1. Définitions
Au sens du RGPD : « Données à caractère personnel » désigne toute information se rapportant à une personne physique identifiée ou identifiable. « Traitement » désigne toute opération effectuée sur des données personnelles. « Responsable du traitement » désigne la personne qui détermine les finalités et les moyens du traitement (ici AltiGames). « Sous-traitant » désigne la personne qui traite des données pour le compte du responsable. « Profilage » désigne toute forme de traitement automatisé pour évaluer certains aspects personnels. « Personne concernée » désigne le Joueur dont les données sont traitées.
2. Responsable du traitement
AltiGames
contact@altigames.fr
3. Catégories de données traitées
Données d'identification et d'authentification : identifiant unique (UUID), pseudo, email pour les Comptes complets, mot de passe stocké sous forme de hash Argon2id, identifiants des connexions sociales Apple/Google sous forme de jetons opaques (« sub »). Données de session : jeton JWT signé HS256, jeton de rafraîchissement (refresh token), identifiant d'appareil pour la reconnexion silencieuse en mode invité.
Données d'usage et de gameplay : historique de parties, mots posés, scores, durée, adversaires, statistiques agrégées, classement ELO le cas échéant, préférences (thème, mode clair/sombre, options dictionnaire), liens d'amitié et invitations entre Joueurs. Données techniques : version de l'application, version d'OS, modèle d'appareil, langue, fuseau horaire, identifiants d'erreurs (Firebase Crashlytics), jeton de notification push (FCM).
Données de transaction (uniquement en cas d'achat) : identifiant de transaction Plateforme, type d'offre, devise, date, statut. Aucune donnée de carte bancaire n'est traitée par l'Éditeur. Données de signalement et de modération (le cas échéant) : contenu signalé, motif, date, décision rendue. Chaque Jeu peut détailler des catégories supplémentaires dans son annexe.
4. Finalités et bases légales
Fourniture du Service (création et maintien du Compte, authentification, sauvegarde de progression, synchronisation multi-appareils, fonctionnalités multijoueur) : base légale = exécution du contrat (article 6.1.b RGPD). Sécurité et anti-fraude (détection de bots, anti-triche, prévention des chargebacks, audit des accès) : base légale = intérêt légitime (article 6.1.f RGPD).
Amélioration du Service (analyse anonyme d'usage via Firebase Analytics, détection de bugs via Firebase Crashlytics, mesure de la satisfaction) : base légale = intérêt légitime, avec possibilité d'opposition dans les paramètres de l'application. Communication essentielle (notifications de tour de jeu, emails de réinitialisation de mot de passe, confirmation d'achat) : base légale = exécution du contrat et obligation légale.
Conformité légale et fiscale (conservation des données de transaction, réponse aux réquisitions judiciaires, lutte contre la fraude) : base légale = obligation légale (article 6.1.c RGPD). Notifications push facultatives (challenges, événements éditoriaux, nouveautés) : base légale = consentement (article 6.1.a RGPD), révocable à tout moment dans les paramètres système ou de l'application.
5. Profilage et décisions automatisées
L'Éditeur ne met en œuvre aucune décision entièrement automatisée produisant des effets juridiques à l'égard du Joueur ou l'affectant de manière significative au sens de l'article 22 du RGPD. Les classements ELO, le matchmaking ou les recommandations de Jeux sont des traitements automatisés purement contextuels sans impact juridique ou matériel substantiel.
Les éventuelles sanctions automatiques (blocage temporaire après détection automatique de triche ou de comportement abusif) font toujours l'objet d'une voie de recours humaine : le Joueur peut contester la décision en écrivant au support, qui procède à un réexamen manuel dans un délai raisonnable.
6. Destinataires et sous-traitants
Les données sont accessibles, dans la stricte mesure du nécessaire, à l'équipe AltiGames (développement, support, sécurité) sur la base d'autorisations individuelles. Aucun transfert à des partenaires commerciaux à des fins de prospection n'est effectué.
Sous-traitants techniques utilisés : Google LLC (Firebase Crashlytics, Firebase Cloud Messaging, Firebase Analytics) — serveurs dans l'Union européenne et aux États-Unis ; hébergeur du backend renseigné dans les mentions légales — serveurs principalement en France ou dans l'EEE ; Apple Inc. et Google LLC pour la distribution des applications mobiles ; prestataires de paiement (Apple, Google, le cas échéant Stripe ou équivalent) pour le traitement des transactions.
Chacun de ces sous-traitants est encadré par un contrat conforme à l'article 28 du RGPD, garantissant un niveau de protection au moins équivalent à celui assuré par l'Éditeur. Aucune donnée n'est jamais vendue, louée ou cédée à un tiers à des fins commerciales. L'Éditeur ne diffuse pas de publicité ciblée.
7. Transferts hors Union européenne
Certains services Firebase peuvent transférer des données vers les États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types (« CCT ») adoptées par la Commission européenne (décision 2021/914) et par le cadre EU-US Data Privacy Framework (« DPF ») : Google LLC est certifiée DPF.
Aucun autre transfert international n'est effectué en dehors de ce périmètre. Les serveurs principaux de jeu et de Compte sont localisés en France ou dans l'EEE. Le Joueur peut obtenir, sur demande à l'adresse vie privée, copie des garanties contractuelles applicables à chaque sous-traitant impliqué dans un transfert international.
Si un Joueur consommateur résidant en dehors de l'EEE souhaite utiliser un Jeu, son consentement éclairé à un transfert vers les serveurs européens est recueilli implicitement par sa connexion ; les garanties applicables aux transferts entrants sont équivalentes à celles décrites ici.
8. Durées de conservation
Compte actif : durée d'utilisation du Service. Compte inactif depuis plus de vingt-quatre (24) mois : anonymisation automatique (pseudo neutralisé, email effacé, identifiant conservé pour intégrité référentielle des parties auxquelles le Joueur a participé). Compte supprimé à l'initiative du Joueur : effacement effectif sous trente (30) jours, sous réserve des obligations légales de conservation.
Logs techniques serveur : sept (7) jours pour les logs d'application courants, trente (30) jours pour les logs de sécurité (tentatives d'authentification, anti-fraude). Rapports de crash Firebase Crashlytics : quatre-vingt-dix (90) jours selon la configuration par défaut de Firebase. Événements analytics : quatorze (14) mois selon la configuration par défaut de Firebase Analytics.
Données de transaction (achats, abonnements) : dix (10) ans en application de l'obligation comptable et fiscale française (article L123-22 du Code de commerce). Données de signalement et de modération : un (1) an après clôture du signalement. Lorsque les données sont anonymisées, elles peuvent être conservées à des fins statistiques sans permettre de réidentifier le Joueur.
9. Mesures de sécurité
Mesures techniques : connexion HTTPS uniquement (TLS 1.2 ou supérieur), HSTS activé, mots de passe stockés sous forme de hash Argon2id, jetons JWT signés HS256 à courte durée de vie associés à des refresh tokens rotatifs, stockage sécurisé sur l'appareil (Keychain iOS, EncryptedSharedPreferences Android), aucun stockage de carte bancaire, mises à jour de sécurité régulières des dépendances.
Mesures organisationnelles : accès aux données productionnelles restreint au strict nécessaire, tracé et révoqué automatiquement en fin de mission, formation à la sécurité du personnel, séparation des environnements (dev/staging/production), sauvegardes chiffrées avec rétention contrôlée, plan de reprise d'activité.
Mesures sur les sous-traitants : sélection privilégiant les fournisseurs disposant de certifications reconnues (ISO 27001, SOC 2), encadrement contractuel article 28 RGPD, audit régulier des conditions de service. Aucune mesure ne peut garantir une sécurité absolue ; le Joueur est invité à signaler sans délai tout incident suspecté.
10. Notification de violation de données
Conformément aux articles 33 et 34 du RGPD, en cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, l'Éditeur notifie la CNIL dans un délai de soixante-douze (72) heures à compter du moment où il en a connaissance, et tient un registre interne des violations conformément à l'article 33.5.
Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés du Joueur, l'Éditeur lui en communique l'existence dans les meilleurs délais, sauf si les données concernées étaient chiffrées avec des moyens rendant la réidentification impossible, ou si des mesures ultérieures ont permis de neutraliser le risque. La communication précise la nature de la violation, ses conséquences probables et les mesures correctrices prises.
11. Vos droits
Compte actif : durée d'utilisation du Service. Compte inactif depuis plus de vingt-quatre (24) mois : anonymisation automatique (pseudo neutralisé, email effacé, identifiant conservé pour intégrité référentielle des parties auxquelles le Joueur a participé). Compte supprimé à l'initiative du Joueur : effacement effectif sous trente (30) jours, sous réserve des obligations légales de conservation.
contact@altigames.fr
Données de transaction (achats, abonnements) : dix (10) ans en application de l'obligation comptable et fiscale française (article L123-22 du Code de commerce). Données de signalement et de modération : un (1) an après clôture du signalement. Lorsque les données sont anonymisées, elles peuvent être conservées à des fins statistiques sans permettre de réidentifier le Joueur.
12. Protection des mineurs
Conformément à l'article 8 du RGPD tel que transposé en droit français à l'article 7-1 de la loi Informatique et Libertés, le traitement des données d'un mineur de moins de quinze (15) ans fondé sur le consentement n'est licite que si ce consentement est donné conjointement par le mineur et par le titulaire de l'autorité parentale.
Le mode invité est accessible aux mineurs de moins de quinze (15) ans sans collecte d'email. La création d'un Compte avec email par un mineur requiert l'autorisation du titulaire de l'autorité parentale, qui peut à tout moment demander à l'Éditeur la rectification, la limitation ou la suppression des données traitées pour le compte de son enfant.