Politique de confidentialité

1Qui est responsable

Le responsable du traitement est Alexis Javaux, entrepreneur individuel (SIREN 832 506 539), SAS en cours de création, 8 quai des Chevillards, 59800 Lille, France. Pour toute question sur tes données : contact@web-tcg.com.

2Les données que nous traitons

• Ton compte : pseudo, pays, langue, date de création, et la trace des conditions que tu as vues à l’inscription (version et date).
• Comment tu te connectes : ton adresse e-mail si tu utilises un code envoyé par e-mail, ou l’identifiant de ton compte Google et l’adresse e-mail qu’il nous transmet si tu te connectes avec Google (nous ne recevons jamais ton mot de passe Google ; le détail est dans « Connexion avec Google »). Un code envoyé par e-mail n’est gardé que sous forme d’empreinte et expire au bout de 10 minutes.
• Ton jeu : cartes, poussière, Webicoin, boosters ouverts, enchères, succès, historique de tes actions et registre des mouvements de monnaie.
• Des données techniques : adresse IP et journaux, utilisés pour la sécurité et la limitation des abus, conservés peu de temps.
• Des mesures techniques anonymes : les erreurs rencontrées par ton navigateur et le temps de chargement des pages, sans aucun identifiant.
• Au moment de te connecter ou de vendre, d’enchérir ou de donner une carte, des signaux de ton navigateur (comment la page s’exécute) sont analysés par un service anti-robot pour distinguer une personne d’un programme ; ils ne servent à rien d’autre.
• Tes préférences d’affichage (son, rythme, mascotte) : elles restent dans ton navigateur.

3Pourquoi, et sur quel fondement

• Faire fonctionner le jeu et ton compte (exécution du contrat).
• Protéger le service et les joueurs contre la fraude, les robots et les abus (intérêt légitime).
• Répondre à nos obligations légales, notamment comptables lorsque des paiements existent.
• Comprendre l’usage du jeu avec des statistiques agrégées, sans suivre les individus à des fins commerciales (intérêt légitime).

Nous ne faisons aucune publicité, aucun profilage commercial et nous ne vendons jamais de données.

4Connexion avec Google

Tu peux te connecter avec ton compte Google. Voici exactement ce que nous en faisons.

• Ce que nous demandons à Google : les autorisations « openid », « email » et « profile », le minimum qui permet une connexion. Nous ne demandons accès à rien d’autre (ni contacts, ni Gmail, ni Drive, ni agenda) et n’appelons aucune autre API Google en ton nom.
• Ce que nous recevons et gardons : l’identifiant de ton compte Google et ton adresse e-mail, que Google certifie vérifiée. Avec l’autorisation « profile », Google peut aussi nous transmettre ton nom et ta photo de profil : nous ne les enregistrons pas et ne les affichons nulle part ; ton pseudo est celui que tu choisis dans le jeu. Nous ne recevons jamais ton mot de passe Google et ne gardons aucun jeton d’accès à ton compte Google.
• Pourquoi : uniquement pour te connecter et retrouver le même compte à chaque fois (y compris si tu t’es déjà connecté avec un code envoyé à la même adresse e-mail) et, si les paiements sont ouverts, pour savoir que ton compte est rattaché à une identité vérifiée, condition pour acheter. Jamais pour de la publicité, jamais pour du profilage ; ces données ne sont ni vendues ni partagées avec des tiers, en dehors de nos prestataires d’hébergement (Vercel) et de base de données (Supabase), qui agissent pour notre compte.
• Où : dans notre base de données, chez Supabase (région Irlande (eu-west-1)), comme le reste de ton compte.
• Combien de temps : tant que ton compte existe. Si tu le supprimes, l’identifiant Google et l’adresse e-mail sont effacés tout de suite.
• Les supprimer : « Supprimer mon compte » dans la page Mon compte, ou un message à contact@web-tcg.com.
• Retirer l’accès : à tout moment sur https://myaccount.google.com/permissions. Tu retires ainsi l’autorisation donnée à Web TCG ; ce que nous avons déjà enregistré reste jusqu’à la suppression de ton compte (ou jusqu’à ta demande à contact@web-tcg.com).

L’utilisation par Web TCG des informations reçues des API Google, et leur transfert à toute autre application, respectent la Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), y compris les exigences d’usage limité (Limited Use).

5Cookies et stockage dans ton navigateur

Nous utilisons uniquement ce qui est nécessaire au service : un cookie de session pour te garder connecté, un cookie de langue, et le stockage local de ton navigateur pour tes préférences. Ils ne servent ni à te suivre ni à de la publicité, et ne demandent donc pas de consentement.

Pendant une connexion avec Google, un cookie technique d’une durée de 10 minutes sert à terminer la connexion en toute sécurité, puis il disparaît.

Si le contrôle anti-robot de Cloudflare (Turnstile) est activé, il peut déposer un élément technique propre à ce contrôle, uniquement pour vérifier que tu es une personne.

6Qui reçoit tes données

Nos prestataires, qui n’agissent que sur nos instructions :

• Vercel, qui exécute le site et fournit le contrôle anti-robot BotID (avec son partenaire Kasada) ;
• Supabase, qui héberge la base de données, dans la région Irlande (eu-west-1) ;
• Google, si tu te connectes avec ton compte Google ;
• Resend, notre prestataire d’envoi d’e-mails, pour les codes de connexion envoyés par e-mail ;
• Stripe, si les paiements sont ouverts : nous ne voyons jamais ton numéro de carte ;
• Cloudflare, pour le contrôle anti-robot, s’il est activé.

Certains de ces prestataires peuvent traiter des données en dehors de l’Union européenne ; ces transferts sont encadrés par les mécanismes prévus par la loi (clauses contractuelles types, cadre de protection des données UE–États-Unis).

7Combien de temps nous les gardons

• Ton compte et ton jeu : tant que ton compte existe. Si tu le supprimes, ton jeu et tes sessions sont effacés tout de suite et ton profil est anonymisé (pseudo remplacé, adresse e-mail effacée).
• Codes de connexion envoyés par e-mail : valables 10 minutes ; les traces de ces codes sont supprimées au bout d’un jour.
• Le registre des mouvements de Webicoin : conservé sous forme pseudonymisée pour la comptabilité et la lutte contre la fraude.
• Historique des tirages : 90 jours. Journaux techniques et clés de requête : de quelques jours à quelques semaines.
• Demandes de retrait d’un site : 3 ans après leur traitement, pour pouvoir justifier nos décisions.

8Tes droits

Tu peux accéder à tes données, les récupérer, les corriger, t’opposer à un traitement, en demander la limitation ou l’effacement.

• Depuis ton compte : « Exporter mes données » télécharge tout ce que nous avons sur ton jeu ; « Supprimer mon compte » l’efface.
• Pour le reste : écris à contact@web-tcg.com. Nous répondons dans un délai d’un mois.

Si tu estimes que nous ne respectons pas tes droits, tu peux saisir l’autorité de protection des données de ton pays (en France : la CNIL, cnil.fr).

9Les enfants

Web TCG s’adresse à un large public mais ne cherche pas à collecter de données sur les enfants. Si tu as moins de 15 ans (ou l’âge fixé par la loi de ton pays), utilise le jeu avec l’accord d’un parent ou d’un représentant légal. Si tu penses qu’un enfant a créé un compte sans cet accord, écris-nous : nous supprimerons le compte.

10Sécurité

Les échanges sont chiffrés, les sessions sont protégées, les codes de connexion ne le sont que sous forme d’empreinte et les actions sensibles sont limitées en nombre. Aucun système n’est infaillible : si une violation de données te concernait, nous te préviendrions ainsi que l’autorité compétente, comme la loi l’exige.

11Changements

Cette politique porte une date de version. Si nous la modifions de façon importante, nous te le signalons avant qu’elle s’applique.