données (règles de sécurité au niveau des lignes de la base).
Les liens de partage sont des jetons aléatoires de 144 bits, et l'audio et la photo ne sont servis que par des liens temporaires.

Aucun système n'est absolument sûr. Si nous constatons une violation de données susceptible de vous exposer à un risque, nous vous en informerons dans les délais prévus par la loi.

11. Vos droits

Vous pouvez, à tout moment, demander :

l'accès à vos données, et une copie de celles-ci ;
la rectification de données inexactes ;
l'effacement de vos données (la suppression du compte depuis l'application est la voie la plus directe) ;
la portabilité, c'est-à-dire la remise de vos données dans un format courant ;
la limitation du traitement, ou l'opposition à un traitement fondé sur l'intérêt légitime ;
le retrait de votre consentement, à tout moment, sans effet sur les traitements faits auparavant.

Écrivez-nous à [À COMPLÉTER : adresse e-mail pour les demandes RGPD]. Nous pouvons vous demander de confirmer votre identité, et nous répondons dans un délai d'un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL), sur cnil.fr.

12. Ce que nous ne faisons pas

Pas de publicité, pas de mesure d'audience, pas d'outil d'analyse de comportement.
Pas de vente ni de cession de vos données, ni de vos enregistrements.
Pas de profilage, ni de décision prise automatiquement à votre sujet.
Pas de newsletter, ni de message commercial.

13. Modifications

Nous pouvons mettre à jour cette politique. Chaque version porte une date et un numéro. En cas de changement important, nous vous en informerons avant qu'il prenne effet. La version en vigueur est celle publiée sur cette page.

Retour à Bababa

Privacy policy

Version 2026-11-12 · Last updated: 12 November 2026

This page explains which data Bababa processes, why, who receives it, how long it is kept and what your rights are. It describes how the app and the share pages actually work.

1. Who is responsible

The data controller is Aerneo SAS, publisher of Bababa. Registered office: [À COMPLÉTER : registered office address]. Contact for your requests: [À COMPLÉTER : contact e-mail address for personal data].

2. Data we process

Category	Data
Account	Username; password, hashed by Supabase Auth (never stored in clear text); a technical address of the form "name@users.bababa.invalid", which is not a real e-mail address and receives no messages.
Your child	First name; birth date; spoken languages; optional photo; your setting "show the photo on shared links".
Words and recordings	The word and its language; the audio recording; the date and time of the recording; its length; the trim points you chose.
Share links	A random token that acts as the address, the creation date, and the date of deactivation if any.
Technical data	IP address, browser or app type, date and time of requests, security and error logs kept by our hosts.

We do not collect an e-mail address for the account, a phone number, location, contacts, or advertising data.

3. Why, and on what basis

Purpose	Legal basis
Provide the service: record, play back, trim, search, back up and find your words; create and manage the account; share a link.	Performance of a contract (GDPR article 6.1(b)).
Process your child's data (first name, birth date, voice, photo) and the voice itself.	Your consent, as parent or legal guardian, given when you record and enter this information (article 6.1(a)).
Keep the service secure, prevent abuse and unauthorised access, fix errors.	Legitimate interest (article 6.1(f)), within what the necessary logs require.

Bababa sends no newsletter. We do not keep a separate register of your consents; your consent is expressed through your use of the app for your child.

4. Who receives the data

We entrust the technical processing to two providers, who act only on our instructions:

Supabase: database, authentication, storage of audio files and photos, the share and account-deletion functions. Hosting region: European Union, Ireland (eu-west-1).
Cloudflare: hosting of Bababa's public pages, including the page that plays shared links.

No other company receives your data at this date. Nobody but you has access to your account, and the people to whom you send a link see only what section 7 describes.

5. Transfers outside the European Union

The database, audio files and photos are hosted in the European Union. Providers may use entities or staff located outside the Union. [À VÉRIFIER : safeguards applied by Supabase and Cloudflare for these transfers, for example standard contractual clauses or a transfer framework].

6. How long we keep data

Account, words, recordings, photo, links: kept while the account exists. Deleting the account from the app erases the database rows, the audio files and the photo on our servers.
Revoked links: the link stays recorded as revoked until the account is deleted, but it no longer gives access to anything.
Data left on the phone: it stays on the device until it is deleted in the app or the app is removed.
Backups and technical logs: [À VÉRIFIER : retention period of database backups and technical logs at Supabase and Cloudflare].
Recording deleted on its own: [À VÉRIFIER : whether the audio file is permanently erased on the server when a single recording is deleted without deleting the account].

7. Share links

When you share a word by link, anyone who opens the link sees and hears:

the word and its language;
the date of the recording, and the child's age at that time (in months and days);
the audio recording, only the part you kept;
the child's photo, only if you allowed it (setting "show the photo on shared links", on by default and changeable at any time).

The child's first name, birth date and your username are not shown on the share page. The audio and the photo are served through temporary links valid for 10 minutes, created each time the page is opened. Turning a link off stops it working straight away. A person who has already downloaded or passed on an audio file keeps a copy, which we cannot erase.

8. Your child's data

Bababa is designed for a parent or legal guardian. Only an adult can create an account; your child has no account and no direct access to the service. The information about your child is not a public profile: it is used only to show you their words, their age at each recording and the links you choose to share. We do not use it for advertising or profiling. You can delete the photo, the recordings or the whole account at any time.

9. On your phone and in your browser

App: a local database (child, words, recordings), the audio files and the photo, the sign-in session, and your language choice. This data sits in the app's private storage.
Web pages (listening to links and these pages): no cookies, no local storage, no analytics tool, no script or font from a third party. The browser of the person who opens a link sends only what is needed to load the page and play the audio.

10. Security

All communications use HTTPS.
Passwords are hashed by Supabase Auth.
Audio files and photos are kept in private storage, accessible only to their owner.
Each account can read and change only its own data (row-level security rules in the database).
Share links are random 144-bit tokens, and the audio and photo are served only through temporary links.

No system is perfectly secure. If we find a data breach that could put you at risk, we will tell you within the time limits set by law.

11. Your rights

You can ask us at any time for:

access to your data, and a copy of it;
rectification of inaccurate data;
erasure of your data (deleting the account from the app is the most direct way);
portability, that is, receiving your data in a common format;
restriction of processing, or objection to processing based on legitimate interest;
withdrawal of your consent at any time, without affecting processing carried out before.

Write to us at [À COMPLÉTER : e-mail address for GDPR requests]. We may ask you to confirm your identity, and we answer within one month. If you believe your rights are not respected, you may lodge a complaint with the French data protection authority, the CNIL, at cnil.fr.

12. What we do not do

No advertising, no audience measurement, no behavioural analytics tool.
No sale or transfer of your data or your recordings.
No profiling, and no automated decision about you.
No newsletter and no marketing messages.

13. Changes

We may update this policy. Each version carries a date and a number. For an important change we will inform you before it takes effect. The version in force is the one published on this page.

Back to Bababa