Politique de Confidentialité

1. Identité du responsable de traitement

Digital Siege est un service édité par :
Seekure Consulting - Vincent Nguyen
Auto-entrepreneur
SIRET : 92337998600014
Yvelines (78), France
Email : Contacter le DPO

2. Données personnelles collectées

Dans le cadre de l'utilisation de Digital Siege, nous collectons les données suivantes :

2.1 Données d'identification

• Email : pour l'authentification et la communication
• Username : pour l'identification dans le jeu
• Google ID : si vous utilisez la connexion Google OAuth

2.2 Données de connexion

• IP : pour la sécurité et la détection de fraude
• User-Agent : type de navigateur et système d'exploitation
• Geo : pays, région, ville (via l'IP)
• Date et heure de connexion

2.3 Données de jeu

• Sessions de jeu et progression
• Actions effectuées dans le jeu
• Scores et classements
• Achievements et points d'expérience

2.4 Données de facturation

• Identifiant client Stripe : pour la gestion des paiements et abonnements
• Plan et statut d'abonnement : type de plan souscrit et état de l'abonnement
• Solde de crédits : nombre de crédits disponibles
• Historique des événements de paiement : type d'événement, date, variation de crédits
• Historique des transactions : type de transaction (abonnement, pack de crédits), description, montant, devise, date

Note : aucune donnée bancaire (numéro de carte, CVV, etc.) n'est stockée sur nos serveurs. Ces données sont exclusivement gérées par Stripe.

3. Finalités et bases légales

Finalité	Base légale	Données concernées
Création et gestion de compte	Exécution du contrat	Email, nom d'utilisateur, mot de passe hashé
Fourniture du service de jeu	Exécution du contrat	Données de jeu, progression
Sécurité et prévention de la fraude	Intérêt légitime	IP, User-Agent, géolocalisation
Amélioration du service	Intérêt légitime	Données d'usage anonymisées
Communication service	Exécution du contrat	Email
Gestion des paiements et abonnements	Exécution du contrat	Email, nom d'utilisateur, identifiant Stripe, historique de paiement

4. Durées de conservation

Type de données	Durée de conservation
Données de compte	Durée du compte + 30 jours après suppression
Historique de connexions	2 ans
Sessions de jeu	Durée du compte
Logs de sécurité	1 an
Logs techniques applicatifs (debug, accès, performance)	30 jours
Données de consentement	5 ans (preuve légale)
Données de facturation	10 ans (obligation légale - Art. L123-22 Code de commerce)

5. Destinataires des données

Vos données personnelles peuvent être transmises aux destinataires suivants :

• Google LLC : si vous utilisez l'authentification Google OAuth (policies.google.com/privacy)
• Microsoft Corporation : si vous utilisez l'authentification Microsoft / Entra ID (privacy.microsoft.com)
• Brevo (Sendinblue SAS) : service d'envoi d'emails transactionnels (sous-traitant établi en France) (brevo.com/legal/privacypolicy)
• ipapi.co : géolocalisation par IP au niveau ville/pays uniquement pour la sécurité (détection de connexions inhabituelles) (ipapi.co/privacy)
• Cloudflare Inc. : CDN et protection contre les attaques DDoS, ainsi que mesures d'audience anonymisées (cloudflare.com/privacypolicy)
• Stripe Payments Europe, Ltd. / Stripe, Inc. : traitement des paiements, gestion des abonnements et facturation (certifié PCI-DSS) (stripe.com/privacy)
• OpenAI, L.L.C. : génération de contenu pédagogique pendant les sessions de jeu (chats négociation, analyses forensic, synthèses narratives, audio scénarios). Aucune donnée d'identité utilisateur n'est transmise, seul le contexte du scénario en cours est envoyé. (openai.com/policies)
• Anthropic, PBC : alternative au sous-traitant ci-dessus pour la génération de contenu pédagogique. Mêmes garanties, aucune donnée d'identité utilisateur n'est transmise. (anthropic.com/legal/privacy)
• Scaleway (Iliad Group) : notre hébergeur, localisé en France/UE

Nous ne vendons jamais vos données personnelles à des tiers.

6. Transferts hors UE

Certains de nos sous-traitants peuvent impliquer un transfert de données vers les États-Unis :

• Google OAuth : pour l'authentification, encadré par le Data Privacy Framework (DPF) UE-États-Unis et les clauses contractuelles types de la Commission européenne
• Microsoft / Entra ID : pour l'authentification, encadré par le DPF UE-États-Unis et les clauses contractuelles types
• ipapi.co : pour la géolocalisation par IP, encadré par le Data Privacy Framework (DPF) UE-États-Unis
• Cloudflare : pour le CDN et les mesures d'audience, encadré par le Data Privacy Framework (DPF) UE-États-Unis
• Stripe : pour le traitement des paiements, encadré par le Data Privacy Framework (DPF) UE-États-Unis et les clauses contractuelles types
• OpenAI : pour la génération de contenu pédagogique, encadré par les clauses contractuelles types de la Commission européenne. Le contexte du scénario en cours peut transiter mais aucune donnée d'identité (email, nom, identifiants) n'est transmise.
• Anthropic : pour la génération de contenu pédagogique (alternative au sous-traitant ci-dessus), encadré par les clauses contractuelles types. Mêmes garanties.

L'hébergement principal est assuré par Scaleway, dont les serveurs sont situés en France (Union Européenne).

7. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : demander la suppression de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré
• Droit d'opposition : vous opposer à certains traitements
• Droit à la limitation : restreindre le traitement de vos données

Comment exercer vos droits

Vous pouvez exercer vos droits de plusieurs façons :

• Dans l'application : Menu Paramètres → Mes données personnelles
• Par email : Contacter le DPO

Nous répondrons à votre demande dans un délai maximum de 30 jours.

8. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement des mots de passe : algorithme Argon2id (standard OWASP)
• Connexions sécurisées : HTTPS/TLS 1.3
• Tokens d'authentification : JWT avec rotation automatique
• Sauvegardes chiffrées : algorithme Fernet
• Paiements sécurisés : les données bancaires sont traitées par Stripe, certifié PCI-DSS Level 1. Aucune donnée de carte bancaire ne transite ou n'est stockée sur nos serveurs.

9. Cookies et technologies similaires

Digital Siege utilise des cookies pour :

• Cookies essentiels : authentification, sécurité (CSRF), préférences de session
• Cookies fonctionnels : langue, thème visuel, préférences de consentement

Mesure d'audience (Cloudflare Web Analytics)

Nous utilisons Cloudflare Web Analytics pour comprendre comment notre site est utilisé. Ce service :

• Ne dépose aucun cookie sur votre appareil
• Ne collecte pas d'adresse IP identifiable (anonymisation)
• Ne permet pas de vous identifier personnellement
• Respecte le RGPD et n'effectue pas de tracking publicitaire

Nous n'utilisons pas de cookies publicitaires. Vous pouvez gérer vos préférences de cookies via le bandeau de consentement ou dans les paramètres de votre navigateur.

10. Modifications de cette politique

Nous pouvons mettre à jour cette politique de confidentialité. En cas de modification substantielle, nous vous informerons par email ou via une notification dans l'application.

11. Contact et réclamations

Pour toute question concernant cette politique ou vos données personnelles :

Délégué à la Protection des Données
Email : Contacter le DPO

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL :

Commission Nationale de l'Informatique et des Libertés (CNIL)
3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
www.cnil.fr