Politique de confidentialité

Traduction non contractuelle. Cette traduction vous est fournie à titre informatif uniquement. En cas de divergence entre les versions, la version anglaise prévaut. Lire la version anglaise

La présente Politique de confidentialité explique quelles données personnelles YGOBox collecte, pourquoi, avec qui nous les partageons, combien de temps nous les conservons et quels sont vos droits. Elle s'applique à tout ce que nos Conditions d'utilisation désignent sous le nom « YGOBox » : le site web, l'application web, notre API, les applications YGOBox pour ordinateur et téléphone, les applications YGOBox Scanner, nos e-mails et notre assistance.

L'essentiel

• Nous collectons ce dont nous avons besoin pour faire fonctionner votre compte et votre collection, et très peu d'autres choses.
• Nous n'affichons pas de publicité. Nous ne vendons pas vos données personnelles et ne les partageons pas à des fins publicitaires. Nos e-mails ne contiennent aucun pixel de suivi, et nos applications ne contiennent aucun traceur tiers.
• Vous pouvez télécharger vos données, modifier votre adresse e-mail ou vos préférences d'e-mail, ou supprimer votre compte à tout moment dans Paramètres > Compte.
• Les photos prises par YGOBox Scanner restent sur votre téléphone, à l'exception des photos de l'étiquette d'un Slab gradé, qui sont envoyées avec le lot et conservées comme photos de ce Slab.
• Les recherches PSA vont directement de votre appareil à PSA, avec votre propre jeton. Aucune donnée issue de PSA n'est stockée sur nos serveurs.

1. Qui est responsable de vos données

Fritts Films LLC, société à responsabilité limitée (limited liability company) de droit texan, Dallas, Texas, USA, exploite YGOBox et est le responsable du traitement des données personnelles décrites ici. Pour toute question ou demande relative à la confidentialité, écrivez à support@ygobox.com.

La présente politique ne couvre pas les services exploités par des tiers auxquels vous accédez via YGOBox, tels que PSA, les pages de paiement et de facturation de Stripe, ou l'App Store et Google Play. Leurs propres politiques de confidentialité s'appliquent.

2. Ce que nous collectons

Votre compte

• Votre adresse e-mail.
• Votre mot de passe, stocké uniquement sous forme d'empreinte à sens unique (scrypt). Nous ne pouvons pas le lire.
• La date de création de votre compte et celle de la confirmation de votre adresse e-mail.
• Votre identifiant public, si vous en choisissez un.
• Les paramètres d'authentification à deux facteurs, si vous l'activez : le secret de l'application d'authentification (chiffré) et vos codes de récupération (stockés sous forme d'empreintes).
• Si vous souhaitez recevoir les actualités du produit, ainsi que la date et la manière dont vous avez exprimé ou modifié ce choix pour la dernière fois.
• La version des Conditions d'utilisation que vous avez acceptée et la date de cette acceptation, la version de la présente politique que vous avez consultée, et le fait que vous avez confirmé votre âge lors de votre inscription.
• Un changement d'adresse e-mail que vous avez lancé mais pas encore confirmé.
• Votre formule (gratuite ou Booster), l'origine de Booster (le web, l'App Store, Google Play ou une attribution gratuite de notre part), son statut et sa date de renouvellement, votre identifiant client Stripe, et les identifiants de transaction que nous transmettent l'App Store ou Google Play.

Votre collection et vos autres contenus

Tout ce que vous enregistrez dans YGOBox : les cartes et leurs détails (impression, quantité, état, langue, édition, notes), les emplacements de rangement, les détails d'achat que vous saisissez (tels que le prix, la date et le vendeur), les Decks, les listes de recherche, les listes, les cartes personnalisées, les cartes que vous importez depuis Yugipedia, les cartes gradées (société de gradation, numéro de certificat, note) et les photos de vos propres Slabs (ajoutées par vous ou prises par YGOBox Scanner), les paramètres synchronisés entre vos appareils, et un historique des modifications qui permet la synchronisation et l'annulation. Nous calculons également chaque jour la valeur de votre collection à partir des prix du marché et en conservons l'historique pour vous.

Ces données sont stockées dans votre compte sur notre serveur. Chaque application YGOBox connectée sur un ordinateur ou un téléphone en conserve également une copie complète sur cet appareil.

Scans effectués avec YGOBox Scanner

• Le scanner utilise l'appareil photo de votre téléphone pour lire le nom et le code d'extension imprimés sur vos cartes (ainsi que les étiquettes des Slabs gradés). La reconnaissance s'effectue sur le téléphone. Les photos et découpes de vos cartes restent sur le téléphone et ne nous sont jamais envoyées.
• Lorsque vous êtes connecté et que vous envoyez un lot, le scanner nous transmet la liste des cartes qu'il a identifiées (carte, impression, quantité, état et autres détails similaires, ainsi que le nom de l'emplacement de rangement), afin que le lot puisse être ajouté à votre collection.
• Lorsque vous envoyez un lot contenant des Slabs gradés, les photos que le scanner a prises du côté étiquette de chaque Slab sont envoyées avec lui et conservées dans votre compte comme photos de ce Slab. Vous pouvez les supprimer du Slab à tout moment. Les photos de cartes non gradées ne sont pas envoyées.
• Les applications du scanner téléchargent la base de données des cartes et les images des cartes directement depuis YGOProDeck et peuvent rechercher des cartes sur Yugipedia. Ces services voient l'adresse IP de votre téléphone, comme pour toute requête sur Internet, mais ne reçoivent de notre part aucune information sur votre compte.
• Sur Android, la reconnaissance de texte utilise ML Kit de Google, qui fonctionne sur le téléphone. Selon la documentation de Google, ML Kit peut contacter Google pour recevoir des mises à jour et peut envoyer à Google des informations sur les performances et l'utilisation de la fonctionnalité ; il n'envoie pas les images de votre appareil photo.

Appareils, connexions et sécurité

• Appareils connectés. Pour chaque appareil sur lequel vous êtes connecté : le nom de l'appareil envoyé par l'application, la plateforme (web, ordinateur, iPhone ou Android), ainsi que la date de début de la session et celle de sa dernière utilisation. Les jetons de connexion sont stockés uniquement sous forme d'empreintes.
• Événements de sécurité. Un journal des événements importants du compte, tels que les connexions, les modifications du mot de passe, de l'adresse e-mail et de l'authentification à deux facteurs, l'acceptation des Conditions, les modifications des préférences d'e-mail et les demandes de suppression, avec l'heure, l'adresse IP d'où provient la requête et une description sommaire de l'appareil (famille de navigateur, famille de système d'exploitation et plateforme, par exemple « Chrome sous macOS » ; jamais la version exacte du navigateur). L'adresse IP et les détails du navigateur sont conservés 90 jours.
• Tentatives de connexion échouées, avec l'adresse IP, afin d'empêcher que des mots de passe soient devinés. Elles sont supprimées au bout d'un jour.
• « Mémoriser cet appareil » pour l'authentification à deux facteurs stocke un jeton sous forme d'empreinte pendant 30 jours.
• Pour limiter les abus, notre serveur conserve brièvement en mémoire les adresses IP afin de compter les requêtes. L'e-mail « nouvelle connexion » ne mentionne que le navigateur et le système d'exploitation, jamais une adresse IP ni une localisation.

Journaux du serveur

Notre serveur enregistre une ligne par requête : le type de requête, la partie de l'API concernée, le résultat et la durée de traitement. Ces lignes ne contiennent ni votre adresse IP, ni votre adresse e-mail, ni ce que vous avez recherché ; certaines contiennent l'identifiant interne de votre compte. Les journaux occupent un espace fixe et sont écrasés au fur et à mesure que de nouvelles lignes arrivent, généralement en quelques jours à quelques semaines. Ils ne sont envoyés nulle part ailleurs.

Cloudflare, qui achemine tout le trafic vers nos sites web et notre API, traite les adresses IP et les détails des requêtes afin de fournir YGOBox et de le protéger contre les attaques.

Paiements

Nous ne recevons ni ne stockons jamais votre numéro de carte bancaire ou vos coordonnées bancaires.

• Sur le web, Stripe, en tant que vendeur officiel (merchant of record), collecte vos informations de paiement, votre adresse de facturation, votre adresse e-mail et vos informations fiscales sur ses propres pages de paiement. Stripe nous communique votre identifiant client, la formule que vous avez choisie, si l'abonnement est actif, quand il est renouvelé ou prend fin, ainsi que les événements de paiement (payé, échoué, remboursé).
• Dans les applications, Apple ou Google encaissent le paiement. Ils nous communiquent un identifiant de transaction, le produit, son statut et sa date d'expiration.

E-mails

• Les e-mails relatifs au compte et à la sécurité (codes de connexion, liens de réinitialisation du mot de passe, avis de sécurité, confirmations de suppression) font partie du Service et sont envoyés quel que soit votre choix concernant les actualités du produit.
• Les actualités du produit ne sont envoyées que si vous y consentez, au maximum deux fois par mois. Nous enregistrons lesquels de ces e-mails ont été envoyés à votre compte, afin que personne ne reçoive deux fois le même.
• Nos e-mails ne comportent aucun pixel de suivi ni suivi des clics. Nous ne savons pas si vous ouvrez un e-mail ou si vous cliquez sur un lien qu'il contient.
• Notre fournisseur d'e-mail conserve ses propres journaux de distribution (adresse du destinataire, heure et statut de distribution).

Assistance

Si vous nous écrivez, nous recevons votre adresse e-mail, votre message et toute pièce jointe, comme un rapport de diagnostic que vous avez copié depuis l'application. Les applications n'envoient jamais de diagnostics d'elles-mêmes.

Partage et pages publiques

Tout ce qui se trouve dans YGOBox est privé, sauf si vous en décidez autrement. Si vous réglez un élément sur « Toute personne disposant du lien » ou « Public », ce que vous avez choisi d'afficher (les cartes et, en option, les prix, les emplacements de rangement, les quantités ou les notes) peut être vu par toute personne disposant du lien, ou par absolument tout le monde. Les pages publiques à l'adresse de votre identifiant peuvent apparaître dans les moteurs de recherche ; les pages accessibles uniquement par lien demandent aux moteurs de recherche de ne pas les répertorier. Votre adresse e-mail n'est jamais affichée. Pour les liens de partage, nous comptons les vues, sans rien enregistrer sur la personne qui consulte.

Statistiques du site web et de l'application web

Le site web et l'application web utilisent Cloudflare Web Analytics, qui compte les pages vues et mesure les temps de chargement de manière agrégée (par exemple par pays, par navigateur et par site d'origine). Selon Cloudflare, cet outil n'utilise ni cookies ni stockage local et ne procède à aucune prise d'empreinte numérique ni à aucun suivi des visiteurs d'un site à l'autre. Nous n'utilisons aucun autre outil de statistiques, et aucun suivi d'événements n'a lieu dans nos applications.

Nos sites web chargent leurs polices depuis nos propres serveurs, et non depuis Google Fonts ou un autre tiers.

Pendant la bêta privée

Tant que l'application web est en bêta privée, elle est protégée par Cloudflare Access : si vous avez été invité, votre adresse e-mail figure sur notre liste d'accès et Cloudflare vous envoie par e-mail un code à usage unique pour y accéder.

3. Ce que nous ne faisons pas

• Nous n'affichons pas de publicité et nous ne vendons pas vos données personnelles.
• Nous ne partageons pas vos données personnelles à des fins de publicité comportementale intercontextuelle ou de publicité ciblée, et nous ne permettons pas aux sociétés de publicité ou de statistiques de les collecter par l'intermédiaire de nos applications.
• Nous n'achetons pas de données vous concernant auprès de courtiers en données ou d'autres sources.
• Nous ne collectons ni votre localisation précise ni vos contacts.
• Nous ne prenons à votre égard aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires.

4. Pourquoi nous utilisons vos données, et nos bases juridiques

Si vous vous trouvez dans l'EEE, au Royaume-Uni ou en Suisse, la loi nous impose de vous indiquer la base juridique de chaque utilisation.

Lorsque nous nous fondons sur des intérêts légitimes, nous les avons mis en balance avec vos droits, et vous pouvez vous y opposer (section 9).

5. Stockage sur votre appareil et cookies

YGOBox ne dépose pas de cookies. Le site web n'en dépose aucun.

L'application web conserve quelques éléments dans le stockage de votre navigateur (stockage local et stockage de session), tous nécessaires aux fonctionnalités que vous utilisez :

• votre jeton de connexion et, si vous avez coché la case, le jeton « Mémoriser cet appareil » ;
• un identifiant de ce navigateur utilisé par la synchronisation ;
• si vous utilisez les recherches PSA, votre jeton PSA et les informations renvoyées par PSA (elles ne sont jamais transmises à nos serveurs) ;
• les adresses des liens de partage que vous avez créés dans ce navigateur ;
• les préférences d'affichage, telles que le thème et la disposition ; et
• des avis de courte durée, par exemple un message conservé lors du rechargement d'une page.

Les applications YGOBox pour ordinateur et téléphone conservent sur l'appareil la base de données de votre collection, vos paramètres et vos jetons de connexion. YGOBox Scanner conserve sur le téléphone ses paramètres, l'adresse e-mail avec laquelle vous êtes connecté et votre historique de scans. La déconnexion supprime les jetons de connexion ; si votre compte est supprimé, chaque appareil efface ce qu'il conservait pour ce compte lors de sa prochaine connexion.

Cloudflare, qui diffuse nos sites web, peut déposer des cookies strictement nécessaires à la sécurité, par exemple pour distinguer les humains des robots, ainsi que, pendant la bêta privée, un cookie qui mémorise que vous avez passé le contrôle d'accès.

Comme aucun de ces stockages n'est utilisé à des fins de suivi ou de publicité, et qu'il est soit strictement nécessaire à un service que vous avez demandé, soit destiné à mémoriser une préférence que vous avez définie, nous ne demandons pas de consentement aux cookies.

6. Avec qui nous partageons vos données

Nous ne partageons des données personnelles que dans les cas suivants.

Les prestataires de services qui nous aident à exploiter YGOBox et ne peuvent utiliser les données que pour nous fournir leur service :

Les prestataires de paiement et les boutiques d'applications, qui agissent pour leur propre compte et selon leurs propres politiques de confidentialité lorsque vous achetez Booster : Stripe (y compris Link) sur le web, et Apple ou Google dans les applications.

Les services que vous choisissez d'utiliser. Si vous ajoutez un jeton PSA, votre appareil envoie directement à PSA votre jeton et les numéros de certificat. La politique de confidentialité de PSA s'applique.

Les personnes avec qui vous partagez. Tout ce que vous rendez public ou partagez par lien est visible par les personnes qui l'ouvrent.

Les sources de données sur les cartes. Notre serveur récupère les données des cartes auprès de YGOProDeck et de Yugipedia sans envoyer aucune information vous concernant. Les applications du scanner les contactent directement (voir la section 2).

Motifs juridiques et changements d'activité. Nous pouvons divulguer des données si la loi l'exige, en réponse à une demande légale valable, ou pour protéger les droits, les biens ou la sécurité de nos utilisateurs, du public ou de nous-mêmes. Si YGOBox est vendu ou transféré à une autre société, vos données seraient transférées avec lui, et nous vous en informerions au préalable.

7. Transferts internationaux

Nous sommes établis aux États-Unis, et nos serveurs et prestataires se trouvent aux États-Unis. Si vous utilisez YGOBox depuis un autre pays, y compris depuis l'EEE, le Royaume-Uni ou la Suisse, vos données sont transférées et traitées aux États-Unis, où la législation sur la protection des données peut différer de la vôtre. Nous les transférons afin de pouvoir vous fournir le Service que vous avez demandé. Lorsque nos prestataires traitent des données personnelles provenant de l'EEE, du Royaume-Uni ou de la Suisse, nous nous appuyons sur les garanties qu'ils offrent, telles que les clauses contractuelles types de la Commission européenne (et leurs équivalents britanniques et suisses) figurant dans leurs conditions de traitement des données et, lorsqu'un prestataire est certifié, le cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework) et ses extensions britannique et suisse. Vous pouvez nous demander plus d'informations sur ces garanties.

8. Combien de temps nous conservons vos données

9. Vos droits

Où que vous viviez, vous pouvez :

• consulter et télécharger vos données : Paramètres > Compte > Vos données > « Télécharger les données de mon compte » vous fournit un fichier (JSON) contenant ce que notre serveur conserve sur votre compte : votre profil, votre formule et votre statut de facturation, l'historique de vos consentements et des documents juridiques, vos paramètres de sécurité, vos appareils connectés et vos événements de sécurité, vos liens de partage et votre identifiant public, les e-mails produit qui vous ont été envoyés, ainsi que toute suppression programmée. « Télécharger ma collection » mène à la sauvegarde complète et aux exportations dans Paramètres > Maintenance ;
• les rectifier : modifiez vous-même tout élément de votre collection, et changez votre adresse e-mail dans Paramètres > Compte > Adresse e-mail (« Changer d'adresse e-mail ») ;
• les supprimer : supprimez vous-même n'importe quel élément, ou supprimez l'intégralité de votre compte dans Paramètres > Compte > Supprimer le compte ;
• ne plus recevoir les actualités du produit : utilisez le lien de désabonnement présent dans chaque e-mail produit, ou Paramètres > Compte > E-mails ;
• nous poser des questions sur la manière dont nous utilisons vos données.

EEE, Royaume-Uni et Suisse

En vertu du RGPD, du RGPD britannique (UK GDPR) et de la loi fédérale suisse sur la protection des données, vous disposez également du droit d'accéder à vos données, de les faire rectifier ou effacer, de limiter la manière dont nous les utilisons ou de vous y opposer (y compris un droit absolu de vous opposer à la prospection commerciale), de les recevoir dans un format portable, et de retirer votre consentement à tout moment sans que cela n'affecte ce que nous avons fait auparavant. Vous pouvez introduire une réclamation auprès de l'autorité de protection des données du lieu où vous vivez ou travaillez, ou du lieu où vous estimez que la loi a été enfreinte, par exemple l'Information Commissioner's Office au Royaume-Uni ou le Préposé fédéral à la protection des données et à la transparence en Suisse. Le Comité européen de la protection des données répertorie les autorités de l'UE sur edpb.europa.eu. Nous vous serions reconnaissants de nous donner d'abord l'occasion de vous aider.

Californie et autres États américains

Si vous vivez en Californie, au Texas, en Virginie, au Colorado, dans le Connecticut, en Oregon ou dans un autre État américain doté d'une loi sur la protection de la vie privée des consommateurs, vous disposez de droits en vertu de cette loi. Nous les accordons à tous :

• Droit de savoir et d'accéder aux catégories et aux éléments précis de données personnelles que nous détenons à votre sujet.
• Droit de supprimer vos données personnelles.
• Droit de rectifier des données personnelles inexactes.
• Droit à la portabilité des données.
• Droit de refuser la vente ou le partage de données personnelles, ainsi que la publicité ciblée et le profilage. Nous ne faisons rien de tout cela ; il n'y a donc rien à refuser. Si votre navigateur envoie un signal Global Privacy Control, nous le traitons tout de même comme un refus.
• Droit de ne pas faire l'objet de discrimination pour avoir exercé ces droits.

Au cours des 12 derniers mois, nous avons collecté les catégories suivantes d'informations personnelles (telles que les nomme la loi californienne), pour les finalités indiquées à la section 4, auprès de vous, de vos appareils et de nos prestataires de paiement :

Nous ne collectons pas de géolocalisation précise et nous ne tirons pas de déductions pour établir un profil vous concernant. Nous n'utilisons les informations personnelles sensibles que pour vous connecter et assurer la sécurité de votre compte, et non pour en déduire quoi que ce soit à votre sujet. Nous n'avons ni vendu ni partagé d'informations personnelles, y compris celles de personnes de moins de 16 ans, et nous ne les communiquons pas à des tiers pour leur propre prospection commerciale.

Vous pouvez faire appel à un mandataire autorisé pour présenter une demande ; nous lui demanderons la preuve que vous lui avez donné votre autorisation et pourrons avoir besoin de confirmer la demande avec vous. Si nous refusons une demande, vous pouvez faire appel en répondant à notre réponse avec « Appeal » dans l'objet. Nous répondrons à un appel dans un délai de 60 jours. Si vous n'êtes pas satisfait, vous pouvez contacter le procureur général (attorney general) de votre État.

Comment exercer vos droits

• Dans l'application : Paramètres > Compte propose Télécharger les données de mon compte, Changer d'adresse e-mail, E-mails et Supprimer le compte.
• Par e-mail : écrivez à support@ygobox.com depuis l'adresse e-mail de votre compte. Pour protéger vos données, nous vérifions qu'une demande émane bien du titulaire du compte, par exemple en vous demandant de confirmer depuis cette adresse ou de vous connecter, et nous ne demandons pas plus d'informations que nécessaire.
• Nous répondons dans un délai d'un mois (30 jours). Si une demande est complexe, la loi peut nous permettre de prolonger ce délai ; nous vous en informerons le cas échéant, en précisant pourquoi.
• L'exercice de vos droits est gratuit, sauf si une demande est manifestement infondée ou excessive.

10. Enfants

Vous devez avoir au moins 13 ans pour utiliser YGOBox, et au moins 16 ans dans l'EEE, au Royaume-Uni ou en Suisse, sauf accord d'un parent ou d'un tuteur. YGOBox ne s'adresse pas aux enfants de moins de 13 ans, et nous ne collectons pas sciemment de données personnelles les concernant. Si nous apprenons que cela s'est produit, nous supprimons le compte et ses données. Si vous êtes parent ou tuteur et pensez que votre enfant nous a fourni des données personnelles, écrivez à support@ygobox.com.

11. Comment nous protégeons vos données

• Toutes les connexions à nos sites web et à notre API sont chiffrées (HTTPS).
• Les mots de passe sont stockés sous forme d'empreintes scrypt ; les jetons de connexion, les liens de réinitialisation et les codes de récupération sont stockés sous forme d'empreintes ; les secrets d'authentification à deux facteurs sont chiffrés.
• Vous pouvez activer l'authentification à deux facteurs, et des mots de passe ou des codes erronés à répétition bloquent la connexion pendant un certain temps.
• Notre serveur n'accepte aucun trafic web direct ; tout le trafic passe par Cloudflare. L'accès administratif utilise des clés, et non des mots de passe.
• Les sauvegardes sont chiffrées avant de quitter notre serveur. L'archive d'un compte supprimé est chiffrée avec une clé dont notre serveur ne dispose pas.
• La clé que notre serveur utilise pour téléverser les archives des comptes supprimés et nos registres des suppressions et des désabonnements permet uniquement d'ajouter des fichiers, et non de les lire ou de les supprimer.

Aucun système n'est parfaitement sûr. Si une violation touche vos données personnelles, nous vous en informerons, ainsi que les autorités, conformément à la loi.

12. Modifications de la présente politique

La version et la date d'entrée en vigueur figurent en haut de la page. Lorsque la présente politique change, YGOBox vous affiche un avis comportant un lien vers la nouvelle version ; en cas de modification substantielle, nous vous enverrons également un e-mail avant son entrée en vigueur. Les modifications mineures, telles qu'une formulation plus claire, prennent effet dès leur publication avec une nouvelle date. Vous pouvez nous demander une version antérieure à tout moment.

13. Contact

Fritts Films LLC
Dallas, Texas, USA
E-mail : support@ygobox.com