Conformité au RGPD

Responsable du traitement

Le responsable du traitement est l'éditeur du Service : Renato Gonçalves. Point de contact pour toute question de protection des données : contact@lootclicker.fr.

Aucun délégué à la protection des données (DPO) n'a été désigné : l'article 37 du RGPD ne l'impose pas pour les traitements réalisés ici (ni autorité publique, ni suivi régulier à grande échelle, ni données sensibles à grande échelle). Le contact ci-dessus fait office de point d'entrée unique.

Principes appliqués

Minimisation : pas de nom, pas d'adresse postale, pas de téléphone, pas de date de naissance, pas de coordonnées bancaires, pas de géolocalisation
Finalité déterminée : chaque donnée sert à faire fonctionner le jeu, jamais à du profilage publicitaire
Pas de mesure d'audience : aucun outil d'analyse d'audience n'est installé, donc aucune donnée de navigation n'est collectée à cette fin
Pas de décision entièrement automatisée produisant des effets juridiques ; les bannissements automatiques sur détection d'anomalie restent révisables sur simple demande

Registre des traitements

Les traitements effectivement mis en œuvre, activité par activité :

1. Compte et authentification

Données : pseudo, adresse email, mot de passe hashé (bcrypt), état de vérification de l'email, secret et état de la double authentification.

Base légale : exécution du contrat (art. 6.1.b) ; consentement (art. 6.1.a) pour la double authentification, facultative.

Durée : vie du compte ; effacement immédiat à la suppression du compte.

2. Progression de jeu

Données : or, niveau, inventaire, équipement, statistiques de clics, prestige, historique des coffres, appartenance à une guilde, classement.

Base légale : exécution du contrat (art. 6.1.b) — sans ces données, le jeu n'a pas de progression à sauvegarder.

Durée : vie du compte. Le pseudo et le score apparaissent dans le classement public tant que le compte existe.

3. Sessions et gestion des appareils

Données : identifiant de session, adresse IP, libellé de l'appareil et du navigateur, dates de connexion et de dernière activité.

Finalité : maintenir la connexion et permettre au joueur de repérer et révoquer une session inconnue depuis son profil.

Base légale : intérêt légitime (art. 6.1.f) — sécurité du compte.

Durée : le cookie de session expire au bout de 30 jours ; la session et ses métadonnées disparaissent à la déconnexion ou à la révocation.

4. Emails transactionnels

Données : adresse email, contenu du message envoyé, codes temporaires de vérification et de double authentification.

Base légale : exécution du contrat (art. 6.1.b) et intérêt légitime à sécuriser l'accès (art. 6.1.f).

Durée : codes de vérification et de double authentification valables 10 minutes ; jetons de réinitialisation de mot de passe 1 heure. Aucune prospection, aucune infolettre.

5. Sécurité, intégrité du jeu et modération

Données : adresse IP lors des requêtes, horodatage, indicateur de suspension d'un compte, journal d'actions d'administration.

Base légale : intérêt légitime (art. 6.1.f) — prévention de la triche, des attaques et des abus.

Durée : le temps nécessaire au traitement de l'incident, puis suppression ; un compte suspendu conserve son indicateur tant que la sanction est en vigueur.

6. Liaison Discord (facultative)

Données : identifiant Discord, nom d'utilisateur et avatar, récupérés auprès de Discord Inc. uniquement si vous liez votre compte.

Base légale : consentement (art. 6.1.a), retirable à tout moment depuis le profil.

Durée : jusqu'à la dissociation du compte.

7. Publications communautaires sur Discord

Données : pseudo du joueur et score, publiés par le site sur le serveur Discord officiel lors d'un événement de classement, d'un raid ou d'une mise à jour.

Base légale : intérêt légitime (art. 6.1.f) à animer la communauté.

Durée : les messages publiés relèvent de l'historique du serveur Discord et peuvent être retirés sur demande.

Ce registre est tenu à jour par l'éditeur conformément à l'article 30 du RGPD et peut être communiqué à la CNIL sur demande. Aucune analyse d'impact (art. 35) n'est requise : les traitements ne sont ni systématiques à grande échelle, ni fondés sur des données sensibles.

Durées de conservation en résumé

Compte et progression : tant que le compte existe
Session : 30 jours maximum, ou révocation immédiate à la demande
Code de vérification et code à deux facteurs : 10 minutes
Jeton de réinitialisation de mot de passe : 1 heure
Suspension de compte : durée de la sanction
Suppression de compte : effacement immédiat des données associées

Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni échangées. Elles sont accessibles aux prestataires suivants, strictement pour ce que leur rôle exige :

Craftserv (3 place Thiers, 54000 Nancy, France) — hébergement du site, du serveur d'envoi des emails, des sauvegardes et de la base de données
Cloudflare, Inc. (États-Unis) — résolution du nom de domaine et diffusion des ressources statiques (bibliothèque d'icônes)
Discord Inc. (États-Unis) — authentification déléguée si vous liez votre compte et publications communautaires
Google LLC (États-Unis) — service Google Fonts, appelé par le navigateur pour charger les polices d'affichage

Les ressources statiques du jeu (illustrations, sons, modèles 3D, scripts) sont servies directement par le serveur de l'éditeur : leur chargement ne fait l'objet d'aucun autre sous-traitant.

Transferts hors Union européenne

Union européenne — l'hébergeur du site, de la messagerie et de la base de données (Craftserv, 3 place Thiers, 54000 Nancy, France) conserve les données dans l'UE.
États-Unis — Cloudflare, Discord et Google sont certifiés au titre du EU-US Data Privacy Framework (décision d'exécution (UE) 2023/1795 du 10 juillet 2023).

Aucun autre transfert vers un pays tiers n'est réalisé. Les données de jeu (comptes, progression, sessions) restent stockées en France, chez l'hébergeur.

Mineurs

Le Service est réservé aux personnes de 13 ans et plus. Pour toute personne de moins de 15 ans, le consentement au traitement des données doit être donné conjointement par le mineur et par le ou les titulaires de l'autorité parentale, conformément à l'article 45 de la loi n° 78-17 du 6 janvier 1978 (loi Informatique et Libertés). L'éditeur supprime sans délai un compte créé en dehors de ce cadre, sur simple signalement à contact@lootclicker.fr.

Vos droits et comment les exercer

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants : accès à vos données, rectification, effacement, limitation du traitement, opposition, portabilité, et retrait du consentement à tout moment lorsque le traitement repose dessus.

Directement depuis le jeu : correction du pseudo, de l'email, de l'avatar, du mot de passe, désactivation de la double authentification, révocation d'une session, dissociation de Discord, suppression du compte avec export de vos données.
Par écrit : contact@lootclicker.fr, depuis l'adresse email du compte afin d'éviter qu'un tiers ne s'empare de vos droits.

Réponse dans un délai d'un mois, prolongeable de deux mois si la demande est complexe, avec information dans le premier mois. Aucun frais n'est demandé pour une première demande.

Sécurité des données

Mots de passe stockés uniquement sous forme de hash bcrypt
Requêtes SQL préparées contre l'injection
Protection CSRF sur les actions sensibles et limitation du débit des requêtes
Sessions régénérées à la connexion, cookie de session limité au strict nécessaire
Double authentification facultative et gestion des appareils connectés
Accès à la base restreint à un compte applicatif dédié

Violation de données

En cas de violation susceptible d'engendrer un risque pour vos droits, la CNIL est notifiée dans les 72 heures et les personnes concernées sont informées sans délai injustifié lorsqu'un risque élevé existe (articles 33 et 34 du RGPD).

Réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr/fr/adresser-une-plainte — CNIL, service des plaintes, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Cette page fait partie intégrante de la politique de confidentialité et complète les CGU. Détail des hébergeurs dans les mentions légales.