Politique de confidentialité

La présente politique décrit comment Association GML E-SPORTS traite les données personnelles des utilisateurs du service DebriefLab, conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés ».

---

• 1. Responsable du traitement
• 2. Délégué à la protection des données
• 3. Données collectées
• 4. Finalités et bases légales
• 5. Destinataires et sous-traitants
• 6. Durées de conservation
• 7. Transferts hors Union européenne
• 8. Cookies
• 9. Sécurité
• 10. Vos droits RGPD
• 11. Réclamation auprès de la CNIL
• 12. Mineurs
• 13. Modifications

---

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur le service est Association GML E-SPORTS, dont le siège social est situé 23 allée des Açores, 35200 Rennes, France.

Contact : asso.gml.esports@gmail.com.

2. Délégué à la protection des données

Association GML E-SPORTS n’a pas désigné de délégué à la protection des données (DPO) : cette désignation n’est pas obligatoire au regard de l’article 37 du RGPD, l’activité ne consistant ni en un suivi régulier et systématique à grande échelle des personnes, ni en un traitement à grande échelle de données sensibles.

Contact vie privée, pour toute question relative au traitement de vos données ou pour exercer vos droits : asso.gml.esports@gmail.com.

3. Données collectées

Nous collectons les catégories de données suivantes :

• Données de compte : adresse e-mail, identifiant, mot de passe (haché avec Argon2id, jamais stocké en clair), préférences de notification, langue, fuseau horaire, photo de profil le cas échéant.
• Contenu utilisateur : vidéos uploadées ou importées, commentaires, annotations, notes vocales, sondages, réactions, tags temporels, métadonnées associées.
• Données d’équipe : nom de l’équipe, rôle et appartenance des membres, invitations envoyées ou reçues.
• Données techniques : adresse IP, user agent, identifiants de session JWT, journaux de connexion, logs d’événements applicatifs.
• Données de supervision des erreurs : lorsqu’une erreur technique survient, traces d’erreur, chemin de la page sans paramètres, version de l’application et type de navigateur, sans adresse e-mail, cookie ni jeton d’accès (voir « Destinataires »).
• Données de qualité de lecture vidéo : temps de lecture et temps passé par niveau de qualité, mode de diffusion, catégorie d’appareil, famille de navigateur, délai de démarrage, délais de déplacement dans la vidéo avec le type de commande utilisé (clavier, barre de lecture, commentaire ou autre), nombre et durée des interruptions pour mise en mémoire tampon, nombre d’erreurs, volume de données téléchargées. Ces mesures sont rattachées à un identifiant aléatoire de session de lecture et à la vidéo consultée, sans lien direct avec votre compte. Aucun cookie ni agent utilisateur n’y est conservé ; votre adresse IP n’y est pas enregistrée et sert seulement, pendant une heure au plus, à limiter le nombre de sessions de mesure par connexion afin de prévenir les abus.
• Données de facturation (le cas échéant) : nom, adresse de facturation, identifiant client chez notre prestataire de paiement. Aucune coordonnée bancaire n’est stockée par Association GML E-SPORTS.
• Preuves de consentement : horodatage d’acceptation des CGU, de la politique et de l’attestation d’âge, version du document acceptée ; et, pour les abonnements, la preuve du consentement aux opérations de facturation - acceptation des CGV, renonciation expresse à l’essai, consentement aux changements d’abonnement (état avant/après, montants validés, mode d’application, horodatage) et exercice du droit de rétractation. Ces preuves ne comportent aucune coordonnée bancaire ; l’adresse IP n’est conservée que pour l’acceptation initiale des CGV.
• Données de notifications push (uniquement si vous activez les notifications sur un appareil) : adresse d’abonnement (endpoint) fournie par le service de notification de votre navigateur et clés cryptographiques de l’abonnement, libellé de l’appareil (déduit de votre navigateur, par exemple « Chrome sur Android », modifiable), langue, dates de création, de dernier envoi réussi et de dernière visite, horodatage et version du texte de votre consentement, préférences de notification (types, mode des commentaires, affichage du contenu, plage de silence) et fuseau horaire utilisé pour la plage de silence.
• Données d’intégrations sortantes (webhooks) (uniquement si vous ou un gestionnaire d’équipe en créez un) : nom, format (Discord, Slack ou générique), langue, niveau de contenu et événements choisis, adresse de destination et secret de signature (chiffrés, affichés masqués), créateur, version et date de la reconnaissance du transfert ; historique des envois et journal d’audit (voir « Intégrations sortantes » au §4 et les durées au §6).

4. Finalités et bases légales

Les données sont traitées pour les finalités et bases légales suivantes :

• Fourniture du service et exécution du contrat (RGPD art. 6-1-b) : création et gestion du compte, hébergement et lecture des contenus, collaboration en équipe, partage.
• Sécurité du service (intérêt légitime, art. 6-1-f) : détection des fraudes et abus, journalisation technique, lutte contre les violations des CGU.
• Qualité de service et diagnostic de lecture (intérêt légitime, art. 6-1-f) : mesure des performances réelles de lecture vidéo afin de détecter et de corriger les lenteurs et les erreurs.
• Détection et correction des erreurs techniques (intérêt légitime, art. 6-1-f ; pour la supervision côté navigateur, votre consentement via la catégorie « Mesure d’audience » du bandeau cookies) : le service Sentry reçoit des rapports d’erreur pseudonymisés afin de corriger les dysfonctionnements.
• Obligations légales (art. 6-1-c) : conservation des journaux de connexion (loi n° 2004-575 du 21 juin 2004 dite LCEN et décret n° 2021-1362 du 20 octobre 2021, 1 an), conservation des factures et des preuves de consentement aux opérations de facturation (Code de commerce, 10 ans).
• Preuve du consentement aux opérations d’abonnement et gestion des litiges (intérêt légitime, art. 6-1-f) : conservation des preuves de changement d’abonnement et de rétractation afin d’attester du consentement de l’Abonné et de traiter une éventuelle contestation.
• Génération de résumés IA des vidéos, à la demande de l’utilisateur (consentement explicite pour le demandeur, art. 6-1-a ; intérêt légitime de l’équipe pour les autres personnes dont les commentaires sont inclus, art. 6-1-f) : voir le détail ci-dessous.
• Communication opérationnelle (intérêt légitime) : notifications liées à la sécurité du compte, aux invitations et à la vie de votre abonnement, via les notifications in-app du service et, si vous les avez activées, les notifications push (voir ci-dessous) ; à ce jour, aucune de ces communications n’est envoyée par e-mail.
• Amélioration du service et statistiques d’usage (intérêt légitime), uniquement sur des données agrégées ou pseudonymisées.
• Notifications push sur vos appareils (consentement, art. 6-1-a du RGPD et article 82 de la loi Informatique et Libertés pour l’enregistrement du service worker et de l’abonnement dans votre navigateur) : vous prévenir, sur le téléphone ou l’ordinateur de votre choix, des événements que vous avez sélectionnés (vidéo prête, mention, invitation, session live, parrainage, problème de paiement, etc.). Rien n’est enregistré ni envoyé avant votre activation explicite dans Réglages puis Notifications, suivie de l’autorisation de votre navigateur ; vous pouvez retirer votre consentement à tout moment aussi simplement que vous l’avez donné (interrupteur, retrait de l’appareil ou réglage du navigateur). Par défaut, une notification peut afficher le pseudo de l’auteur d’une action, le titre d’une vidéo ou le nom d’une équipe et un court extrait de commentaire, y compris sur l’écran verrouillé de votre appareil, où d’autres personnes peuvent le voir ; l’option « Afficher le contenu » de Réglages puis Notifications permet de n’afficher qu’un texte générique. Aucune notification push à visée promotionnelle n’est envoyée.
• Intégrations sortantes, ou webhooks (exécution du service demandé, art. 6-1-b, à l’égard de la personne qui configure le webhook ; intérêt légitime, art. 6-1-f, à l’égard des autres personnes dont le nom ou les commentaires figurent dans les messages) : envoyer automatiquement vers une destination que vous choisissez l’activité que vous avez sélectionnée ; voir le détail ci-dessous.

Traitement par intelligence artificielle (résumés IA)

Lorsque vous demandez la génération d’un résumé IA d’une vidéo, vous choisissez d’abord un ensemble de commentaires à résumer (un « set »). Le contenu de ces commentaires, y compris ceux rédigés par d’autres membres de votre équipe, est transmis à Google (service Gemini) pour produire une synthèse. Si ce service est indisponible, le même contenu est transmis, en dernier recours, à DeepSeek (voir §5 et §7).

• Base légale à votre égard : le consentement (art. 6-1-a du RGPD), recueilli de manière explicite via une fenêtre dédiée avant tout envoi, distincte de l’acceptation des CGU. Vous pouvez retirer ce consentement à tout moment depuis vos paramètres de compte ; le retrait empêche toute nouvelle génération mais n’efface pas les résumés déjà produits.
• Base légale à l’égard des autres membres de l’équipe dont les commentaires sont inclus : ces personnes ne consentent pas individuellement à cet envoi précis. Le traitement repose donc, pour elles, sur l’intérêt légitime de l’équipe (art. 6-1-f du RGPD) à disposer d’une synthèse de ses propres échanges, dans la limite stricte d’un usage intra-équipe : les commentaires transmis sont exclusivement ceux du set choisi au sein de l’équipe du demandeur, jamais des contenus extérieurs à celle-ci.
• Droit d’opposition : ce traitement reposant, pour ces membres, sur l’intérêt légitime, chacun d’eux peut s’y opposer à tout moment et demander que ses propres commentaires ne soient plus inclus dans une synthèse (art. 21 du RGPD). Vous pouvez le faire vous-même depuis vos paramètres, rubrique « Confidentialité », option « Exclure mes commentaires des résumés IA », ou auprès du contact indiqué au §10. Les résumés déjà produits ne sont pas refaits. La première fois qu’un résumé IA concerne vos commentaires, nous vous le signalons une seule fois par une notification dans l’application, avec un lien vers le réglage « Exclure mes commentaires des résumés IA », qui vous permet de vous y opposer à tout moment (article 21 du RGPD).
• Destinataire et garanties de transfert : voir « Destinataires et sous-traitants » ci-dessous et « Transferts hors Union européenne ».

Le traitement est optionnel et ne se déclenche jamais automatiquement.

Intégrations sortantes (webhooks)

Si vous (ou le gestionnaire d’une équipe) configurez un webhook, DebriefLab envoie automatiquement les événements sélectionnés (commentaires, réponses, mentions, vidéos prêtes, productions, arrivées et départs de membres, etc.) vers l’adresse que vous avez saisie : un canal Discord, un canal Slack ou un serveur HTTPS de votre choix (message JSON signé). Cette fonction est facultative, en version bêta et réservée à certains abonnements ; rien n’est envoyé tant qu’aucun webhook n’existe.

• Qui décide, et qui est responsable : la destination est choisie par la personne qui crée le webhook, pour son compte personnel, pour une équipe (propriétaire, administrateurs et membres disposant du droit correspondant) ou pour une vidéo. DebriefLab exécute cette instruction. La destination est le destinataire choisi par cette personne, pas un sous-traitant de DebriefLab, qui n’a aucun contrat avec elle. Qui configure un webhook répond du choix de la destination et de l’audience du canal (qui peut lire un canal Discord ou Slack, qui administre le serveur) et ne doit y envoyer que ce qu’il a le droit de partager.
• Données envoyées : selon le niveau de contenu choisi pour chaque webhook (texte complet tronqué à environ 1 000 caractères, extrait court, sans texte, ou lien seul), un message peut contenir le pseudo de l’auteur de l’action, le titre de la vidéo, le texte d’un commentaire (y compris celui d’autres membres de l’équipe ou d’invités), l’horodatage dans la vidéo et un lien vers DebriefLab. Il ne contient jamais d’adresse e-mail, de jeton, de lien vers un fichier média, de note vocale ni de texte de rapport IA. Au niveau « lien seul », il ne contient ni nom ni titre.
• Base légale : à l’égard de la personne qui configure le webhook, l’exécution du service qu’elle demande (art. 6-1-b). À l’égard des autres personnes dont le nom ou les commentaires peuvent figurer dans un message (membres de l’équipe, invités), l’intérêt légitime de l’équipe à recevoir son activité dans ses propres outils (art. 6-1-f), limité par le niveau de contenu, par le contrôle de l’accès au moment de chaque envoi et par la suspension du webhook d’une personne qui perd ses droits. Ces personnes peuvent s’y opposer (art. 21 du RGPD) en écrivant au contact du §10 ; elles sont informées par une mention discrète affichée à toute personne pouvant voir une vidéo concernée (invités compris) ou la page d’équipe, qui indique seulement que des intégrations reçoivent l’activité, sans adresse ni nom.
• Reconnaissance à la création : à la création d’un webhook et à chaque changement d’adresse, vous devez cocher une case reconnaissant que les données sont envoyées à un service tiers de votre choix, potentiellement hors de l’Union européenne, et qu’un message remis ne peut pas être rappelé. Cette case atteste que vous avez été informé et que l’envoi résulte de votre instruction (la version du texte et la date sont conservées). Elle ne constitue pas une base légale pour les données de tiers figurant dans les messages.
• Messages non rappelables : une fois remis, un message ne peut être ni rappelé ni supprimé par DebriefLab, même si le commentaire est ensuite modifié ou supprimé, la vidéo supprimée ou le compte anonymisé. Seul le destinataire peut le supprimer, et il en répond.
• Ce que DebriefLab conserve : l’adresse de destination et le secret de signature, chiffrés, jamais affichés en entier (hôte et derniers caractères seulement) et jamais écrits dans les journaux ; l’historique des envois (événement, identifiants, résultat, code de réponse, durée, type d’erreur), sans le contenu du message, l’adresse ni la réponse du destinataire ; un journal d’audit (qui a créé, modifié ou supprimé un webhook, quand), sans adresse ni secret. Durées au §6.
• Vos droits : l’export de vos données contient vos webhooks personnels (adresse masquée), leur historique et les entrées d’audit dont vous êtes l’auteur. À l’anonymisation de votre compte, vos webhooks personnels et leur historique sont supprimés ; les webhooks d’équipe que vous aviez créés sont suspendus jusqu’à ce qu’un gestionnaire ressaisisse l’adresse, et votre identité en est dissociée ; elle l’est aussi dans le journal d’audit. La suppression d’une vidéo ou d’une équipe, ou le changement d’espace d’une vidéo, supprime les webhooks concernés.

5. Destinataires et sous-traitants

Les données sont accessibles uniquement aux personnels habilités d’Association GML E-SPORTS et à ses sous-traitants techniques agissant sur instruction documentée :

• Hébergeur : OVHcloud SAS (2 rue Kellermann, 59100 Roubaix, France) pour le stockage et la diffusion.
• Cloudflare, Inc. (stockage objet Cloudflare R2, région Union européenne) pour l’hébergement et la diffusion des médias (vidéos, miniatures, clips), via le sous-domaine media.debrieflab.com.
• Google (Google Ireland Limited / Google LLC), pour la génération de résumés IA (Gemini) - voir « Traitement par intelligence artificielle » au §4 et « Transferts hors Union européenne » au §7.
• Hangzhou DeepSeek Artificial Intelligence Co., Ltd. (Chine), uniquement en secours lorsque notre fournisseur d’IA principal est indisponible, pour la génération de résumés IA : DeepSeek reçoit alors le même contenu que le fournisseur principal pour ce résumé (commentaires du set choisi et textes de contexte). Ce traitement repose sur les mêmes bases légales que les résumés IA - voir « Traitement par intelligence artificielle » au §4 et « Transferts hors Union européenne » au §7.
• Prestataire de paiement : Stripe Payments Europe, Ltd (Irlande, Union européenne), pour le traitement des abonnements et de la facturation.
• Service de supervision d’erreurs (Sentry, région Union européenne, hébergement en Allemagne - instance de.sentry.io) avec données pseudonymisées. Côté navigateur, ce service n’est activé que si vous acceptez la catégorie « Mesure d’audience » du bandeau cookies ; côté serveur, aucune donnée de compte ne lui est transmise volontairement.
• KLIPY (Klipy Inc., États-Unis), pour la fonction GIF et stickers des commentaires : lorsque vous ouvrez le sélecteur de GIF et de stickers ou lancez une recherche, votre navigateur envoie directement à KLIPY les termes recherchés, votre adresse IP et des données techniques de navigation ; lorsque vous consultez un commentaire contenant un GIF ou un sticker, votre navigateur charge ce contenu depuis les serveurs de KLIPY, qui reçoivent votre adresse IP et ces mêmes données techniques. DebriefLab ne conserve avec le commentaire que la référence du GIF ou du sticker (identifiant et lien) ; aucune publicité n’est affichée et aucun identifiant de votre compte n’est transmis à KLIPY. Ce traitement repose sur l’exécution du service (art. 6-1-b), comme les autres fonctions de commentaire.
• Services de notification push des éditeurs de navigateurs : Google (Firebase Cloud Messaging, pour Chrome et les navigateurs basés sur Chromium), Apple (pour Safari), Mozilla (pour Firefox) et Microsoft (pour Edge), selon le navigateur de l’appareil enregistré. Ils reçoivent l’adresse d’abonnement de l’appareil et, à chaque envoi, un message chiffré dont ils ne peuvent pas lire le contenu, ainsi que des données techniques d’acheminement (adresse IP du serveur émetteur, taille et date du message). Ce ne sont pas des sous-traitants de DebriefLab : ce service est choisi par votre navigateur, pas par nous, et son éditeur l’exploite pour son propre compte, en tant que responsable de traitement, selon ses propres conditions et sa politique de confidentialité.
• Destinations de webhooks que vous choisissez : Discord (Discord Inc., États-Unis ; Discord Netherlands B.V. pour l’Espace économique européen), Slack (Slack Technologies, LLC, société du groupe Salesforce, Inc., États-Unis) ou tout serveur tiers de votre choix. Elles reçoivent les messages que vous avez demandés (voir « Intégrations sortantes » au §4). Ce ne sont pas des sous-traitants de DebriefLab : le destinataire est choisi par vous, traite les messages pour son propre compte selon ses propres conditions, et DebriefLab n’a aucun contrat avec lui.

Chaque sous-traitant (hors KLIPY, qui reçoit ces données directement de votre navigateur, et hors DeepSeek, voir §7) fait l’objet d’un contrat de sous-traitance (DPA) conforme à l’article 28 du RGPD. Les services de notification push des éditeurs de navigateurs, qui ne sont pas des sous-traitants (voir ci-dessus), ne relèvent pas d’un tel contrat. La liste actualisée est disponible sur demande à asso.gml.esports@gmail.com.

Les messages que vous adressez à l’adresse de contact de l’association (demandes d’exercice de vos droits, signalements, questions) sont reçus dans sa messagerie électronique, fournie par Google (Gmail, Google LLC) : voir « Transferts hors Union européenne » au §7.

6. Durées de conservation

• Compte actif : pendant toute la durée d’utilisation du service. Aucune purge automatique liée à l’inactivité n’est mise en œuvre à ce jour ; vous pouvez demander la suppression de votre compte à tout moment depuis votre espace personnel.
• Compte supprimé : la demande ouvre un délai de grâce de 30 jours pendant lequel vous pouvez l’annuler. Passé ce délai, votre compte est anonymisé de façon irréversible (identifiant, e-mail et avatar remplacés, mot de passe invalidé) : les données ne permettent plus de vous identifier. L’enregistrement du compte n’est pas supprimé de la base - voir « Preuves de consentement » ci-dessous pour ce qui y est conservé et pourquoi.
• Vidéos personnelles (non rattachées à une équipe) : le fichier vidéo est supprimé immédiatement, avec les extraits et les rapports exportés qui en sont tirés, que ce soit à votre initiative ou à l’anonymisation de votre compte - il n’existe pas de délai de corbeille. Le reste est conservé dans une archive, sauf lorsque la suppression résulte de l’anonymisation de votre compte : titre et caractéristiques du fichier, commentaires et fichiers qui leur sont joints (images, annotations, notes vocales, images de sondage), tags, sondages, liens de partage et accès invités, résumés IA. Cette archive vous permet de retrouver ces éléments si vous envoyez à nouveau la même vidéo. Vous pouvez la consulter et la supprimer à tout moment depuis vos paramètres, rubrique « Archives ». À défaut, elle est supprimée avec ses fichiers au plus tard 1 an après la suppression de la vidéo, ou dès l’anonymisation de votre compte.
• Vidéos d’équipe : les vidéos que vous publiez au sein d’une équipe appartiennent à celle-ci. Elles sont conservées après la suppression de votre compte, votre identité y étant alors masquée, sur le fondement de l’intérêt légitime des autres membres de l’équipe à conserver l’historique commun (art. 6-1-f du RGPD). Lorsqu’une vidéo d’équipe est supprimée, son archive reste à l’équipe, selon les mêmes règles, et est supprimée avec ses fichiers au plus tard 1 an après la suppression de la vidéo. Vos commentaires et leurs fichiers joints, notes vocales comprises, y restent jusque-là, même après la suppression de votre compte, votre identité y étant masquée. Exception : si vous êtes le propriétaire d’une équipe, celle-ci est transmise, à la suppression de votre compte, à celui de ses administrateurs qui en est membre depuis le plus longtemps ; si elle n’a aucun administrateur, elle est dissoute et chaque vidéo revient dans l’espace personnel de la personne qui l’a publiée (ou est placée en attente de récupération si cet espace est plein), les vidéos que vous y aviez vous-même publiées étant alors supprimées comme vos vidéos personnelles.
• Vidéos d’une équipe supprimée : lorsqu’une équipe est supprimée, chaque vidéo revient dans l’espace personnel de la personne qui l’a publiée. Si elle ne rentre pas dans son quota, cette personne dispose de 3 jours pour la récupérer. Passé ce délai, la vidéo n’est plus accessible à aucun utilisateur et n’est plus comptée dans son espace, mais Association GML E-SPORTS la conserve, accessible aux seuls administrateurs de la plateforme, afin de pouvoir la restaurer sur demande, sur le fondement de l’intérêt légitime (art. 6-1-f du RGPD), au plus tard 12 mois ; elle est ensuite supprimée définitivement, fichiers compris, par un administrateur de la plateforme. Une suppression explicite par l’utilisateur reste immédiate et définitive, et la suppression d’un compte efface aussi ces vidéos.
• Historique de localisation des vidéos (dates, type d’événement, espaces d’origine et de destination, payeur, compte à l’origine de l’action, motif, titre de la vidéo au moment de l’événement) : 5 ans à compter de chaque événement, pour le support et la preuve ; il n’est visible que des administrateurs de la plateforme, puis supprimé automatiquement. À la suppression du compte, les titres sont effacés et les références aux comptes sont anonymisées.
• Journaux de connexion (IP, date, identifiant ou e-mail tenté en cas d’échec) : 1 an, en application de la LCEN et du décret n° 2021-1362 du 20 octobre 2021. L’e-mail tenté lors d’une connexion ratée est conservé sous le fondement de l’intérêt légitime (art. 6-1-f) pour détecter les tentatives de brute-force / credential stuffing même sur un compte inexistant.
• Journaux techniques du serveur et de l’application (adresse IP, agent utilisateur, URL appelée, messages d’erreur) : 7 jours, puis suppression automatique.
• Données de qualité de lecture vidéo (temps de lecture et par niveau de qualité, mode de diffusion, catégorie d’appareil, famille de navigateur, délais, mise en mémoire tampon, erreurs, volume de données téléchargées, rattachés à un identifiant aléatoire de session de lecture et sans lien direct avec votre compte) : 30 jours à compter de la dernière mise à jour de la session de lecture, puis suppression automatique.
• Signalements de contenus et décisions de modération : 5 ans, au titre des obligations du règlement (UE) 2022/2065 (DSA). L’adresse IP de la personne à l’origine du signalement est anonymisée au bout d’un an.
• Factures et données de facturation : 10 ans, conformément à l’article L123-22 du Code de commerce.
• Données de facturation résiduelles chez notre prestataire de paiement (Stripe) : après la suppression de votre compte, certaines données liées à vos paiements peuvent rester lisibles chez Stripe pendant une durée limitée, fixée par les obligations comptables et anti-fraude propres à Stripe. Association GML E-SPORTS déclenche de son côté l’effacement dès que possible ; ce délai résiduel ne dépend pas de nous.
• Preuves de consentement aux changements d’abonnement et à la rétractation : conservées comme pièces comptables pendant 10 ans (art. L123-22 du Code de commerce). Elles sont incluses dans l’export de vos données ; à la suppression du compte, l’enregistrement est anonymisé (dissociation de l’identité) plutôt que supprimé, la pièce comptable devant être conservée (art. 17.3.b du RGPD).
• Appareils enregistrés pour les notifications push : jusqu’à ce que vous retiriez l’appareil ou désactiviez les notifications, que le service de notification du navigateur signale l’abonnement comme invalide, ou que votre compte soit supprimé (les envois cessent dès la demande de suppression, puis les appareils et les préférences de notification sont supprimés avec l’anonymisation du compte). Un appareil sur lequel vous n’êtes pas revenu sur le service depuis 90 jours est supprimé automatiquement, même s’il reçoit encore des notifications. Une session expirée sans déconnexion laisse l’appareil enregistré jusqu’à cette purge de 90 jours : sur un ordinateur partagé, déconnectez-vous ou retirez l’appareil. Le contenu des notifications n’est pas conservé après l’envoi ; les événements mis en attente pendant votre plage de silence sont conservés 24 heures au plus.
• Intégrations sortantes (webhooks) : la configuration (adresse chiffrée, options, reconnaissance) est conservée tant que le webhook existe, jusqu’à sa suppression par vous ou un gestionnaire, la suppression de la vidéo ou de l’équipe concernée, ou l’anonymisation du compte pour les webhooks personnels ; l’historique des envois est conservé 30 jours, puis supprimé automatiquement ; le journal d’audit est conservé 12 mois, puis supprimé automatiquement. Les messages déjà remis à la destination ne dépendent plus de DebriefLab.
• Rapports d’erreur techniques (Sentry) : 90 jours, puis suppression automatique.
• Cookies : voir politique cookies.

7. Transferts hors Union européenne

Les données sont prioritairement hébergées dans l’Union européenne. Tout transfert vers un pays hors UE n’ayant pas fait l’objet d’une décision d’adéquation de la Commission européenne est encadré par les clauses contractuelles types (CCT) ou par le Data Privacy Framework (DPF) lorsque applicable, sauf dans les cas décrits ci-dessous.

Les messages adressés à l’adresse de contact de l’association (Gmail, voir §5) sont hébergés par Google LLC et peuvent être transférés aux États-Unis ; ce transfert est encadré par le Data Privacy Framework, auquel Google LLC a adhéré.

KLIPY étant établie aux États-Unis, l’utilisation de la fonction GIF et stickers entraîne un transfert de votre adresse IP et de vos recherches hors de l’Union européenne, sans décision d’adéquation propre à ce prestataire. Cette fonction est facultative : si vous ne souhaitez pas ce transfert, n’utilisez pas le sélecteur de GIF et de stickers.

Les services de notification push de Google, d’Apple, de Microsoft et de Mozilla sont exploités par des sociétés établies aux États-Unis : lorsque vous activez les notifications, l’adresse d’abonnement de votre appareil et les messages chiffrés transitent par le service de l’éditeur de votre navigateur, ce qui peut constituer un transfert hors de l’Union européenne. Pour Chrome et les navigateurs basés sur Chromium (Google LLC) et pour Edge (Microsoft Corporation), ce transfert est encadré par le Data Privacy Framework, auquel ces deux sociétés ont adhéré. Apple et Mozilla n’y ont pas adhéré : pour Safari et Firefox, le transfert a lieu sans décision d’adéquation propre à ces éditeurs ni garantie spécifique mise en place par DebriefLab. Dans tous les cas, le contenu des messages reste chiffré de bout en bout entre DebriefLab et votre navigateur. Cette fonction est facultative : si vous ne souhaitez pas ce transfert, n’activez pas les notifications push. Ce transfert repose sur votre consentement explicite, recueilli au moment de l’activation des notifications (article 49, paragraphe 1, point a, du RGPD).

Les destinations de webhooks sont choisies par vous. Discord et Slack sont exploités par des sociétés établies aux États-Unis ; une destination « générique » peut se trouver dans n’importe quel pays. Lorsque DebriefLab y envoie un message, il peut donc quitter l’Union européenne. Pour Discord et Slack, ces sociétés indiquent dans leurs propres documents s’appuyer sur le Data Privacy Framework et les clauses contractuelles types ; DebriefLab n’a pas vérifié ni ne maîtrise ces garanties, et n’en met aucune de son côté. Pour une destination générique, aucune garantie n’existe. Ce transfert résulte de votre instruction et n’est effectué que si vous avez créé le webhook et reconnu ce transfert (voir « Intégrations sortantes » au §4) ; pour vos propres données, il est nécessaire à la fonction que vous demandez (article 49, paragraphe 1, point b, du RGPD). Pour réduire les données de tiers transférées, choisissez le niveau « lien seul » ou « sans texte ». Cette fonction est facultative.

DeepSeek étant établie en Chine, pays qui ne fait l’objet d’aucune décision d’adéquation de la Commission européenne, l’envoi d’un résumé IA à DeepSeek entraîne un transfert du contenu des commentaires et des textes de contexte hors de l’Union européenne, sans garantie spécifique mise en place. Ce transfert n’a lieu qu’en dernier recours, lorsque notre fournisseur d’IA principal est indisponible, et uniquement pour la fonction facultative de résumé IA.

Le traitement IA des résumés (Google Gemini, voir §4 et §5) fait l’objet d’une garantie spécifique. Le compte Google utilisé par le service est rattaché à l’Espace économique européen. Les conditions de l’API Gemini prévoient que, pour les comptes ainsi rattachés (EEE, Suisse, Royaume-Uni), le régime des « services payants » s’applique à l’ensemble des appels, y compris sur le palier gratuit utilisé par DebriefLab : vos données ne sont pas utilisées pour entraîner les modèles de Google, et un contrat de sous-traitance (DPA) encadre le traitement, complété par les clauses contractuelles types ou le Data Privacy Framework pour le transfert lui-même. Cette garantie résulte des conditions d’utilisation de l’API Gemini publiées par Google.

8. Cookies

Le service utilise des cookies techniques essentiels à son fonctionnement (authentification, sécurité, préférences), qui ne nécessitent pas votre consentement. Il propose en option une mesure d’audience auto-hébergée (Matomo), dont les cookies ne sont déposés qu’avec votre consentement explicite, recueilli via le bandeau cookies et révocable à tout moment. Aucun cookie publicitaire ni pisteur tiers n’est déposé. La liste détaillée est disponible dans la politique cookies. Si vous activez les notifications push, un service worker est enregistré dans votre navigateur et un abonnement push y est créé ; ces éléments ne sont mis en place qu’après votre action explicite et avec votre consentement (voir la politique cookies).

9. Sécurité

Association GML E-SPORTS met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la confidentialité, l’intégrité et la disponibilité des données : hachage des mots de passe (Argon2id), séparation des environnements, restrictions d’accès, journalisation, sauvegardes, mises à jour de sécurité.

En cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des utilisateurs, Association GML E-SPORTS notifie la CNIL dans un délai de 72 heures et, le cas échéant, informe les utilisateurs concernés.

10. Vos droits RGPD

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d’accès et de copie de vos données ;
• Droit de rectification ;
• Droit à l’effacement (droit à l’oubli) ;
• Droit à la portabilité (export depuis votre espace personnel) ;
• Droit d’opposition au traitement ;
• Droit à la limitation du traitement ;
• Droit de définir des directives relatives au sort de vos données après décès.

Pour exercer ces droits, rendez-vous sur la page Mes données ou écrivez au contact vie privée (§2) : asso.gml.esports@gmail.com. Vous obtiendrez une réponse dans un délai maximum d’un mois.

11. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) :

• 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• https://www.cnil.fr

12. Mineurs

Le service est interdit aux moins de 15 ans, conformément au seuil d’âge fixé par la loi française pour le consentement au traitement de données personnelles. Une attestation est demandée lors de l’inscription. Tout compte dont le titulaire s’avérerait âgé de moins de 15 ans est désactivé et ses données supprimées.

13. Modifications

La présente politique peut évoluer. Toute modification substantielle (nouvelles finalités, nouveaux destinataires, allongement notable des durées) fait l’objet d’une notification spécifique dans l’application.

La présente politique est également disponible en anglais, en espagnol et en allemand. En cas de divergence entre les versions linguistiques, la version la plus favorable au consommateur prévaut. Pour les clients professionnels, la version française fait foi.