Brouillon à faire valider par un avocat — ne pas publier en l'état.

Politique de confidentialité

Cette politique explique comment SkinFlip traite vos données personnelles, conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 (« Informatique et Libertés »). Le fonctionnement de l'extension est détaillé dans une page dédiée : Confidentialité de l'extension Gardien. Les cookies sont décrits dans la Politique relative aux cookies.

1. Responsable du traitement

• Responsable : [À COMPLÉTER : dénomination, forme, siège, RCS] (voir les Mentions légales).
• Contact pour vos données : privacy@skinflip.app.
• Délégué à la protection des données : [À COMPLÉTER : désignation éventuelle d'un DPO et coordonnées].

2. Nos principes

• Minimisation : nous ne collectons que ce qui est nécessaire au service.
• Vos accès Steam ne quittent jamais votre navigateur. Nos serveurs ne collectent, ne reçoivent et ne stockent jamais : mot de passe Steam, code Steam Guard, clé API Web, cookie ou jeton de session Steam, QR code de connexion Steam, identity_secret, shared_secret, fichier maFile ou code de révocation. Toute donnée de ce type envoyée par erreur à notre API est rejetée automatiquement (contrôle vérifié par des tests automatisés).
• Données Steam récupérées uniquement à votre demande : lorsque vous vous connectez et acceptez nos conditions, ou lorsque vous demandez l'import de votre inventaire.
• Hébergement dans l'Union européenne : France (application, Paris) et Allemagne (base de données, Francfort).
• Aucune vente de données, aucun ciblage publicitaire, aucun profilage publicitaire.

3. Données traitées

Nous ne traitons pas de données sensibles au sens de l'article 9 du RGPD. Steam ne nous transmet aucune adresse e-mail. Stripe peut vous demander une adresse e-mail lors du paiement pour l'envoi du reçu.

4. Finalités et bases légales

Lorsque le traitement repose sur l'intérêt légitime, vous pouvez vous y opposer (article 7).

5. Décisions automatisées et profilage

• Score de réputation : calcul automatisé fondé uniquement sur les échanges définitifs à J+8, les annulations, les annulations abusives, les signalements confirmés et l'ancienneté. Il est affiché sur votre profil public et sert aux seuils d'accès (boucles à trois, Trading actif). Sa méthode est décrite dans la page Transparence.
• Analyse automatique des messages : elle peut afficher un avertissement, masquer un lien ou créer un signalement ; elle ne prononce jamais de sanction.
• Signaux de liens entre comptes : examinés par un modérateur humain ; jamais de bannissement automatique.
• Suspension automatique du Trading actif après une alerte de substitution : mesure de protection de votre compte, réversible, que vous pouvez faire examiner par une personne.

Aucune décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques ou vous affectant de manière significative n'est prise sans intervention humaine : les sanctions sont toujours décidées par un modérateur.

6. Qui voit vos données

• Les autres membres et visiteurs : votre profil public (pseudo, avatar, SteamID64, niveau Steam, ancienneté du compte si publique, badges d'alerte, réputation, nombre d'échanges définitifs, date d'inscription) et vos annonces.
• Vos partenaires d'une proposition d'échange : vos messages, les objets concernés et votre lien d'offre d'échange, nécessaire pour créer l'offre Steam.
• Les autres membres connectés : vos objets échangeables (nom, usure, motif, stickers, charms, image, prix indicatif), sauf si vous avez désactivé la réception d'offres.
• Les membres qui vous envoient une offre, sauf si vous avez désactivé la réception d'offres : le jeton de votre lien d'offre d'échange est transmis à leur extension dans un lot signé, aux seules fins de l'envoi.
• Notre équipe (modérateurs, administrateurs), selon le principe du moindre privilège. Les modérateurs n'accèdent au contenu d'une conversation qu'en cas de signalement, de drapeau automatique ou d'enquête.
• Nos sous-traitants (article 8).
• Les autorités, sur demande légalement fondée.
• Valve, uniquement lorsque nous lui signalons un compte impliqué dans une arnaque.

7. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité, d'opposition (notamment aux traitements fondés sur l'intérêt légitime), de retrait du consentement à tout moment, et du droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

• Export de vos données (format JSON) et suppression du compte : directement depuis vos réglages.
• Autres demandes : privacy@skinflip.app. Votre identité est vérifiée par votre connexion Steam ; aucune pièce d'identité n'est exigée sauf doute raisonnable.
• Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe.
• Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr) ou de l'autorité de contrôle de votre pays de résidence.

8. Sous-traitants et destinataires techniques

Valve Corporation n'est pas notre sous-traitant. Steam est la source des données publiques que nous récupérons via l'API Web Steam avec notre propre clé, et la plateforme sur laquelle les échanges ont lieu, sous l'accord d'abonné Steam. Les images des objets sont chargées depuis les serveurs de Steam : votre navigateur communique alors votre adresse IP à Valve.

Le fournisseur de prix de référence ne reçoit aucune donnée personnelle.

9. Hébergement et transferts hors UE

Vos données, y compris les données issues de Steam, sont stockées dans l'Union européenne (France et Allemagne), conformément aux conditions de l'API Web Steam. Les seuls transferts possibles hors UE sont ceux mentionnés à l'article 8 (Vercel, Neon, Stripe, Sentry), encadrés par les garanties indiquées.

10. Durées de conservation

[À COMPLÉTER : l'avocat confirmera si SkinFlip, en tant qu'hébergeur de contenus publiés par les utilisateurs (annonces, messages), est tenue de conserver pendant 1 an les données d'identification des auteurs de contenus (LCEN et décret n° 2021-1362 du 20 octobre 2021). La conception actuelle ne conserve que des adresses IP hachées.]

11. Sécurité

Chiffrement des échanges (TLS, HSTS), jetons de session et d'appairage stockés uniquement sous forme hachée, sauvegardes chiffrées et testées, authentification à deux facteurs obligatoire pour les modérateurs et administrateurs, journal d'audit des actions sensibles, principe du moindre privilège, adresses IP hachées, filtrage des données personnelles dans les rapports d'erreurs. En cas de violation de données présentant un risque, nous notifions la CNIL dans les 72 heures et, si le risque est élevé, les personnes concernées.

12. L'extension Gardien

L'extension traite localement les pages Steam nécessaires au service et ne transmet à SkinFlip que des informations limitées, avec votre accord. Elle ne collecte jamais vos accès ni vos secrets Steam. Détails : Confidentialité de l'extension Gardien.

13. Âge minimum

Le service est réservé aux personnes de 18 ans et plus. Pour information, en France, un mineur peut consentir seul au traitement de ses données à partir de 15 ans pour les services de la société de l'information ; ce seuil ne s'applique pas ici puisque le service est réservé aux majeurs. Si nous apprenons qu'un compte appartient à un mineur, il est clôturé et ses données supprimées, sous réserve des obligations légales de conservation.

14. Modifications

Toute modification substantielle de cette politique est annoncée sur le site avant son entrée en vigueur. La date de mise à jour figure en tête de page.