Nestor — informations

Nestor est une application d’organisation familiale auto-hébergée, sans publicité, sans mesure d’audience et sans revente de données. Elle héberge les données de plusieurs foyers ; l’exception « usage personnel et domestique » ne s’y applique donc pas.

Responsable

Non renseigné sur cette instance.

Contact

dpiot@dapi.ch

Chaque foyer dispose en outre d’une adresse de contact propre, utilisée en cas d’incident de sécurité le concernant.

Hébergement

Infomaniak, VPS à Plan-les-Ouates (Genève), Suisse

Les échanges sont chiffrés en transit. Les sauvegardes sont chiffrées et conservées hors du serveur.

Données collectées

• Prénoms, rôle (parent ou enfant), avatar et couleur.
• Adresse e-mail des parents — connexion et courriel du soir.
• Numéro de téléphone et information médicale, si un parent les saisit pour la carte d’urgence.
• Événements d’agenda, participations, trajets et conducteurs.
• Listes : courses, tâches, vacances, cadeaux, plats, mémoire du foyer.
• Repas planifiés, cuisinier, absences aux repas.
• Documents téléversés : photos et PDF attachés à un plat ou un événement.
• Journal des actions (qui a coché quoi, et quand) et journal des opérations de synchronisation.
• Empreintes des codes d’accès : le PIN d’un enfant, le mot de passe d’un parent quand il en pose un. Ce sont des empreintes — ni le PIN ni le mot de passe ne sont conservés, et l’empreinte ne permet pas de les retrouver.

Aucune géolocalisation, aucun suivi de position, aucune mesure d’audience, aucune ressource chargée depuis un tiers — les polices sont servies par ce serveur.

Destinataires

Les données d’un foyer ne sont accessibles qu’aux membres de ce foyer. Le compte d’administration ne peut lire aucun contenu : il crée un foyer et son premier parent, et n’a aucun droit de lecture sur le reste.

Un fournisseur d’envoi de courriel intervient comme sous-traitant : Infomaniak Network SA, Genève. Il achemine les liens de connexion et le courriel du soir, lequel contient l’agenda du lendemain, les lieux d’activité et les absences aux repas. Ce courriel se désactive personne par personne.

Les pages accessibles par QR code — carte d’urgence, feuille de garde — sont lisibles sans compte par quiconque détient le lien. Elles n’affichent qu’un prénom, des numéros de téléphone et, le cas échéant, une information médicale. Chaque lien se révoque en un geste.

Durées de conservation

• Journal des actions et journal des opérations : 90 jours.
• Traces de suppression : 90 jours.
• Journal des lectures de QR code : 12 mois.
• Journaux du serveur : 30 jours, sans adresse IP complète.
• Le reste — agenda, listes, documents — est conservé tant que le foyer existe.

Suppression

Un parent demande la suppression de son foyer à l’adresse de contact. Le foyer devient aussitôt inaccessible ; l’effacement réel intervient trente jours plus tard et porte sur toutes les lignes, les documents sur disque, les jetons et les journaux. Ces trente jours sont réversibles : ils existent pour qu’une suppression demandée par erreur puisse être annulée.

La suppression d’une personne seule anonymise son historique : le prénom disparaît, ce qui a été fait reste cohérent pour le reste du foyer.

Vos données, emportées

Un parent télécharge à tout moment l’intégralité des données de son foyer, en un fichier, depuis l’écran du foyer. Le format est ouvert : JSON pour les données, ICS pour l’agenda.

Appareil partagé

Une tablette appairée par un parent authentifie le foyer entier et non une personne : sur cet appareil, l’application est ouverte en permanence, et l’on choisit qui agit en touchant son avatar. Hors de cet appareil, un enfant entre avec le code de la maison puis son code pictographique.