1Enfoque en la privacidad infantil

El público principal de la Aplicación son los niños. Cumplimos estrictamente la Ley de Protección de la Privacidad Infantil en Internet (COPPA), el Reglamento General de Protección de Datos (RGPD) y normativas equivalentes. No solicitamos, recopilamos ni almacenamos de forma intencionada ningún tipo de información personal identificable de menores de 13 años. La única cuenta que existe es la del adulto que administra la Aplicación (punto 2).

2Qué datos trata la Aplicación

La Aplicación funciona de manera autónoma en el dispositivo. Las únicas salvedades son la cuenta del administrador, la copia de los datos de los niños en la cuenta del adulto y la comprobación de la suscripción, que se explican a continuación, y el reconocimiento de escritura de la versión para Android (punto 5).

• Datos de los niños. Los niños no tienen cuenta ni se les pide ningún dato. El nombre o apodo que se puede poner, si se quiere, a cada perfil de niño y su edad se guardan en el dispositivo y no se nos transmiten; solo salen de él en la copia de la cuenta del adulto, si la hay (más abajo).
• Cuenta del administrador (el adulto). Para entrar en el modo administrador, el adulto inicia sesión con Apple, con Google o con un correo electrónico, y elige un PIN. La cuenta la gestiona Firebase Authentication, de Google (punto 5), que guarda el correo, el nombre y la foto que facilite el proveedor elegido y un identificador de usuario. Solo se usan para comprobar que quien entra es el adulto y para mostrarle su perfil; no se usan para publicidad ni se venden ni se ceden. El PIN se guarda solo en el dispositivo.
• Copia en la cuenta del adulto. Si el adulto entra en el modo administrador con Google, la Aplicación guarda una copia de los datos de los niños en la carpeta privada de la Aplicación de su Google Drive (con un permiso que solo da acceso a esa carpeta, no al resto de su Drive); si entra con Apple en un iPhone o iPad, en su iCloud (base de datos privada de CloudKit). La copia contiene, de cada perfil, el nombre o apodo, la edad o el curso, el progreso, las pegatinas, los dibujos y sus ajustes, y lleva el identificador de usuario de la cuenta para saber de quién es. Se actualiza sola mientras se usa la Aplicación y sirve para recuperarlo todo en otro dispositivo con la misma cuenta. Va directamente del dispositivo a Google Drive o a iCloud, sin pasar por servidores nuestros ni por Firebase, y nosotros no podemos verla: la guardan Google o Apple en la cuenta del adulto, según las condiciones que tiene con ellos. No se copian las compras, la suscripción, la cuenta del administrador ni el PIN. Con una cuenta de correo, o con Apple en Android, no se hace ninguna copia: todo se queda en el dispositivo. Se puede borrar en el modo administrador (Mi perfil de administrador → Copia de los datos de los niños), con «Borrar de este dispositivo», «Borrar de la cuenta» o «Borrar de los dos».
• Propuestas (opcional). En el modo administrador hay una sección «Propuestas» donde el adulto puede proponer ejercicios o mejoras y votar las de otros padres. Se guardan en Cloud Firestore, de Google (punto 5): el texto escrito, el tipo, la fecha, el idioma de la Aplicación, el número de votos y, para saber de quién es cada propuesta y cada voto, el identificador de usuario de la cuenta. A los demás padres solo se les muestra el texto, el tipo, la fecha, los votos y el estado: nunca el nombre, el correo ni el identificador. Cada propuesta se revisa antes de publicarse, y pedimos expresamente no escribir datos personales del adulto ni de los niños; si alguna los tuviera, no se publica. Solo se usan para decidir qué mejorar en la Aplicación. Esta sección nunca se muestra a los niños.
• Tu opinión. En el modo administrador, el adulto puede enviarnos sugerencias y proponer ejercicios, y contestar a nuestras respuestas. Guardamos en Cloud Firestore, de Google (punto 5), lo que escribe, su identificador de usuario, la versión, la plataforma y el idioma de la Aplicación; solo lo leen ese adulto y el desarrollador. Para avisarnos, la Aplicación manda además ese texto, con la versión, la plataforma y el idioma, a un servidor propio del desarrollador para CaliKids, que no lo guarda y nos lo reenvía por correo electrónico (Gmail, de Google). No incluye datos de los niños: pedimos no escribirlos.
• Suscripción en dos dispositivos a la vez. Si hay una suscripción activa, para que se use en dos dispositivos a la vez como mucho la Aplicación guarda en Cloud Firestore, de Google (punto 5), un identificador creado al azar para esa instalación (no es ningún identificador del dispositivo ni de publicidad, y cambia al reinstalar), un código cifrado de forma irreversible a partir del identificador de la compra, la hora de la última comprobación y si es iOS o Android. No incluye datos de la cuenta del administrador ni de los niños, y no se usa para nada más. Las compras únicas no lo necesitan.
• Progreso y dibujos. Todo lo que se genera con el uso (progreso en los niveles, palabras completadas, trazos dibujados en el lienzo, pegatinas conseguidas) se guarda en el dispositivo. Solo sale de él en la copia de la cuenta del adulto descrita arriba, que va a su propio Google Drive o iCloud: nunca se envía a servidores nuestros. El único servidor propio que tenemos sirve solo para avisarnos de los mensajes de «Tu opinión» (punto 5).
• Ajustes. El idioma elegido y las preferencias de la hoja se guardan igualmente en el dispositivo y no forman parte de la copia de la cuenta.

3Compras dentro de la Aplicación

La Aplicación ofrece contenido adicional de pago: packs de un solo pago y una suscripción opcional.

• El pago lo procesan las tiendas. Lo gestionan íntegramente App Store (Apple) y Google Play (Google), conforme a sus propias políticas de privacidad. Nosotros no vemos, recibimos ni almacenamos datos de pago: ni números de tarjeta, ni direcciones de facturación, ni la identidad de quien compra.
• Qué consulta la Aplicación. Para saber qué precio mostrar y qué contenido está desbloqueado, pregunta a la tienda del sistema (StoreKit en iOS, Google Play Billing en Android). Esa consulta la gestiona el sistema operativo y no incluye datos personales que la Aplicación pueda leer.
• Dónde queda registrado. Lo comprado se guarda en el dispositivo y en la cuenta de la tienda, para poder restaurar las compras si se reinstala la Aplicación.
• Sin monedas virtuales. No hay compras consumibles ni saldo que gastar dentro de la Aplicación.

4Control parental

Las compras y la gestión de los niños están en el modo administrador, al que solo se entra con la cuenta del adulto y su PIN (o con la huella o la cara configuradas en el dispositivo). No se puede llegar a la pantalla de pago sin superar ese acceso. Lo exigen la guía 1.3 de la App Store y la política de Familias de Google Play, y nos parece bien que lo hagan.

5Servicios de terceros y publicidad

La Aplicación no muestra publicidad, no usa identificadores publicitarios (como IDFA o AAID) y no incluye herramientas de análisis ni de publicidad que sigan lo que hace el usuario. Los únicos servicios externos con los que se comunica son estos:

• App Store y Google Play. Para las compras descritas en el punto 3 y, muy de vez en cuando, para mostrar la ventana de valoración de la propia tienda. Esa ventana es del sistema: lo que se escriba en ella lo gestiona la tienda y la Aplicación no lo recibe.
• Firebase Authentication, de Google. Gestiona la cuenta del administrador (punto 2): el correo, el nombre, la foto del proveedor y un identificador de usuario se guardan en los servidores de Google, que al iniciar sesión recibe también la dirección IP y datos técnicos del dispositivo para proteger la cuenta. Si se entra con Apple o con Google, ese inicio de sesión lo gestionan Apple o Google según sus propias políticas. Google trata estos datos por cuenta nuestra, según las condiciones de privacidad de Firebase. Firebase no recibe nada de lo que hacen los niños.
• Cloud Firestore, de Google. Guarda las propuestas y los votos, las conversaciones de «Tu opinión» y el registro de la suscripción en dos dispositivos a la vez del punto 2 en los servidores de Google, que tratan estos datos por cuenta nuestra según las mismas condiciones de privacidad de Firebase. Las propuestas y «Tu opinión» solo se usan dentro del modo administrador y con la cuenta del adulto; la comprobación de la suscripción (punto 2) se hace sin cuenta.
• Servidor propio de CaliKids. Cuando el adulto envía algo desde «Tu opinión» (punto 2), la Aplicación manda el texto, con la versión, la plataforma y el idioma de la Aplicación, a calikids.olmotame.com, un servidor del desarrollador (TMStudio.DEV) solo para CaliKids. Lo acompaña el token de la sesión de Firebase, que solo se usa para limitar los envíos y evitar el spam, igual que la dirección IP, que se tiene solo en memoria. El servidor no guarda nada: nos reenvía el mensaje por correo electrónico (Gmail, de Google), sin el identificador de usuario ni datos de los niños. Además, lee y escribe esas conversaciones en Cloud Firestore solo para que el desarrollador pueda responderlas desde su web de administración, sin guardar copia. No recibe nada de lo que hacen los niños.
• Google Drive e iCloud, solo para la copia en la cuenta. Si hay copia en la cuenta del adulto (punto 2), la Aplicación la sube y la descarga directamente de su Google Drive (con el permiso «drive.appdata», que Google le pide al adulto en su propia pantalla y que solo da acceso a la carpeta privada de la Aplicación) o de su iCloud (CloudKit, de Apple), siempre con conexión cifrada. Esos datos están en la cuenta del adulto y los tratan Google o Apple según las condiciones y la política de privacidad que el adulto tiene con ellos (Google, Apple). Nosotros no los recibimos.
• Google ML Kit, solo en Android. En los ejercicios en los que la Aplicación lee lo que ha escrito el niño, la versión para Android usa el reconocimiento de escritura de ML Kit, de Google. La lectura se hace en el propio dispositivo: los trazos y las palabras escritas no se envían a Google ni a nadie. Para funcionar, la primera vez que se usa en cada idioma descarga de los servidores de Google el modelo de ese idioma.
• Qué envía ML Kit a Google. Según la documentación de Google, ML Kit envía datos técnicos de uso y rendimiento: fabricante, modelo y versión del sistema del dispositivo; nombre y versión de la Aplicación; un identificador de la instalación que, según Google, no está pensado para identificar a la persona ni al dispositivo; el idioma configurado, y métricas como tiempos de respuesta, errores o el tipo de operación (por ejemplo, la descarga de un modelo). Google los usa para medir el rendimiento, depurar, mantener y mejorar el servicio y detectar usos indebidos; viajan cifrados y Google declara que no los cede a terceros. Como en cualquier conexión a internet, Google recibe también la dirección IP del dispositivo. Nosotros no recibimos ninguno de estos datos: los trata Google según su política de privacidad.
• En iOS no ocurre nada de esto. La escritura la lee el reconocimiento de texto del propio sistema (Vision, de Apple), que funciona en el dispositivo sin que la Aplicación envíe nada.

6Permisos del dispositivo

La Aplicación no solicita acceso a la cámara, al micrófono, a los contactos ni a la ubicación: no son necesarios para practicar caligrafía. Usa internet para la cuenta del administrador, para la copia en su cuenta y para comprobar la suscripción (punto 2) y, en Android, para el reconocimiento de escritura (punto 5); en Android, el permiso de internet lo concede el sistema sin preguntar. Puede usar la huella o la cara del dispositivo para desbloquear el modo administrador: lo comprueba el propio sistema y la Aplicación no recibe ningún dato biométrico.

7Enlaces externos

En las áreas de uso infantil no hay enlaces externos, botones de redes sociales ni accesos directos a internet, para que un niño no salga del entorno seguro por accidente. Los pocos enlaces que existen (soporte, condiciones de uso y esta misma política) están detrás del acceso de administrador descrito en el punto 4.

8Conservación y borrado de datos

El progreso, los dibujos y los ajustes se guardan en el dispositivo: desinstalar la Aplicación los borra de él, y desde el modo administrador se pueden borrar los perfiles de los niños uno a uno o todos a la vez. Nosotros no conservamos copia alguna en servidores nuestros. La copia en la cuenta del adulto (punto 2) se guarda en su Google Drive o su iCloud hasta que se borre desde la Aplicación («Borrar de la cuenta» o «Borrar de los dos») o desde la gestión del almacenamiento de Google Drive o de iCloud. Al borrar la cuenta del administrador desde la Aplicación también se borra esa copia. Desinstalar la Aplicación no la borra: si se quiere eliminar, conviene usar antes «Borrar de la cuenta». La cuenta del administrador se puede borrar en cualquier momento desde la propia Aplicación (modo administrador → Progreso de los niños → Borrar cuenta), lo que elimina de Firebase el correo, el nombre, la foto y el identificador; también se puede pedir escribiendo a la dirección del punto 10. Los datos técnicos que ML Kit envía a Google en Android (punto 5) tampoco pasan por nosotros: los conserva Google según su propia política. Las compras siguen asociadas a la cuenta de App Store o Google Play y se pueden restaurar desde la propia tienda. Las propuestas y los votos se guardan mientras la sección exista; un moderador puede borrar cualquiera. Al borrar la cuenta del administrador, sus propuestas ya publicadas se quedan sin ningún dato que permita saber de quién eran; si prefiere que se borren también, o cree que una propuesta no debería estar publicada, escríbanos a la dirección del punto 10 y la quitaremos. El registro de la suscripción en dos dispositivos a la vez se guarda mientras exista la suscripción; se puede pedir que se borre escribiendo a la dirección del punto 10. Las sugerencias, los ejercicios propuestos y sus conversaciones de «Tu opinión» se guardan mientras exista la cuenta del administrador o hasta que se pida borrarlos escribiendo a la dirección del punto 10. El servidor propio de CaliKids (punto 5) no guarda nada; el correo se queda en el buzón del desarrollador.

9Cambios en esta política

Es posible que actualicemos esta Política de Privacidad. Recomendamos a padres, madres y tutores revisar esta página de vez en cuando. Cualquier cambio se publicará aquí, con su fecha de actualización.

10Contacto

Si tiene alguna pregunta o sugerencia sobre esta Política de Privacidad, escríbanos a [email protected].

1A children-first approach to privacy

The App’s main audience is children. We comply strictly with the Children’s Online Privacy Protection Act (COPPA), the General Data Protection Regulation (GDPR) and equivalent rules. We do not knowingly request, collect or store any personally identifiable information from children under 13. The only account that exists is the one belonging to the grown-up who manages the App (section 2).

2What data the App handles

The App works on its own on the device. The only exceptions are the admin account, the backup of the children’s data in the grown-up’s account and the subscription check, explained below, and handwriting recognition in the Android version (section 5).

• Children’s data. Children have no account and are not asked for any data. The name or nickname that can optionally be given to each child profile, and its age, are stored on the device and are never sent to us; they only leave it in the backup in the grown-up’s account, if there is one (see below).
• Admin account (the grown-up). To enter admin mode, the grown-up signs in with Apple, Google or an email address and chooses a PIN. The account is handled by Google’s Firebase Authentication (section 5), which stores the email, the name and photo provided by the chosen sign-in provider, and a user identifier. They are only used to check that the person entering is the grown-up and to show them their profile; they are not used for advertising, sold or shared. The PIN is stored only on the device.
• Backup in the grown-up’s account. If the grown-up signs in to admin mode with Google, the App saves a copy of the children’s data in the App’s private folder of their Google Drive (with a permission that only gives access to that folder, not to the rest of their Drive); if they sign in with Apple on an iPhone or iPad, in their iCloud (CloudKit private database). For each profile, the copy contains the name or nickname, the age or school year, progress, stickers, drawings and their settings, and it carries the account’s user identifier so it is known whose it is. It updates itself while the App is in use and lets everything be recovered on another device with the same account. It goes straight from the device to Google Drive or iCloud, without passing through our servers or Firebase, and we cannot see it: Google or Apple keep it in the grown-up’s account, under the terms the grown-up has with them. Purchases, the subscription, the admin account and the PIN are not copied. With an email account, or with Apple on Android, no copy is made: everything stays on the device. It can be deleted in admin mode (My admin profile → Backup of the children’s data) with “Delete from this device”, “Delete from the account” or “Delete from both”.
• Suggestions (optional). Admin mode has a “Suggestions” section where the grown-up can suggest exercises or improvements and vote for other parents’ ideas. They are stored in Google’s Cloud Firestore (section 5): the text written, the type, the date, the App language, the number of votes and, to know who each suggestion and vote belongs to, the account’s user identifier. Other parents are only shown the text, the type, the date, the votes and the status: never the name, email or identifier. Every suggestion is reviewed before it is published, and we expressly ask people not to write any personal data about themselves or their children; if a suggestion contains any, it is not published. They are only used to decide what to improve in the App. This section is never shown to children.
• Your feedback. In admin mode, the grown-up can send us suggestions and propose exercises, and reply to our answers. We store in Google’s Cloud Firestore (section 5) what they write, their user identifier, and the App’s version, platform and language; only that grown-up and the developer can read it. To notify us, the App also sends that text, with the version, platform and language, to the developer’s own server, which does not store it and forwards it to us by email (Google’s Gmail). It includes no data about the children: we ask you not to write any.
• Subscription on two devices at a time. If there is an active subscription, so that it is used on no more than two devices at the same time the App stores in Google’s Cloud Firestore (section 5) an identifier created at random for that installation (it is not a device or advertising identifier, and it changes on reinstall), a code irreversibly derived from the purchase identifier, the time of the last check and whether it is iOS or Android. It includes no data about the admin account or the children, and it is not used for anything else. One-time purchases do not need it.
• Progress and drawings. Everything created by using the App (level progress, completed words, strokes drawn on the canvas, stickers earned) is stored on the device. It only leaves it in the backup in the grown-up’s account described above, which goes to their own Google Drive or iCloud: it is never sent to our servers. The only server of our own is used solely to notify us of “Your feedback” messages (section 5).
• Settings. The chosen language and the worksheet preferences are likewise stored on the device and are not part of the account backup.

3In-app purchases

The App offers optional paid content: one-off content packs and an optional subscription.

• The stores handle payment. It is processed entirely by the App Store (Apple) and Google Play (Google) under their own privacy policies. We never see, receive or store payment details: no card numbers, no billing addresses, no buyer identity.
• What the App asks for. To know which price to show and what has been unlocked, it queries the system store (StoreKit on iOS, Google Play Billing on Android). That request is handled by the operating system and carries no personal data the App can read.
• Where the record lives. What has been bought is kept on the device and in the store account, so purchases can be restored after reinstalling the App.
• No virtual currency. There are no consumable purchases and no in-app balance to spend.

4Parental gate

Purchases and managing the children live in admin mode, which can only be entered with the grown-up’s account and PIN (or the fingerprint or face set up on the device). The payment screen cannot be reached without passing that check. The App Store (guideline 1.3) and Google Play’s Families policy both require this, and we think they are right to.

5Third-party services and advertising

The App shows no advertising, uses no advertising identifiers (such as IDFA or AAID) and includes no analytics or advertising tools that track what the user does. The only external services it talks to are these:

• App Store and Google Play. For the purchases described in section 3 and, once in a while, to show the store’s own rating window. That window belongs to the system: whatever is written in it is handled by the store, and the App never receives it.
• Google’s Firebase Authentication. It handles the admin account (section 2): the email, name, provider photo and a user identifier are stored on Google’s servers, which also receive the IP address and technical device data when signing in, to protect the account. Signing in with Apple or Google is handled by Apple or Google under their own policies. Google processes this data on our behalf, under the Firebase privacy terms. Firebase receives nothing about what children do.
• Google’s Cloud Firestore. It stores the suggestions and votes, the “Your feedback” conversations and the two-devices-at-a-time subscription record described in section 2 on Google’s servers, which process this data on our behalf under the same Firebase privacy terms. Suggestions and “Your feedback” are only used inside admin mode and with the grown-up’s account; the subscription check (section 2) works without an account.
• CaliKids’ own server. When the grown-up sends something from “Your feedback” (section 2), the App sends the text, with the App’s version, platform and language, to calikids.olmotame.com, a server run by the developer (TMStudio.DEV) for CaliKids only. It comes with the Firebase session token, which is only used to limit submissions and prevent spam, as is the IP address, which is kept in memory only. The server stores nothing: it forwards the message to us by email (Google’s Gmail), without the user identifier or any data about the children. It also reads and writes those conversations in Cloud Firestore solely so that the developer can answer them from their admin website, without keeping a copy. It receives nothing about what children do.
• Google Drive and iCloud, only for the account backup. If there is a backup in the grown-up’s account (section 2), the App uploads and downloads it directly from their Google Drive (with the “drive.appdata” permission, which Google asks the grown-up for on its own screen and which only gives access to the App’s private folder) or from their iCloud (Apple’s CloudKit), always over an encrypted connection. That data lives in the grown-up’s account and is handled by Google or Apple under the terms and privacy policy the grown-up has with them (Google, Apple). We do not receive it.
• Google ML Kit, on Android only. In the exercises where the App reads what the child has written, the Android version uses Google’s ML Kit handwriting recognition. Recognition happens on the device itself: strokes and written words are not sent to Google or anyone else. To work, the first time it is used in each language it downloads that language’s model from Google’s servers.
• What ML Kit sends to Google. According to Google’s documentation, ML Kit sends technical usage and performance data: the device’s manufacturer, model and system version; the App’s name and version; an installation identifier that, according to Google, is not intended to identify the person or the device; the configured language; and metrics such as response times, errors or the type of operation (for example, a model download). Google uses this data to measure performance, debug, maintain and improve the service and detect misuse; it travels encrypted, and Google states that it does not pass it on to third parties. As with any internet connection, Google also receives the device’s IP address. We receive none of this data: Google handles it under its privacy policy.
• None of this happens on iOS. Handwriting is read by the system’s own text recognition (Apple’s Vision), which works on the device without the App sending anything.

6Device permissions

The App does not ask for access to the camera, the microphone, contacts or location: none of them are needed to practise handwriting. It uses the internet for the admin account, for the backup in their account and for the subscription check (section 2) and, on Android, for handwriting recognition (section 5); on Android the system grants the internet permission without asking. It can use the device’s fingerprint or face unlock to open admin mode: the system itself checks it and the App receives no biometric data.

7External links

There are no external links, social buttons or web shortcuts in the areas children use, so that a child cannot leave the safe environment by accident. The few links that do exist (support, terms of use and this policy) sit behind the admin access described in section 4.

8Data retention and deletion

Progress, drawings and settings are stored on the device: uninstalling the App deletes them from it, and in admin mode the children’s profiles can be deleted one by one or all at once. We keep no copy on any server of ours. The backup in the grown-up’s account (section 2) stays in their Google Drive or iCloud until it is deleted from the App (“Delete from the account” or “Delete from both”) or from the Google Drive or iCloud storage settings. Deleting the admin account from within the App also deletes that backup. Uninstalling the App does not: if you want it gone, use “Delete from the account” first. The admin account can be deleted at any time from within the App (admin mode → Children’s progress → Delete account), which removes the email, name, photo and identifier from Firebase; you can also ask us by writing to the address in section 10. The technical data ML Kit sends to Google on Android (section 5) does not pass through us either: Google keeps it under its own policy. Purchases stay linked to the App Store or Google Play account and can be restored from the store. Suggestions and votes are kept for as long as the section exists; a moderator can delete any of them. When the admin account is deleted, its published suggestions are left with no data that could show whose they were; if you would rather have them deleted too, or think a suggestion should not be published, write to the address in section 10 and we will remove it. The two-devices-at-a-time subscription record is kept for as long as the subscription exists; you can ask us to delete it by writing to the address in section 10. Suggestions, proposed exercises and their conversations in “Your feedback” are kept for as long as the admin account exists or until you ask us to delete them by writing to the address in section 10. CaliKids’ own server (section 5) stores nothing; the email stays in the developer’s mailbox.

9Changes to this policy

We may update this Privacy Policy from time to time. Parents and guardians are encouraged to check this page occasionally. Any change will be published here, with its update date.

10Contact

If you have any question or suggestion about this Privacy Policy, write to us at [email protected].

1Priorità alla privacy dei bambini

Il pubblico principale dell’Applicazione sono i bambini. Rispettiamo rigorosamente il Children’s Online Privacy Protection Act (COPPA), il Regolamento generale sulla protezione dei dati (GDPR) e le normative equivalenti. Non richiediamo, raccogliamo né conserviamo intenzionalmente alcuna informazione personale identificabile di minori di 13 anni. L’unico account che esiste è quello dell’adulto che amministra l’Applicazione (punto 2).

2Quali dati tratta l’Applicazione

L’Applicazione funziona in modo autonomo sul dispositivo. Le uniche eccezioni sono l’account dell’amministratore, la copia dei dati dei bambini nell’account dell’adulto e la verifica dell’abbonamento, spiegati qui sotto, e il riconoscimento della scrittura della versione Android (punto 5).

• Dati dei bambini. I bambini non hanno un account e non viene chiesto loro alcun dato. Il nome o soprannome che si può dare, se si vuole, a ogni profilo e la sua età restano sul dispositivo e non ci vengono trasmessi; ne escono solo nella copia nell’account dell’adulto, se c’è (più sotto).
• Account dell’amministratore (l’adulto). Per entrare nella modalità amministratore, l’adulto accede con Apple, con Google o con un indirizzo email e sceglie un PIN. L’account è gestito da Firebase Authentication di Google (punto 5), che conserva l’email, il nome e la foto forniti dal servizio scelto e un identificativo utente. Servono solo a verificare che chi entra sia l’adulto e a mostrargli il suo profilo; non sono usati per la pubblicità né venduti o ceduti. Il PIN resta solo sul dispositivo.
• Copia nell’account dell’adulto. Se l’adulto entra nella modalità amministratore con Google, l’Applicazione salva una copia dei dati dei bambini nella cartella privata dell’Applicazione del suo Google Drive (con un permesso che dà accesso solo a quella cartella, non al resto del suo Drive); se entra con Apple su iPhone o iPad, nel suo iCloud (database privato di CloudKit). Per ogni profilo, la copia contiene il nome o soprannome, l’età o la classe, i progressi, gli adesivi, i disegni e le relative impostazioni, e porta l’identificativo utente dell’account per sapere di chi è. Si aggiorna da sola mentre si usa l’Applicazione e serve a recuperare tutto su un altro dispositivo con lo stesso account. Va direttamente dal dispositivo a Google Drive o a iCloud, senza passare dai nostri server né da Firebase, e noi non possiamo vederla: la conservano Google o Apple nell’account dell’adulto, secondo le condizioni che ha con loro. Non si copiano gli acquisti, l’abbonamento, l’account dell’amministratore né il PIN. Con un account email, o con Apple su Android, non si fa nessuna copia: tutto resta sul dispositivo. Si può cancellare nella modalità amministratore (Il mio profilo di amministratore → Copia dei dati dei bambini), con «Cancella da questo dispositivo», «Cancella dall’account» o «Cancella da entrambi».
• Proposte (facoltative). Nella modalità amministratore c’è una sezione «Proposte» dove l’adulto può proporre esercizi o miglioramenti e votare quelli di altri genitori. Sono conservate in Cloud Firestore di Google (punto 5): il testo scritto, il tipo, la data, la lingua dell’Applicazione, il numero di voti e, per sapere di chi è ogni proposta e ogni voto, l’identificativo utente dell’account. Agli altri genitori si mostrano solo il testo, il tipo, la data, i voti e lo stato: mai il nome, l’email o l’identificativo. Ogni proposta viene rivista prima di essere pubblicata, e chiediamo espressamente di non scrivere dati personali dell’adulto né dei bambini; se una proposta ne contiene, non viene pubblicata. Servono solo a decidere cosa migliorare nell’Applicazione. Questa sezione non viene mai mostrata ai bambini.
• La tua opinione. Nella modalità amministratore, l’adulto può inviarci suggerimenti e proporre esercizi, e rispondere alle nostre risposte. Conserviamo in Cloud Firestore di Google (punto 5) ciò che scrive, il suo identificativo utente, la versione, la piattaforma e la lingua dell’Applicazione; lo leggono solo quell’adulto e lo sviluppatore. Per avvisarci, l’Applicazione invia inoltre quel testo, con versione, piattaforma e lingua, a un server proprio dello sviluppatore, che non lo conserva e ce lo inoltra per email (Gmail di Google). Non include dati dei bambini: chiediamo di non scriverli.
• Abbonamento su due dispositivi alla volta. Se c’è un abbonamento attivo, perché sia usato su due dispositivi alla volta al massimo l’Applicazione conserva in Cloud Firestore di Google (punto 5) un identificativo creato a caso per quell’installazione (non è un identificativo del dispositivo né pubblicitario, e cambia reinstallando), un codice ricavato in modo irreversibile dall’identificativo dell’acquisto, l’ora dell’ultima verifica e se è iOS o Android. Non include dati dell’account dell’amministratore né dei bambini, e non si usa per nient’altro. Gli acquisti singoli non ne hanno bisogno.
• Progressi e disegni. Tutto ciò che si genera usando l’Applicazione (progressi nei livelli, parole completate, tratti disegnati sulla lavagna, adesivi ottenuti) è salvato sul dispositivo. Ne esce solo nella copia nell’account dell’adulto descritta sopra, che va al suo Google Drive o iCloud: non viene mai inviato ai nostri server. L’unico server nostro serve solo ad avvisarci dei messaggi di «La tua opinione» (punto 5).
• Impostazioni. La lingua scelta e le preferenze del foglio sono salvate anch’esse sul dispositivo e non fanno parte della copia nell’account.

3Acquisti in-app

L’Applicazione offre contenuti aggiuntivi a pagamento: pacchetti con acquisto singolo e un abbonamento facoltativo.

• Il pagamento lo gestiscono gli store. Se ne occupano interamente App Store (Apple) e Google Play (Google), secondo le rispettive informative sulla privacy. Noi non vediamo, non riceviamo e non conserviamo dati di pagamento: né numeri di carta, né indirizzi di fatturazione, né l’identità di chi acquista.
• Che cosa chiede l’Applicazione. Per sapere quale prezzo mostrare e quali contenuti sono sbloccati, interroga lo store di sistema (StoreKit su iOS, Google Play Billing su Android). Quella richiesta è gestita dal sistema operativo e non contiene dati personali leggibili dall’Applicazione.
• Dove resta il registro. Ciò che è stato acquistato resta sul dispositivo e nell’account dello store, così da poter ripristinare gli acquisti dopo una reinstallazione.
• Nessuna valuta virtuale. Non esistono acquisti consumabili né credito da spendere nell’Applicazione.

4Barriera per adulti

Gli acquisti e la gestione dei bambini sono nella modalità amministratore, in cui si entra solo con l’account dell’adulto e il suo PIN (o con l’impronta o il volto configurati sul dispositivo). Senza superare questo accesso non si arriva alla schermata di pagamento. Lo richiedono la linea guida 1.3 dell’App Store e la politica Famiglie di Google Play, e ci sembra giusto.

5Servizi di terze parti e pubblicità

L’Applicazione non mostra pubblicità, non usa identificatori pubblicitari (come IDFA o AAID) e non include strumenti di analisi o di pubblicità che seguano ciò che fa l’utente. Gli unici servizi esterni con cui comunica sono questi:

• App Store e Google Play. Per gli acquisti descritti al punto 3 e, di tanto in tanto, per mostrare la finestra di valutazione dello store stesso. Quella finestra è del sistema: ciò che vi si scrive lo gestisce lo store e l’Applicazione non lo riceve.
• Firebase Authentication di Google. Gestisce l’account dell’amministratore (punto 2): email, nome, foto del servizio e un identificativo utente sono conservati sui server di Google, che all’accesso riceve anche l’indirizzo IP e dati tecnici del dispositivo per proteggere l’account. Se si accede con Apple o con Google, l’accesso è gestito da Apple o da Google secondo le loro politiche. Google tratta questi dati per nostro conto, secondo i termini sulla privacy di Firebase. Firebase non riceve nulla di ciò che fanno i bambini.
• Cloud Firestore di Google. Conserva le proposte e i voti, le conversazioni di «La tua opinione» e il registro dell’abbonamento su due dispositivi alla volta del punto 2 sui server di Google, che trattano questi dati per nostro conto secondo gli stessi termini sulla privacy di Firebase. Le proposte e «La tua opinione» si usano solo nella modalità amministratore e con l’account dell’adulto; la verifica dell’abbonamento (punto 2) avviene senza account.
• Server proprio di CaliKids. Quando l’adulto invia qualcosa da «La tua opinione» (punto 2), l’Applicazione manda il testo, con versione, piattaforma e lingua dell’Applicazione, a calikids.olmotame.com, un server dello sviluppatore (TMStudio.DEV) solo per CaliKids. Lo accompagna il token della sessione di Firebase, che si usa solo per limitare gli invii ed evitare lo spam, come l’indirizzo IP, che resta solo in memoria. Il server non conserva nulla: ci inoltra il messaggio per email (Gmail di Google), senza l’identificativo utente né dati dei bambini. Inoltre legge e scrive quelle conversazioni in Cloud Firestore solo perché lo sviluppatore possa rispondere dal suo sito di amministrazione, senza conservarne copia. Non riceve nulla di ciò che fanno i bambini.
• Google Drive e iCloud, solo per la copia nell’account. Se c’è una copia nell’account dell’adulto (punto 2), l’Applicazione la carica e la scarica direttamente dal suo Google Drive (con il permesso «drive.appdata», che Google chiede all’adulto nella propria schermata e che dà accesso solo alla cartella privata dell’Applicazione) o dal suo iCloud (CloudKit di Apple), sempre con connessione cifrata. Quei dati sono nell’account dell’adulto e li trattano Google o Apple secondo le condizioni e l’informativa sulla privacy che l’adulto ha con loro (Google, Apple). Noi non li riceviamo.
• Google ML Kit, solo su Android. Negli esercizi in cui l’Applicazione legge ciò che il bambino ha scritto, la versione per Android usa il riconoscimento della scrittura di ML Kit, di Google. La lettura avviene sul dispositivo stesso: i tratti e le parole scritte non vengono inviati a Google né ad altri. Per funzionare, la prima volta che si usa in ciascuna lingua scarica dai server di Google il modello di quella lingua.
• Che cosa invia ML Kit a Google. Secondo la documentazione di Google, ML Kit invia dati tecnici di utilizzo e prestazioni: produttore, modello e versione del sistema del dispositivo; nome e versione dell’Applicazione; un identificatore dell’installazione che, secondo Google, non è pensato per identificare la persona né l’apparecchio; la lingua impostata; e metriche come tempi di risposta, errori o il tipo di operazione (per esempio, il download di un modello). Google usa questi dati per misurare le prestazioni, correggere errori, mantenere e migliorare il servizio e individuare usi impropri; viaggiano cifrati e Google dichiara di non cederli a terzi. Come in qualsiasi connessione a internet, Google riceve anche l’indirizzo IP del dispositivo. Noi non riceviamo nessuno di questi dati: li tratta Google secondo le proprie norme sulla privacy.
• Su iOS non succede nulla di tutto questo. La scrittura la legge il riconoscimento del testo integrato nel sistema (Vision, di Apple), che funziona sul dispositivo senza che l’Applicazione invii nulla.

6Autorizzazioni del dispositivo

L’Applicazione non chiede accesso a fotocamera, microfono, contatti o posizione: non servono per esercitarsi con la calligrafia. Usa internet per l’account dell’amministratore, per la copia nel suo account e per la verifica dell’abbonamento (punto 2) e, su Android, per il riconoscimento della scrittura (punto 5); su Android il permesso di internet lo concede il sistema senza chiedere. Può usare l’impronta o il volto del dispositivo per sbloccare la modalità amministratore: lo verifica il sistema stesso e l’Applicazione non riceve alcun dato biometrico.

7Collegamenti esterni

Nelle aree usate dai bambini non ci sono link esterni, pulsanti social o scorciatoie a internet, perché un bambino non esca per sbaglio dall’ambiente sicuro. I pochi link presenti (assistenza, condizioni d’uso e questa informativa) sono dietro l’accesso dell’amministratore descritto al punto 4.

8Conservazione e cancellazione dei dati

Progressi, disegni e impostazioni restano sul dispositivo: disinstallare l’Applicazione li cancella da esso, e dalla modalità amministratore si possono eliminare i profili dei bambini uno per uno o tutti insieme. Non conserviamo alcuna copia sui nostri server. La copia nell’account dell’adulto (punto 2) resta nel suo Google Drive o iCloud finché non la si cancella dall’Applicazione («Cancella dall’account» o «Cancella da entrambi») o dalla gestione dello spazio di Google Drive o di iCloud. Eliminando l’account dell’amministratore dall’Applicazione si cancella anche quella copia. Disinstallare l’Applicazione non la cancella: se la si vuole eliminare, conviene usare prima «Cancella dall’account». L’account dell’amministratore si può eliminare in qualsiasi momento dall’Applicazione stessa (modalità amministratore → Progressi dei bambini → Elimina account), il che cancella da Firebase email, nome, foto e identificativo; si può anche chiedere scrivendo all’indirizzo del punto 10. I dati tecnici che ML Kit invia a Google su Android (punto 5) non passano da noi: li conserva Google secondo la sua politica. Gli acquisti restano legati all’account App Store o Google Play e si possono ripristinare dallo store. Le proposte e i voti si conservano finché esiste la sezione; un moderatore può eliminarne qualsiasi. Quando si elimina l’account dell’amministratore, le sue proposte già pubblicate restano senza alcun dato che permetta di sapere di chi fossero; se preferisce che vengano eliminate anch’esse, o ritiene che una proposta non dovrebbe essere pubblicata, ci scriva all’indirizzo del punto 10 e la toglieremo. Il registro dell’abbonamento su due dispositivi alla volta si conserva finché esiste l’abbonamento; se ne può chiedere la cancellazione scrivendo all’indirizzo del punto 10. I suggerimenti, gli esercizi proposti e le relative conversazioni di «La tua opinione» si conservano finché esiste l’account dell’amministratore o finché non se ne chiede la cancellazione scrivendo all’indirizzo del punto 10. Il server proprio di CaliKids (punto 5) non conserva nulla; l’email resta nella casella di posta dello sviluppatore.

9Modifiche a questa informativa

Potremmo aggiornare questa Informativa sulla privacy di tanto in tanto. Consigliamo a genitori e tutori di consultare questa pagina periodicamente. Ogni modifica sarà pubblicata qui, con la relativa data di aggiornamento.

10Contatti

Per qualsiasi domanda o suggerimento su questa Informativa sulla privacy, scriveteci a [email protected].

1La confidentialité des enfants d’abord

Le public principal de l’Application, ce sont les enfants. Nous respectons strictement le Children’s Online Privacy Protection Act (COPPA), le Règlement général sur la protection des données (RGPD) et les réglementations équivalentes. Nous ne demandons, ne collectons ni ne conservons sciemment aucune information personnelle identifiable concernant des enfants de moins de 13 ans. Le seul compte qui existe est celui de l’adulte qui administre l’Application (point 2).

2Quelles données l’Application traite-t-elle

L’Application fonctionne de manière autonome sur l’appareil. Les seules exceptions sont le compte administrateur, la sauvegarde des données des enfants dans le compte de l’adulte et la vérification de l’abonnement, expliqués ci-dessous, et la reconnaissance de l’écriture de la version Android (point 5).

• Données des enfants. Les enfants n’ont pas de compte et aucune donnée ne leur est demandée. Le prénom ou surnom que l’on peut, si on le souhaite, donner à chaque profil, ainsi que son âge, restent sur l’appareil et ne nous sont pas transmis ; ils n’en sortent que dans la sauvegarde du compte de l’adulte, s’il y en a une (ci-dessous).
• Compte administrateur (l’adulte). Pour entrer dans le mode administrateur, l’adulte se connecte avec Apple, avec Google ou avec une adresse e-mail, puis choisit un code. Le compte est géré par Firebase Authentication de Google (point 5), qui conserve l’e-mail, le nom et la photo fournis par le service choisi, ainsi qu’un identifiant utilisateur. Ils servent uniquement à vérifier que la personne qui entre est l’adulte et à lui afficher son profil ; ils ne sont pas utilisés à des fins publicitaires, ni vendus, ni cédés. Le code reste uniquement sur l’appareil.
• Sauvegarde dans le compte de l’adulte. Si l’adulte entre dans le mode administrateur avec Google, l’Application enregistre une copie des données des enfants dans le dossier privé de l’Application de son Google Drive (avec une autorisation qui ne donne accès qu’à ce dossier, pas au reste de son Drive) ; avec Apple sur iPhone ou iPad, dans son iCloud (base de données privée CloudKit). Pour chaque profil, la copie contient le prénom ou surnom, l’âge ou la classe, les progrès, les autocollants, les dessins et ses réglages, et porte l’identifiant utilisateur du compte pour savoir à qui elle appartient. Elle se met à jour toute seule pendant l’utilisation de l’Application et permet de tout retrouver sur un autre appareil avec le même compte. Elle va directement de l’appareil à Google Drive ou à iCloud, sans passer par nos serveurs ni par Firebase, et nous ne pouvons pas la voir : Google ou Apple la conservent dans le compte de l’adulte, selon les conditions qu’il a avec eux. Les achats, l’abonnement, le compte administrateur et le code ne sont pas copiés. Avec un compte e-mail, ou avec Apple sur Android, aucune copie n’est faite : tout reste sur l’appareil. Elle peut être effacée dans le mode administrateur (Mon profil d’administrateur → Sauvegarde des données des enfants), avec « Effacer de cet appareil », « Effacer du compte » ou « Effacer des deux ».
• Propositions (facultatives). Le mode administrateur comporte une section « Propositions » où l’adulte peut proposer des exercices ou des améliorations et voter pour ceux d’autres parents. Elles sont conservées dans Cloud Firestore de Google (point 5) : le texte écrit, le type, la date, la langue de l’Application, le nombre de votes et, pour savoir à qui appartient chaque proposition et chaque vote, l’identifiant utilisateur du compte. Les autres parents ne voient que le texte, le type, la date, les votes et l’état : jamais le nom, l’e-mail ni l’identifiant. Chaque proposition est vérifiée avant d’être publiée, et nous demandons expressément de n’écrire aucune donnée personnelle de l’adulte ni des enfants ; si une proposition en contient, elle n’est pas publiée. Elles servent uniquement à décider quoi améliorer dans l’Application. Cette section n’est jamais montrée aux enfants.
• Votre avis. En mode administrateur, l’adulte peut nous envoyer des suggestions, proposer des exercices et répondre à nos réponses. Nous enregistrons dans Cloud Firestore de Google (point 5) ce qu’il écrit, son identifiant utilisateur, ainsi que la version, la plateforme et la langue de l’Application ; seuls cet adulte et le développeur peuvent le lire. Pour nous prévenir, l’Application envoie aussi ce texte, avec la version, la plateforme et la langue, à un serveur propre au développeur, qui ne le conserve pas et nous le transmet par e-mail (Gmail de Google). Il ne contient aucune donnée sur les enfants : nous demandons de ne pas en écrire.
• Abonnement sur deux appareils à la fois. S’il y a un abonnement actif, pour qu’il ne soit utilisé que sur deux appareils à la fois au maximum, l’Application enregistre dans Cloud Firestore de Google (point 5) un identifiant créé au hasard pour cette installation (ce n’est ni un identifiant de l’appareil ni un identifiant publicitaire, et il change en cas de réinstallation), un code dérivé de manière irréversible de l’identifiant de l’achat, l’heure de la dernière vérification et s’il s’agit d’iOS ou d’Android. Il ne contient aucune donnée du compte administrateur ni des enfants, et ne sert à rien d’autre. Les achats uniques n’en ont pas besoin.
• Progrès et dessins. Tout ce qui est généré par l’usage de l’Application (progression dans les niveaux, mots complétés, tracés dessinés sur l’ardoise, autocollants obtenus) est enregistré sur l’appareil. Il n’en sort que dans la sauvegarde du compte de l’adulte décrite ci-dessus, qui va dans son propre Google Drive ou iCloud : rien n’est jamais envoyé à nos serveurs. Notre seul serveur sert uniquement à nous prévenir des messages de « Votre avis » (point 5).
• Réglages. La langue choisie et les préférences de la feuille sont également enregistrées sur l’appareil et ne font pas partie de la sauvegarde du compte.

3Achats dans l’Application

L’Application propose du contenu payant facultatif : des packs à achat unique et un abonnement optionnel.

• Ce sont les boutiques qui encaissent. Le paiement est intégralement traité par l’App Store (Apple) et Google Play (Google), selon leurs propres politiques de confidentialité. Nous ne voyons, ne recevons ni ne conservons aucune donnée de paiement : ni numéro de carte, ni adresse de facturation, ni identité de l’acheteur.
• Ce que l’Application demande. Pour savoir quel prix afficher et ce qui est déverrouillé, elle interroge la boutique du système (StoreKit sur iOS, Google Play Billing sur Android). Cette requête est gérée par le système d’exploitation et ne contient aucune donnée personnelle lisible par l’Application.
• Où le relevé est conservé. Ce qui a été acheté reste sur l’appareil et dans le compte de la boutique, afin de pouvoir restaurer les achats après une réinstallation.
• Pas de monnaie virtuelle. Il n’y a ni achat consommable ni solde à dépenser dans l’Application.

4Barrière parentale

Les achats et la gestion des enfants se trouvent dans le mode administrateur, auquel on n’accède qu’avec le compte de l’adulte et son code (ou l’empreinte ou le visage configurés sur l’appareil). Impossible d’atteindre l’écran de paiement sans passer cet accès. L’App Store (règle 1.3) et la politique Familles de Google Play l’exigent, et nous trouvons cela justifié.

5Services tiers et publicité

L’Application n’affiche aucune publicité, n’utilise aucun identifiant publicitaire (comme l’IDFA ou l’AAID) et n’intègre aucun outil d’analyse ou de publicité qui suive ce que fait l’utilisateur. Les seuls services externes avec lesquels elle communique sont les suivants :

• App Store et Google Play. Pour les achats décrits au point 3 et, de temps en temps, pour afficher la fenêtre d’évaluation propre à la boutique. Cette fenêtre appartient au système : ce qui y est écrit est géré par la boutique, et l’Application ne le reçoit pas.
• Firebase Authentication de Google. Il gère le compte administrateur (point 2) : l’e-mail, le nom, la photo du service et un identifiant utilisateur sont conservés sur les serveurs de Google, qui reçoit aussi, lors de la connexion, l’adresse IP et des données techniques de l’appareil pour protéger le compte. La connexion avec Apple ou Google est gérée par Apple ou Google selon leurs propres politiques. Google traite ces données pour notre compte, selon les conditions de confidentialité de Firebase. Firebase ne reçoit rien de ce que font les enfants.
• Cloud Firestore de Google. Il conserve les propositions et les votes, les conversations de « Votre avis » et le registre de l’abonnement sur deux appareils à la fois du point 2 sur les serveurs de Google, qui traitent ces données pour notre compte selon les mêmes conditions de confidentialité de Firebase. Les propositions et « Votre avis » ne sont utilisés que dans le mode administrateur et avec le compte de l’adulte ; la vérification de l’abonnement (point 2) se fait sans compte.
• Serveur propre à CaliKids. Lorsque l’adulte envoie quelque chose depuis « Votre avis » (point 2), l’Application envoie le texte, avec la version, la plateforme et la langue de l’Application, à calikids.olmotame.com, un serveur du développeur (TMStudio.DEV) réservé à CaliKids. Il est accompagné du jeton de la session Firebase, qui ne sert qu’à limiter les envois et à éviter le spam, tout comme l’adresse IP, gardée uniquement en mémoire. Le serveur ne conserve rien : il nous transmet le message par e-mail (Gmail de Google), sans l’identifiant utilisateur ni aucune donnée sur les enfants. Il lit et écrit aussi ces conversations dans Cloud Firestore, uniquement pour que le développeur puisse y répondre depuis son site d’administration, sans en garder de copie. Il ne reçoit rien de ce que font les enfants.
• Google Drive et iCloud, uniquement pour la sauvegarde du compte. S’il y a une sauvegarde dans le compte de l’adulte (point 2), l’Application l’envoie et la récupère directement depuis son Google Drive (avec l’autorisation « drive.appdata », que Google demande à l’adulte sur son propre écran et qui ne donne accès qu’au dossier privé de l’Application) ou depuis son iCloud (CloudKit d’Apple), toujours par une connexion chiffrée. Ces données se trouvent dans le compte de l’adulte et sont traitées par Google ou Apple selon les conditions et la politique de confidentialité que l’adulte a avec eux (Google, Apple). Nous ne les recevons pas.
• Google ML Kit, uniquement sur Android. Dans les exercices où l’Application lit ce que l’enfant a écrit, la version Android utilise la reconnaissance d’écriture manuscrite de ML Kit, de Google. La lecture se fait sur l’appareil même : les tracés et les mots écrits ne sont envoyés ni à Google ni à personne d’autre. Pour fonctionner, la première fois qu’elle est utilisée dans une langue, elle télécharge depuis les serveurs de Google le modèle de cette langue.
• Ce que ML Kit envoie à Google. Selon la documentation de Google, ML Kit envoie des données techniques d’utilisation et de performance : fabricant, modèle et version du système de l’appareil ; nom et version de l’Application ; un identifiant d’installation qui, selon Google, n’est pas destiné à identifier la personne ni l’appareil ; la langue configurée ; et des mesures comme les temps de réponse, les erreurs ou le type d’opération (par exemple, le téléchargement d’un modèle). Google utilise ces données pour mesurer les performances, déboguer, maintenir et améliorer le service et détecter les abus ; elles circulent chiffrées et Google déclare ne pas les transmettre à des tiers. Comme pour toute connexion à internet, Google reçoit aussi l’adresse IP de l’appareil. Nous ne recevons aucune de ces données : Google les traite selon ses règles de confidentialité.
• Rien de tout cela sur iOS. L’écriture y est lue par la reconnaissance de texte intégrée au système (Vision, d’Apple), qui fonctionne sur l’appareil sans que l’Application envoie quoi que ce soit.

6Autorisations de l’appareil

L’Application ne demande pas l’accès à l’appareil photo, au microphone, aux contacts ni à la localisation : rien de tout cela n’est nécessaire pour s’exercer à l’écriture. Elle utilise internet pour le compte administrateur, pour la sauvegarde dans son compte et pour la vérification de l’abonnement (point 2) et, sur Android, pour la reconnaissance de l’écriture (point 5) ; sur Android, le système accorde l’autorisation d’accès à internet sans rien demander. Elle peut utiliser l’empreinte ou le visage de l’appareil pour déverrouiller le mode administrateur : c’est le système qui le vérifie et l’Application ne reçoit aucune donnée biométrique.

7Liens externes

Dans les zones utilisées par les enfants, il n’y a ni lien externe, ni bouton de réseau social, ni raccourci vers internet, afin qu’un enfant ne quitte pas l’environnement sûr par accident. Les rares liens existants (assistance, conditions d’utilisation et cette politique) se trouvent derrière l’accès administrateur décrit au point 4.

8Conservation et suppression des données

Les progrès, les dessins et les réglages restent sur l’appareil : désinstaller l’Application les en efface, et depuis le mode administrateur on peut supprimer les profils des enfants un par un ou tous d’un coup. Nous ne gardons aucune copie sur nos serveurs. La sauvegarde dans le compte de l’adulte (point 2) reste dans son Google Drive ou son iCloud jusqu’à ce qu’elle soit effacée depuis l’Application (« Effacer du compte » ou « Effacer des deux ») ou depuis la gestion du stockage de Google Drive ou d’iCloud. Supprimer le compte administrateur depuis l’Application efface aussi cette sauvegarde. Désinstaller l’Application ne l’efface pas : si vous voulez la supprimer, utilisez d’abord « Effacer du compte ». Le compte administrateur peut être supprimé à tout moment depuis l’Application (mode administrateur → Progrès des enfants → Supprimer le compte), ce qui efface de Firebase l’e-mail, le nom, la photo et l’identifiant ; on peut aussi le demander en écrivant à l’adresse du point 10. Les données techniques que ML Kit envoie à Google sur Android (point 5) ne passent pas par nous non plus : Google les conserve selon sa propre politique. Les achats restent liés au compte App Store ou Google Play et peuvent être restaurés depuis la boutique. Les propositions et les votes sont conservés tant que la section existe ; un modérateur peut supprimer n’importe lequel. Lorsque le compte administrateur est supprimé, ses propositions déjà publiées ne gardent aucune donnée permettant de savoir de qui elles venaient ; si vous préférez qu’elles soient aussi supprimées, ou si vous pensez qu’une proposition ne devrait pas être publiée, écrivez-nous à l’adresse du point 10 et nous la retirerons. Le registre de l’abonnement sur deux appareils à la fois est conservé tant que l’abonnement existe ; on peut en demander la suppression en écrivant à l’adresse du point 10. Les suggestions, les exercices proposés et leurs conversations de « Votre avis » sont conservés tant que le compte administrateur existe ou jusqu’à ce qu’on en demande la suppression en écrivant à l’adresse du point 10. Le serveur propre à CaliKids (point 5) ne conserve rien ; l’e-mail reste dans la boîte de réception du développeur.

9Modifications de cette politique

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre. Nous invitons les parents et les représentants légaux à consulter cette page régulièrement. Toute modification sera publiée ici, avec sa date de mise à jour.

10Contact

Pour toute question ou suggestion concernant cette Politique de confidentialité, écrivez-nous à [email protected].

1Kinderdatenschutz an erster Stelle

Die Hauptzielgruppe der App sind Kinder. Wir halten uns streng an den Children’s Online Privacy Protection Act (COPPA), die Datenschutz-Grundverordnung (DSGVO) und gleichwertige Vorschriften. Wir erfragen, erheben und speichern wissentlich keinerlei personenbezogene Daten von Kindern unter 13 Jahren. Das einzige Konto ist das des Erwachsenen, der die App verwaltet (Punkt 2).

2Welche Daten die App verarbeitet

Die App arbeitet eigenständig auf dem Gerät. Die einzigen Ausnahmen sind das Admin-Konto, die Sicherung der Daten der Kinder im Konto des Erwachsenen und die Prüfung des Abos, die unten erklärt werden, und die Handschrifterkennung der Android-Version (Punkt 5).

• Daten der Kinder. Kinder haben kein Konto, und es werden keine Daten von ihnen erfragt. Der Name oder Spitzname, den man jedem Profil auf Wunsch geben kann, und das Alter bleiben auf dem Gerät und werden nicht an uns übertragen; sie verlassen es nur in der Sicherung im Konto des Erwachsenen, falls es eine gibt (siehe unten).
• Admin-Konto (der Erwachsene). Um in den Admin-Modus zu gelangen, meldet sich der Erwachsene mit Apple, mit Google oder mit einer E-Mail-Adresse an und wählt eine PIN. Das Konto verwaltet Firebase Authentication von Google (Punkt 5); dort werden die E-Mail, der Name und das Foto des gewählten Anmeldedienstes sowie eine Nutzerkennung gespeichert. Sie dienen nur dazu, zu prüfen, dass der Erwachsene hereinkommt, und ihm sein Profil anzuzeigen; sie werden nicht für Werbung genutzt, nicht verkauft und nicht weitergegeben. Die PIN bleibt nur auf dem Gerät.
• Sicherung im Konto des Erwachsenen. Meldet sich der Erwachsene im Admin-Modus mit Google an, speichert die App eine Kopie der Daten der Kinder im privaten App-Ordner seines Google Drive (mit einer Erlaubnis, die nur Zugriff auf diesen Ordner gibt, nicht auf den Rest seines Drive); mit Apple auf iPhone oder iPad in seiner iCloud (private CloudKit-Datenbank). Die Kopie enthält zu jedem Profil den Namen oder Spitznamen, das Alter oder die Klassenstufe, den Fortschritt, die Sticker, die Zeichnungen und die Einstellungen, und sie trägt die Nutzerkennung des Kontos, damit klar ist, wem sie gehört. Sie aktualisiert sich von selbst, während die App genutzt wird, und dient dazu, alles auf einem anderen Gerät mit demselben Konto wiederherzustellen. Sie geht direkt vom Gerät zu Google Drive oder iCloud, ohne über unsere Server oder Firebase zu laufen, und wir können sie nicht sehen: Google bzw. Apple speichern sie im Konto des Erwachsenen, nach den Bedingungen, die er mit ihnen hat. Nicht kopiert werden Käufe, das Abo, das Admin-Konto und die PIN. Mit einem E-Mail-Konto oder mit Apple auf Android wird keine Kopie angelegt: Alles bleibt auf dem Gerät. Sie lässt sich im Admin-Modus löschen (Mein Admin-Profil → Sicherung der Daten der Kinder), mit „Von diesem Gerät löschen“, „Aus dem Konto löschen“ oder „Von beiden löschen“.
• Vorschläge (freiwillig). Im Administratormodus gibt es einen Bereich „Vorschläge“, in dem der Erwachsene Übungen oder Verbesserungen vorschlagen und für die Ideen anderer Eltern abstimmen kann. Sie werden in Cloud Firestore von Google gespeichert (Punkt 5): der geschriebene Text, die Art, das Datum, die Sprache der App, die Anzahl der Stimmen und, um zu wissen, zu wem jeder Vorschlag und jede Stimme gehört, die Benutzerkennung des Kontos. Anderen Eltern werden nur Text, Art, Datum, Stimmen und Status gezeigt: nie der Name, die E-Mail-Adresse oder die Kennung. Jeder Vorschlag wird vor der Veröffentlichung geprüft, und wir bitten ausdrücklich darum, keine personenbezogenen Daten des Erwachsenen oder der Kinder zu schreiben; enthält ein Vorschlag welche, wird er nicht veröffentlicht. Sie dienen nur dazu, zu entscheiden, was wir an der App verbessern. Dieser Bereich wird Kindern nie gezeigt.
• Deine Meinung. Im Administratormodus kann der Erwachsene uns Vorschläge senden, Übungen vorschlagen und auf unsere Antworten antworten. Wir speichern in Cloud Firestore von Google (Punkt 5), was er schreibt, seine Nutzerkennung sowie Version, Plattform und Sprache der App; lesen können es nur dieser Erwachsene und der Entwickler. Um uns zu benachrichtigen, sendet die App diesen Text mit Version, Plattform und Sprache außerdem an einen eigenen Server des Entwicklers, der ihn nicht speichert und per E-Mail (Gmail von Google) an uns weiterleitet. Er enthält keine Daten der Kinder: Wir bitten darum, keine zu schreiben.
• Abo auf zwei Geräten gleichzeitig. Gibt es ein aktives Abo, speichert die App, damit es auf höchstens zwei Geräten gleichzeitig genutzt wird, in Cloud Firestore von Google (Punkt 5) eine zufällig erzeugte Kennung dieser Installation (keine Geräte- oder Werbe-ID; sie ändert sich bei einer Neuinstallation), einen unumkehrbar aus der Kaufkennung abgeleiteten Code, die Zeit der letzten Prüfung und ob es iOS oder Android ist. Es enthält keine Daten des Administratorkontos oder der Kinder und wird für nichts anderes verwendet. Einmalkäufe brauchen das nicht.
• Fortschritt und Zeichnungen. Alles, was bei der Nutzung entsteht (Fortschritt in den Stufen, geschriebene Wörter, Striche auf der Schreibfläche, gesammelte Sticker), wird auf dem Gerät gespeichert. Es verlässt das Gerät nur in der oben beschriebenen Sicherung im Konto des Erwachsenen, die in sein eigenes Google Drive oder seine iCloud geht: An unsere Server wird es nie übertragen. Unser einziger eigener Server dient nur dazu, uns über Nachrichten aus „Deine Meinung“ zu benachrichtigen (Punkt 5).
• Einstellungen. Die gewählte Sprache und die Einstellungen des Schreibblatts werden ebenfalls auf dem Gerät gespeichert und gehören nicht zur Sicherung im Konto.

3In-App-Käufe

Die App bietet optionale kostenpflichtige Inhalte: Pakete zum Einmalkauf und ein optionales Abonnement.

• Die Stores wickeln die Zahlung ab. Sie erfolgt vollständig über App Store (Apple) und Google Play (Google) nach deren eigenen Datenschutzerklärungen. Wir sehen, erhalten und speichern keine Zahlungsdaten: keine Kartennummern, keine Rechnungsadressen, keine Identität der Käuferin oder des Käufers.
• Was die App abfragt. Um zu wissen, welcher Preis anzuzeigen ist und welche Inhalte freigeschaltet sind, fragt sie den System-Store ab (StoreKit unter iOS, Google Play Billing unter Android). Diese Abfrage übernimmt das Betriebssystem; sie enthält keine personenbezogenen Daten, die die App auslesen könnte.
• Wo der Nachweis bleibt. Das Gekaufte wird auf dem Gerät und im Store-Konto vermerkt, damit Käufe nach einer Neuinstallation wiederhergestellt werden können.
• Keine virtuelle Währung. Es gibt weder Verbrauchskäufe noch ein Guthaben, das in der App ausgegeben wird.

4Elternschranke

Käufe und die Verwaltung der Kinder liegen im Admin-Modus, in den man nur mit dem Konto des Erwachsenen und seiner PIN gelangt (oder mit dem auf dem Gerät eingerichteten Fingerabdruck oder Gesicht). Ohne diesen Zugang ist der Bezahlbildschirm nicht erreichbar. App Store (Richtlinie 1.3) und die Familienrichtlinie von Google Play verlangen das — zu Recht, wie wir finden.

5Dienste Dritter und Werbung

Die App zeigt keine Werbung, verwendet keine Werbe-IDs (etwa IDFA oder AAID) und enthält keine Analyse- oder Werbewerkzeuge, die das Nutzungsverhalten verfolgen. Die einzigen externen Dienste, mit denen sie spricht, sind diese:

• App Store und Google Play. Für die in Punkt 3 beschriebenen Käufe und, hin und wieder, um das Bewertungsfenster des Stores anzuzeigen. Dieses Fenster gehört zum System: Was dort geschrieben wird, verarbeitet der Store, und die App erhält es nicht.
• Firebase Authentication von Google. Es verwaltet das Admin-Konto (Punkt 2): E-Mail, Name, Foto des Anmeldedienstes und eine Nutzerkennung werden auf Servern von Google gespeichert, das bei der Anmeldung zum Schutz des Kontos auch die IP-Adresse und technische Gerätedaten erhält. Die Anmeldung mit Apple oder Google wickeln Apple bzw. Google nach ihren eigenen Richtlinien ab. Google verarbeitet diese Daten in unserem Auftrag, gemäß den Datenschutzbedingungen von Firebase. Firebase erhält nichts davon, was die Kinder tun.
• Cloud Firestore von Google. Speichert die Vorschläge und Stimmen, die Unterhaltungen aus „Deine Meinung“ und den Nachweis des Abos auf zwei Geräten gleichzeitig aus Punkt 2 auf den Servern von Google, die diese Daten in unserem Auftrag nach denselben Datenschutzbedingungen von Firebase verarbeiten. Die Vorschläge und „Deine Meinung“ werden nur im Administratormodus und mit dem Konto des Erwachsenen genutzt; die Prüfung des Abos (Punkt 2) erfolgt ohne Konto.
• Eigener Server von CaliKids. Wenn der Erwachsene etwas über „Deine Meinung“ sendet (Punkt 2), schickt die App den Text mit Version, Plattform und Sprache der App an calikids.olmotame.com, einen Server des Entwicklers (TMStudio.DEV) nur für CaliKids. Dabei wird das Sitzungstoken von Firebase mitgesendet, das nur dazu dient, die Zahl der Sendungen zu begrenzen und Spam zu verhindern, ebenso wie die IP-Adresse, die nur im Arbeitsspeicher gehalten wird. Der Server speichert nichts: Er leitet die Nachricht per E-Mail (Gmail von Google) an uns weiter, ohne die Nutzerkennung und ohne Daten der Kinder. Außerdem liest und schreibt er diese Unterhaltungen in Cloud Firestore, nur damit der Entwickler sie über seine Verwaltungswebsite beantworten kann, ohne eine Kopie zu behalten. Er erhält nichts davon, was die Kinder tun.
• Google Drive und iCloud, nur für die Sicherung im Konto. Gibt es eine Sicherung im Konto des Erwachsenen (Punkt 2), lädt die App sie direkt in sein Google Drive hoch und von dort herunter (mit der Erlaubnis „drive.appdata“, die Google den Erwachsenen auf einem eigenen Bildschirm erteilen lässt und die nur Zugriff auf den privaten App-Ordner gibt) oder in seine iCloud (CloudKit von Apple), immer über eine verschlüsselte Verbindung. Diese Daten liegen im Konto des Erwachsenen und werden von Google bzw. Apple nach den Bedingungen und der Datenschutzerklärung verarbeitet, die der Erwachsene mit ihnen hat (Google, Apple). Wir erhalten sie nicht.
• Google ML Kit, nur unter Android. In den Übungen, in denen die App liest, was das Kind geschrieben hat, nutzt die Android-Version die Handschrifterkennung von ML Kit (Google). Die Erkennung läuft auf dem Gerät selbst: Striche und geschriebene Wörter werden weder an Google noch an sonst jemanden gesendet. Damit sie funktioniert, lädt sie beim ersten Einsatz in jeder Sprache das Modell dieser Sprache von Googles Servern herunter.
• Was ML Kit an Google sendet. Laut Googles Dokumentation sendet ML Kit technische Nutzungs- und Leistungsdaten: Hersteller, Modell und Systemversion des Geräts; Name und Version der App; eine Installationskennung, die laut Google nicht dazu gedacht ist, die Person oder das Gerät zu identifizieren; die eingestellte Sprache; sowie Messwerte wie Antwortzeiten, Fehler oder die Art des Vorgangs (zum Beispiel das Herunterladen eines Modells). Google nutzt diese Daten, um die Leistung zu messen, Fehler zu beheben, den Dienst zu pflegen und zu verbessern und Missbrauch zu erkennen; sie werden verschlüsselt übertragen, und Google erklärt, sie nicht an Dritte weiterzugeben. Wie bei jeder Internetverbindung erhält Google außerdem die IP-Adresse des Geräts. Wir selbst erhalten keine dieser Daten: Google verarbeitet sie nach seiner Datenschutzerklärung.
• Unter iOS gibt es nichts davon. Dort liest die systemeigene Texterkennung (Vision von Apple) die Handschrift, direkt auf dem Gerät und ohne dass die App etwas sendet.

6Geräteberechtigungen

Die App fordert keinen Zugriff auf Kamera, Mikrofon, Kontakte oder Standort an: Zum Üben der Handschrift wird nichts davon gebraucht. Sie nutzt das Internet für das Admin-Konto, für die Sicherung in seinem Konto und für die Prüfung des Abos (Punkt 2) und unter Android für die Handschrifterkennung (Punkt 5); unter Android erteilt das System die Internetberechtigung ohne Nachfrage. Sie kann Fingerabdruck oder Gesichtserkennung des Geräts nutzen, um den Admin-Modus zu entsperren: Das prüft das System selbst, und die App erhält keine biometrischen Daten.

7Externe Links

In den Bereichen, die Kinder nutzen, gibt es keine externen Links, keine Social-Media-Schaltflächen und keine Verknüpfungen ins Internet, damit ein Kind die sichere Umgebung nicht versehentlich verlässt. Die wenigen vorhandenen Links (Support, Nutzungsbedingungen und diese Erklärung) liegen hinter dem in Punkt 4 beschriebenen Admin-Zugang.

8Aufbewahrung und Löschung

Fortschritt, Zeichnungen und Einstellungen werden auf dem Gerät gespeichert: Beim Deinstallieren der App werden sie dort gelöscht, und im Admin-Modus lassen sich die Profile der Kinder einzeln oder alle auf einmal löschen. Auf unseren Servern behalten wir keine Kopie. Die Sicherung im Konto des Erwachsenen (Punkt 2) bleibt in seinem Google Drive oder seiner iCloud, bis sie in der App („Aus dem Konto löschen“ oder „Von beiden löschen“) oder in der Speicherverwaltung von Google Drive oder iCloud gelöscht wird. Wird das Admin-Konto in der App gelöscht, wird auch diese Sicherung gelöscht. Das Deinstallieren der App löscht sie nicht: Wer sie entfernen möchte, sollte vorher „Aus dem Konto löschen“ verwenden. Das Admin-Konto lässt sich jederzeit in der App selbst löschen (Admin-Modus → Fortschritt der Kinder → Konto löschen); dabei werden E-Mail, Name, Foto und Kennung aus Firebase entfernt. Man kann es auch per E-Mail an die Adresse in Punkt 10 verlangen. Die technischen Daten, die ML Kit unter Android an Google sendet (Punkt 5), laufen ebenfalls nicht über uns: Google speichert sie nach eigener Richtlinie. Käufe bleiben mit dem App-Store- oder Google-Play-Konto verknüpft und lassen sich über den Store wiederherstellen. Vorschläge und Stimmen werden aufbewahrt, solange es den Bereich gibt; ein Moderator kann jeden davon löschen. Wird das Administratorkonto gelöscht, bleiben seine bereits veröffentlichten Vorschläge ohne Daten, aus denen hervorgeht, von wem sie stammen; wenn Sie möchten, dass auch sie gelöscht werden, oder meinen, dass ein Vorschlag nicht veröffentlicht sein sollte, schreiben Sie an die Adresse in Punkt 10, und wir entfernen ihn. Der Nachweis des Abos auf zwei Geräten gleichzeitig wird aufbewahrt, solange das Abo besteht; man kann seine Löschung per E-Mail an die Adresse in Punkt 10 verlangen. Die Vorschläge und vorgeschlagenen Übungen aus „Deine Meinung“ samt ihren Unterhaltungen werden aufbewahrt, solange das Administratorkonto besteht oder bis man ihre Löschung per E-Mail an die Adresse in Punkt 10 verlangt. Der eigene Server von CaliKids (Punkt 5) speichert nichts; die E-Mail bleibt im Postfach des Entwicklers.

9Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Eltern und Erziehungsberechtigten empfehlen wir, diese Seite gelegentlich anzusehen. Jede Änderung wird hier mit Aktualisierungsdatum veröffentlicht.

10Kontakt

Bei Fragen oder Anregungen zu dieser Datenschutzerklärung schreiben Sie uns an [email protected].

1A privacidade das crianças em primeiro lugar

O público principal da Aplicação são as crianças. Cumprimos rigorosamente a Children’s Online Privacy Protection Act (COPPA), o Regulamento Geral sobre a Proteção de Dados (RGPD) e regulamentos equivalentes. Não solicitamos, recolhemos nem armazenamos intencionalmente qualquer informação pessoal identificável de menores de 13 anos. A única conta que existe é a do adulto que administra a Aplicação (ponto 2).

2Que dados a Aplicação trata

A Aplicação funciona de forma autónoma no dispositivo. As únicas exceções são a conta do administrador, a cópia dos dados das crianças na conta do adulto e a verificação da subscrição, explicadas a seguir, e o reconhecimento da escrita da versão para Android (ponto 5).

• Dados das crianças. As crianças não têm conta nem lhes é pedido qualquer dado. O nome ou alcunha que se pode dar, se se quiser, a cada perfil e a sua idade ficam no dispositivo e não nos são transmitidos; só saem dele na cópia da conta do adulto, se existir (mais abaixo).
• Conta do administrador (o adulto). Para entrar no modo administrador, o adulto inicia sessão com a Apple, com a Google ou com um endereço de e-mail, e escolhe um PIN. A conta é gerida pelo Firebase Authentication, da Google (ponto 5), que guarda o e-mail, o nome e a fotografia fornecidos pelo serviço escolhido e um identificador de utilizador. Servem apenas para verificar que quem entra é o adulto e para lhe mostrar o seu perfil; não são usados para publicidade nem vendidos ou cedidos. O PIN fica apenas no dispositivo.
• Cópia na conta do adulto. Se o adulto entrar no modo administrador com a Google, a Aplicação guarda uma cópia dos dados das crianças na pasta privada da Aplicação do seu Google Drive (com uma autorização que só dá acesso a essa pasta, não ao resto do seu Drive); se entrar com a Apple num iPhone ou iPad, no seu iCloud (base de dados privada do CloudKit). De cada perfil, a cópia contém o nome ou alcunha, a idade ou o ano, o progresso, os autocolantes, os desenhos e as suas definições, e leva o identificador de utilizador da conta para se saber de quem é. Atualiza-se sozinha enquanto se usa a Aplicação e serve para recuperar tudo noutro dispositivo com a mesma conta. Vai diretamente do dispositivo para o Google Drive ou o iCloud, sem passar pelos nossos servidores nem pelo Firebase, e nós não a podemos ver: guardam-na a Google ou a Apple na conta do adulto, segundo as condições que tem com elas. Não se copiam as compras, a subscrição, a conta do administrador nem o PIN. Com uma conta de e-mail, ou com a Apple no Android, não se faz nenhuma cópia: fica tudo no dispositivo. Pode ser apagada no modo administrador (O meu perfil de administrador → Cópia dos dados das crianças), com «Apagar deste dispositivo», «Apagar da conta» ou «Apagar dos dois».
• Sugestões (opcional). No modo administrador há uma secção «Sugestões» onde o adulto pode sugerir exercícios ou melhorias e votar nos de outros pais. São guardadas no Cloud Firestore, da Google (ponto 5): o texto escrito, o tipo, a data, o idioma da Aplicação, o número de votos e, para saber de quem é cada sugestão e cada voto, o identificador de utilizador da conta. Aos outros pais mostra-se apenas o texto, o tipo, a data, os votos e o estado: nunca o nome, o e-mail nem o identificador. Cada sugestão é revista antes de ser publicada, e pedimos expressamente que não se escrevam dados pessoais do adulto nem das crianças; se alguma os tiver, não é publicada. Servem apenas para decidir o que melhorar na Aplicação. Esta secção nunca é mostrada às crianças.
• A tua opinião. No modo administrador, o adulto pode enviar-nos sugestões, propor exercícios e responder às nossas respostas. Guardamos no Cloud Firestore, da Google (ponto 5), o que escreve, o seu identificador de utilizador e a versão, a plataforma e o idioma da Aplicação; só esse adulto e o programador o podem ler. Para nos avisar, a Aplicação envia também esse texto, com a versão, a plataforma e o idioma, para um servidor próprio do programador, que não o guarda e no-lo reencaminha por e-mail (Gmail, da Google). Não inclui dados das crianças: pedimos que não se escrevam.
• Subscrição em dois dispositivos ao mesmo tempo. Se houver uma subscrição ativa, para que seja usada em dois dispositivos ao mesmo tempo, no máximo, a Aplicação guarda no Cloud Firestore, da Google (ponto 5), um identificador criado ao acaso para essa instalação (não é um identificador do dispositivo nem de publicidade, e muda ao reinstalar), um código obtido de forma irreversível a partir do identificador da compra, a hora da última verificação e se é iOS ou Android. Não inclui dados da conta do administrador nem das crianças, e não é usado para mais nada. As compras únicas não precisam disto.
• Progresso e desenhos. Tudo o que é gerado pelo uso da Aplicação (progresso nos níveis, palavras completadas, traços desenhados na folha, autocolantes conquistados) é guardado no dispositivo. Só sai dele na cópia da conta do adulto descrita acima, que vai para o seu próprio Google Drive ou iCloud: nunca é enviado para os nossos servidores. O único servidor próprio que temos serve apenas para nos avisar das mensagens de «A tua opinião» (ponto 5).
• Definições. O idioma escolhido e as preferências da folha são igualmente guardados no dispositivo e não fazem parte da cópia da conta.

3Compras dentro da Aplicação

A Aplicação oferece conteúdo pago opcional: packs de compra única e uma subscrição opcional.

• São as lojas que cobram. O pagamento é processado integralmente pela App Store (Apple) e pelo Google Play (Google), segundo as respetivas políticas de privacidade. Não vemos, não recebemos nem guardamos dados de pagamento: nem números de cartão, nem moradas de faturação, nem a identidade de quem compra.
• O que a Aplicação consulta. Para saber que preço mostrar e que conteúdo está desbloqueado, consulta a loja do sistema (StoreKit no iOS, Google Play Billing no Android). Esse pedido é tratado pelo sistema operativo e não contém dados pessoais que a Aplicação possa ler.
• Onde fica o registo. O que foi comprado fica no dispositivo e na conta da loja, para que as compras possam ser restauradas depois de uma reinstalação.
• Sem moeda virtual. Não existem compras consumíveis nem saldo para gastar na Aplicação.

4Barreira parental

As compras e a gestão das crianças estão no modo administrador, onde só se entra com a conta do adulto e o seu PIN (ou com a impressão digital ou o rosto configurados no dispositivo). Não se chega ao ecrã de pagamento sem passar esse acesso. A App Store (diretriz 1.3) e a política de Famílias do Google Play exigem-no, e parece-nos bem.

5Serviços de terceiros e publicidade

A Aplicação não mostra publicidade, não usa identificadores publicitários (como IDFA ou AAID) e não inclui ferramentas de análise nem de publicidade que sigam o que o utilizador faz. Os únicos serviços externos com que comunica são estes:

• App Store e Google Play. Para as compras descritas no ponto 3 e, de vez em quando, para mostrar a janela de avaliação da própria loja. Essa janela é do sistema: o que nela se escrever é tratado pela loja e a Aplicação não o recebe.
• Firebase Authentication, da Google. Gere a conta do administrador (ponto 2): o e-mail, o nome, a fotografia do serviço e um identificador de utilizador ficam guardados nos servidores da Google, que ao iniciar sessão recebe também o endereço IP e dados técnicos do dispositivo para proteger a conta. Se se entrar com a Apple ou com a Google, esse início de sessão é gerido pela Apple ou pela Google segundo as suas próprias políticas. A Google trata estes dados por nossa conta, segundo os termos de privacidade do Firebase. O Firebase não recebe nada do que as crianças fazem.
• Cloud Firestore, da Google. Guarda as sugestões e os votos, as conversas de «A tua opinião» e o registo da subscrição em dois dispositivos ao mesmo tempo do ponto 2 nos servidores da Google, que tratam estes dados por nossa conta segundo as mesmas condições de privacidade do Firebase. As sugestões e «A tua opinião» só são usadas no modo administrador e com a conta do adulto; a verificação da subscrição (ponto 2) faz-se sem conta.
• Servidor próprio do CaliKids. Quando o adulto envia algo a partir de «A tua opinião» (ponto 2), a Aplicação manda o texto, com a versão, a plataforma e o idioma da Aplicação, para calikids.olmotame.com, um servidor do programador (TMStudio.DEV) só para o CaliKids. Vai acompanhado do token da sessão do Firebase, que só se usa para limitar os envios e evitar spam, tal como o endereço IP, que se mantém apenas em memória. O servidor não guarda nada: reencaminha-nos a mensagem por e-mail (Gmail, da Google), sem o identificador de utilizador nem dados das crianças. Além disso, lê e escreve essas conversas no Cloud Firestore apenas para que o programador lhes possa responder a partir do seu site de administração, sem guardar cópia. Não recebe nada do que as crianças fazem.
• Google Drive e iCloud, só para a cópia na conta. Se houver cópia na conta do adulto (ponto 2), a Aplicação envia-a e descarrega-a diretamente do seu Google Drive (com a autorização «drive.appdata», que a Google pede ao adulto no seu próprio ecrã e que só dá acesso à pasta privada da Aplicação) ou do seu iCloud (CloudKit, da Apple), sempre com ligação cifrada. Esses dados estão na conta do adulto e são tratados pela Google ou pela Apple segundo as condições e a política de privacidade que o adulto tem com elas (Google, Apple). Nós não os recebemos.
• Google ML Kit, só no Android. Nos exercícios em que a Aplicação lê o que a criança escreveu, a versão para Android usa o reconhecimento de escrita do ML Kit, da Google. A leitura faz-se no próprio dispositivo: os traços e as palavras escritas não são enviados à Google nem a mais ninguém. Para funcionar, da primeira vez que é usado em cada idioma, descarrega dos servidores da Google o modelo desse idioma.
• O que o ML Kit envia à Google. Segundo a documentação da Google, o ML Kit envia dados técnicos de utilização e desempenho: fabricante, modelo e versão do sistema do dispositivo; nome e versão da Aplicação; um identificador da instalação que, segundo a Google, não se destina a identificar a pessoa nem o dispositivo; o idioma configurado; e métricas como tempos de resposta, erros ou o tipo de operação (por exemplo, a transferência de um modelo). A Google usa estes dados para medir o desempenho, depurar, manter e melhorar o serviço e detetar utilizações abusivas; circulam cifrados e a Google declara que não os cede a terceiros. Como em qualquer ligação à internet, a Google recebe também o endereço IP do dispositivo. Nós não recebemos nenhum destes dados: a Google trata-os segundo a sua política de privacidade.
• No iOS, nada disto acontece. A escrita é lida pelo reconhecimento de texto do próprio sistema (Vision, da Apple), que funciona no dispositivo sem que a Aplicação envie nada.

6Permissões do dispositivo

A Aplicação não pede acesso à câmara, ao microfone, aos contactos nem à localização: nada disso é necessário para praticar caligrafia. Usa a internet para a conta do administrador, para a cópia na sua conta e para a verificação da subscrição (ponto 2) e, no Android, para o reconhecimento da escrita (ponto 5); no Android, a permissão de internet é concedida pelo sistema sem perguntar. Pode usar a impressão digital ou o rosto do dispositivo para desbloquear o modo administrador: é o próprio sistema que o verifica e a Aplicação não recebe nenhum dado biométrico.

7Ligações externas

Nas áreas usadas por crianças não há ligações externas, botões de redes sociais nem atalhos para a internet, para que uma criança não saia do ambiente seguro por acidente. As poucas ligações que existem (apoio, condições de utilização e esta política) estão atrás do acesso de administrador descrito no ponto 4.

8Conservação e eliminação de dados

O progresso, os desenhos e as definições ficam no dispositivo: desinstalar a Aplicação apaga-os dele, e no modo administrador é possível apagar os perfis das crianças um a um ou todos de uma vez. Não guardamos qualquer cópia nos nossos servidores. A cópia na conta do adulto (ponto 2) fica no seu Google Drive ou iCloud até ser apagada na Aplicação («Apagar da conta» ou «Apagar dos dois») ou na gestão do armazenamento do Google Drive ou do iCloud. Ao apagar a conta do administrador na Aplicação, essa cópia também é apagada. Desinstalar a Aplicação não a apaga: se a quiser eliminar, use antes «Apagar da conta». A conta do administrador pode ser apagada a qualquer momento na própria Aplicação (modo administrador → Progresso das crianças → Apagar conta), o que elimina do Firebase o e-mail, o nome, a fotografia e o identificador; também se pode pedir escrevendo para o endereço do ponto 10. Os dados técnicos que o ML Kit envia à Google no Android (ponto 5) também não passam por nós: a Google conserva-os segundo a sua própria política. As compras continuam associadas à conta da App Store ou do Google Play e podem ser restauradas a partir da loja. As sugestões e os votos guardam-se enquanto a secção existir; um moderador pode apagar qualquer uma. Ao apagar a conta do administrador, as suas sugestões já publicadas ficam sem nenhum dado que permita saber de quem eram; se preferir que também sejam apagadas, ou achar que uma sugestão não devia estar publicada, escreva-nos para o endereço do ponto 10 e retiramo-la. O registo da subscrição em dois dispositivos ao mesmo tempo guarda-se enquanto a subscrição existir; pode pedir-se que seja apagado escrevendo para o endereço do ponto 10. As sugestões, os exercícios propostos e as respetivas conversas de «A tua opinião» guardam-se enquanto existir a conta do administrador ou até se pedir que sejam apagados escrevendo para o endereço do ponto 10. O servidor próprio do CaliKids (ponto 5) não guarda nada; o e-mail fica na caixa de correio do programador.

9Alterações a esta política

Podemos atualizar esta Política de Privacidade de tempos a tempos. Recomendamos a pais, mães e tutores que consultem esta página periodicamente. Qualquer alteração será publicada aqui, com a respetiva data de atualização.

10Contacto

Se tiver alguma questão ou sugestão sobre esta Política de Privacidade, escreva-nos para [email protected].