Politique de confidentialité

1. Responsable du traitement

VMSI, nom commercial de Vincent Maurel, entrepreneur individuel, SIREN 901 847 053, 87c route de la Luye, 05000 Gap, France, contact : contact@spin-coach.fr (le « Responsable »). Aucun délégué à la protection des données n'est désigné.

2. Données traitées

• Compte : adresse e-mail, mot de passe (haché, jamais stocké en clair), pseudo affiché, dates de création et de connexion.
• Sessions et sécurité : identifiant de session, navigateur (user-agent), adresse IP, horodatages ; journaux techniques.
• Historiques de mains importés par l'utilisateur : cartes, actions, mises, résultats, identifiants de tournoi, pseudonyme de l'utilisateur sur la salle, et pseudonymes des autres joueurs, qui sont remplacés par un identifiant irréversible (hachage salé) avant exploitation.
• Données d'entraînement : réponses aux exercices, scores, plans, calendrier d'assiduité.
• Abonnement : plan, statut, historique de facturation. Les données de carte bancaire sont traitées exclusivement par le prestataire de paiement Stripe Payments Europe, Ltd. (Dublin, Irlande) ; le Responsable n'y a pas accès.
• Préférences : langue choisie et thème d'affichage, conservés dans des cookies ou le stockage local de ton navigateur.
• Journal d'usage d'un compte : pages de l'application ouvertes (adresse sans ses paramètres), imports, connexions, verrous de forfait rencontrés, changements d'abonnement, avec leur date, la langue et le type d'appareil (mobile, tablette, ordinateur) ; provenance de l'inscription (site d'origine, étiquette de campagne, première page vue).
• Mesure d'audience des visiteurs sans compte : pages vues, site d'origine, langue et type d'appareil. Aucun cookie ni identifiant n'est déposé. Un visiteur est reconnu pendant une journée par une empreinte calculée à partir de son adresse IP, de son navigateur et d'une clé aléatoire renouvelée et effacée chaque jour : l'empreinte ne permet ni de retrouver l'adresse IP ni de relier deux journées, et l'adresse IP elle-même n'est pas conservée dans ce journal.

3. Finalités et bases légales

• Fourniture du Service (compte, analyses, entraînement, abonnement) : exécution du contrat.
• Sécurité du compte, prévention de la fraude, limitation de débit : intérêt légitime.
• E-mails de service (vérification, réinitialisation, facturation, évolutions des conditions) : exécution du contrat et obligations légales.
• E-mails d'information sur les fonctionnalités et offres : consentement, retirable à tout moment via le lien de désinscription.
• Obligations comptables et fiscales : obligation légale.
• Journal d'usage et mesure d'audience : intérêt légitime (suivi du fonctionnement, assistance aux utilisateurs, amélioration du Service). Ces données ne servent à aucune publicité et ne sont transmises à aucun tiers.

4. Données de tiers présentes dans les historiques

Les fichiers d'historique contiennent les pseudonymes des adversaires. Le Responsable les pseudonymise dès l'import et ne les exploite que pour produire des statistiques agrégées (« population ») sans jamais afficher de profil individuel. Ces données sont conservées avec les historiques de l'utilisateur concerné et supprimées avec eux.

5. Destinataires et sous-traitants

• Hébergement : OVH SAS (OVHcloud), serveurs situés en France.
• Sauvegardes chiffrées : OVH SAS (OVHcloud), France.
• E-mails transactionnels : Microsoft Azure Communication Services, données hébergées en France.
• Paiement : Stripe Payments Europe, Ltd. (Dublin, Irlande), dont la politique de confidentialité s'applique aux données de carte.

Aucune donnée n'est vendue ni cédée à des tiers. Les transferts hors Union européenne, s'il y en a, sont encadrés par les clauses contractuelles types de la Commission européenne.

6. Durées de conservation

• Compte et historiques : pendant toute la durée du compte, puis suppression immédiate à la demande de l'utilisateur (les sauvegardes sont purgées sous 30 jours).
• Compte inactif : suppression après 24 mois sans connexion, après notification.
• Sessions : 30 jours ; journaux techniques : 12 mois.
• Journal d'usage et mesure d'audience : 13 mois ; le journal d'un compte est effacé avec le compte.
• Factures et données comptables : 10 ans (obligation légale).

7. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives post-mortem. Depuis « Mon compte » vous pouvez modifier vos informations, fermer vos sessions et supprimer votre compte et l'ensemble de vos données. Pour toute autre demande : contact@spin-coach.fr. Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr) ou de l'autorité de protection des données de votre pays de résidence.

8. Sécurité

Mots de passe hachés avec scrypt, cookies de session signés et limités au protocole HTTPS, données de chaque utilisateur isolées dans une base distincte, limitation de débit sur les fonctions sensibles, sauvegardes chiffrées. En cas de violation de données susceptible d'engendrer un risque élevé, les utilisateurs concernés sont informés dans les délais prévus par le RGPD.

9. Cookies

Le Service utilise uniquement un cookie de session strictement nécessaire (authentification), un cookie de préférence de langue, et le stockage local du navigateur pour vos préférences d'affichage (thème, réglages d'entraînement). Aucun cookie publicitaire ni de traçage tiers n'est déposé ; aucun bandeau de consentement n'est donc requis. La mesure d'audience fonctionne sans cookie et sans rien écrire dans votre navigateur. Un visiteur sans compte dont le navigateur envoie le signal « Do Not Track » ou « Global Privacy Control » n'est pas compté. Vous pouvez aussi vous y opposer en écrivant à contact@spin-coach.fr.

10. Modifications

Toute modification substantielle de cette politique est notifiée par e-mail ou par un message dans l'application avant son entrée en vigueur.