Politique de confidentialité

Dernière mise à jour : 11 mai 2026

Spotted est un jeu social mobile édité par Nicolas Brecqueville, ci-après « nous » / « Spotted ». Cette politique décrit comment nous collectons, utilisons et protégeons tes données quand tu utilises l'application Spotted (« l'app »).

Si tu as une question, contacte-nous à privacy@spottedgame.com.

1. Notre engagement

Spotted ne demande aucune création de compte. Tu n'as à fournir ni email, ni nom légal, ni numéro de téléphone, ni identifiant tiers (Apple, Google, Facebook). À la première ouverture de l'app, un identifiant anonyme (UUID v4 généré localement) est créé sur ton appareil. C'est lui qui te permet de retrouver ton pseudo, ton avatar, ton Spotlight et tes statistiques d'une session à l'autre — uniquement sur cet appareil.

Désinstaller l'application ou utiliser le bouton « Supprimer mes données » dans ton profil efface définitivement toutes tes données de notre côté.

2. Données que nous collectons

2.1 Identifiant utilisateur anonyme

• Ce que c'est : un UUID v4 généré à la première ouverture, stocké de manière chiffrée sur ton appareil (expo-secure-store — Keychain iOS / Keystore Android) et associé à ton compte Supabase anonyme.
• Pourquoi : technique — te permettre de retrouver tes données sur ton appareil entre les sessions, identifier ton vote dans une partie, agréger tes statistiques Spotlight.
• Base légale RGPD : Art. 6(1)(b) — exécution du contrat (le service ne peut fonctionner sans cet identifiant).

2.2 Profil de jeu

• Pseudo (que tu choisis librement — peut être ton vrai prénom ou un pseudonyme).
• Avatar : soit une image que tu uploades, soit une couleur déterministe générée depuis ton identifiant.
• Date de modification (audit technique).
• Base légale : Art. 6(1)(b) — sans pseudo, impossible d'apparaître dans une partie multi-joueurs.

2.3 Données de jeu

• Parties jouées : nombre total + agrégats par mode (Most Likely To, Guess Who?, etc.).
• Spotlight : pour le mode « Qui est le plus…? », nous stockons les désignations reçues sur 6 axes (Aura, Énergie, Prestige, Sagesse, Loyauté, Empathie) et 18 sous-statistiques.
• Historique des deltas Spotlight : un point par vote reçu, daté, pour afficher l'évolution.
• Base légale : Art. 6(1)(b) — c'est le cœur du service.

2.4 Données de session temps réel

• Pendant une partie : ton pseudo, avatar, votes en cours sont stockés en mémoire Redis (Upstash, hébergé en France/UE).
• Après la fin de partie : les détails de la partie sont supprimés. Seuls les agrégats Spotlight et le compteur gamesPlayed sont conservés.
• Photos uploadées (mode Photo Roulette) : stockées en bucket Supabase Storage, supprimées automatiquement à la fermeture de la room (purge lifecycle) ou au plus tard 1 heure après si la room reste ouverte.
• Base légale : Art. 6(1)(b).

2.5 Consentements

Nous conservons une trace horodatée de ton acceptation de cette politique de confidentialité (consents table — uniquement user_id, accepted_at, version du document). Cette trace est exigée par l'article 7(1) du RGPD (« démontrabilité du consentement »).

2.6 Données techniques (analytics d'erreurs)

Nous utilisons Sentry pour détecter les bugs. Sentry collecte automatiquement :

• Type d'appareil et version OS.
• Version de l'app.
• Stack trace de l'erreur (jamais ton pseudo, jamais le contenu de tes parties).
• Identifiant anonyme Spotted (pour permettre de comprendre si plusieurs erreurs viennent du même appareil).

Base légale : Art. 6(1)(f) — intérêt légitime à corriger les bugs. Tu peux nous demander de ne plus envoyer ces données à privacy@spottedgame.com.

2.7 Compte TikTok lié (mode Who Liked This?)

Si tu choisis de lier ton compte TikTok pour jouer au mode « Who Liked This? » :

• Nous stockons un token OAuth chiffré (AES-256-GCM) qui nous permet d'accéder à tes liked videos TikTok uniquement pendant une partie active.
• Nous stockons ton TikTok Open ID (identifiant TikTok stable mais non lié à ton nom public).
• Nous stockons la région déclarée par TikTok lors du link (EEA ou UK — anti-fraude).
• Aucun like, vidéo ou contenu TikTok n'est persisté côté serveur. Les likes sont fetched à chaque partie via l'API TikTok Data Portability, gardés en mémoire serveur 5 minutes max, jamais sauvegardés.
• Base légale Art. 6 + Art. 9 : nous demandons ton consentement explicite via 2 checkboxes au moment du link (les likes pouvant révéler indirectement des préférences sensibles — religion, opinions politiques, orientation sexuelle).

Tu peux délier ton compte TikTok à tout moment depuis ton profil. La déconnexion révoque immédiatement le token côté TikTok et supprime toutes les données associées chez nous.

3. Données que nous NE collectons PAS

• Email — pas demandé, jamais stocké.
• Nom légal — pas demandé, jamais stocké.
• Numéro de téléphone — pas demandé, jamais stocké.
• Date de naissance — pas demandée, pas stockée (V1).
• Géolocalisation précise — l'app n'utilise jamais le GPS.
• Contacts — l'app ne lit pas ton carnet d'adresses.
• Photos en arrière-plan — la caméra et la galerie ne sont accessibles qu'avec ta permission, pour l'avatar et pour le mode Photo Roulette uniquement.
• Microphone — pas utilisé.
• Données publicitaires — Spotted n'affiche pas de publicité, ne partage rien avec des annonceurs.

4. Où sont stockées tes données

• Base de données principale : Supabase (Frankfurt, Allemagne — UE).
• Cache temps réel : Upstash Redis (région EU).
• Storage médias (avatars, photos Photo Roulette, photos Guess Who?) : Supabase Storage (Frankfurt).
• Audit logs RGPD : Supabase (Frankfurt), rétention 6 mois minimum (CNIL Recommandation Sécurité 2024).
• Analytics erreurs : Sentry (région EU configurée).

Aucune donnée ne quitte l'Espace Économique Européen (EEE).

5. Combien de temps nous gardons tes données

6. Tes droits RGPD

Conformément aux articles 15 à 22 du RGPD, tu peux à tout moment :

• Accéder à tes données (Art. 15) : contacte-nous à privacy@spottedgame.com — nous t'enverrons un export JSON sous 30 jours.
• Rectifier tes données (Art. 16) : modifie ton pseudo et ton avatar directement depuis ton profil dans l'app.
• Supprimer tes données (Art. 17, « droit à l'oubli ») : utilise le bouton « Supprimer mes données » dans ton profil. Suppression immédiate, irréversible, cascade sur toutes nos tables (profil, Spotlight, compte TikTok lié, consentements). Les audit logs sont conservés 6 mois supplémentaires (registre obligatoire Art. 30) avec ton identifiant remplacé par NULL.
• Limiter le traitement (Art. 18) : contacte-nous.
• Portabilité (Art. 20) : contacte-nous pour recevoir tes données dans un format structuré.
• Opposition (Art. 21) : contacte-nous (en particulier pour Sentry — base légale intérêt légitime).
• Retirer ton consentement (Art. 7(3)) : aussi simple que de le donner — unlink TikTok depuis ton profil, ou supprime toutes tes données.

Tu peux aussi déposer une réclamation auprès de l'autorité de contrôle compétente :

• France : CNIL — www.cnil.fr
• Autres pays EEE : liste des autorités

7. Sécurité

• Chiffrement en transit : toutes les communications app ↔ serveur sont en HTTPS/TLS 1.3.
• Chiffrement au repos : Supabase Postgres + Storage chiffrent les données automatiquement (AES-256).
• Tokens TikTok : chiffrés en envelope encryption AES-256-GCM dans notre base de données (clé maître séparée, jamais loggée).
• JWT mobile : stocké dans le Keychain iOS / Keystore Android (zone sécurisée hardware-backed sur la plupart des appareils récents).
• Audit logs : IP hashée HMAC-SHA256 (jamais d'IP en clair).
• Tests de sécurité : nous effectuons des tests réguliers d'efficacité des mesures (Art. 32(1)(d) RGPD).

8. Sous-traitants

Tous nos sous-traitants sont liés par un DPA (Data Processing Agreement) et certifications appropriées (ISO 27001, SOC 2 Type II).

9. Enfants

Spotted est destiné à un public âgé de 13 ans et plus (cohérent avec les CGU TikTok et les App Stores). Nous ne demandons pas activement ton âge en V1, mais nous interdisons l'utilisation par des personnes de moins de 13 ans. Si tu as moins de 13 ans, supprime tes données via le bouton dans le profil et désinstalle l'app.

Si un parent ou tuteur découvre qu'un enfant de moins de 13 ans utilise Spotted, contacte-nous à privacy@spottedgame.com — nous supprimerons immédiatement le compte et toutes les données associées.

10. Modifications de cette politique

Si nous modifions cette politique de manière substantielle, nous afficherons un écran de consentement explicite à la prochaine ouverture de l'app, et tu devras ré-accepter pour continuer à l'utiliser.

Les modifications mineures (corrections de typos, précisions sans changement de finalité) seront publiées ici sans notification active, mais la date « Dernière mise à jour » au sommet de cette page sera mise à jour.

11. Contact

• Email général / RGPD : privacy@spottedgame.com