Politique de confidentialité

1. Responsable de traitement

Tomas Cikanauskas, entrepreneur individuel — [adresse à compléter].
Contact pour toute question relative aux données : contact@blackboxapp.fr.

2. Données traitées

• Compte : adresse email, pseudo, identifiant technique de compte.
• Vie d'équipe : équipes rejointes, rôle (gérant, sheriff, trésorier), sanctions reçues ou infligées, paiements déclarés et validés, soldes, saisons. Ces données sont visibles par les autres membres de ton équipe — c'est le principe du Service.
• Notifications : jeton technique de notification push (Expo/Apple/Google) et tes préférences de notification.
• Données techniques : journaux de connexion, modèle d'appareil et version de l'app, rapports d'erreur et de plantage (via Sentry).
• Caméra : l'accès caméra sert uniquement à scanner les QR codes d'invitation, en local sur ton appareil. Aucune image n'est enregistrée ni transmise.

Blackbox ne traite aucune donnée bancaire : les paiements réels se font en dehors de l'app. Aucune donnée n'est vendue ni utilisée à des fins publicitaires. L'app ne contient ni traceur publicitaire ni cookie tiers.

3. Finalités et bases légales

4. Destinataires et sous-traitants

Tes données sont accessibles aux membres de ton équipe (données de vie d'équipe uniquement) et aux sous-traitants suivants, qui agissent sur instruction de l'éditeur (art. 28 RGPD) :

• Supabase — hébergement de la base de données et authentification. Région d'hébergement : [à préciser — UE recommandée].
• Expo (EAS) — distribution des mises à jour de l'app et acheminement des notifications push.
• Sentry — collecte des rapports d'erreur et de plantage.
• Apple / Google — distribution de l'app et remise des notifications push sur ton appareil.

Aucune donnée n'est transmise à des tiers à des fins commerciales ou publicitaires.

5. Transferts hors de l'Union européenne

Certains sous-traitants (Supabase, Expo, Sentry, Apple, Google) sont des sociétés américaines. Lorsque des données sont transférées hors de l'UE, ces transferts sont encadrés par des garanties appropriées : décision d'adéquation UE–États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié, ou clauses contractuelles types de la Commission européenne (art. 46 RGPD). Détail des garanties par prestataire : [vérifier la certification DPF de chaque prestataire].

6. Durées de conservation

• Données de compte : tant que le compte est actif, puis suppression dans un délai de 30 jours après suppression du compte.
• Données de vie d'équipe : durée de vie de l'équipe. À la suppression de ton compte, tes données sont supprimées ou anonymisées ; les écritures comptables de l'équipe (sanctions, paiements) peuvent être conservées sous forme anonymisée pour préserver la cohérence des soldes.
• Jetons de notification : révoqués dès la déconnexion ou la désactivation des notifications.
• Journaux techniques et rapports de plantage : 90 jours maximum.
• Notifications archivées dans l'app : purgées automatiquement après leur période d'affichage.

7. Sécurité

• Connexion sans mot de passe par code à usage unique envoyé par email — aucun mot de passe n'est stocké.
• Session stockée dans l'enclave sécurisée du téléphone (Keychain iOS / Keystore Android), pas en clair.
• Chiffrement des échanges (HTTPS/TLS) et cloisonnement des données par équipe au niveau de la base de données (règles d'accès par ligne).
• Accès aux données de production restreint et journalisé.

En cas de violation de données susceptible d'engendrer un risque pour tes droits, la CNIL sera notifiée sous 72 heures et tu seras informé conformément aux articles 33 et 34 du RGPD.

8. Tes droits

Tu disposes des droits suivants sur tes données (art. 15 à 22 RGPD) :

• Accès : obtenir une copie de tes données.
• Rectification : corriger une donnée inexacte (ton pseudo est modifiable directement dans l'app).
• Effacement : supprimer ton compte et tes données (possible directement dans l'app).
• Portabilité : recevoir tes données dans un format structuré et lisible par machine.
• Opposition et limitation : t'opposer à un traitement fondé sur l'intérêt légitime ou en demander la limitation.
• Retrait du consentement : désactiver les notifications push à tout moment, sans effet sur le reste du Service.
• Directives post-mortem : définir des directives sur le sort de tes données après ton décès (loi Informatique et Libertés, art. 85).

Pour exercer ces droits : contact@blackboxapp.fr. Réponse sous un mois maximum. Si tu estimes que tes droits ne sont pas respectés, tu peux saisir la CNIL : cnil.fr/fr/plaintes.

9. Mineurs

Le Service est ouvert aux joueurs dès 15 ans, âge du consentement numérique en France. Pour les membres de moins de 15 ans, l'inscription requiert le consentement conjoint du mineur et d'un titulaire de l'autorité parentale. Un gérant qui invite des mineurs dans son équipe s'assure de ce consentement.

10. Modifications de cette politique

Cette politique peut évoluer avec le Service ou la réglementation. En cas de changement substantiel (nouvelle finalité, nouveau destinataire), tu seras informé dans l'app ou par email avant l'entrée en vigueur. La date de dernière mise à jour figure en haut de cette page.