Politique de confidentialité

Dernière mise à jour : 28 septembre 2026

Responsable du traitement

Le responsable du traitement de tes données personnelles est Luca Orelli, communiquée à l’hébergeur (éditeur non professionnel, LCEN art. 6, III, 2). Contact : luca.orelli2@gmail.com.

En bref : nous collectons le minimum nécessaire pour faire fonctionner le jeu. Pas de revente de données, et une mesure d’audience anonyme, sans cookie. Le site affiche des publicités fournies par Google AdSense, personnalisées seulement si tu l’acceptes (voir la section « Publicité » ci-dessous).

Les données que nous traitons

Ton compte

ton pseudo ;
ton adresse e-mail, si tu t’inscris par e-mail ou si Discord ou Google nous la transmettent (confirmée), avec la date de sa confirmation ;
l’adresse de ta photo de profil, si Discord ou Google en fournissent une ;
la date à laquelle tu as déclaré avoir 18 ans ou plus, et la date et la version des CGU que tu as acceptées ;
la date de création de ton compte et celle de ta dernière connexion.

Ta connexion

l’identifiant technique de ton compte chez Supabase, notre service de connexion (et, pour les comptes les plus anciens, ton identifiant Discord) ;
tes sessions : une empreinte (hash) du jeton de session, jamais le jeton lui-même, avec ses dates de création et d’expiration.

Ton mot de passe n’est jamais stocké chez nous : c’est Supabase qui le conserve, sous forme chiffrée (hachée).

Ta partie

ta collection de cartes et les boosters ouverts ;
le journal de tes Pétrodollars (gains et dépenses) ;
tes échanges, avec les pseudos des joueurs concernés ;
tes quêtes quotidiennes, tes decks, tes matchs de combat (adversaire, résultat), ta cote et ton bilan.

Ce que nous ne stockons pas. Notre base ne contient ni ton adresse IP, ni ton navigateur, ni ta localisation. Supabase enregistre en revanche l’adresse IP et le navigateur dans ses journaux de sécurité lors de chaque connexion. Le serveur web peut aussi tenir des journaux techniques (adresse IP, date, page demandée), conservés 12 mois au plus.

Les cartes représentent des figures politiques, mais ta collection et tes decks ne servent jamais à déduire tes opinions politiques.

Ce qui est public. Ton pseudo, ta photo de profil, ta collection, ta date d’inscription, ta cote et ton classement sont visibles par tous sur ton profil public et dans les classements. Tes meilleurs tirages peuvent apparaître, avec ton pseudo, dans le fil des tirages en direct.

Privatisations et Bulletins de vote

le journal de tes Bulletins de vote (gains, enchères réservées et rendues) ;
tes enchères : lot, montant, date, statut (en tête, dépassée, gagnante), et les lots que tu as remportés.

Aux Privatisations, le pseudo du meilleur enchérisseur de chaque lot en cours et celui de l’acquéreur de chaque lot adjugé sont visibles par tous, dans l’historique des ventes.

Pourquoi et sur quelle base légale

Finalité	Base légale (RGPD, art. 6)
Créer et gérer ton compte, te connecter	Exécution du contrat (les CGU)
Faire fonctionner le jeu : collection, boosters, échanges, quêtes, combat, classement, profil public	Exécution du contrat
Organiser les Privatisations (enchères, séquestre et remboursement des Bulletins, remise des lots, historique public des ventes)	Exécution du contrat
Conserver la preuve de ta déclaration de majorité et de ton acceptation des CGU	Intérêt légitime (pouvoir prouver le respect de nos règles)
Sécurité, lutte contre la triche et les abus (sessions, journal des PD)	Intérêt légitime (protéger le jeu et les joueurs)
Répondre à tes messages et à tes demandes d’exercice de droits	Obligation légale et intérêt légitime
Répondre aux demandes des autorités	Obligation légale
Mesurer la fréquentation du site de façon anonyme (Umami)	Intérêt légitime (savoir quelles pages sont consultées, sans cookie ni donnée conservée qui t’identifie)

Publicité (Google AdSense) : afficher des annonces, en mesurer les performances et lutter contre la fraude publicitaire. Base légale : ton consentement (article 6.1.a du RGPD), recueilli par le gestionnaire de consentement de Google ; la sécurité et la lutte contre la fraude peuvent reposer sur l’intérêt légitime de Google. Détails dans la section « Publicité » ci-dessous.

Nous ne faisons nous-mêmes aucun profilage commercial ; notre mesure d’audience (Umami) est anonyme et sans cookie.

Durées de conservation

Données	Durée
Compte et données de jeu (collection, journal des PD, boosters ouverts, decks)	Tant que ton compte existe. Effacées définitivement dès que tu le supprimes. Un compte sans aucune connexion pendant 3 ans est supprimé.
Sessions de connexion	30 jours après ta dernière activité, puis effacées.
Lots des Privatisations et enchères	12 mois après la clôture du lot (pseudo de l’acquéreur compris). Le journal des Bulletins de vote suit ton compte.
Quêtes quotidiennes	30 jours.
Échanges et matchs de combat terminés	12 mois après leur fin.
Données tenues par Supabase (e-mail, mot de passe haché, identités Discord/Google)	Supprimées en même temps que ton compte. Journaux de sécurité : selon la durée fixée par Supabase.
Journaux du serveur web	12 mois au plus
Échanges par e-mail avec nous	Le temps de traiter ta demande, puis au plus 5 ans à titre de preuve.
Statistiques de fréquentation (Umami)	Seulement sous forme agrégée et anonyme, sans lien avec ton compte.

Données traitées par Google pour la publicité : durées fixées par Google, indiquées dans son message de consentement et sur sa page consacrée aux cookies.

Qui reçoit tes données

Supabase Inc. (connexion : e-mail, mot de passe, liens magiques, connexion Discord/Google), en tant que sous-traitant. Données hébergées dans la région : Union européenne.
Discord Inc. et Google LLC, seulement si tu choisis de te connecter avec eux. Ils savent alors que tu te connectes à POLICARDS et nous transmettent ton identifiant, ton e-mail, ton nom et ta photo. Ce sont des responsables de traitement distincts, soumis à leurs propres politiques de confidentialité.
L’hébergeur du site : Luca Orelli (auto-hébergement), trafic entrant via le service NetBird (NetBird GmbH, Berlin, Allemagne).
Umami Software, Inc. (Umami Cloud), pour la mesure d’audience : à chaque page vue, Umami reçoit l’adresse de la page, le site d’où tu viens, ton navigateur, ton système d’exploitation, ton pays et la taille de ton écran. Umami ne dépose aucun cookie, ne conserve pas ton adresse IP (seulement une empreinte calculée avec un sel renouvelé chaque jour, pour compter les visites) et ne te suit pas d’un site à l’autre.
Google Fonts : les polices du site sont chargées depuis les serveurs de Google, qui reçoivent donc ton adresse IP.
Discord ou Google, encore : ta photo de profil est affichée depuis leurs serveurs, qui reçoivent l’adresse IP de la personne qui la regarde.
Les autres joueurs, pour les informations publiques décrites plus haut.
Les autorités, uniquement sur demande légale.

Google Ireland Limited (Google AdSense), pour la publicité, si tu consultes une page qui en affiche : responsable de traitement distinct, soumis à ses propres règles de confidentialité, ainsi que ses partenaires publicitaires si tu les acceptes (liste dans le message de consentement). Voir la section « Publicité » ci-dessous.

Nous ne vendons ni ne louons tes données.

Transferts hors de l’Union européenne

Supabase, Discord et Google sont des sociétés américaines : certaines données peuvent être traitées aux États-Unis. Ces transferts sont encadrés par la décision d’adéquation de la Commission européenne du 10 juillet 2023 (Data Privacy Framework) pour les sociétés certifiées, et par les clauses contractuelles types de la Commission européenne prévues dans leurs contrats de traitement des données.

Pour la publicité, Google Ireland Limited peut transférer des données à Google LLC, aux États-Unis. Google LLC est certifiée dans le cadre du Data Privacy Framework ; Google s’appuie aussi sur les clauses contractuelles types de la Commission européenne.

Umami Software, Inc. est une société américaine ; les données de mesure d’audience sont hébergées dans la région suivante : Umami Cloud (serveurs aux États-Unis ou dans l’Union européenne). Un éventuel transfert hors de l’Union européenne est encadré par les clauses contractuelles types de la Commission européenne.

Publicité (Google AdSense)

Certaines pages du site (catalogue, fiches des cartes, classement, collection) affichent des annonces fournies par Google AdSense, un service de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. Aucune annonce n’apparaît pendant l’ouverture des boosters, les combats ou les échanges, ni sur les pages de compte, de connexion ou d’informations légales.

Finalités :

afficher des annonces sur le site ;
les personnaliser selon tes centres d’intérêt, uniquement si tu l’acceptes ; sinon, elles ne sont pas personnalisées et dépendent par exemple de la page consultée ou de ta localisation approximative ;
mesurer leurs performances (affichages, clics) ;
détecter et prévenir la fraude publicitaire, et sécuriser le service.

Données concernées : identifiants publicitaires (cookies et identifiants similaires), adresse IP, informations sur ton navigateur et ton appareil, pages consultées sur le site, interactions avec les annonces. Nous ne transmettons à Google ni ton pseudo, ni ton adresse e-mail, ni le contenu de ta collection.

Base légale : ton consentement (article 6.1.a du RGPD ; article 82 de la loi Informatique et Libertés pour les traceurs), recueilli par le gestionnaire de consentement de Google, certifié IAB TCF v2.2. Google lit lui-même ton choix avant d’afficher une annonce. La sécurité et la lutte contre la fraude peuvent reposer sur l’intérêt légitime de Google. Si tu refuses, des annonces peuvent quand même s’afficher, mais non personnalisées et dans les limites de ton choix.

Traceurs et partenaires : les traceurs sont décrits dans la politique cookies. La liste des partenaires publicitaires de Google et de leurs finalités est consultable dans le message de consentement (« Gérer les cookies », en bas de chaque page). Pour en savoir plus : comment Google utilise les informations des sites qui utilisent ses services.

Transferts : voir la section précédente (Data Privacy Framework).

Retirer ton consentement : à tout moment, aussi simplement que tu l’as donné, avec le lien « Gérer les cookies » en bas de chaque page ou le bouton ci-dessous. Le retrait ne remet pas en cause ce qui a été fait avant.

Tu peux aussi exercer tes droits directement auprès de Google : voir ses règles de confidentialité.

Cosmétiques

Cosmétiques : nous enregistrons les objets que tu possèdes (date, moyen d’obtention, prix en PD ou achat correspondant) et ceux que tu as équipés. Les objets équipés (titre, cadre, emblème, dos de carte) sont visibles publiquement : profil public, classements, adversaires en match. Base légale : exécution du contrat. Conservation : tant que ton compte existe.

Tes droits

Tu disposes des droits suivants sur tes données : accès, rectification, effacement, portabilité, limitation du traitement, opposition (pour les traitements fondés sur notre intérêt légitime), ainsi que le droit de définir des directives sur le sort de tes données après ton décès (article 85 de la loi Informatique et Libertés).

La plupart se font directement depuis la page Mon compte :

Télécharger mes données : un fichier JSON avec tout ce que nous avons sur toi (droit d’accès et de portabilité) ;
changer ton adresse e-mail ou ton mot de passe (rectification) ;
Supprimer mon compte : efface tout, chez nous comme chez Supabase (effacement).

Pour le reste, écris à luca.orelli2@gmail.com. Nous répondons dans un délai d’un mois (prolongeable de deux mois pour une demande complexe, en te prévenant). En cas de doute raisonnable sur ton identité, nous pouvons te demander de la confirmer, par exemple en écrivant depuis l’adresse e-mail de ton compte.

Réclamation

Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL (Commission nationale de l’informatique et des libertés), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr. Nous te conseillons de nous écrire d’abord : c’est souvent plus rapide.

Décisions automatisées

Aucune décision produisant des effets juridiques ou t’affectant de manière significative n’est prise de façon entièrement automatisée. Le matchmaking et le calcul de la cote sont automatiques mais n’ont d’effet que dans le jeu ; les sanctions sont toujours décidées par une personne.

Mineurs

POLICARDS est réservé aux personnes de 18 ans ou plus. Nous ne collectons pas sciemment de données de mineurs : si nous apprenons qu’un compte appartient à une personne mineure, nous le supprimons. Un parent peut nous écrire à luca.orelli2@gmail.com.

Sécurité

Le site n’est accessible qu’en HTTPS. Le cookie de session est inaccessible aux scripts (httpOnly) et seule une empreinte du jeton est stockée en base. Les mots de passe sont gérés par Supabase. Les requêtes venant d’autres sites sont refusées (protection anti-CSRF). En cas de violation de données présentant un risque pour toi, nous notifierons la CNIL et, si nécessaire, nous te préviendrons.

Cookies et traceurs

Nous utilisons des traceurs strictement nécessaires et, avec ton accord, les traceurs publicitaires de Google : voir la politique cookies.

Modifications

Cette politique peut évoluer (par exemple si l’achat de PD arrive). La date de mise à jour figure en haut de la page ; en cas de changement important, nous te préviendrons sur le site.