Politique de Confidentialité

Article 1 : Préambule

La présente politique de confidentialité a pour but d'informer les utilisateurs du site Cyberpunk TCG (ci-après « le Site ») sur la manière dont leurs données personnelles sont collectées et traitées, conformément à l'article 13 du Règlement Général sur la Protection des Données (RGPD) 2016/679 et à la loi française Informatique et Libertés.

Sont considérées comme données personnelles toutes les informations permettant d'identifier un utilisateur : pseudo, adresse email, adresse IP, identifiant OAuth, etc.

Cette politique complète les mentions légales, les conditions générales d'utilisation et la politique cookies consultables sur le Site.

Article 2 : Principes de collecte et de traitement

Conformément au RGPD, le traitement des données personnelles doit être « licite, loyal et transparent ». Les données sont collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités.

Le traitement des données est licite si au moins l'une des conditions suivantes est remplie :

• L'utilisateur a consenti au traitement de ses données
• Le traitement est nécessaire à l'exécution d'un contrat (les CGU)
• Le traitement est nécessaire au respect d'une obligation légale (audit, comptabilité)
• Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement (sécurité, statistiques agrégées)

Article 3 : Données collectées

3.1 - Catégories de données et finalités

Les données suivantes sont collectées, regroupées par finalité :

Gestion du compte utilisateur (base légale : exécution du contrat / CGU) :

• Connexion Discord : pseudo Discord, identifiant unique Discord, avatar, email associée
• Connexion Google : nom, prénom, email, photo de profil Google
• Pseudo personnalisé (distinct du pseudo OAuth) saisi par l'utilisateur
• Avatar personnalisé téléversé par l'utilisateur (stocké sur Vercel Blob)
• Préférences (langue, options visuelles, options de jeu)
• Date et version d'acceptation des CGU et de prise de connaissance de la présente politique (preuve de consentement, art. 7.1 RGPD)
• Adresse IP et navigateur au moment de l'acceptation des CGU

Module de jeu en ligne (base légale : exécution du contrat + intérêt légitime pour les replays publics) :

• Decks créés et sauvegardés
• Historique des parties disputées (Game documents : état de jeu, joueurs, vainqueur, durée)
• Messages échangés via le chat en jeu (associés au pseudo de l'auteur)
• Statistiques agrégées (winrate, parties jouées, classements)

Traçabilité légale (base légale : obligation légale art. 7.1 RGPD) :

• Journal des événements critiques (audit_events) : acceptation des CGU, mutations administratives, accès privilégiés

Encaissement et facturation (base légale : exécution du contrat / CGV, à compter de l'ouverture des fonctionnalités payantes) :

• Données de paiement traitées par Stripe (carte bancaire ne transitant pas par nos serveurs)
• Adresse de facturation
• Historique des achats (abonnements, frais d'inscription à des tournois)

3.2 - Durées de conservation

Les durées de conservation sont fixées en fonction de la finalité du traitement, conformément à l'article 5.1.e du RGPD.

• Compte utilisateur : tant que le compte est actif, et jusqu'à 12 mois après la dernière connexion en cas d'inactivité.
• Decks créés : tant que le compte de l'utilisateur est actif.
• Historique des parties (Game documents) : 2 ans après la fin de la partie.
• Statistiques agrégées anonymisées : sans limite de durée (données non-réidentifiantes après suppression du compte).
• Audit_events (preuve d'acceptation des CGU, mutations admin) : 365 jours (TTL automatique côté base de données).
• Données de paiement et factures (post-monétisation) : 10 ans, conformément à l'article L123-22 du Code de commerce (obligation comptable). Cette obligation légale prévaut sur le droit à l'effacement.

3.3 - Sous-traitants et transferts hors UE

Pour fournir le service, l'éditeur fait appel à des sous-traitants au sens de l'article 28 du RGPD. Chaque sous-traitant est lié à l'éditeur par un contrat (DPA) ou, pour les services OAuth publics, par adhésion implicite à la politique de confidentialité du fournisseur.

• Vercel Inc. — hébergement de l'application web. Données hébergées aux USA (edge Frankfurt). Transfert hors UE couvert par Clauses Contractuelles Types (SCC).
• Railway Corp. — hébergement du serveur de jeu temps réel. Données hébergées USA/UE. SCC.
• MongoDB Atlas (Ireland) — stockage principal (users, decks, parties, audit). Données stockées en UE. Pas de transfert hors UE.
• Vercel Blob — stockage des avatars téléversés. USA. SCC.
• Discord Inc. — service OAuth d'authentification. USA. Cadre = politique de confidentialité Discord publique + SCC qu'elle référence.
• Google LLC — service OAuth d'authentification. USA. Idem Discord.
• Stripe Payments Europe Ltd. (à compter de l'ouverture des fonctionnalités payantes) — encaissement, gestion abonnements, facturation. Données stockées en UE (Ireland). Pas de transfert hors UE.

Les données collectées ne font l'objet d'aucune transmission à des tiers à des fins commerciales ou publicitaires.

3.4 - Cookies

Le Site utilise actuellement deux (2) cookies, tous deux strictement nécessaires au fonctionnement du service et donc dispensés de consentement préalable (article 82 de la loi Informatique et Libertés) :

• Session d'authentification (next-auth.session-token, TTL 30 jours)
• Préférence de langue (locale, TTL 1 an)

Aucun cookie publicitaire, marketing, analytique tiers ou de mesure d'audience non-anonymisée n'est posé. Pour le détail complet (durée, émetteur, comportement à la déconnexion), consulter la politique cookies.

Article 4 : Responsable du traitement

Le responsable du traitement des données personnelles est la société SASU Agon-Gate. Les coordonnées complètes (siège social, SIREN, RCS, représentant légal) figurent dans les mentions légales.

Pour toute question concernant tes données personnelles, l'adresse de contact dédiée est : rgpd@cyberpunk.cards.

Article 5 : Droits de l'utilisateur

Conformément au RGPD, tout utilisateur dispose des droits suivants :

• Droit d'accès (article 15) : obtenir la confirmation que des données te concernant sont traitées et accéder à ces données. Exerçable directement depuis la page /profile (affichage des informations courantes) ou par demande à rgpd@cyberpunk.cards.
• Droit de rectification (article 16) : obtenir la rectification des données inexactes. Exerçable depuis la page /profile (édition surnom, avatar, préférences).
• Droit à l'effacement (article 17) : obtenir l'effacement de tes données personnelles. Exerçable via le bouton « Supprimer mon compte » de la page /profile.
  Comportement précis : ton compte (User document), tes decks et ton avatar téléversé sont définitivement supprimés. Tes messages dans le chat en jeu et tes audit_events historiques sont anonymisés (ton pseudo y est remplacé par « Utilisateur supprimé » dans les chats, ton identifiant par « deleted_user » dans les audit_events) — cela préserve la lisibilité des replays pour les autres joueurs et la traçabilité légale, sans permettre de te ré-identifier. Les données de facturation (post-monétisation) sont conservées 10 ans conformément aux obligations comptables.
• Droit à la portabilité (article 20) : recevoir tes données dans un format structuré, couramment utilisé et lisible par machine. Exerçable via le bouton « Télécharger mes données » de la page /profile (export JSON).
• Droit à la limitation (article 18) : non applicable au présent service (pas de traitement réversible ou de durée limitée à suspendre).
• Droit d'opposition (article 21) : s'opposer au traitement de tes données. Pour le présent service, l'opposition équivaut à une demande d'effacement (cf. droit ci-dessus).
• Droit de saisir l'autorité de contrôle : introduire une réclamation auprès de la CNIL en cas de désaccord avec le traitement de tes données.

Article 6 : Modifications de la politique

Nous nous réservons le droit de modifier la présente politique de confidentialité à tout moment. À chaque modification substantielle, le numéro de version est incrémenté (voir Article 10).

Les utilisateurs sont invités à prendre connaissance de la nouvelle politique lors de leur prochaine connexion via une page dédiée. La date et la version de la prise de connaissance sont conservées comme preuve.

Article 7 : Sécurité

L'éditeur met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque (art. 32 RGPD) :

• Chiffrement de bout en bout des communications (HTTPS / TLS 1.2+ pour le site web, WSS pour le serveur de jeu temps réel)
• Authentification déléguée à des fournisseurs OAuth tiers (Discord, Google), aucune gestion de mot de passe en interne
• Sessions utilisateur protégées par cookies httpOnly, sameSite lax, attribut Secure en production
• Audit log automatisé sur les actions sensibles (mutations admin, acceptation des CGU)
• Sauvegarde régulière de la base de données par le sous-traitant MongoDB Atlas (rétention 7 jours minimum)
• Restriction des accès administrateurs au strict besoin opérationnel, traçables

En cas de violation de données susceptible d'engendrer un risque pour tes droits et libertés, l'éditeur s'engage à notifier la CNIL dans les 72 heures (art. 33 RGPD) et, si le risque est élevé, à t'en informer directement (art. 34 RGPD).

Article 8 : Mineurs

En cohérence avec les CGU article 3, l'utilisation du Site est réservée aux personnes âgées d'au moins seize (16) ans. Conformément à l'article 7-1 de la loi française Informatique et Libertés (modifiée), les mineurs de moins de 15 ans ne peuvent consentir seuls au traitement de leurs données personnelles ; les mineurs de 15 à 16 ans doivent obtenir l'accord préalable de leurs représentants légaux.

Si tu es parent ou tuteur et que tu souhaites signaler la présence d'un mineur sur le Site, contacte-nous à l'adresse : rgpd@cyberpunk.cards. Le compte signalé sera désactivé manuellement après vérification.

Article 9 : Contact RGPD

Pour toute question, demande d'exercice de tes droits, signalement de violation potentielle de données ou réclamation, l'adresse dédiée est : rgpd@cyberpunk.cards.

Les demandes sont traitées dans un délai d'un (1) mois maximum à compter de leur réception (art. 12.3 RGPD), prolongeable de deux (2) mois supplémentaires si la complexité ou le nombre de demandes le justifie.

Article 10 : Versioning et historique

La présente politique de confidentialité est identifiée par un numéro de version sémantique. À chaque modification substantielle, le numéro est incrémenté et la version en vigueur est affichée en titre de la présente page.

Version en cours : v1.1.

L'historique des versions précédentes est conservé par l'éditeur et peut être consulté sur demande à l'adresse rgpd@cyberpunk.cards.