Politique de confidentialité — GéoRepère

Brouillon, à faire relire par un juriste avant publication. Champs entre crochets [À COMPLÉTER] à renseigner par l'éditeur avant mise en ligne.

Dernière mise à jour : [DATE DE PUBLICATION]

1. Qui sommes-nous

GéoRepère est un jeu géolocalisé édité par [NOM DE LA SOCIÉTÉ/MAIRIE ÉDITRICE], immatriculé [NUMÉRO SIRET/IMMATRICULATION], dont le siège est [ADRESSE DU SIÈGE]. Contact pour toute question relative à cette politique et à l'exercice de vos droits : [CONTACT DPO / EMAIL DE CONTACT].

Cette politique décrit les données que l'application mobile et le site GéoRepère collectent réellement, pourquoi, avec qui elles sont partagées, combien de temps elles sont conservées et comment exercer vos droits. Elle correspond exactement à ce que fait le logiciel.

2. Données que nous collectons

Nous appliquons un principe de minimisation : nous ne collectons que ce dont le jeu a strictement besoin.

Les autres membres d'un groupe voient votre pseudo et vos scores, rien d'autre : ni votre adresse email, ni votre position, ni votre historique de parties photo par photo. De la même façon, les autres inscrits à une compétition datée à laquelle vous participez voient votre pseudo, votre score et le nom de l'équipe sous laquelle vous concourez — y compris des joueurs qui ne font partie d'aucun de vos groupes — jamais votre position devinée sur une photo précise, ni aucune autre donnée personnelle.

Ce que nous ne collectons jamais : votre nom réel, votre date de naissance, votre numéro de téléphone. Nous n'utilisons aucun traceur publicitaire et aucun outil de mesure d'audience ou d'analyse comportementale : pas de Google Analytics, pas de pixel de réseau social, aucun profil publicitaire, aucune revente de données. Nous ne suivons pas votre navigation, et l'application mobile ne contient aucun dispositif de ce type.

Supervision technique. En revanche, pour détecter les pannes et les erreurs, nos serveurs envoient leurs journaux techniques, mesures de performance et traces d'erreur à un prestataire de supervision hébergé dans l'Union européenne (voir §3). Ces éléments techniques peuvent contenir l'identifiant interne de votre compte, l'adresse de la page appelée et le hash de votre adresse IP — jamais votre mot de passe, jamais le contenu de vos requêtes, jamais votre adresse email. Ce n'est pas de la mesure d'audience : rien n'est agrégé pour analyser votre comportement, et ces données servent uniquement à réparer ce qui casse.

Si vous activez la connexion par passkey (facultatif, et proposé seulement si vous le souhaitez) : nous enregistrons une clé publique, un identifiant technique de credential, le nom que vous donnez à l'appareil, et les dates de création et de dernier usage. Aucune donnée biométrique ne quitte votre appareil : votre visage ou votre empreinte servent uniquement à déverrouiller une clé stockée localement, et ne nous sont jamais transmis. Votre mot de passe continue de fonctionner : un passkey s'ajoute, il ne remplace rien.

La géolocalisation précise n'est demandée qu'au moment où vous jouez une photo (permission « uniquement pendant l'utilisation de l'app », jamais « toujours »), avec un écran d'explication avant la demande du système. Une position n'est enregistrée que lorsque vous validez volontairement un guess — ce n'est pas un suivi en tâche de fond.

3. Avec qui vos données sont partagées

Nous ne vendons aucune donnée. Certaines tâches sont confiées à des prestataires techniques (sous-traitants au sens RGPD) :

L'activation d'un passkey transmet à votre gestionnaire de mots de passe (Google Password Manager, Trousseau iCloud, ou celui que vous avez choisi — c'est vous qui le désignez, pas nous) votre pseudonyme et le nom de domaine du service, afin que vous puissiez reconnaître le compte dans le sélecteur de votre téléphone. Votre adresse email ne lui est jamais transmise.

Aucune autre transmission à un tiers n'a lieu, en dehors d'une obligation légale (réquisition judiciaire par exemple).

4. Combien de temps nous conservons vos données

5. Vos droits

Conformément au RGPD, vous disposez des droits suivants, exerçables directement depuis l'application :

• Droit d'accès et de portabilité : depuis l'écran Profil, « Exporter mes données » vous télécharge un fichier JSON complet et lisible de tout ce que nous savons sur vous — y compris la liste des comptes Google ou Apple liés au vôtre, s'il y en a.
• Droit de rectification : modifiez votre langue, votre thème ou votre mot de passe directement depuis l'écran Profil. Votre pseudo est fixé à vie et ne peut plus être changé en libre-service (à l'exception d'un renommage imposé par la modération en cas de pseudo signalé) ; sa rectification reste possible en nous contactant directement.
• Droit à l'effacement : depuis l'écran Profil, « Supprimer mon compte » (confirmation par mot de passe — ou, si votre compte n'en a pas parce que vous vous connectez par Google ou Apple, en vous reconnectant une dernière fois auprès de ce même fournisseur) supprime définitivement et physiquement votre compte, vos parties jouées, vos jetons d'appareil et vos préférences de notification, ainsi que vos adhésions aux groupes, vos inscriptions aux compétitions datées et les positions que vous y avez désignées. Les groupes que vous avez créés sont également supprimés, pour tous leurs membres — leurs scores personnels, eux, ne sont pas affectés. Votre pseudo redevient immédiatement disponible pour un autre joueur. Vous disparaissez des classements. Cette action est irréversible. Elle reste accessible même si votre compte est suspendu ou si un changement de pseudo vous a été imposé : l'exercice de vos droits ne dépend jamais de l'état de votre compte. Si vous préférez, vous pouvez aussi nous en faire la demande par écrit — un administrateur exécutera alors exactement la même suppression. Seule subsiste, dans ce cas comme dans l'autre, une ligne de registre attestant que la suppression a eu lieu (§4), sans votre adresse e-mail et sans lien avec un compte qui n'existe plus.
• Si votre compte est suspendu : le motif vous est communiqué dans l'application et par e-mail. Vous conservez l'accès à l'export de vos données et à la suppression de votre compte.
• Droit d'opposition : chaque type de notification peut être désactivé indépendamment depuis le Profil ; le partage de votre position approximative peut être retiré à tout moment (« Ne plus utiliser ma position »).

Pour toute question ou si vous rencontrez une difficulté à exercer ces droits depuis l'application, contactez [CONTACT DPO / EMAIL DE CONTACT]. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

6. Âge minimum

GéoRepère s'adresse au grand public d'une commune. L'âge minimum pour créer un compte est fixé à 15 ans, indiqué dans les CGU. Il n'existe pas de vérification technique de l'âge, ce contrôle étant jugé disproportionné au regard des données traitées : le produit comporte une fonctionnalité sociale bornée — des groupes privés, rejoignables uniquement par un lien délibérément partagé, où un membre ne voit que les pseudos et les scores des autres membres. Il n'existe ni messagerie, ni contenu généré librement, ni profil public, ni annuaire ni recherche de groupes ou de joueurs. Les seuls textes libres sont le nom du groupe — soumis aux mêmes motifs bannis que les pseudos et visible des seuls porteurs du lien — et le message que vous nous adressez depuis « Aide et contact », qui n'est jamais visible par un autre utilisateur : il est transmis uniquement à l'éditeur. Il n'existe toujours ni messagerie, ni profil public, ni annuaire. Les compétitions datées (« chasses ») n'introduisent aucun nouveau canal d'échange : un participant voit des pseudos, des scores et un nom d'équipe, rien d'autre.

7. Sécurité

Les mots de passe sont hachés avec Argon2id (jamais stockés en clair). Les communications entre l'application et nos serveurs sont chiffrées (HTTPS). L'accès aux données de production est restreint aux personnes habilitées de [NOM DE LA SOCIÉTÉ/MAIRIE ÉDITRICE].

Le verrouillage de l'application par Face ID, empreinte digitale ou code de l'appareil est optionnel et désactivé par défaut. Il s'appuie entièrement sur le système de votre téléphone : ni votre empreinte ni votre visage ne sont transmis à nos serveurs, ni stockés par l'application — celle-ci reçoit uniquement une réponse « oui » ou « non » du système d'exploitation. L'activation de ce verrou est enregistrée localement sur votre appareil et n'est jamais envoyée à nos serveurs.

8. Modification de cette politique

Cette politique peut évoluer, notamment si un nouveau sous-traitant est ajouté (par exemple un hébergeur définitif) ou si une nouvelle fonctionnalité collecte une donnée supplémentaire. La date de mise à jour en haut de ce document est actualisée à chaque changement substantiel ; les utilisateurs en sont informés depuis l'application lors de la prochaine connexion en cas de changement significatif.

9. Contact

[NOM DE LA SOCIÉTÉ/MAIRIE ÉDITRICE]
[ADRESSE POSTALE]
[CONTACT DPO / EMAIL DE CONTACT]