Politique de confidentialité

En bref

• On collecte le minimum pour faire tourner le jeu : ton e-mail, ton année de naissance, ton pseudo, tes cartes et ce que tu proposes.
• Ni mesure d’audience ni publicité ; statistiques de ventes seulement. Pas de revente de données, pas de pistage : les seuls cookies servent à te garder connecté.
• Les données sont stockées à Paris. Certains prestataires sont américains : leurs transferts sont encadrés.
• Tu apparais sur une carte ? Le bouton « Je suis sur la photo » la masque tout de suite, ou utilise le formulaire de retrait.
• Tu peux supprimer ton compte à tout moment, dans l’app ou sur le site : voir Supprimer mon compte.

Qui est responsable de tes données

Le responsable du traitement est l’éditeur de WikiStudent :

Nom

[À COMPLÉTER : dénomination : prénom et nom suivis de « EI »], entrepreneur individuel (micro-entreprise)

Adresse

[À COMPLÉTER : adresse postale : domicile ou adresse de domiciliation de l’entreprise]

Contact

[À COMPLÉTER : adresse e-mail de contact]

Aucun délégué à la protection des données n’est désigné (ce n’est pas obligatoire pour ce service) : écris à l’adresse ci-dessus pour toute question.

Le rôle du BDE. Le BDE de ton école décide quelles cartes sont publiées dans son espace, traite les signalements et les demandes de retrait, et peut exclure un membre. Pour ces décisions de modération, il agit comme responsable conjoint avec WikiStudent (art. 26 du RGPD) : WikiStudent fournit l’outil et fixe les règles, le BDE prend les décisions dans son espace. Le BDE n’utilise les informations auxquelles il a accès que pour faire vivre et modérer le jeu. Pour exercer tes droits, tu peux t’adresser à l’un ou à l’autre ; WikiStudent reste ton interlocuteur principal.

Données, finalités, bases légales et durées

Aucune donnée n’est vendue ni utilisée pour de la publicité. Aucune décision produisant des effets juridiques n’est prise de façon entièrement automatisée. Le filtre automatique de mots interdits bloque un texte, sans autre conséquence : toute sanction est décidée par une personne.

Qui voit tes données

• Les membres de tes promos voient ton pseudo, ton nom affiché, ta vitrine, ton rang au classement, les cartes que tu as proposées et publiées, et les échanges ou enchères qui les concernent. Ils ne voient ni ton adresse e-mail, ni ton année de naissance, ni la liste des membres que tu as bloqués.
• Le BDE (administrateurs de l’école et modérateurs de la promo) voit en plus les propositions de la promo avec les réponses sur le consentement, les signalements de cartes, de membres et de messages, les demandes de retrait (avec le nom et l’adresse e-mail du demandeur pour le formulaire public) et la liste des membres.
• WikiStudent accède aux données pour assurer le support, la sécurité et le traitement des demandes qui lui sont adressées.
• Nos prestataires, uniquement pour le service qu’ils nous rendent (voir ci-dessous).
• Les stores, responsables de traitement indépendants : si tu télécharges l’app, Apple Distribution International Ltd (App Store, sa politique de confidentialité) ou Google Commerce Limited et Google Ireland Limited (Google Play, sa politique de confidentialité)Apple Distribution International Ltd (App Store, sa politique de confidentialité)Google Commerce Limited et Google Ireland Limited (Google Play, sa politique de confidentialité) traitent le téléchargement selon leurs propres règles. Nous ne recevons ni tes coordonnées bancaires ni ton identité de compte du store.
• D’autres services qui agissent pour leur propre compte : Stripe pour ses obligations de prestataire de paiement (lutte contre la fraude et le blanchiment) ; Google si tu te connectes avec ton compte Google ; Meta (Instagram) pour les messages de prospection envoyés sur Instagram. Leurs propres politiques de confidentialité s’appliquent.
• Les autorités, sur demande légale (police, justice, Arcom, CNIL), et dans les cas où la loi nous oblige à les prévenir (contenu gravement illicite, menace pour la vie ou la sécurité de quelqu’un).

Prestataires et transferts hors de l’UE

Nos sous-traitants traitent les données sur nos instructions, dans le cadre d’un contrat conforme à l’article 28 du RGPD :

Prestataire

Supabase Pte. Ltd.

Pays

Singapour ; données stockées à Paris (UE)

Rôle

Base de données, comptes et connexion, e-mails de connexion, stockage des images

Transferts

Données hébergées dans l’UE ; accès éventuels depuis l’extérieur de l’UE encadrés par les clauses contractuelles types de la Commission européenne

Prestataire

Vercel Inc.

Pays

États-Unis ; code exécuté à Paris

Rôle

Hébergement du site, exécution du code, journaux techniques

Transferts

Cadre de protection des données UE–États-Unis (Data Privacy Framework) et clauses contractuelles types

Prestataire

Stripe Payments Europe, Limited

Pays

Irlande (UE)

Rôle

Paiements, factures, lutte contre la fraude

Transferts

Transferts vers Stripe, Inc. (États-Unis) encadrés par le Data Privacy Framework et les clauses contractuelles types

Prestataire

Google Ireland Limited

Pays

Irlande (UE)

Rôle

Tableur de suivi de la prospection des associations étudiantes (Google Sheets)

Transferts

Transferts vers Google LLC (États-Unis) encadrés par le Data Privacy Framework et les clauses contractuelles types

Les transferts de données hors de l’Union européenne reposent sur la décision d’adéquation de la Commission européenne pour les entreprises certifiées au Data Privacy Framework, ou, pour les autres, sur les clauses contractuelles types de la Commission européenne. Tu peux en obtenir une copie en nous écrivant.

Application mobile

• L’app affiche le site WikiStudent : les traitements décrits plus haut sont les mêmes. Elle transmet en plus les informations techniques de la fiche « Application mobile ».
• Aucun pistage : l’app ne lit pas l’identifiant publicitaire de ton téléphone (IDFA, AAID), ne contient aucun outil de publicité ni de mesure d’audience, et ne relie pas tes données à celles d’autres entreprises.
• Diagnostics : aucun outil de rapport de plantage n’est intégré. Les erreurs ne laissent de trace que dans les journaux techniques de nos hébergeurs.
• Appareil photo et galerie : utilisés seulement quand tu choisis une photo pour proposer une carte. Les photos de ton téléphone ne sont jamais lues sans ton action.

Cookies et stockage sur l’appareil

Le site et l’app ne déposent que des cookies strictement nécessaires, exemptés de consentement (art. 82 de la loi Informatique et Libertés) :

sb-…-auth-token

Garde ta session ouverte une fois connecté (Supabase). Durée : 400 jours au plus, effacé à la déconnexion.

sb-…-auth-token-code-verifier

Sécurise la connexion par lien e-mail ou par Google ; effacé une fois la connexion faite.

Sur ton téléphone, l’app garde aussi ce qui sert à son fonctionnement : tes préférences d’affichage. Rien de tout cela ne sert à te suivre.

Aucun cookie de publicité, de réseau social ou de mesure d’audience, et aucun service tiers chargé dans tes pages (les polices sont servies par notre propre site). C’est pourquoi aucun bandeau de consentement ne s’affiche. Lors d’un paiement par carte sur le site, la page Stripe, hébergée par Stripe, dépose ses propres cookies de sécurité et de lutte contre la fraude.

Suppressions automatiques

Une tâche de nettoyage tourne chaque nuit. Elle :

• supprime les images des propositions refusées depuis plus de 30 jours ;
• supprime les images des cartes retirées qui seraient restées dans le stockage ;
• supprime les écoles créées mais jamais payées depuis plus de 7 jours ;
• efface le journal anti-abus du formulaire de retrait au-delà de 24 heures ;
• efface les pseudos et identifiants gardés après une suppression de compte au bout d’un an, et l’adresse e-mail au bout de 5 ans.

Supprimer ton compte et ce qui est gardé

Supprimer ton compte (Profil → « Supprimer mon compte », dans l’app ou sur le site) efface aussitôt ton compte, ton profil, tes adhésions, ta collection, tes pièces (achetées comprises), tes likes, ta vitrine, tes signalements, tes échanges et enchères, tes membres bloqués et tes propositions non acceptées avec leurs images. Tes cartes déjà publiées sont retirées si tu le demandes (leurs possesseurs reçoivent des pièces en compensation), sinon elles restent dans leur promo, signées « ancien membre ». Si tu as créé une école, tu la transfères à un autre admin ou tu la fermes, dans la même démarche. Sans accès à l’app ni au site, la marche à suivre est sur la page Supprimer mon compte.

Ce qui est gardé après la suppression. Le décret n° 2021-1362 du 20 octobre 2021 oblige les hébergeurs à conserver de quoi identifier l’auteur d’un contenu publié, pour répondre à une demande de la justice. Nous gardons donc, dans un registre fermé auquel personne n’accède en temps normal :

• ton adresse e-mail : 5 ans ;
• tes pseudos, l’identifiant de ton compte et la liste des cartes que tu as publiées : 1 an ;
• les factures des écoles : 10 ans (obligation comptable) ;
• les décisions de modération qui te concernaient, sans lien avec toi : jusqu’à 12 mois.

Ces durées sont à confirmer par un juriste ; elles ne seront jamais plus longues que ce que la loi exige.

Tes droits

Tu as le droit :

• d’accéder à tes données et d’en recevoir une copie ;
• de les faire rectifier ;
• de les faire effacer (bouton « Supprimer mon compte » ou demande écrite) ;
• de demander la limitation d’un traitement ;
• de t’opposer aux traitements fondés sur l’intérêt légitime, dont la prospection ;
• de récupérer les données que tu nous as fournies dans un format lisible par une machine (portabilité) ;
• de retirer ton consentement, par exemple à ton image sur une carte, sans que cela remette en cause ce qui a été fait avant ;
• de donner des directives sur le sort de tes données après ton décès (art. 85 de la loi Informatique et Libertés).

Écris à [À COMPLÉTER : adresse e-mail de contact] depuis l’adresse de ton compte, ou en indiquant l’école et ton pseudo. Nous répondons sous un mois (trois mois au plus pour une demande complexe, en te prévenant). Nous ne demandons une pièce d’identité qu’en cas de doute réel sur ton identité.

Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL : cnil.fr/fr/plaintes ou CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Âge minimum et mineurs

WikiStudent est ouvert à partir de 16 ans : tu indiques ton année de naissance à l’inscription. En France, un mineur peut consentir seul au traitement de ses données par un service en ligne à partir de 15 ans (art. 45 de la loi Informatique et Libertés) ; nous avons choisi 16 ans parce que le jeu contient des boosters au contenu aléatoire. Si tu as moins de 16 ans, tu ne peux pas jouer ; si tu avais déjà un compte, tu peux le supprimer depuis l’écran qui s’affiche. Si nous apprenons qu’un compte appartient à un enfant de moins de 16 ans, nous le supprimons.

Entre 16 et 18 ans, tu peux jouer librement. Pour publier la photo d’un mineur reconnaissable, il faut l’accord de ce mineur et de ses parents. Un mineur qui apparaît sur une carte, ou ses parents, peuvent en obtenir le retrait par le bouton « Je suis sur la photo », le formulaire de retrait ou en nous écrivant : la carte est alors retirée.

Sécurité

• Connexions chiffrées (HTTPS) ; mots de passe jamais stockés en clair (Supabase n’en garde qu’une empreinte).
• Droits d’accès vérifiés par la base de données à chaque requête : tu ne lis que les données de tes promos.
• Images privées, affichées par des liens temporaires réservés aux membres de la promo.
• Coordonnées bancaires traitées uniquement par Stripe.

En cas de violation de données présentant un risque pour toi, nous prévenons la CNIL sous 72 heures et, si le risque est élevé, nous te prévenons.

Prospection des associations étudiantes

WikiStudent contacte des BDE et des services d’écoles, par e-mail ou par message Instagram, pour présenter le service. Les coordonnées viennent de pages publiques officielles : site de l’école, site ou réseaux sociaux de l’association.

Données

Nom de l’école et de l’association, ville, adresse e-mail de contact ou compte Instagram publics, page où ils ont été trouvés, historique des échanges.

Pour quoi faire

Présenter WikiStudent aux associations étudiantes et suivre les réponses.

Base légale

Intérêt légitime (art. 6.1.f du RGPD) : prospection entre professionnels, en lien avec la mission de l’association.

Durée

3 ans au plus après le dernier contact venant de l’association. Une adresse qui demande à ne plus être contactée est gardée 3 ans sur une liste d’opposition, à cette seule fin.

Destinataires

L’éditeur seul ; tableau de suivi hébergé par Google (Google Sheets) ; messages Instagram transmis par Meta.

Pour ne plus être contacté ou faire supprimer ces données : répondre « stop » au message, ou écrire à [À COMPLÉTER : adresse e-mail de contact]. L’opposition est gratuite et prise en compte avant tout nouvel envoi.

Modifications et contact

Si cette politique change de façon importante, nous te prévenons dans l’app avant l’entrée en vigueur. La date de mise à jour figure en haut de page. Questions et demandes : [À COMPLÉTER : adresse e-mail de contact], ou la page Aide. Voir aussi les conditions d’utilisation et les mentions légales.