Balance — Politique de Conservation et de Suppression des Données

Effective date: 28 June 2026 Last updated: 28 June 2026

Révisée annuellement : prochaine révision prévue au plus tard le 9 juin 2027. S'applique à : toutes les catégories de données personnelles traitées par Balance. Ceci est la politique écrite de conservation et de suppression des données requise par la loi américaine sur la protection de la vie privée des enfants en ligne (« COPPA ») en vertu du 16 CFR § 312.10. Elle satisfait également aux obligations de limitation de la conservation et de minimisation des données en vertu des articles 5(1)(c) et 5(1)(e) du RGPD et des articles 5(1)(c) et 5(1)(e) du RGPD du Royaume-Uni, de l'article 14 de la loi 21.719 du Chili, des règles de conservation de la loi 1581 de la Colombie et de son cadre réglementaire, ainsi qu'à la règle équivalente dans tout autre pays. Ce document est publié à l'adresse retention.html en tant que complément de Niveau A à notre Politique de Confidentialité (dont la section 8 contient le résumé destiné aux utilisateurs) et à notre Notice de Confidentialité pour les Enfants (dont la section 8 contient le calendrier écrit spécifique à la COPPA pour les données des enfants). Si les termes destinés aux utilisateurs dans la Politique de Confidentialité ou la Notice de Confidentialité pour les Enfants semblent un jour incohérents avec la présente Politique de Conservation, cette dernière prévaudra quant à la période de conservation opérationnelle (la Politique de Confidentialité et la Notice de Confidentialité pour les Enfants sont les résumés destinés au public, et il se peut que nous devions les clarifier ; en cas de conflit, veuillez écrire à et nous procéderons à une harmonisation).

1. Principes

La conservation des données par Balance est régie par quatre principes. Chaque période de conservation dans la présente Politique doit satisfaire à chacun d'eux :

Limitation de la finalité (RGPD Art. 5(1)(b), COPPA § 312.7). Nous ne conservons les données personnelles que le temps strictement nécessaire pour fournir le service de contrôle parental que le parent a contracté, pour respecter nos obligations légales, ou pour défendre une réclamation légitime. Nous n'« arrondissons » pas les périodes de conservation à des chiffres pratiques.

Limitation de la conservation (RGPD Art. 5(1)(e), COPPA § 312.10). Les périodes de conservation indiquées ci-dessous sont des maximums, et non des minimums. Lorsque le parent demande une suppression plus tôt — ou lorsque la finalité opérationnelle prend fin plus tôt — les données sont supprimées plus tôt.

Minimisation des données (RGPD Art. 5(1)(c)). Nous conservons le plus petit ensemble de données que la finalité requiert. Nous ne conservons jamais une catégorie dont nous n'avons pas besoin.

Suppression par défaut (Code de l'enfance du Royaume-Uni, principes de l'OCDE sur la confidentialité). Pour chaque nouvelle fonctionnalité, le choix de conception est la suppression par défaut, à moins que la conservation n'ait une finalité spécifique déclarée.

Chaque règle de conservation de la section 3 ci-dessous est associée à un ou plusieurs de ces principes dans la colonne « Pourquoi cette période ».

2. Rôles

Responsable du traitement des données : BabaYaga Program, TOO (Kazakhstan ; BIN 260540024651). Propriétaire du processus : , Directeur — agit également en tant que Responsable de la Confidentialité () et Responsable Désigné de la Sécurité des Enfants (). Prestataires de services détenant des copies des données (sous-traitants) : la liste figure à la section 6 de la Politique de Confidentialité. Le responsable du traitement s'engage à ce que chaque sous-traitant respecte les règles de conservation ci-dessous — inscrites dans le contrat de traitement des données avec chaque prestataire. Réviseur annuel : , Directeur, signe la révision annuelle (section 12) et toute modification d'une période de conservation.

3. Tableau principal de conservation — par catégorie

Ceci est le tableau de conservation faisant foi. La Politique de Confidentialité (§ 8) et la Notice de Confidentialité pour les Enfants (§ 8) affichent le résumé convivial dérivé de ce tableau.

3.1 Catégories côté compte

3.2 Catégories dérivées de l'appareil de l'enfant

3.3 Médias de preuve et clés chiffrés de bout en bout

3.4 Jetons éphémères de vérification et d'appairage

3.5 Données opérationnelles

4. Mécanismes de suppression

4.1 Suppression d'un enfant initiée par le parent (suppression par enfant)

Lorsque le parent utilise l'action « Supprimer l'enfant » dans l'application (dans les paramètres de confidentialité) et confirme, ou écrit à pour demander la suppression d'un enfant spécifique, le backend :

1. Arrête immédiatement toute collecte ultérieure depuis l'appareil de l'enfant (le service au premier plan sur l'appareil de l'enfant reçoit un signal d'arrêt lors de la prochaine vérification de l'état de santé ; l'appairage de l'appareil est invalidé de sorte que les futurs téléchargements sont rejetés au niveau de la passerelle API).
2. Marque l'enregistrement de l'enfant pour suppression et programme la cascade après un délai de réflexion de 1 heure dans l'application. Les demandes soumises par e-mail à sont honorées selon les délais légaux de la § 5 (RGPD 30 jours ; COPPA 10 jours ouvrables ; CCPA 45 jours), et non selon le délai de réflexion de 1 heure.
3. Exécute la cascade de suppression une fois la fenêtre de réflexion écoulée :

• supprime les enregistrements d'utilisation de l'enfant, le catalogue des applications installées, les paramètres par enfant, les notifications, les définitions et instances de tâches, le registre de temps gagné et les règlements, les séries, les enveloppes de récupération et les indicateurs de génération familiale ;
• supprime chaque clé d'appareil chiffrée appartenant à cet enfant ;
• supprime le matériel de clé multimédia du parent lié à cet enfant ;
• supprime chaque objet multimédia de preuve stocké pour cet enfant dans notre emplacement de stockage Google Cloud — en utilisant la suppression directe d'objet, et non le cycle de vie, de sorte que la suppression est immédiate ;
• supprime chaque enregistrement de métadonnées multimédias faisant référence à cet enfant ;
• supprime l'enregistrement de l'enfant lui-même. 4. Envoie un e-mail de confirmation au parent sur le compte.

4.2 Suppression du compte parent initiée par le parent (suppression du compte)

Lorsque le parent utilise l'action « Supprimer le compte » dans l'application (dans les paramètres de confidentialité) et confirme, ou écrit à :

1. L'action « Supprimer le compte » dans l'application applique un délai de réflexion de 1 heure (même mécanisme que la § 4.1) : le compte est marqué pour suppression et la cascade s'exécute une fois le délai de réflexion écoulé. Les demandes manuelles/envoyées par e-mail à sont honorées selon les délais légaux de la § 5, et non selon le délai de réflexion de 1 heure.
2. Exécute la cascade par enfant de la § 4.1 pour chaque enfant attaché à la famille.
3. Supprime l'enregistrement familial.
4. Supprime chaque clé d'appareil chiffrée appartenant au parent.
5. Supprime l'enregistrement du compte parent.
6. Envoie un e-mail de confirmation à l'adresse qui était enregistrée au moment de la demande.

État de l'abonnement : tout abonnement Google Play actif n'est pas automatiquement annulé par nos soins — nous demandons au parent d'annuler dans Google Play → Abonnements (nous ne pouvons pas annuler un abonnement Google Play pour le compte du parent sans une action à portée OAuth que le parent ne nous accorde pas). Le parent en est informé à l'étape de confirmation de la suppression.

4.3 Dormance du compte (discrétionnaire)

Nous pouvons fermer et supprimer les comptes qui sont restés inactifs pendant une longue période. Si nous décidons de le faire pour un compte particulier, nous enverrons au parent un avis par e-mail avant toute suppression et lui donnerons une opportunité raisonnable de se connecter pour maintenir le compte actif. Il n'y a pas de période de dormance fixe — il s'agit d'une clause discrétionnaire pour nous donner un moyen de nettoyer les données manifestement abandonnées tout en protégeant les parents qui utilisent simplement Balance rarement. (Cela reflète mot pour mot la Politique de Confidentialité § 8 et fait partie de la même position adoucie adoptée le 9 juin 2026.)

4.4 Retrait du consentement

Le parent peut retirer son consentement à la collecte en continu depuis l'appareil d'un enfant à tout moment. La voie la plus directe consiste à supprimer l'enfant (§ 4.1). La suppression de l'enfant arrête immédiatement toute collecte ultérieure et déclenche la cascade de suppression une fois le délai de réflexion de 1 heure dans l'application écoulé (ou selon les délais légaux de la § 5 pour les demandes par e-mail/manuelles). La licéité du traitement passé effectué avant le retrait n'est pas affectée.

4.5 Suppression de catégories spécifiques sans supprimer l'enfant

Un parent qui souhaite conserver l'enfant mais supprimer une catégorie (par exemple, « supprimer chaque vidéo de preuve datant de plus de 7 jours ») peut :

• dans l'application : ouvrir l'onglet multimédia de l'enfant et appuyer sur « Supprimer » sur chaque élément, ou utiliser l'action de sélection groupée dans l'onglet multimédia de l'application ;
• par e-mail : écrire à avec la demande. Nous répondrons dans le délai imparti à la § 5 ci-dessous.

4.6 Sauvegardes

Les sauvegardes opérationnelles continuent de détenir un instantané protégé contre la suppression pour la fenêtre de sauvegarde glissante décrite à la § 3.5. Nos propres sauvegardes périodiques avec Google Cloud sont conservées sur une fenêtre glissante de 30 jours ; une fois qu'une sauvegarde sort de la rotation, les données supprimées ne sont plus récupérables. Les instantanés opérationnels de l'hébergeur subissent une rotation selon leur politique de conservation des sauvegardes publiée. La Politique de Confidentialité divulgue cette exception (§ 8). C'est la seule exception légale à la promesse de « suppression immédiate ».

5. Calendriers des droits des personnes concernées

Nous honorons chaque délai légal applicable à un parent qui exerce un droit (accès, rectification, effacement, limitation, portabilité, opposition) :

• RGPD / RGPD du Royaume-Uni : 30 jours calendaires à compter de la réception de la demande ; prolongeable jusqu'à 60 jours supplémentaires pour les demandes complexes, avec avis écrit.
• Lois américaines sur la confidentialité au niveau des États (CCPA/CPRA, VCDPA, CPA, CTDPA, UCPA, TDPSA et autres lois des États) : 45 jours calendaires, prolongeables de 45 jours avec avis.
• Demandes de suppression parentale vérifiées COPPA : sans retard déraisonnable, en pratique dans un délai de 10 jours ouvrables.
• Autres pays : le délai fixé par la loi locale sur la protection des données.

Le Responsable de la Confidentialité () suit chaque demande dans le journal interne des DSAR sous . Chaque demande est clôturée par une disposition écrite.

6. Registre des conservations prescrites et des exceptions

Nous pouvons conserver un enregistrement spécifique plus longtemps que ce qu'indique la § 3 uniquement dans les circonstances suivantes, et uniquement aussi longtemps que la circonstance l'exige :

• Conservation fiscale et comptable en vertu de la loi du Kazakhstan (enregistrements d'abonnement — voir § 3.1).
• Ordonnances de conservation prescrite d'une autorité compétente (ordonnance d'un tribunal, avis de préservation d'un régulateur, demande de production légale) — durée fixée par l'ordonnance.
• Préservation de la sécurité des enfants en vertu du 18 U.S.C. § 2258A(h) (90 jours, prolongeable de 90 jours sur demande de l'agence) pour les affaires classées en vertu de la § 7 des Normes de Sécurité des Enfants.
• Litige juridique actif auquel nous sommes partie — durée : jusqu'à la clôture de l'affaire plus la période de limitation pour les appels en vertu de la loi de procédure applicable.

Toute conservation au-delà de la § 3 doit être approuvée par écrit par le Responsable de la Confidentialité et consignée dans le registre des exceptions de conservation détenu sous . Le registre est examiné lors de chaque révision annuelle (§ 12).

7. Vérification de la cascade — tests du backend

Pour chaque version du backend, nous maintenons un test de régression qui exerce la cascade de suppression de bout en bout. Nos tests de suppression automatisés vérifient :

• que la suppression du compte retire chaque enregistrement stocké pour chaque enfant attaché au parent ;
• que chaque objet multimédia de preuve stocké pour la famille est supprimé (et non simplement marqué pour expiration du cycle de vie) ;
• que chaque clé d'appareil chiffrée, enregistrement de clé multimédia et enregistrement de métadonnées multimédias lié au parent ou à l'un de ses enfants est retiré ;
• qu'un e-mail de confirmation de suppression est envoyé.

Nous exécutons le test de cascade à chaque exécution CI sur les chemins de code pertinents pour la suppression. Un test de cascade défaillant bloque la version.

8. Alignement de la conservation des sous-traitants

Chaque sous-traitant (Section 6 de la Politique de Confidentialité) est lié par un contrat de traitement des données écrit qui l'oblige à :

• ne pas conserver les données personnelles plus longtemps que nécessaire pour fournir leur service déclaré ;
• supprimer ou restituer les données personnelles sur notre instruction, y compris immédiatement lors d'une demande de suppression par enregistrement et à la résiliation du DPA (contrat de traitement des données) ;
• maintenir leur propre fenêtre de conservation des sauvegardes ne dépassant pas 30 jours le cas échéant ;
• nous donner une confirmation écrite de leur pratique de conservation sur demande.

Spécifiquement :

9. Rotation des clés de chiffrement

Les clés de chiffrement elles-mêmes sont également soumises à un cycle de vie. Notre manuel de rotation des clés documente :

• La clé côté serveur qui protège l'e-mail stocké (une clé AES-256-GCM utilisée pour chiffrer les adresses e-mail des parents au repos) : cadence de rotation annuelle ; rotation ad-hoc en cas de compromission suspectée. La rotation nécessite le rechiffrement de chaque e-mail stocké dans une tâche de migration unique.
• Le poivre (pepper) côté serveur ajouté aux hachages de codes à usage unique (un secret côté serveur combiné avec SHA-256 avant de stocker les codes à usage unique) : cadence de rotation annuelle ; lors de la rotation, tous les codes à usage unique actifs deviennent invérifiables et sont supprimés dans un délai de 1 heure. Les fenêtres de codes à usage unique sont intentionnellement courtes, de sorte que l'impact visible par l'utilisateur est limité.
• Paires de clés E2EE par appareil (clés d'appareil X25519 détenues par le parent et l'enfant) : gérées par les clients ; le backend ne stocke que la moitié publique. La rotation est pilotée par l'appareil lorsque l'utilisateur ré-apparie ou migre vers un nouvel appareil — voir la section 9 de la Politique de Confidentialité.

Le manuel est placé sous le contrôle de .

10. Amélioration continue

Nous examinons et améliorons périodiquement nos tâches automatisées de conservation et de suppression pour les maintenir alignées sur la présente Politique. Lorsqu'une fenêtre de conservation ou une tâche de suppression implémentée est mise en conformité, le comportement opérationnel intérimaire est régi par nos calendriers de suppression automatique et notre logique de cascade existants, et tout écart est consigné dans le registre des exceptions de conservation (§ 6) et réconcilié lors de la révision annuelle (§ 12).

11. Comment un parent peut vérifier la conservation

Un parent peut vérifier notre conservation de bout en bout à tout moment :

• Exporter les données de la famille à l'aide de l'action d'exportation des données dans l'application (dans les paramètres de confidentialité). L'exportation fournit une archive JSON téléchargeable de chaque catégorie que nous détenons, avec l'horodatage enregistré / créé / vu pour la dernière fois sur chaque ligne. Toute donnée plus ancienne que la fenêtre de conservation pour sa catégorie indique un échec de conservation — veuillez le signaler à .
• Supprimer l'enfant ou le compte, puis réexporter 30 jours plus tard. L'exportation devrait être vide (ou, pour le compte parent, ne contenir que l'enregistrement de confirmation post-suppression).
• Nous demander directement. Envoyez un e-mail à et demandez « montrez-moi tout ce que vous détenez sur ma famille ». Nous livrerons, dans les délais de la § 5, la même exportation avec une confirmation écrite que rien d'autre n'existe.

Nous invitons les parents qui trouvent une divergence à nous le signaler sans risque de représailles — nous traitons les erreurs de conservation comme des bugs et nous créditerons le rapporteur.

12. Révision annuelle

Le Responsable de la Confidentialité examine la présente Politique au moins une fois par an, au plus tard le 9 juin de chaque année. L'examen porte sur :

• le tableau principal de la § 3 — chaque ligne et son calendrier de suppression automatique ;
• la suite de tests de la cascade de suppression — confirmant qu'elle couvre chaque ligne de la § 3 ;
• le registre des exceptions de conservation (§ 6) — confirmant que rien n'a été conservé en dehors du calendrier publié sans motif consigné ;
• les DPA des sous-traitants (§ 8) — confirmant que chacun est à jour ;
• l'examen de l'amélioration continue (§ 10) — confirmant que nos tâches automatisées de conservation et de suppression restent alignées ;
• la cadence de rotation des clés (§ 9) — confirmant que la dernière rotation a eu lieu au cours des 12 derniers mois.

Un changement matériel concernant toute période de conservation nécessite :

• la date de « Dernière mise à jour » en haut de ce document ;
• une mise à jour correspondante de la Politique de Confidentialité § 8 et de la Notice de Confidentialité pour les Enfants § 8 (selon ce que le changement touche) ;
• un avis de 30 jours dans l'application + par e-mail aux parents sur le compte si le changement étend une période de conservation ;
• si le changement est une réduction de la conservation, aucun avis préalable n'est requis (le changement est à l'avantage du parent).

13. Annexes pays

Les nuances de conservation spécifiques à chaque pays (par exemple, une conservation obligatoire plus longue des documents fiscaux dans un pays spécifique, ou un délai de cascade de suppression obligatoire plus court) sont publiées dans l'ensemble des annexes pays qui accompagne la présente Politique à l'adresse retention.html. Les territoires hérités suivent l'annexe du pays parent, conformément à la section 18 de la Politique de Confidentialité.

14. Contacts de référence rapide

• Confidentialité / DSAR / exportation de données / suppression : ()
• Signalements de sécurité des enfants : (également )
• Aide générale :
• Représentant UE : Prighter EU Rep GmbH, Schellinggasse 3, 1010 Vienne, Autriche
• Représentant Royaume-Uni : Prighter Ltd (UK), 20 Mortlake High Street, London SW14 8JN, Royaume-Uni
• Adresse postale : BabaYaga Program, TOO, ul. Ongarsynova 10, kv. 175, Esil district, Astana 010000, Kazakhstan
• Téléphone :

Documents d'accompagnement :

• Politique de Confidentialité : privacy.html
• Notice de Confidentialité pour les Enfants : children.html
• Conditions d'Utilisation : terms.html
• Conditions d'Abonnement : subscription-terms.html
• Normes de Sécurité des Enfants : child-safety.html

Fin de la Politique de Conservation et de Suppression des Données.