Politique de confidentialité (RGPD)

Ce document décrit avec exactitude les données personnelles traitées par Proofset, les finalités et bases légales de ces traitements, leur durée de conservation et vos droits. Il reflète strictement le fonctionnement technique réel du code en production.

1. Responsable du traitement

Proofset Quantitative Sports Analytics — Direction de la Publication : Jonathan Kichenin, joignable pour toute demande relative aux données personnelles à l’adresse : contact@proofset.io.

2. Données personnelles traitées

• Comptes membres Proofset (`table comptes`) : Lorsque vous créez un compte ou vous connectez sur /connexion, nous traitons votre adresse de courriel (normalisée en minuscules), l’empreinte cryptographique salée de votre mot de passe (hachage scrypt avec sel aléatoire de 16 octets ; aucun mot de passe en clair n’est jamais stocké), votre niveau d’accès (beta, scout, pro, syndicate, admin) et les horodatages de création/mise à jour.
• Authentification OAuth Patreon (Optionnelle) : Si vous vous connectez via Patreon, Patreon nous transmet votre identifiant Patreon, votre courriel et votre statut d’adhésion actif via les portées identity, identity[email] et identity.memberships. Nous n’avons accès à aucune coordonnée bancaire.
• Cookie technique de session (`bg_acces`) et stockage local : Un cookie strictement nécessaire nommé bg_acces (HttpOnly, Secure, SameSite=Lax) contient votre identifiant, votre palier d’accès et sa date d’expiration, signés cryptographiquement par HMAC-SHA256. Le navigateur enregistre également localement (localStorage) votre langue d’affichage et l’état de votre clé/palier actif. Aucun cookie publicitaire ou de profilage tiers n’est déposé.
• Mesure d’audience sans cookie : Vercel Analytics collecte des statistiques de fréquentation agrégées, sans cookie et sans identifiant persistant.

Nous ne collectons ni votre nom civil, ni votre adresse postale, ni vos coordonnées bancaires, ni aucune donnée relative à vos éventuels paris auprès d’opérateurs tiers.

3. Finalités et bases légales (Article 6 du RGPD)

• Fourniture du service et gestion des accès par palier : Authentifier votre compte et délivrer les analyses statistiques correspondant à votre abonnement. Base légale : Exécution du contrat (Art. 6.1.b RGPD).
• Sécurité du service et prévention des accès non autorisés : Vérification cryptographique des jetons d’accès sur les routes protégées. Base légale : Intérêt légitime (Art. 6.1.f RGPD).
• Mesure d’audience agrégée : Suivi technique de la performance des pages. Base légale : Intérêt légitime (Art. 6.1.f RGPD — exemption de consentement pour mesure strictement anonyme).

Vos données ne sont ni vendues, ni louées, ni cédées à des courtiers en données ou régies publicitaires.

4. Durées de conservation

• Cookie de session (`bg_acces`) : 30 jours pour les comptes membres inscrits et administrateurs (7 jours pour les sessions issues d’OAuth Patreon avant revérification).
• Données du compte (`comptes`) : Conservées tant que le compte reste actif, et supprimées sous 30 jours sur simple demande d’effacement adressée à contact@proofset.io.

5. Sous-traitants et transferts hors Union européenne

• Vercel Inc. (États-Unis) — Hébergement du frontend, fonctions serverless et mesure d’audience agrégée.
• Neon Inc. (États-Unis / UE) — Base de données PostgreSQL Serverless chiffrée des comptes membres.
• Google Cloud Platform (Irlande / États-Unis) — Infrastructure de calcul statistique.
• Patreon Inc. (États-Unis) — Authentification OAuth et gestion optionnelle des adhésions.

Les transferts vers les États-Unis sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne et le Cadre de protection des données UE–États-Unis (Data Privacy Framework).

6. Vos droits (RGPD & Loi Informatique et Libertés)

Conformément aux articles 15 à 22 du RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données. Pour les exercer, écrivez à contact@proofset.io (réponse sous 30 jours maximum). Vous disposez également du droit d’introduire une réclamation auprès de la CNIL (www.cnil.fr) ou de l’autorité de protection des données de votre pays de résidence.