Politique de confidentialité

Données traitées et finalités

• Compte : email, prénom, nom — transmis par votre identifiant Marolya pour créer et sécuriser votre accès (exécution du contrat). L'application ne reçoit ni ne conserve jamais votre mot de passe : l'authentification est assurée par le portail marolya.fr, du même éditeur.
• Jeu : groupes, joueurs invités (prénom ou pseudo, couleur d'affichage), jeux, parties, manches, scores et classements — pour fournir le service (exécution du contrat). Les joueurs invités n'ont ni email ni compte, sauf si le créateur du groupe les invite à relier le leur. Un joueur relié à un compte affiche la photo de profil de son identité Marolya : cette photo est servie par la plateforme, l'application n'en conserve aucune copie.
• Invitations de partage : l'adresse email saisie par le créateur du groupe sert uniquement à envoyer le lien d'invitation ; elle est effacée à l'acceptation, et l'invitation expire sous 7 jours.
• Journal de sécurité : tentatives de connexion, adresses IP — pour protéger le service (intérêt légitime).
• Mesure d'audience : statistiques anonymes sans cookie ni donnée personnelle (Vercel Analytics, URLs rédigées).

Sous-traitants

• Vercel Inc. (hébergement de l'application) — États-Unis, clauses contractuelles types.
• Neon Inc. (base de données) — serveurs dans l'UE (Francfort, Allemagne).
• Brevo (Sendinblue SAS) — envoi des emails transactionnels, société française.

Durées de conservation

• Données du compte, groupes, parties et scores : tant que le compte existe ET reste utilisé.
• Compte INACTIF depuis un an : vos données sont effacées automatiquement. Un email vous prévient un an après votre dernière visite, un rappel part deux jours avant l'échéance, et l'effacement a lieu sept jours après l'avertissement. Vous connecter suffit à tout annuler et remet le compteur à zéro ; vous pouvez aussi exporter vos données puis supprimer votre compte vous-même. Marque Points étant entièrement gratuite, aucun compte n'échappe à cette règle.
• Invitations de partage : 7 jours au plus (effacées dès l'acceptation).
• Suppression du compte : effacement immédiat de toutes les données, joueurs invités compris.
• Journal de sécurité : 12 mois glissants, purgés automatiquement. Ces événements (type d'incident, adresse e-mail visée, adresse IP, date) sont volontairement conservés MÊME après la suppression du compte : effacer les traces de connexion sur simple demande donnerait à un attaquant le moyen de faire disparaître les preuves de son passage. C'est une obligation de sécurité (article 32 du RGPD). Ce journal ne contient AUCUNE de vos données personnelles au-delà de ces quatre champs.
• Compteurs anti-abus : la fenêtre de comptage va de 15 minutes à 1 heure selon l'opération ; la ligne elle-même, qui porte l'adresse visée ou l'adresse IP, est effacée au fil de l'eau une fois la fenêtre échue (au plus tard le lendemain).

Sécurité

• Mots de passe hachés (bcrypt), sessions signées, cookies httpOnly.
• Chiffrement TLS de bout en bout, en-têtes de sécurité durcis.
• Limitation de débit sur les points sensibles et journal de sécurité.

Cookies

Marque Points n'utilise que des cookies strictement nécessaires : session (connexion) et protection CSRF. Aucun cookie publicitaire ou de pistage — aucune bannière n'est donc requise.