Politique de confidentialité

1. À qui s’adresse cette politique ?

Cette politique concerne les visiteurs du site cardwho.com, les utilisateurs de l’application mobile CardWho (iOS / Android) et toute personne qui nous contacte via nos canaux.

2. Responsable de traitement

« Nous » / « CardWho » désigne Erik Medya, l’entité qui exploite le service.

• Raison sociale : Erik Medya
• Siège social : Kuştepe Mahallesi, Mecidiyeköy Yolu Caddesi N° 12, Trump Tower Étage : 4, Bureau N° 405, Şişli / Istanbul, Code postal : 34381, Türkiye
• E-mail : [email protected]

3. Données collectées

3.1. Utilisation sans compte

CardWho peut être joué sans création de compte. Dans ce cas, aucune donnée personnelle n’est collectée ; la progression du jeu reste uniquement sur votre appareil.

3.2. Compte facultatif

Si vous souhaitez la synchronisation multi-appareils, la sauvegarde cloud ou utiliser des achats sur plusieurs appareils, vous pouvez créer un compte. Dans ce cas, nous collectons :

• Adresse e-mail (connexion + contact)
• Nom affiché (facultatif)
• Type d’appareil et version de l’application (débogage + compatibilité)
• Statistiques de jeu (parties jouées, préférences par catégorie) — uniquement liées à votre compte

3.3. Données d’achat

Si vous achetez du contenu PRO, le paiement est traité par App Store ou Google Play. Nous ne voyons ni ne stockons les coordonnées de votre carte. Nous traitons uniquement les jetons renvoyés par les stores pour vérifier l’achat.

3.4. Données de contact

Lorsque vous utilisez le formulaire de contact, votre nom, votre adresse e-mail, votre message et le sujet choisi nous parviennent. Nous traitons ces données pour répondre à votre demande et, le cas échéant, en assurer le suivi.

3.5. Données d’usage du site

Le site est servi via Cloudflare. Les journaux serveur standard (adresse IP, user-agent, URL demandée, horodatage) sont conservés à court terme pour la sécurité et le diagnostic.

3.6. Journaux de sécurité et d’audit

Pour protéger votre compte et respecter nos obligations légales, nous tenons un journal d’audit interne des évènements significatifs en matière de sécurité : tentatives de connexion (réussies et échouées), modifications de compte (inscription, mise à jour du profil, suppression du compte), évènements d’abonnement (achat, renouvellement, résiliation, transfert, remboursement), actions d’administrateur sur votre compte et tâches système (telles que les exécutions planifiées de la rétention). Chaque entrée enregistre le nom de l’action, le type d’acteur (utilisateur / administrateur / système), les identifiants d’acteur et de cible, l’horodatage, l’adresse IP, le user-agent et un payload expurgé.

Les valeurs sensibles ne sont jamais stockées en clair dans le payload. Les mots de passe, les jetons d’authentification complets, les coordonnées de carte de paiement, les adresses e-mail brutes et autres données personnelles sont filtrés via une liste blanche d’expurgation avant écriture. Seul ce qui est nécessaire pour prouver que l’évènement a eu lieu est conservé — pas le secret sous-jacent.

4. Finalités et bases légales

• Exécution du contrat (art. 6.1.b RGPD) : faire fonctionner votre compte, vérifier les achats, synchroniser vos données.
• Intérêt légitime (art. 6.1.f RGPD) : répondre aux demandes de contact, détecter les attaques, prévenir la fraude, améliorer le produit avec des données agrégées et non personnalisées.
• Responsabilité (accountability) et journal d’audit (art. 5.2 et art. 6.1.c et f RGPD) : les évènements significatifs en matière de sécurité sont consignés dans un journal d’audit interne afin de détecter les attaques, prouver que les actions critiques ont eu lieu (suppression de compte, intervention d’administrateur) et respecter nos obligations de documentation.
• Obligation légale (art. 6.1.c RGPD) : registres exigés par le droit fiscal et de la consommation.
• Consentement (art. 6.1.a RGPD) : si nous introduisons plus tard des fonctionnalités optionnelles nécessitant votre accord exprès.

5. Avec qui nous partageons les données

Nous ne vendons pas vos données. Nous ne les partageons qu’avec des sous-traitants nécessaires au service, encadrés par des engagements contractuels et légaux :

• Apple App Store / Google Play : traitement des achats.
• OVH (France, Union européenne) : hébergement des serveurs. Vos données restent dans l’UE.
• Cloudflare : CDN, protection bot, Turnstile.
• RevenueCat (États-Unis) : orchestration des achats intégrés, validation des abonnements et webhooks des stores. L’adresse e-mail, le nom affiché, la date de naissance, la ville et le code pays sont transmis pour identifier le client.
• Google (Firebase Authentication, Firebase Cloud Messaging) : authentification des comptes et envoi des notifications push. Lorsque vous utilisez la connexion Apple ou Google, le fournisseur d’identité correspondant traite également l’identifiant.
• Sentry (Allemagne — UE) : télémétrie d’erreurs et de performance. Type d’appareil, version de l’application, identifiant anonyme de l’utilisateur et traces d’erreur sont traités.
• PostHog (UE) : analytique produit. Un identifiant anonyme d’appareil/d’installation, la version de l’application et les événements d’utilisation dans l’application sont traités ; l’enregistrement de session et la localisation basée sur l’IP sont désactivés.
• Autorités : uniquement sur demande légale contraignante et, si possible, après vous en avoir informé.

6. Durées de conservation

• Données de compte : tant que votre compte est actif. Après une demande de suppression, toutes les données sont effacées sous 30 jours.
• Messages de contact : 12 mois après la clôture de votre dossier.
• Journaux serveur : 30 jours, puis anonymisation ou suppression.
• Pièces comptables : 10 ans, conformément aux obligations fiscales et au Code de commerce.

Le journal d’audit est conservé selon quatre durées distinctes, purgées automatiquement par une tâche planifiée :

• Preuve de suppression de compte (utilisateur) : 36 mois. Les évènements de suppression sont conservés sous forme anonymisée pour prouver que la suppression a bien été exécutée — art. 5.2 et art. 6.1.c RGPD.
• Autres évènements utilisateur : 12 mois. Connexions, mises à jour de profil, évènements d’abonnement et entrées similaires — principe de minimisation et fenêtre d’investigation antifraude.
• Évènements administrateur : 24 mois. Audit interne et fenêtre de passation pour les actions effectuées par des administrateurs sur les comptes utilisateurs.
• Évènements système : 6 mois. Exécutions de tâches planifiées, sortie du cron de rétention et autres entrées opérationnelles.

7. Vos droits (RGPD)

Le Règlement général sur la protection des données (RGPD) vous reconnaît les droits suivants :

• Accès à vos données traitées (art. 15 RGPD).
• Rectification des données inexactes (art. 16 RGPD).
• Effacement (« droit à l’oubli », art. 17 RGPD), sauf obligation légale contraire.
• Limitation du traitement (art. 18 RGPD).
• Portabilité de vos données dans un format lisible par machine (art. 20 RGPD).
• Opposition à certains traitements (art. 21 RGPD).
• Ne pas faire l’objet d’une décision exclusivement automatisée (art. 22 RGPD).
• Retirer un consentement à tout moment, sans effet rétroactif (art. 7.3 RGPD).
• Réclamation auprès de la CNIL (cnil.fr) ou de l’autorité de contrôle de votre pays.

Pour exercer ces droits, envoyez un message avec le sujet « Mentions légales / vie privée » via le formulaire de contact. Nous répondons sous 30 jours au maximum.

Comment supprimer tes données depuis l’application : CardWho propose deux chemins selon que tu es connecté ou non. Si tu ne peux pas accéder à ces écrans, envoie un message avec le sujet « Mentions légales / vie privée » via le formulaire de contact comme solution web de secours.

• Membres connectés — ouvre Profil → Supprimer le compte. Ta ligne de compte côté serveur, ton enregistrement utilisateur Firebase, ton profil client RevenueCat et ta référence utilisateur Sentry sont supprimés de manière atomique ; les entrées du journal d’audit qui te référencent sont anonymisées dans la même transaction, comme décrit ci-dessous.
• Invités (sans compte) — ouvre Profil → Supprimer les données invité. Tes favoris, statistiques, badges, la boîte de notifications et le jeton FCM liés à cet appareil sont effacés ; l’application continue en tant que nouvel invité. Les préférences de l’appareil (langue, thème, son) restent car elles ne sont pas des données personnelles.

Effet d’une suppression sur le journal d’audit (art. 17 RGPD) : lorsque vous supprimez votre compte depuis l’application ou lorsqu’un administrateur anonymise votre compte en votre nom au titre de l’article 17 RGPD, votre ligne de compte et vos données personnelles sont effacées ; les entrées du journal d’audit qui vous référencent sont anonymisées dans la même transaction atomique — les identifiants d’acteur et de cible sont mis à NULL et le payload est vidé. Le nom de l’action et l’horodatage sont conservés à titre de preuve légale, conformément à notre obligation de conservation. L’entrée de preuve elle-même est purgée au bout de 36 mois par la tâche planifiée décrite à la section 6.

8. Tes droits relatifs à la vie privée en Californie (CCPA / CPRA)

Si tu résides en Californie, la California Consumer Privacy Act (CCPA), modifiée par la California Privacy Rights Act (CPRA), t’accorde les droits suivants :

• Droit d’être informé : quelles informations personnelles nous collectons, à quelles fins et quelles catégories de destinataires.
• Droit à l’effacement : nous demander de supprimer les informations personnelles que nous détenons à ton sujet.
• Droit de rectification : nous demander de corriger des informations personnelles inexactes.
• Droit de t’opposer à la « vente » ou au « partage » : nous ne vendons pas tes informations personnelles et nous ne les partageons pas à des fins de publicité comportementale inter-contextes.
• Droit à la non-discrimination : nous ne te refuserons pas le service et ne te facturerons pas un prix différent parce que tu as exercé un droit.

Pour exercer ces droits, envoie-nous un message depuis le formulaire de contact avec le sujet « Droit / vie privée ». Nous pouvons être amenés à vérifier ton identité avant de donner suite à certaines demandes.

9. Données des mineurs

CardWho ne s’adresse pas aux enfants de moins de 15 ans. Les mineurs de moins de 15 ans doivent obtenir l’accord de leurs représentants légaux pour utiliser l’application. Si nous constatons une collecte non autorisée de données concernant des mineurs, nous les supprimons sans délai.

10. Transferts internationaux

Nos serveurs sont situés en France (Union européenne) ; la base de données principale et l’hébergement des fichiers restent dans l’UE. Les transferts vers les sous-traitants suivants sortent les données de l’UE et sont encadrés par les articles 44–49 du RGPD (garanties appropriées et clauses contractuelles types) : RevenueCat (États-Unis), Firebase Authentication et Firebase Cloud Messaging (Google, États-Unis), Apple App Store (États-Unis), Google Play (États-Unis). Sentry (Allemagne) et PostHog (UE) restent dans l’UE. Ces transferts s’effectuent dans le cadre de l’accord de traitement des données (DPA) publié par chaque prestataire et des clauses contractuelles types (CCT) de l’UE.

11. Sécurité

Nous appliquons des mesures conformes à l’état de l’art pour protéger vos données contre tout accès non autorisé, perte ou altération : trafic exclusivement HTTPS, hachage des mots de passe (Argon2id ou équivalent), séparation des rôles, accès restreint aux journaux et sauvegardes régulières. Aucun système n’est sûr à 100 % ; en cas de violation confirmée, nous vous informons ainsi que les autorités dans les délais légaux.

12. Modifications

Nous mettons à jour cette politique en cas d’évolution majeure des lois ou du service. Pour les changements importants, un message clair s’affiche sur la page d’accueil ou dans l’application.

13. Contact

Pour toute question sur cette politique, contactez-nous via le formulaire de contact ou directement à l’adresse [email protected].