Politique de confidentialité

TCG Battle est un projet personnel édité par Loïck Escalup, particulier basé en France. Contact pour toute question relative aux données : loickescalup@gmail.com. Le site est hébergé sur une infrastructure personnelle en France métropolitaine. Aucune donnée n'est transférée hors UE pour ce qui est de la base de données principale (Postgres en France).

privacy.data.body

Le site utilise les services tiers suivants. Chacun a sa propre politique de confidentialité. • Cookies internes : session d'authentification (Auth.js, expire 30 jours), préférence de langue (FR/EN/ES). Pas de cookie de tracking interne. • Google AdSense (publicité) : affiche des annonces sur les pages publiques riches en contenu (home, /how-to, /tournaments, /leaderboard, etc.). AdSense peut poser des cookies tiers pour mesurer les performances des annonces et personnaliser celles que tu vois selon ton consentement RGPD. Tu peux gérer tes préférences AdSense sur https://adssettings.google.com. • Google OAuth (authentification) : si tu te connectes via Google, ton email et ton nom Google sont récupérés UNE SEULE FOIS pour créer ton compte. Aucune autre donnée n'est extraite ni partagée par la suite. • Discord OAuth (authentification + MP du BOT) : si tu lies Discord, on stocke ton ID Discord uniquement, pour envoyer les MP de matchup et de rappel pendant les tournois. Aucun accès à tes serveurs, messages ou amis Discord. • Resend (emails transactionnels) : vérification email, mot de passe oublié. Resend traite uniquement l'adresse destinataire et le contenu du mail. • Umami self-hosted (analytics) : mesure du trafic web (pageviews, sources, devices, pays) en mode AGRÉGÉ et ANONYME. Aucun cookie posé, identification par hash IP+UA quotidien (rotation H+24). Données hébergées dans notre propre infrastructure, jamais partagées. • TCGdex (images de cartes) : les images des cartes affichées dans le catalogue et les decklists sont chargées depuis le CDN TCGdex (api.tcgdex.net) sans envoi de données personnelles. • pokedata.ovh (tournois locaux IRL) : la carte des tournois physiques sur /local-tournaments interroge l'API pokedata.ovh côté serveur uniquement. Ton IP n'est pas exposée à pokedata.ovh.

privacy.rights.body

Mesures techniques en place : • HTTPS strict sur toutes les pages (HSTS, TLS 1.2 minimum). • Mot de passe hashé en bcrypt (coût 12), jamais stocké en clair, jamais envoyé dans les logs. • Secrets serveur (clés API, mots de passe BDD) en fichiers .env restreints chmod 600 root. • Sauvegardes quotidiennes de la base PostgreSQL vers un NAS off-site (chiffrement en transit SFTP). • Aucun accès direct depuis Internet à la base : seul le serveur d'application peut s'y connecter sur le réseau privé. Durée de conservation : les comptes actifs sont conservés tant que tu utilises le service. Sur demande de suppression, l'effacement est effectif sous 30 jours. Les comptes inactifs depuis plus de 3 ans peuvent être supprimés après email de prévenance.

Pour toute question relative aux données personnelles, à la sécurité ou à l'exercice de tes droits : Email : loickescalup@gmail.com Merci d'indiquer dans le sujet l'objet précis (« Suppression de compte », « Demande d'accès RGPD », « Question sécurité », etc.) pour un traitement plus rapide. Délai de réponse maximal : 30 jours, le plus souvent sous 7 jours.