Politique de confidentialité

• Société : Aroc Labs SAS — Société par Actions Simplifiée Unipersonnelle au capital de 1 000 €
• Immatriculation : RCS Paris 107 658 197 — SIRET 107 658 197 00010
• Adresse : 173 rue de Courcelles, 75017 Paris, France
• E-mail RGPD : [email protégé]
• Représentant : Président d'Aroc Labs SAS

La présente politique s'applique au site www.flexorama.fr et à l'application Android Flexorama, distribuée sur Google Play. Le site et l'application donnent accès au même compte et aux mêmes données, hébergées sur les mêmes serveurs (article 5). Lorsqu'une règle ne concerne que l'un des deux, elle le précise.

Selon les interactions, les catégories de données suivantes peuvent être collectées :

Conformément à l'article 5.1.e) du RGPD (limitation de la conservation), les données sont conservées pour la durée strictement nécessaire à la finalité poursuivie :

• Compte actif : durée de la relation contractuelle
• Compte supprimé : lorsque vous supprimez votre compte, votre compte de connexion chez Google est supprimé, puis vos données sont immédiatement effacées ou rendues anonymes dans la base de Flexorama. Ne sont conservées que les données listées sur la page Supprimer mon compte, sans votre nom, votre adresse e-mail ni votre identifiant de connexion, pour les durées indiquées dans la présente liste
• Données d'abonnement (Stripe ou Google Play) : référence ou jeton d'achat, forfait, statut et dates de l'abonnement, conservés pendant la durée de l'abonnement ; après suppression du compte, ils restent rattachés au compte rendu anonyme, comme l'historique de l'abonnement, à l'exception du jeton d'achat Google Play, qui est effacé dès la fin de l'abonnement (il n'est gardé jusque-là que pour traiter les notifications de Google)
• Données de jeu (scores, classements) : durée de la relation contractuelle, anonymisées dans les statistiques agrégées
• Session de connexion : jusqu'à votre déconnexion, et au plus 30 jours après votre dernière saisie d'identifiants ; au-delà, le serveur de Flexorama demande une nouvelle connexion
• Compte de connexion chez Google (Firebase Authentication) : conservé tant que votre compte Flexorama existe, et supprimé lorsque vous supprimez votre compte. Selon les engagements publiés par Google, les adresses IP de connexion sont conservées quelques semaines, et les données supprimées disparaissent de ses sauvegardes dans un délai maximal de 180 jours
• Logs techniques : 12 mois maximum (recommandation CNIL — sécurité des SI)
• Données de facturation : 10 ans (art. L.123-22 Code de commerce — obligation comptable)
• Cookies : 13 mois maximum (recommandation CNIL 2022), à l'exception des cookies Google Analytics
• Cookies Google Analytics (_ga, _ga_*) : 2 ans (durée par défaut fixée par Google), déposés uniquement après votre consentement
• Données de mesure d'audience chez Google Analytics : 14 mois maximum pour les données détaillées d'événements
• Marqueur local fx_guest_origin : 30 jours maximum dans votre navigateur, effacé dès sa transmission lors de l'inscription ; rien n'est conservé sur votre compte
• Statistiques internes : seuls des totaux quotidiens anonymes sont conservés, sans limite de durée ; aucune donnée individuelle n'est gardée
• Choix de consentement cookies : 6 mois (au-delà, le consentement est redemandé)
• Choix de consentement publicitaire dans l'application Android (Google UMP) : enregistré sur votre appareil, jusqu'à ce que vous le modifiiez ou que Google le redemande ; il est effacé si vous désinstallez l'application
• Données publicitaires collectées par AdMob : conservées par Google selon ses propres règles, décrites sur policies.google.com/technologies/retention
• Demandes RGPD et preuves de consentement : 5 ans (prescription)

Vos données peuvent être partagées avec les sous-traitants et partenaires suivants, dans le strict cadre des finalités définies, encadrés par un accord de sous-traitance (DPA) conforme à l'article 28 du RGPD ou par les clauses des conditions des services concernés :

• Microsoft Azure (Microsoft Ireland Operations Ltd) — Infrastructure cloud et base de données : hébergement du site et des données de jeu (profil, progression, abonnements). Région principale : France Centre
• Google LLC (États-Unis) — Service Firebase Authentication, en qualité de sous-traitant d'Aroc Labs SAS : création du compte, connexion par e-mail et mot de passe ou avec un compte Google, sur le site et dans l'application Android, et envoi des e-mails de compte (vérification de l'adresse, mot de passe oublié, changement d'adresse) depuis l'adresse noreply@flexorama.fr. Données concernées : celles de la ligne « Données d'authentification » de l'article 2. Ces données sont traitées aux États-Unis (article 6). Aucune donnée de jeu n'est confiée à ce service
• Anthropic, PBC (États-Unis) — Génération de quiz par IA (Claude Haiku). Données transmises strictement limitées au contenu du quiz (thème, niveau, langue) ; aucune donnée personnelle identifiante n'est incluse
• Stripe Payments Europe, Ltd (Irlande) — Traitement des paiements et gestion des abonnements Premium souscrits sur le site
• Google (Google Play) — Vente et encaissement de l'abonnement Premium souscrit dans l'application Android, au moyen du service Google Play Billing. Google traite le paiement et votre compte Google Play en qualité de responsable de traitement distinct, selon ses propres règles de confidentialité (policies.google.com/privacy). Flexorama reçoit de Google uniquement les données de la ligne « Données d'achat » de l'article 2
• Google (Google Cloud Pub/Sub) — Acheminement vers le serveur de Flexorama des notifications de Google Play relatives à l'abonnement (renouvellement, annulation, suspension, remboursement). Ces notifications contiennent le jeton d'achat, pas votre nom ni votre adresse e-mail
• OVH SAS (France) — Bureau d'enregistrement du nom de domaine flexorama.fr
• Google Ireland Ltd / Google LLC (Irlande / États-Unis) — Service Google AdSense (affichage publicitaire) et Google Funding Choices (gestion du consentement, CMP). Concerne uniquement les utilisateurs gratuits ayant donné leur consentement. Google agit en qualité de responsable conjoint avec Aroc Labs SAS pour la diffusion publicitaire (cadre IAB TCF v2.2), conformément à l'art. 26 RGPD
• Google Ireland Ltd / Google LLC (Irlande / États-Unis) — Service Google AdMob (affichage publicitaire dans l'application Android) et Google UMP (formulaire de consentement de l'application, cadre IAB TCF v2.2). Concerne uniquement les joueurs connectés non abonnés Premium, dans l'application Android. Données concernées : celles de la ligne « Données publicitaires (application Android — AdMob) » de l'article 2, utilisées par Google pour la publicité, la mesure, l'analyse et la lutte contre la fraude. Google intervient dans les mêmes conditions que pour AdSense
• Google Ireland Ltd / Google LLC (Irlande / États-Unis) — Service Google Analytics 4 (mesure d'audience), en qualité de sous-traitant d'Aroc Labs SAS. Les signaux Google et la personnalisation publicitaire sont désactivés ; aucun pseudonyme, e-mail ni identifiant de compte n'est transmis. Détail des données et des cookies : Politique de cookies, article 2.1

Les statistiques internes de Flexorama (compteurs anonymes des parties jouées sans compte) ne sont transmises à aucun tiers.

Aroc Labs SAS ne vend, ne loue ni n'échange vos données personnelles à des fins commerciales en dehors du cadre publicitaire AdSense et AdMob décrit ci-dessus, soumis à votre consentement préalable.

Les données de votre compte de jeu (profil, progression, abonnements) sont stockées en France (Azure Region France Central). Votre identité de connexion (adresse e-mail, empreinte du mot de passe, adresse IP et navigateur ou appareil de connexion) est en revanche traitée aux États-Unis par Google LLC, au moyen du service Firebase Authentication. Par ailleurs, certains sous-traitants peuvent être amenés à traiter des données hors de l'UE/EEE. Ces transferts sont encadrés par les garanties appropriées prévues au chapitre V du RGPD (art. 44 à 50) :

• Microsoft Azure — Clauses contractuelles types (Décision d'exécution UE 2021/914) et adhésion au EU-US Data Privacy Framework (Décision d'adéquation UE 2023/1795)
• Anthropic, PBC — Clauses contractuelles types UE (Décision UE 2021/914), avec mesures techniques et organisationnelles supplémentaires (chiffrement, minimisation, absence de données identifiantes)
• Stripe Payments Europe — Hébergement principal en UE (Irlande). Les transferts éventuels vers Stripe Inc. (US) sont encadrés par CCT et DPF
• Google Ireland Ltd / Google LLC (AdSense, Funding Choices, Google Analytics 4, AdMob, UMP, Google Play et Google Cloud Pub/Sub) — Adhésion au EU-US Data Privacy Framework (Décision d'adéquation UE 2023/1795) pour Google LLC, et clauses contractuelles types pour les transferts complémentaires
• Google LLC (Firebase Authentication) — Traitement exclusivement aux États-Unis. Transfert fondé sur la décision d'adéquation EU-US Data Privacy Framework (Décision d'adéquation UE 2023/1795), Google LLC y étant certifiée ; les conditions de traitement des données de Google prévoient en outre des clauses contractuelles types (Décision d'exécution UE 2021/914)

Vous pouvez obtenir une copie de ces garanties sur demande à [email protégé].

Conformément au RGPD et à la loi Informatique et Libertés modifiée, vous disposez des droits suivants :

• Droit d'accès (art. 15 RGPD) : obtenir une copie de vos données
• Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes
• Droit à l'effacement (art. 17) : demander la suppression de votre compte et de vos données. La suppression du compte depuis votre espace personnel, sur le site ou dans l'application Android, résilie d'abord un abonnement Premium souscrit sur le site (Stripe), supprime ensuite votre compte de connexion chez Google (Firebase Authentication), puis efface ou rend anonymes immédiatement vos données dans la base de Flexorama (article 4). Elle ne résilie pas un abonnement souscrit dans l'application via Google Play : résiliez-le vous-même dans Google Play avant de supprimer votre compte. Marche à suivre détaillée, y compris sans pouvoir vous connecter : Supprimer mon compte
• Droit à la limitation (art. 18) : demander la limitation du traitement
• Droit à la portabilité (art. 20) : récupérer vos données dans un format structuré, couramment utilisé et lisible par machine
• Droit d'opposition (art. 21) : vous opposer aux traitements fondés sur l'intérêt légitime
• Droit de retrait du consentement (art. 7.3) : à tout moment, pour les traitements fondés sur le consentement, sans affecter la licéité antérieure. Pour la publicité : via le lien « Gérer mes cookies » sur le site, ou via le bouton « Gérer mes choix publicitaires » des Paramètres dans l'application Android
• Directives post-mortem (art. 85 LIL) : définir des directives relatives au sort de vos données après votre décès, soit auprès d'un tiers de confiance certifié, soit directement auprès de Flexorama
• Droit de réclamation : auprès de la CNIL — 3 place de Fontenoy, 75007 Paris (cnil.fr)

Pour exercer vos droits : [email protégé] — réponse sous 30 jours (pouvant être prolongé de 2 mois en cas de complexité, art. 12 RGPD). Une copie de pièce d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur.

Aroc Labs SAS met en œuvre des mesures techniques et organisationnelles appropriées :

• Chiffrement des données en transit (TLS 1.2+) et au repos (Azure encryption at rest)
• Authentification confiée à Firebase Authentication (Google) : Flexorama ne stocke aucun mot de passe, chaque jeton de connexion est vérifié par le serveur, et une session dure au plus 30 jours
• Secrets gérés via Azure Key Vault avec Managed Identity
• Accès aux données restreint au personnel habilité
• Journalisation des accès et détection d'anomalies

Flexorama est accessible aux personnes physiques âgées de 16 ans révolus. Aroc Labs SAS a fait le choix d'un seuil supérieur à l'âge légal de consentement en France (15 ans, art. 45 de la loi n° 78-17 du 6 janvier 1978 modifiée), par mesure de précaution pour la protection des mineurs.

Pour les utilisateurs âgés de 16 à 18 ans, la souscription à un abonnement Premium nécessite l'accord du titulaire de l'autorité parentale, conformément aux articles 388-1-1 et 1146 du Code civil (capacité civile du mineur).

Aroc Labs SAS ne collecte pas sciemment de données personnelles d'enfants de moins de 16 ans. Si vous pensez qu'un mineur de moins de 16 ans s'est inscrit, contactez-nous à [email protégé] : le compte sera fermé et les données supprimées sans délai.

Publicité et mineurs : les comptes de 16 et 17 ans non abonnés Premium voient des publicités, comme les autres comptes gratuits. Une publicité n'est personnalisée (choisie d'après votre profil publicitaire chez Google) que si vous l'acceptez dans la fenêtre de consentement : le bandeau Google Funding Choices sur le site, le formulaire Google UMP dans l'application Android. Si vous la refusez, les publicités affichées ne sont pas personnalisées. Vous pouvez changer d'avis à tout moment (article 7).

À ce jour, Flexorama ne transmet pas à Google l'âge déclaré à l'inscription : le fait d'avoir 16 ou 17 ans ne modifie donc pas, à lui seul, le type de publicité affichée. Si vous avez moins de 18 ans, nous vous recommandons de refuser la publicité personnalisée.

Conformément à l'article 22 du RGPD, Aroc Labs SAS précise :

• Aucune décision produisant des effets juridiques ou affectant significativement l'utilisateur n'est prise sur la base d'un traitement exclusivement automatisé
• Les classements et la visibilité des quiz reposent sur des règles déterministes et non sur un système d'IA — pas de profilage des utilisateurs
• L'IA générative (Claude Haiku) est utilisée uniquement pour produire le contenu des quiz à la demande de l'utilisateur, sans prise de décision sur la personne
• Les mécanismes anti-triche et anti-fraude peuvent inclure des contrôles automatisés ; toute mesure significative (suspension de compte) fait l'objet d'une revue humaine selon la procédure DSA prévue dans les CGV
• La personnalisation publicitaire (AdSense sur le site, AdMob dans l'application Android) repose sur un traitement automatisé par Google reposant sur votre consentement explicite. Cette personnalisation ne produit pas d'effets juridiques ni n'affecte significativement l'utilisateur au sens de l'art. 22 RGPD. Vous pouvez la refuser à tout moment via le bandeau « Gérer mes cookies » sur le site, via le bouton « Gérer mes choix publicitaires » des Paramètres dans l'application, ou via adssettings.google.com. Sur Android, vous pouvez aussi réinitialiser ou supprimer votre identifiant publicitaire dans les paramètres de votre appareil

Conformément aux articles 33 et 34 du RGPD, en cas de violation de données présentant un risque pour les droits et libertés des personnes concernées :

• Notification à la CNIL : dans les 72 heures suivant la prise de connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque
• Notification aux personnes concernées : dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé, par e-mail et notification in-app
• Information transmise : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou envisagées, point de contact pour plus d'informations
• Registre interne des violations : tenu conformément à l'art. 33.5 RGPD

• E-mail RGPD : [email protégé]
• Adresse : Aroc Labs SAS – 173 rue de Courcelles, 75017 Paris, France
• Délai de traitement : 30 jours maximum (art. 12 RGPD), prolongeable de 2 mois en cas de complexité
• Autorité de contrôle : CNIL — cnil.fr