1. Préambule

La présente politique décrit, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi "Informatique et Libertés", quelles données sont collectées sur PitchPlay, pourquoi, avec qui elles peuvent être partagées, et comment exercer vos droits. PitchPlay est un projet académique non lucratif (voir les Mentions légales) ; aucune donnée n'est vendue ni exploitée à des fins commerciales ou publicitaires.

2. Données collectées

• Compte : email, nom d'utilisateur, mot de passe (haché, jamais stocké ni transmis en clair), nom affiché, biographie, avatar, bannière, équipe favorite ;
• Sécurité : date du dernier changement de mot de passe, nombre de tentatives de connexion échouées, horodatage de dernière connexion ;
• Utilisation de la plateforme : pronostics, équipe Fantasy, points, niveau, badges, quêtes, transactions de monnaie virtuelle ;
• Interactions sociales : messages postés dans le chat des ligues, messages privés échangés avec vos amis, demandes d'amis ;
• Paiement (le cas échéant) : identifiant client Stripe et statut d'abonnement. Les données de carte bancaire ne transitent jamais par nos serveurs (voir CGV) ;
• Données techniques : en cas d'erreur technique, des informations de diagnostic (message d'erreur, trace d'appel, URL concernée) peuvent être transmises à notre outil de suivi d'erreurs.

3. Finalités et bases légales

• Fourniture du service (création de compte, pronostics, Fantasy League) : exécution du contrat d'utilisation ;
• Sécurité du compte (blocage anti-bruteforce, expiration du mot de passe) : intérêt légitime ;
• Traitement des abonnements Premium : exécution du contrat ;
• Amélioration du service et correction des bugs : intérêt légitime ;
• Mesure d'audience anonyme : voir section Cookies ci-dessous.

4. Cookies et technologies similaires

PitchPlay ne dépose aucun cookie. La plateforme utilise uniquement le stockage local de votre navigateur (localStorage), qui reste sur votre appareil et n'est jamais transmis automatiquement à chaque requête (contrairement à un cookie) :

• Votre jeton de connexion, pour rester connecté d'une visite à l'autre (strictement nécessaire au fonctionnement du service) ;
• Votre préférence d'affichage (thème clair/sombre).

Ces éléments étant strictement nécessaires au fonctionnement du service, ils ne requièrent pas de consentement préalable (article 82 de la loi Informatique et Libertés).

Pour la mesure d'audience, PitchPlay utilise Umami, une solution auto-hébergée sur nos propres serveurs (aucune donnée transmise à un tiers). Par défaut, Umami ne dépose aucun cookie et n'utilise aucun identifiant persistant : chaque visiteur est représenté par une empreinte anonyme, recalculée chaque jour à partir de l'adresse IP et du navigateur, sans permettre de vous identifier individuellement ni de vous suivre d'un site à l'autre.

5. Destinataires et sous-traitants

Certaines données peuvent être transmises aux prestataires suivants, dans la stricte mesure nécessaire à leur mission :

• Stripe (paiement) : email et données de transaction, pour le traitement des abonnements Premium ;
• Sentry (suivi d'erreurs) : informations techniques de diagnostic en cas d'erreur. La collecte automatique d'adresse IP est désactivée dans notre configuration ;
• Google Gemini (assistant IA) : le contenu des messages que vous envoyez à l'assistant conversationnel est transmis à l'API Gemini de Google pour générer une réponse ;
• Gravatar : si vous n'avez pas défini d'avatar personnalisé, une empreinte (hash) de votre adresse email est transmise à Gravatar.com pour récupérer une image d'avatar par défaut ;
• football-data.org et OpenWeatherMap : consultés uniquement depuis nos serveurs pour récupérer des données publiques de matchs et de météo ; aucune donnée personnelle vous concernant ne leur est transmise ;
• Backblaze B2 : hébergeur de la copie externe de nos sauvegardes de base de données (stratégie 3-2-1), transmises via une connexion chiffrée (HTTPS), dans un centre de données situé dans l'Union européenne.

6. Durée de conservation

Vos données sont conservées tant que votre compte est actif. En cas de suppression de votre compte, vos données personnelles sont supprimées de notre base de données de production ; elles peuvent subsister temporairement dans nos sauvegardes de sécurité (conservées 30 jours maximum en rotation), avant suppression définitive.

7. Sécurité

Les mots de passe sont hachés (bcrypt) et ne sont jamais stockés ni journalisés en clair. Les échanges avec la plateforme sont chiffrés (HTTPS/TLS). L'accès au serveur est restreint par un pare-feu, et des sauvegardes régulières sont réalisées selon une stratégie 3-2-1 (copie locale et copie externe transmise via une connexion chiffrée).

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles : accès, rectification, effacement, limitation du traitement, portabilité, et opposition.

Vous pouvez modifier ou supprimer la plupart de vos informations directement depuis votre espace personnel, ou nous contacter via la page Contact pour toute autre demande. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL.

9. Utilisateurs mineurs

L'inscription sur PitchPlay est réservée aux personnes âgées d'au moins 15 ans, seuil en dessous duquel le RGPD impose en France le consentement d'un titulaire de l'autorité parentale. Cette condition n'est actuellement pas vérifiée techniquement lors de l'inscription.

10. Modification de la politique

Cette politique peut être mise à jour. La date de dernière mise à jour figure en haut de cette page.