Politique de confidentialité

1. Responsable et périmètre

Le site et la PWA installée depuis le navigateur partagent les mêmes comptes. Contact vie privée : contact@gachanime.gg.

2. Données utilisées

• Compte : pseudo/ID, identifiant Discord, sessions/dates ; anciennes preuves Google/e-mail conservées.
• Profil et jeu : bio, avatar de carte et paramètres de cadrage (sans import), illustrations, collection/favoris, progression, ressources, tirages/achats, récompenses/reçus, cosmétiques, tierlists, notifications lues.
• Relations : amis/blocages, invitations/parrainages, partages, guildes/rôles, messages/lectures, annonces/échanges, contributions hebdomadaires ; sans carnet d’adresses importé.
• Dernière activité : date, retours et jours d’activité pour « Depuis ta dernière visite » et statistiques internes.
• Signalements et avis : comptes, motif/copie signalée, texte/note, contexte (plateforme, version, langue, écran), date, suivi/récompense. Diagnostic facultatif consultable : navigateur/appareil, écran, GPU, réseau, erreurs et code de page (§5) ; ni IP, messages, identifiant d’appareil ou secrets de connexion.
• Historique des paiements simulés : commandes, montants, états, dates, références Stripe, factures, périodes/résiliations ; consentement au renouvellement du pass (version/date/session), progression/gains.
• Sécurité : IP des requêtes, navigateur, vérifications anti-robot, quotas et événements ; identifiants réseau applicatifs pseudonymisés, pas anonymes.

Sources : joueur, activité, Discord (comptes). Pseudo et authentification sont nécessaires ; aucune adresse e-mail n’est demandée pour se connecter. Bio, vitrine, partages, avis et notifications système : facultatifs.

3. Finalités

• Contrat (article 6 §1 b du RGPD) : connexion, sauvegarde, jeu, fonctions sociales demandées et commandes.
• Intérêts légitimes (article 6 §1 f) : sécurité/anti-fraude, modération, diagnostic, amélioration par les avis (copies détectées, récompense indépendante de l’opinion), statistiques internes ; droit d’opposition.
• Obligations légales (article 6 §1 c) : droits des personnes, demandes légales, comptabilité des ventes réelles.
• Consentement (article 6 §1 a) : notifications système et tout traceur non exempté ; retrait sans perdre le jeu de base ni affecter la licéité antérieure.

Seul le responsable accède aux statistiques d’activité agrégées, hors comptes de test. Ses consultations (comptes, signalements, avis) par l’API opérateur et décisions sont journalisées.

Ni publicité ciblée ni décision exclusivement automatisée à effet juridique ou similaire significatif. Quotas/accès automatisés ; modération humaine.

4. Visibilité et partage

• Profils des joueurs : comptes inscrits : ID opaque, pseudo, bio, avatar/cadrage, cosmétiques portés, prestige, niveau de progression, nom de la guilde actuelle, jusqu’à six cartes de vitrine. E-mail, soldes, favoris, quantités et reste d’inventaire privés. Ni accès anonyme ou invité, ni annuaire/recherche. Blocage dans l’un ou l’autre sens, suspension ou suppression en attente : profil inaccessible. Bio/vitrine effaçables.
• Marché et classement : annonces/prix, pseudos vendeur/meilleure offre ; joueurs classés : ID, pseudo, avatar, scores ; guildes : nom, scores.
• Amis et échanges : pseudo/avatar, cartes échangeables, quantités et disponibilités entre amis acceptés ou membres de guilde. Propositions/historiques aux participants ; retrait/blocage coupe la collection, pas l’historique.
• Guildes : nom, description, recrutement, taille et chef aux joueurs connectés ; membres/journal/discussion/annonces aux membres, messages depuis l’arrivée.
• Messages privés : aux deux amis, conservés après retrait/blocage, sans nouvel envoi. Non chiffrés de bout en bout ; copie signalée au responsable.
• Signalements et avis : au responsable seulement (copie Discord privée en production, avec les pseudos des personnes concernées, §5). Le signaleur reste caché au joueur visé, sauf obligation légale.
• Votes : pseudo transmis à Jeux Indé, cité 7 jours aux salons publics Discord #votes.
• Partages : contenu choisi, pseudo et ID opaque de l’auteur (vitrine/tirage/tierlist/wishlist), qui relie ses contenus. Vitrine : bio, avatar, apparence, illustrations ; invitation : pseudo du parrain.

Révoquer un lien le coupe, sans effacer les copies ou caches externes ni fermer les profils aux comptes inscrits. Liens transmissibles : éviter les contenus sensibles.

5. Prestataires

Cloudflare : hébergement du site, données et sécurité (Turnstile : signaux techniques du navigateur ; Access : identité autorisée en accès privé). Email Service, si actif : adresse et messages de compte, sans publicité ni suivi.

Discord, seul moyen de connexion, transmet le profil de base sans e-mail ; seuls restent identifiant, date de liaison et état de double authentification, le nom proposé comme pseudo s’effaçant avec la tentative. Jetons non conservés, révoqués après lecture sauf échec technique. L’autorisation guilds.members.read vérifie seulement l’adhésion au serveur Gachanime (récompense facultative) : preuve valable 10 min, purgée à la vérification suivante ; reçu gardé contre un double paiement. La connexion n’utilise que ces données ; le bot de progression en est distinct.

Stripe reçoit l’e-mail et le moyen de paiement saisis sur sa page, le jeu seulement les états/références. Les nouvelles ventes et simulations sont fermées ; Stripe suit les commandes et renouvellements de test antérieurs.

Les prestataires tiers de diffusion d’images (CDN) reçoivent IP et données techniques de requête, pas l’e-mail ni le mot de passe Gachanime. Liens externes et partages choisis : leurs politiques.

Notifications push : Google, Mozilla, Microsoft ou Apple reçoit l’adresse push, le message chiffré et ses métadonnées, pas le jeton joueur. Écran verrouillé : texte générique, sans pseudo, carte, montant ni contenu de message.

Mesure d’audience et suivi d’erreurs : intérêt légitime, droit d’opposition ; ni publicité ni lien automatique au compte. Mesure serveur sans accès au terminal ; suivi de navigation désactivé. « Sans cookie » ne prouve pas une exemption de consentement CNIL. Pas d’anonymisation irréversible garantie : catégories horodatées distinctives ; l’hébergeur traite toujours l’IP et les données de connexion.

Mesures de trafic Cloudflare : alpha seulement. Analytics Engine conserve trois mois : pages génériques, pays, type d’appareil, provenance limitée, statut, méthode, durée arrondie, date ; sans IP, e-mail, ID joueur, navigateur détaillé ni cookie ajouté. Agrégats, pas un décompte de personnes.

Journaux techniques Cloudflare : un collecteur privé filtre API/HTML et erreurs du serveur et du navigateur : types d’erreurs, routes génériques, statuts, méthodes, durées arrondies, date, environnement ; sur alpha, version, trois emplacements de code autorisés au plus, compteurs et état des images (fichier, format, dimensions, chargement/dessin demandé). Erreurs plafonnées et regroupées, avertissements ciblés. Un code aléatoire renouvelé à chaque page relie les incidents au diagnostic volontaire, sans servir à se connecter ni à suivre un appareil. Ce collecteur Cloudflare conserve exclusivement cette projection technique, sept jours par défaut sur l’offre payante, sans logs bruts, traces automatiques, URL sensibles ou requêtes SQL. Les messages d’erreur et piles filtrés destinés aux alertes privées de production suivent le circuit Discord ci-dessous. Les anciennes versions bêta/production exigent une publication applicative explicite.

Alertes privées de production sur Discord : un bot copie dans deux salons privés, accessibles au responsable et au bot, les erreurs (message technique, pile d’appels disponible, code, route générique, date) et les nouveaux avis et signalements (texte, contexte et copie du contenu signalé ; pseudos actuels de l’auteur de l’avis, du signaleur et du joueur visé), pour dépannage, suivi des avis et modération (intérêt légitime). Erreurs expurgées des secrets reconnus, e-mails et IP ; du texte personnel saisi dans un diagnostic peut subsister. Les en-têtes HTTP et corps de requêtes sont exclus de cette collecte. Envois journalisés par référence et date ; lecture régie par Discord. Copies programmées pour suppression avant sept jours, plus tôt après effacement d’un avis ou anonymisation/suppression d’un signalement ; une coupure de Discord ou du bot reporte le retrait à la reprise. Diagnostics filtrés en base opérateur purgés 7 jours après leur dernière occurrence.

Incidents (GlitchTip) : envoi externe désactivé sauf approbation séparée, contrôle des IP après enrichissement et des journaux. Si activé : catégories/emplacements d’erreur, routes et résultats plafonnés, mêmes exclusions que Cloudflare, sans capture, relecture de session ni empreinte d’appareil. Offre UE prévue : trente jours, sauvegardes jusqu’à trente-cinq jours après suppression.

Transferts internationaux : traitement possible hors EEE, y compris chez Cloudflare.

Politiques : Cloudflare, Discord, Stripe. Destinataires, garanties de transfert et accès à leur copie : contact@gachanime.gg.

6. Cookies et stockage local

Cookies et autres stockages exigent un consentement préalable libre, facile à refuser ou retirer, sauf usage strictement nécessaire au service demandé (article 82).

• Invité : cookie __Host-wm_guest sécurisé/HttpOnly, 180 jours maximum ; sauvegarde serveur. Effacement, autre appareil ou navigation privée peuvent couper l’accès. Créer un compte garde la partie, sans fusion avec un compte existant. Pseudo caché aux autres, libéré après 30 jours sans visite ; cartes conservées.
• Sécurité : contexte anti-robot 5 min, validation au plus 1 h ou 1 000 requêtes ; empreinte de reprise invitée 24 h. Session d’accès privé (hors jeu) : jusqu’à 30 jours sur le site de test alpha, 8 heures sur les autres sites privés.
• Connexion Discord : cookie et preuve d’onglet 10 min ; tentatives expirées purgées chaque jour.
• Compte : cookie nécessaire __Host-wm_session, sécurisé/HttpOnly : 7 jours maximum sans prolongation ; 10 minutes maximum pour les anciennes sessions transitoires avant liaison Discord. Fermer le navigateur ne déconnecte pas le compte. Appareil partagé : « Déconnexion » révoque la session et retire le cookie.
• Onglet : copie du jeton de session dans sessionStorage jusqu’à fermeture ; le cookie permet la reprise. S’y ajoutent versions et heure du dernier rechargement automatique (contre les boucles, sans identifiant joueur) et brouillons/références jusqu’à résolution, pour reprendre sans doublon après incident.
• Diagnostics alpha : code et incidents en mémoire, sans cookie ni stockage durable.
• Préférences : langue, son et présentation dans localStorage jusqu’à modification/effacement ; ressources du service worker en cache jusqu’à remplacement/effacement.
• Web Push : choix explicite par catégorie (énergie, rappels, social, échanges, marché, progression, parrainage, actualités ; achats fermés), appareils déjà abonnés compris ; retrait dans Compte → Notifications (un/tous les appareils). Fuseau horaire, heures silencieuses, rappel, plafond journalier et seuil de classement réglables. Abonnement gardé par le navigateur ; reçus IndexedDB aléatoires sans jeton/contenu, expirés après 7 jours, purgés au prochain push/effacement.

Effacer le stockage (perte possible de session, préférences, brouillons) ou désinstaller l’application ne supprime pas le compte serveur.

7. Sécurité

HTTPS, accès privés authentifiés, contrôles serveur et sessions révocables. Mots de passe et jetons bruts non journalisés. Aucune sécurité absolue.

8. Conservation

• Compte/jeu : continuité et preuve des opérations, paiements simulés compris (sans valeur de factures réelles), sans purge générale. Profil modifiable, tierlists/partages supprimables. Préférence d’illustration effacée avec le dernier exemplaire ou le compte. Invité de plus de 180 jours sans session active : procédure de suppression de 7 jours.
• Social : messages et mentions/journal de guilde 90 jours, MP et signalements 1 an, invitations/demandes de guilde 14 jours, contributions hebdomadaires 12 semaines. Message supprimé : texte effacé ; guilde dissoute : discussion effacée ; copie signalée gardée jusqu’à échéance.
• Compte supprimé : messages de guilde et conversations privées effacés ; signalements émis désidentifiés, copies le visant conservées jusqu’à échéance. Reçus économiques, achats/cosmétiques, pass, récompenses et preuves gardent l’ancien identifiant : pseudonymisation, pas anonymisation garantie.
• Liens e-mail : empreinte effacée à l’usage ou, expirée (récupération 1 h, confirmation 24 h), par maintenance ; inscriptions non confirmées expirées purgées chaque jour.
• Sécurité : événements anti-abus purgés chaque jour après 30 jours.
• Activité : Les jours d’activité sont conservés 400 jours ; dernière activité remplacée à chaque visite, tous deux effacés avec le compte supprimé. Ancienne annonce du jour (retirée, sans suivi des clics) : attribution/masquage et session 35 jours, préférence jusqu’à suppression du compte.
• Avis : texte, note, contexte, diagnostic et anciens bugs effacés après 12 mois ou avec le compte ; suivi/récompense minimaux gardés.
• Notifications : abonnement/clés, réglages, état de planification, dates, compte et preuve de session : 90 jours sans réenregistrement ; retirés à la désactivation, déconnexion globale, récupération, expiration fournisseur, suspension ou demande de suppression, pas à l’expiration naturelle de session. File et preuves supplémentaires de refus/rôle : 7 jours ; envoi limité à 24 h, non rappelable une fois transmis.
• Mesures techniques : aucun identifiant de compte transmis ; rapprochement volontaire par code de page (§5).

Réinitialiser une partie de test crée un nouvel identifiant et archive l’ancienne et ses journaux, sans ses droits de paiement test (arrêt demandé à Stripe). Ce n’est pas une demande d’effacement.

Effacement pas toujours automatique à échéance, mais pouvant être demandé : comptes identifiés inactifs, historiques économiques, sanctions, audits, archives et sauvegardes.

9. Droits et suppression

Droits RGPD, selon leurs conditions : accès, rectification, effacement, limitation, opposition, portabilité et retrait du consentement. Réclamation possible à la CNIL ou à l’autorité compétente.

Écrire à contact@gachanime.gg, même sans connexion : compte et droit demandé, jamais le mot de passe. Preuve d’identité proportionnée en cas de doute raisonnable. Demande en principe gratuite ; réponse sous un mois, prolongation possible de deux mois motivée dans ce délai.

Dans le jeu : « Sécurité et sessions » → « Supprimer mon compte » : gel de 7 jours (distinct des délais RGPD), annulable par reconnexion, puis la maintenance quotidienne efface profil, connexions, messages et partages, sauf les preuves conservées ; arrêt des renouvellements Stripe demandé et réessayé jusqu’à confirmation. Toute demande portant aussi sur les archives : même contact.

10. Mineurs

Accès prévu dès 13 ans. En France, consentement autonome aux traitements en ligne dès 15 ans. Avant 15 ans : accord conjoint avec un titulaire de l’autorité parentale (RGPD art. 8, loi Informatique et Libertés art. 45). Ce seuil ne donne aucune capacité générale d’achat.

Le service ne vérifie ni l’âge ni l’autorisation parentale ; celle du navigateur ne suffit pas. Autres conditions possibles selon le pays.

11. Modifications

Les changements importants seront signalés.