Politique de confidentialité

Article 1 - Responsable du traitement

Le responsable du traitement des données à caractère personnel collectées et traitées dans le cadre de l'utilisation de la Plateforme UpFrag.gg est :

• Dénomination : 411BIT
• Siège social : Bureau 3, 9 Rue de Condé, 33000 Bordeaux, France
• Contact du responsable du traitement : [email protected]
• Délégué à la protection des données (DPO) : Ezzedine REZGANI - [email protected]

La présente politique est établie conformément au Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (ci-après le « RGPD ») et à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée (ci-après la « Loi Informatique et Libertés »).

Article 2 - Données collectées

Dans le cadre de l'inscription, de l'utilisation de la Plateforme et de la réalisation de transactions, les catégories de données à caractère personnel suivantes sont collectées :

Catégorie	Données collectées	Finalité principale
Identité Steam	Steam ID, pseudonyme, avatar	Authentification, matchmaking
Contact	Adresse e-mail	Vérification, communication, support ; si l'Utilisateur y consent : annonces UpFrag
Téléphone	Numéro de mobile	Vérification par SMS ou WhatsApp, dispositif anti-smurf ; si l'Utilisateur y consent : rappels de ses tournois et annonces UpFrag sur WhatsApp
Données techniques	Adresse IP, user-agent, données de connexion	Sécurité, anti-triche, prévention des abus
Données de jeu	Historique des matchs, score ELO, statistiques en jeu	Matchmaking, classement, amélioration du service
Données de transaction	Historique des achats, identifiants de paiement Stripe	Traitement des commandes, comptabilité, support

Article 3 - Finalités et bases légales du traitement

Les données à caractère personnel sont traitées pour les finalités suivantes, sur les bases légales correspondantes :

(a) Exécution du contrat (article 6.1.b du RGPD) : création et gestion du compte Utilisateur, fourniture du service de matchmaking, traitement des transactions, livraison des produits numériques, gestion du classement ELO.

(b) Intérêt légitime du responsable du traitement (article 6.1.f du RGPD) : sécurité de la Plateforme, lutte contre la triche et la fraude, prévention des comptes multiples (anti-smurf), modération de la communauté, amélioration et optimisation de la Plateforme.

(c) Consentement de l'Utilisateur (article 6.1.a du RGPD) : dépôt de cookies analytiques, envoi de communications marketing et de newsletters, envoi par WhatsApp de rappels de tournois et d'annonces UpFrag, participation à des enquêtes de satisfaction. Ce consentement (annonces par e-mail, annonces et rappels par WhatsApp) est recueilli par une case unique, non cochée par défaut, à l'inscription ou dans l'onboarding. Chaque canal se retire ensuite séparément et à tout moment depuis les réglages du compte, par le lien de désinscription des e-mails ou en répondant STOP à un message WhatsApp. La récompense proposée dans l'onboarding, accordée contre l'ensemble de ces consentements, reste acquise s'ils sont retirés ensuite.

(d) Obligation légale (article 6.1.c du RGPD) : conservation des données de facturation conformément aux obligations comptables et fiscales, réponse aux réquisitions judiciaires.

Lutte contre la triche : vérifications automatisées et indices externes

Pour lutter contre la triche et le contournement des sanctions, la Plateforme analyse automatiquement les démos des matchs et peut consulter des sources publiques à partir de l'identifiant Steam public de l'Utilisateur : Steam (ancienneté du compte, bans VAC et bans de jeu, y compris des comptes amis), FACEIT et Leetify. Seul l'identifiant Steam public est transmis à ces services pour les interroger. Si l'Utilisateur lie son compte Discord, la Plateforme consulte, au moment de la liaison, la liste des comptes Steam rattachés à ce compte Discord afin de vérifier qu'aucun d'eux n'est sanctionné pour triche. Seule la conclusion de cette vérification est conservée, pendant 30 jours ; la liste des comptes n'est pas enregistrée. Ces indices ne fondent jamais à eux seuls une sanction : ils orientent une vérification par l'équipe. Base légale : intérêt légitime (article 6.1.f du RGPD).

Article 4 - Destinataires des données

Les données à caractère personnel collectées peuvent être communiquées aux catégories de destinataires suivantes, dans la stricte mesure nécessaire aux finalités identifiées :

(a) Les membres habilités de l'équipe de l'éditeur, en charge de l'administration, du support, de la modération et de la technique.

(b) Le prestataire de services de paiement Stripe, Inc. (sous-traitant au sens du RGPD), pour le traitement des transactions.

(c) L'hébergeur OVHcloud (sous-traitant), pour le stockage et l'infrastructure technique.

(d) Cloudflare, Inc. (sous-traitant), pour les services de CDN et de sécurité.

(e) Twilio Inc. (sous-traitant), pour l'envoi des codes de vérification et des messages par SMS et WhatsApp.

(f) Brevo (Sendinblue SAS) (sous-traitant), pour l'envoi de SMS.

(g) Meta Platforms Ireland Ltd. (sous-traitant), pour l'acheminement des messages WhatsApp.

(h) Les autorités judiciaires ou administratives compétentes, lorsque la loi l'exige.

Aucune donnée personnelle n'est vendue, louée ou cédée à des fins commerciales à des tiers.

Article 5 - Transferts de données hors de l'Espace économique européen

Certains sous-traitants (notamment Stripe, Cloudflare et Twilio) sont établis aux États-Unis d'Amérique. Les transferts de données vers les États-Unis sont encadrés par le EU-U.S. Data Privacy Framework (DPF), par des clauses contractuelles types (CCT) adoptées par la Commission européenne et/ou par toute autre garantie appropriée conformément aux articles 46 et suivants du RGPD.

Pour les Utilisateurs résidant en Afrique du Nord, les transferts sont effectués dans le respect de la réglementation locale applicable en matière de protection des données à caractère personnel, et le cas échéant, sur la base du consentement de l'Utilisateur.

Article 6 - Durée de conservation des données

Les données à caractère personnel sont conservées conformément aux principes de minimisation et de limitation de la conservation :

(a) Données du compte (identité, contact, téléphone) : pendant toute la durée d'existence du compte, puis supprimées dans un délai de trente (30) jours suivant la demande de suppression du compte.

(b) Données de jeu (historique des matchs, statistiques, ELO) : pendant la durée d'existence du compte. Après suppression du compte, ces données sont anonymisées et peuvent être conservées jusqu'à trois (3) ans pour les besoins de l'intégrité du système de classement et de la lutte contre la triche.

(c) Données de transaction : conservées pendant la durée légale de conservation des documents comptables, soit dix (10) ans à compter de la transaction, conformément aux articles L.123-22 du Code de commerce et L.102 B du Livre des procédures fiscales.

(d) Données techniques (adresses IP, logs de connexion) : conservées pendant une durée maximale de douze (12) mois conformément aux obligations légales applicables, sauf prolongation justifiée par une enquête en cours.

(e) Démos de match (enregistrement de la partie par nos serveurs : positions, visée, tirs et commandes envoyées par le jeu au serveur) : conservées quatre-vingt-dix (90) jours sur nos serveurs ; leur consultation par les Utilisateurs est limitée selon l'offre souscrite. Les démos utilisées pour calibrer et vérifier l'anti-triche de la Plateforme sont conservées au plus vingt-quatre (24) mois dans un espace à accès restreint, réservé à l'équipe technique, puis supprimées. Elles ne sont ni publiées ni transmises à des tiers.

Article 7 - Cookies et traceurs

7.1 - Cookies essentiels

Les cookies strictement nécessaires au fonctionnement de la Plateforme (authentification, gestion de session, sécurité Cloudflare) sont déposés sans recueil préalable du consentement de l'Utilisateur, conformément à l'article 82 de la Loi Informatique et Libertés et aux lignes directrices de la CNIL. Ces cookies ne peuvent être désactivés.

7.2 - Cookies analytiques et de mesure d'audience

Des cookies analytiques peuvent être utilisés pour mesurer l'audience de la Plateforme et comprendre les comportements de navigation des Utilisateurs. Le dépôt de ces cookies est soumis au consentement préalable de l'Utilisateur, recueilli via le bandeau de gestion des cookies affiché lors de la première visite. L'Utilisateur peut à tout moment modifier ses préférences via le gestionnaire de cookies accessible dans les paramètres de la Plateforme.

7.3 - Absence de cookies publicitaires

La Plateforme n'utilise pas de cookies publicitaires ni de traceurs à des fins de ciblage ou de profilage publicitaire.

Article 8 - Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD et aux articles 48 et suivants de la Loi Informatique et Libertés, l'Utilisateur dispose des droits suivants sur ses données à caractère personnel :

(a) Droit d'accès (article 15 du RGPD) : obtenir la confirmation que des données le concernant sont traitées et en recevoir une copie.

(b) Droit de rectification (article 16 du RGPD) : obtenir la correction de données inexactes ou incomplètes.

(c) Droit à l'effacement (article 17 du RGPD) : obtenir la suppression de ses données dans les cas prévus par la loi.

(d) Droit à la limitation du traitement (article 18 du RGPD) : obtenir la limitation du traitement dans certaines hypothèses.

(e) Droit à la portabilité (article 20 du RGPD) : recevoir ses données dans un format structuré, couramment utilisé et lisible par machine.

(f) Droit d'opposition (article 21 du RGPD) : s'opposer au traitement de ses données fondé sur l'intérêt légitime.

(g) Droit de retirer son consentement à tout moment pour les traitements fondés sur le consentement, sans que ce retrait ne remette en cause la licéité du traitement effectué avant le retrait.

(h) Droit de définir des directives relatives au sort de ses données après son décès (article 85 de la Loi Informatique et Libertés).

Pour exercer l'un de ces droits, l'Utilisateur adresse sa demande à : [email protected] ou [email protected]. L'éditeur s'engage à répondre dans un délai maximum d'un (1) mois à compter de la réception de la demande, prolongeable de deux (2) mois supplémentaires en cas de complexité, conformément à l'article 12.3 du RGPD.

Mesures automatiques temporaires et intervention humaine

Lorsque l'analyse automatique relève des éléments concordants, la Plateforme peut, sans intervention humaine préalable, geler les gains de l'Utilisateur et suspendre ses inscriptions aux tournois et au classé, pour 7 jours au plus, dans l'attente d'une vérification par l'équipe. L'Utilisateur en est informé. Aucun bannissement définitif n'est prononcé sans examen humain. Conformément à l'article 22 du RGPD, l'Utilisateur peut présenter ses observations par ticket, obtenir une intervention humaine et contester la décision ; si la vérification ne confirme rien, la mesure est levée et les gains sont rétablis.

Article 9 - Suppression du compte

L'Utilisateur peut supprimer son compte à tout moment depuis les paramètres de son compte ou en adressant une demande à [email protected]. La suppression du compte entraîne l'effacement irréversible des données à caractère personnel de l'Utilisateur, à l'exception :

(a) des statistiques de match anonymisées, conservées pour l'intégrité du système de classement ;

(b) des données de facturation, conservées conformément aux obligations légales comptables et fiscales.

L'Utilisateur est informé que la suppression du compte est définitive et irréversible. L'ensemble des UpCoins et objets virtuels associés au compte seront définitivement perdus.

Article 10 - Sécurité des données

L'éditeur met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures incluent notamment : le chiffrement des données en transit (TLS/SSL) et au repos, le contrôle d'accès basé sur les rôles, la journalisation des accès, la surveillance continue des systèmes et la réalisation régulière de tests de sécurité.

Article 11 - Dispositions spécifiques pour les Utilisateurs mineurs

Conformément à l'article 8 du RGPD et à l'article 45 de la Loi Informatique et Libertés, l'utilisation de la Plateforme est réservée aux personnes âgées d'au moins seize (16) ans. Pour les Utilisateurs âgés de 16 à 18 ans, le consentement au traitement des données est réputé donné ou autorisé par le titulaire de l'autorité parentale. L'éditeur se réserve le droit de demander une preuve de cette autorisation.

Article 12 - Dispositions spécifiques pour les Utilisateurs d'Afrique du Nord

Les Utilisateurs résidant dans un pays d'Afrique du Nord (notamment Maroc, Tunisie, Algérie) bénéficient, en complément des droits prévus par le RGPD, des droits reconnus par la législation locale applicable en matière de protection des données à caractère personnel - notamment la loi n° 09-08 au Maroc, la loi organique n° 2004-63 en Tunisie, la loi n° 18-07 en Algérie. En cas de divergence entre le RGPD et la législation locale, la disposition la plus protectrice pour l'Utilisateur s'applique.

Article 13 - Réclamation auprès d'une autorité de contrôle

Si l'Utilisateur estime que le traitement de ses données à caractère personnel constitue une violation du RGPD ou de la législation applicable, il a le droit de déposer une réclamation auprès d'une autorité de contrôle compétente :

(a) En France : Commission Nationale de l'Informatique et des Libertés (CNIL) - www.cnil.fr

(b) Au Maroc : Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) - www.cndp.ma

(c) En Tunisie : Instance Nationale de Protection des Données Personnelles (INPDP)

(d) En Algérie : Autorité Nationale de Protection des Données à caractère Personnel (ANPDP)

(e) Dans tout autre État membre de l'UE : l'autorité de protection des données du lieu de résidence habituelle de l'Utilisateur.

Article 14 - Modification de la Politique de Confidentialité

L'éditeur se réserve le droit de modifier la présente politique à tout moment. En cas de modification substantielle, l'Utilisateur en sera informé par courrier électronique et/ou par notification sur la Plateforme au moins quinze (15) jours avant l'entrée en vigueur. La poursuite de l'utilisation de la Plateforme après l'entrée en vigueur des modifications vaut acceptation de la politique mise à jour.