Politique de confidentialité

La présente politique décrit comment Association GML E-SPORTS traite les données personnelles des utilisateurs du service DebriefLab, conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés ».

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur le service est Association GML E-SPORTS, dont le siège social est situé 23 allée des Açores, 35200 Rennes, France.

Contact : asso.gml.esports@gmail.com.

2. Délégué à la protection des données

Délégué à la protection des données (DPO) ou référent RGPD : Non désigné (association < 250 salariés).

Pour toute question relative au traitement de vos données, contactez : asso.gml.esports@gmail.com.

3. Données collectées

Nous collectons les catégories de données suivantes :

• Données de compte : adresse email, identifiant, mot de passe (chiffré via Argon2id, jamais stocké en clair), préférences de notification, langue, fuseau horaire, photo de profil le cas échéant.
• Contenu utilisateur : vidéos uploadées ou importées, commentaires, annotations, sondages, réactions, tags temporels, métadonnées associées.
• Données d'équipe : nom de l'équipe, rôle et appartenance des membres, invitations envoyées ou reçues.
• Données techniques : adresse IP, user agent, identifiants de session JWT, journaux de connexion, logs d'événements applicatifs.
• Données de facturation (le cas échéant) : nom, adresse de facturation, identifiant client chez notre prestataire de paiement. Aucune coordonnée bancaire n'est stockée par Association GML E-SPORTS.
• Preuves de consentement : horodatage d'acceptation des CGU, de la politique et de l'attestation d'âge, version du document acceptée ; et, pour les abonnements, la preuve du consentement aux opérations de facturation - acceptation des CGV, renonciation expresse à l'essai, consentement aux changements d'abonnement (état avant/après, montants validés, mode d'application, horodatage) et exercice du droit de rétractation. Ces preuves ne comportent aucune coordonnée bancaire ; l'adresse IP n'est conservée que pour l'acceptation initiale des CGV.

4. Finalités et bases légales

Les données sont traitées pour les finalités et bases légales suivantes :

• Fourniture du service et exécution du contrat (RGPD art. 6-1-b) : création et gestion du compte, hébergement et lecture des contenus, collaboration en équipe, partage.
• Sécurité du service (intérêt légitime, art. 6-1-f) : détection des fraudes et abus, journalisation technique, lutte contre les violations des CGU.
• Obligations légales (art. 6-1-c) : conservation des journaux de connexion (loi n° 2004-575 du 21 juin 2004 dite LCEN et décret n° 2021-1362 du 20 octobre 2021, 1 an), conservation des factures et des preuves de consentement aux opérations de facturation (Code de commerce, 10 ans).
• Preuve du consentement aux opérations d'abonnement et gestion des litiges (intérêt légitime, art. 6-1-f) : conservation des preuves de changement d'abonnement et de rétractation afin d'attester du consentement de l'Abonné et de traiter une éventuelle contestation.
• Génération de résumés IA des vidéos, à la demande de l'utilisateur (consentement explicite pour le demandeur, art. 6-1-a ; intérêt légitime de l'équipe pour les autres personnes dont les commentaires sont inclus, art. 6-1-f) : voir le détail ci-dessous.
• Communication opérationnelle (intérêt légitime) : notifications liées à la sécurité du compte, aux invitations et à la vie de votre abonnement, exclusivement via les notifications in-app du service ; à ce jour, aucune de ces communications n'est envoyée par email.
• Amélioration du service et statistiques d'usage (intérêt légitime), uniquement sur des données agrégées ou pseudonymisées.

Traitement par intelligence artificielle (résumés IA)

Lorsque vous demandez la génération d'un résumé IA d'une vidéo, vous choisissez d'abord un ensemble de commentaires à résumer (un « set »). Le contenu de ces commentaires, y compris ceux rédigés par d'autres membres de votre équipe, est transmis à Google (service Gemini) pour produire une synthèse.

• Base légale à votre égard : le consentement (art. 6-1-a du RGPD), recueilli de manière explicite via une fenêtre dédiée avant tout envoi, distincte de l'acceptation des CGU. Vous pouvez retirer ce consentement à tout moment depuis vos paramètres de compte ; le retrait empêche toute nouvelle génération mais n'efface pas les résumés déjà produits.
• Base légale à l'égard des autres membres de l'équipe dont les commentaires sont inclus : ces personnes ne consentent pas individuellement à cet envoi précis. Le traitement repose donc, pour elles, sur l'intérêt légitime de l'équipe (art. 6-1-f du RGPD) à disposer d'une synthèse de ses propres échanges, dans la limite stricte d'un usage intra-équipe : les commentaires transmis sont exclusivement ceux du set choisi au sein de l'équipe du demandeur, jamais des contenus extérieurs à celle-ci.
• Droit d'opposition : ce traitement reposant, pour ces membres, sur l'intérêt légitime, chacun d'eux peut s'y opposer à tout moment et demander que ses propres commentaires ne soient plus inclus dans une synthèse (art. 21 du RGPD). La demande se fait auprès du contact indiqué au §10.
• Destinataire et garanties de transfert : voir « Destinataires et sous-traitants » ci-dessous et « Transferts hors Union européenne ».

Le traitement est optionnel et ne se déclenche jamais automatiquement.

5. Destinataires et sous-traitants

Les données sont accessibles uniquement aux personnels habilités d'Association GML E-SPORTS et à ses sous-traitants techniques agissant sur instruction documentée :

• Hébergeur : OVHcloud SAS (2 rue Kellermann, 59100 Roubaix, France) pour le stockage et la diffusion.
• Cloudflare, Inc. (stockage objet Cloudflare R2, région Union européenne) pour l'hébergement et la diffusion des médias (vidéos, miniatures, clips), via le sous-domaine media.debrieflab.com.
• Google (Google Ireland Limited / Google LLC), pour la génération de résumés IA (Gemini) - voir « Traitement par intelligence artificielle » au §4 et « Transferts hors Union européenne » au §7.
• Prestataire de paiement : Stripe Payments Europe, Ltd (Irlande, Union européenne), pour le traitement des abonnements et de la facturation.
• Service de supervision d'erreurs (Sentry, région Union européenne - instance de.sentry.io) avec données pseudonymisées.

Chaque sous-traitant fait l'objet d'un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD. La liste actualisée est disponible sur demande à asso.gml.esports@gmail.com.

6. Durées de conservation

• Compte actif : pendant toute la durée d'utilisation du service. Aucune purge automatique liée à l'inactivité n'est mise en œuvre à ce jour ; vous pouvez demander la suppression de votre compte à tout moment depuis votre espace personnel.
• Compte supprimé : la demande ouvre un délai de grâce de 30 jours pendant lequel vous pouvez l'annuler. Passé ce délai, votre compte est anonymisé de façon irréversible (identifiant, email et avatar remplacés, mot de passe invalidé) : les données ne permettent plus de vous identifier. L'enregistrement du compte n'est pas supprimé de la base - voir « Preuves de consentement » ci-dessous pour ce qui y est conservé et pourquoi.
• Vidéos personnelles (non rattachées à une équipe) : supprimées immédiatement, que ce soit à votre initiative ou à l'anonymisation de votre compte - il n'existe pas de délai de corbeille. Les métadonnées associées (titre, commentaires, statistiques) restent conservées dans une archive technique interne, pour une durée maximale de 5 ans à compter de la suppression de la vidéo, alignée sur la prescription de droit commun (art. L110-4 du Code de commerce), puis supprimées.
• Vidéos d'équipe : les vidéos que vous publiez au sein d'une équipe appartiennent à celle-ci. Elles sont conservées après la suppression de votre compte, votre identité y étant alors masquée, sur le fondement de l'intérêt légitime des autres membres de l'équipe à conserver l'historique commun (art. 6-1-f du RGPD).
• Journaux de connexion (IP, date, identifiant ou email tenté en cas d'échec) : 1 an, en application de la LCEN et du décret n° 2021-1362 du 20 octobre 2021. L'email tenté lors d'une connexion ratée est conservé sous le fondement de l'intérêt légitime (art. 6-1-f) pour détecter les tentatives de brute-force / credential stuffing même sur un compte inexistant.
• Journaux techniques du serveur et de l'application (adresse IP, agent utilisateur, URL appelée, messages d'erreur) : 7 jours, puis suppression automatique.
• Télémétrie de qualité de lecture vidéo (mesures de débit et de mise en mémoire tampon, sans identité directe) : 30 jours.
• Signalements de contenus et décisions de modération : 5 ans, au titre des obligations du règlement (UE) 2022/2065 (DSA). L'adresse IP de la personne à l'origine du signalement est anonymisée au bout d'un an.
• Factures et données de facturation : 10 ans, conformément à l'article L123-22 du Code de commerce.
• Données de facturation résiduelles chez notre prestataire de paiement (Stripe) : après la suppression de votre compte, certaines données liées à vos paiements peuvent rester lisibles chez Stripe pendant une durée limitée, fixée par les obligations comptables et anti-fraude propres à Stripe. Association GML E-SPORTS déclenche de son côté l'effacement dès que possible ; ce délai résiduel ne dépend pas de nous.
• Preuves de consentement aux changements d'abonnement et à la rétractation : conservées comme pièces comptables pendant 10 ans (art. L123-22 du Code de commerce). Elles sont incluses dans l'export de vos données ; à la suppression du compte, l'enregistrement est anonymisé (dissociation de l'identité) plutôt que supprimé, la pièce comptable devant être conservée (art. 17.3.b du RGPD).
• Cookies : voir politique cookies.

7. Transferts hors Union européenne

Les données sont prioritairement hébergées dans l'Union européenne. Tout transfert vers un pays hors UE n'ayant pas fait l'objet d'une décision d'adéquation de la Commission européenne est encadré par les clauses contractuelles types (CCT) ou par le Data Privacy Framework (DPF) lorsque applicable.

Le traitement IA des résumés (Google Gemini, voir §4 et §5) fait l'objet d'une garantie spécifique. Le compte Google utilisé par le service est rattaché à l'Espace économique européen. Les conditions de l'API Gemini prévoient que, pour les comptes ainsi rattachés (EEE, Suisse, Royaume-Uni), le régime des « services payants » s'applique à l'ensemble des appels, y compris sur le palier gratuit utilisé par DebriefLab : vos données ne sont pas utilisées pour entraîner les modèles de Google, et un contrat de sous-traitance (DPA) encadre le traitement, complété par les clauses contractuelles types ou le Data Privacy Framework pour le transfert lui-même. Cette garantie résulte des conditions d'utilisation de l'API Gemini publiées par Google.

8. Cookies

Le service utilise uniquement des cookies techniques essentiels à son fonctionnement (authentification, préférences). Aucun cookie publicitaire ni de suivi tiers n'est déposé. La liste détaillée est disponible dans la politique cookies.

9. Sécurité

Association GML E-SPORTS met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la confidentialité, l'intégrité et la disponibilité des données : chiffrement des mots de passe (Argon2id), séparation des environnements, restrictions d'accès, journalisation, sauvegardes, mises à jour de sécurité.

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des utilisateurs, Association GML E-SPORTS notifie la CNIL dans un délai de 72 heures et, le cas échéant, informe les utilisateurs concernés.

10. Vos droits RGPD

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès et de copie de vos données ;
• Droit de rectification ;
• Droit à l'effacement (droit à l'oubli) ;
• Droit à la portabilité (export depuis votre espace personnel) ;
• Droit d'opposition au traitement ;
• Droit à la limitation du traitement ;
• Droit de définir des directives relatives au sort de vos données après décès.

Pour exercer ces droits, rendez-vous sur la page Mes données ou contactez le DPO : asso.gml.esports@gmail.com. Vous obtiendrez une réponse dans un délai maximum d'un mois.

11. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) :

• 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• https://www.cnil.fr

12. Mineurs

Le service est interdit aux moins de 15 ans, conformément au seuil d'âge fixé par la loi française pour le consentement au traitement de données personnelles. Une attestation est demandée lors de l'inscription. Tout compte dont le titulaire s'avérerait âgé de moins de 15 ans est désactivé et ses données supprimées.

13. Modifications

La présente politique peut évoluer. Toute modification substantielle (nouvelles finalités, nouveaux destinataires, allongement notable des durées) fait l'objet d'une notification spécifique dans l'application.

La présente politique est également disponible en anglais, en espagnol et en allemand. Ces traductions sont fournies à titre d'information : seule la version française fait foi.