Confidentialité

Ce que Guava collecte

• Compte : e-mail, prénom ou pseudo, mot de passe stocké sous forme de condensat.
• Parcours : formation choisie, objectif quotidien, date d'examen si tu la renseignes.
• Apprentissage : réponses, erreurs, notions travaillées, série, badges.
• Connexion avec Google ou Apple (facultative) : l'identifiant de ton compte chez eux, ton adresse e-mail (avec Apple, éventuellement une adresse relais) et ton nom si tu acceptes de le partager.
• Technique : adresse IP, navigateur ou modèle d'appareil liés à ta session, pour la sécurité du compte.
• Application mobile : les rappels de révision sont des notifications programmées sur ton téléphone, sans serveur d'envoi. L'application n'accède ni à ta position, ni à tes contacts, ni à tes photos, ni au micro.
• Achats (quand une offre payante sera ouverte) : le paiement est entièrement traité par Apple ou Google ; Guava ne reçoit que la preuve de l'achat, jamais tes coordonnées bancaires.

Ce que Guava ne fait pas

• Pas de publicité et pas de vente de données.
• Pas de cookie de suivi : seul un cookie de session, nécessaire à la connexion, est utilisé.
• Guava ne te demande aucune donnée sur ta propre santé. Les patients évoqués dans les exercices sont fictifs.

Tes droits

Depuis ton profil, tu peux supprimer ton compte (dans l'application comme sur le site) et, sur le site, télécharger toutes tes données. Tu peux aussi les demander par e-mail. Pour toute autre demande (accès, rectification, opposition, portabilité) : bonjour@guavascience.fr. Nous répondons sous un mois. Tu peux aussi saisir la CNIL (cnil.fr).

Responsable et durées

Responsable du traitement : l'éditeur de Guava Science (voir les mentions légales), joignable à bonjour@guavascience.fr.

• Bases légales : l'exécution du service que tu demandes (compte, progression, rappels) ; l'intérêt légitime pour la sécurité du compte (adresse IP, appareil) ; ton consentement pour les rappels par notification, retirable à tout moment.
• Durées : le compte et la progression tant que le compte existe, puis effacement immédiat à la suppression ; une session de connexion dure 30 jours au plus ; un essai sans compte resté inactif 90 jours est effacé ; un code de vérification par e-mail expire en 10 minutes.
• Hébergement : Vercel (serveurs en région Paris) et Supabase (base de données en Europe). Envoi des e-mails : Brevo (France). Mises à jour de l'application : Expo (États-Unis), qui voit l'adresse IP et le modèle de l'appareil au téléchargement d'une mise à jour. Distribution de l'application et paiements : Apple (App Store) et Google (Google Play). Connexion facultative avec Google ou Apple : ces services ne reçoivent que ce qu'il faut pour t'identifier.
• Transferts hors de l'Union européenne : Vercel, Supabase et Expo sont des sociétés américaines ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou le cadre de protection des données UE–États-Unis.