Vos données, votre jeu.

01 Identité du responsable de traitement

Tier est une application mobile de suivi de jeux vidéo et de journal social. Le responsable de traitement au sens de l'article 4(7) du RGPD est une personne physique établie en Belgique :

• Éditeur : Riccardo Accardi (indépendant / entrepreneur personne physique)
• Adresse postale : Chaussée de Mons 356, 1070 Bruxelles, Belgique
• Numéro d'entreprise (BCE / TVA) : BE1006414491
• Adresse de contact : contact@yourtier.com
• Application mobile : distribuée sur l'App Store d'Apple et Google Play sous l'identifiant com.yourtier.tier
• Site officiel : yourtier.com

L'éditeur étant une personne physique et le traitement n'étant pas effectué à grande échelle au sens de l'article 37 du RGPD, la désignation d'un Délégué à la Protection des Données (DPO) n'est pas obligatoire. Le point de contact unique pour toute demande relative à la vie privée est contact@yourtier.com. Nous répondons dans un délai d'un mois (art. 12.3 RGPD), prorogeable de deux mois pour les demandes complexes.

02 Données collectées

Uniquement ce qui est nécessaire au bon fonctionnement de l'application. Réparties par finalité :

Compte et identité (Odoo res.users / res.partner)

Profil (tous les champs sont facultatifs, sur res.partner)

• Nom d'affichage, bio, pronoms, année « gamer depuis »
• Date de naissance — utilisée pour vérifier l'âge minimum (13 ans) et filtrer les contenus PEGI / ESRB. La date brute n'est jamais affichée publiquement ; seule la tranche d'âge calculée peut être affichée si vous l'activez.
• Genres et plateformes favoris
• Avatar et bannière de profil
• Handles sociaux que vous saisissez : Twitter/X, Discord, Twitch, YouTube, Steam, Xbox Live, PSN, Nintendo. Nous stockons uniquement les handles saisis — nous n'appelons pas les API de ces plateformes en votre nom.
• Visibilité du profil : public, abonnés uniquement ou privé.

Activité et contenu

• Entrées du journal (tier.journal.entry) avec l'un des quatre états : à jouer, en cours, joué, abandonné.
• Critiques (tier.review) — texte et note de 1 à 10. Les critiques que vous publiez sont publiques par conception.
• Listes personnalisées (8 types : favoris, wishlist, backlog, etc.).
• Graphe social : abonnements (tier.user.follow) et blocages (tier.user.block).
• Historique des notifications (tier.notification) et statistiques de gamification (XP, niveau, séries).

Appareil et technique

• Jetons push Expo (tier.push_device) — uniquement si vous autorisez les notifications.
• Préférences de notifications et opt-in du résumé hebdomadaire (réglages dans les Paramètres).
• Préférences de l'application (thème, réduction des animations).
• Tentatives d'authentification (tier.auth_attempt : IP, user-agent, résultat) — protection anti force brute.
• Compteurs de rate-limit — par utilisateur / par IP, sur des fenêtres courtes.
• Journaux de plantage anonymisés (rapports natifs Expo) — sauf si vous avez désactivé l'envoi au niveau du système d'exploitation.
• Télémétrie de plantage et de performance (Sentry) — lorsqu'elle est activée, des diagnostics techniques des erreurs et des performances de l'app : trace d'appel, modèle d'appareil, versions de l'OS et de l'app, et un fil d'Ariane des écrans et chemins d'API visités. Dépouillée de tout contenu — aucune adresse IP, aucun cookie, aucun corps de requête ; seul un identifiant de compte stable est attaché. Désactivée par défaut.
• Événements d'usage (tier.usage.event) — des enregistrements pseudonymisés de l'endpoint d'API appelé, de la méthode et du statut HTTP, du temps de réponse, de la plateforme et de la version de l'app, rattachés soit à votre identifiant de compte, soit à un hachage SHA-256 à sens unique d'un identifiant anonyme pour les visiteurs non connectés. Aucune adresse IP ni aucun contenu de requête ne sont stockés. Activés par défaut pour surveiller la santé et la sécurité du service (intérêt légitime), conservés 90 jours.

Données publicitaires

Lorsque les publicités sont activées et — lorsque c'est requis — après que vous avez donné votre consentement, nos partenaires publicitaires (voir la section 05) peuvent traiter :

• Un identifiant publicitaire d'appareil — l'IDFA d'Apple (iOS, uniquement si vous autorisez le suivi via l'invite App Tracking Transparency) ou l'identifiant publicitaire de Google (Android), ou un équivalent réinitialisable.
• Des données d'interaction et de diffusion — quelles publicités ont été demandées, affichées, vues ou cliquées ; les signaux de plafonnement de fréquence ; une localisation grossière et non précise déduite de l'IP ; et des attributs généraux d'appareil / techniques (modèle d'appareil, version de l'OS, langue, type de réseau) servant à sélectionner et mesurer les publicités.
• Sur iOS, les postbacks SKAdNetwork d'Apple, respectueux de la vie privée, servent à mesurer les installations publicitaires sans vous identifier individuellement.

03 Bases légales (art. 6 RGPD)

Vous pouvez retirer votre consentement à tout moment sans que cela affecte la licéité des traitements antérieurs.

04 Finalités du traitement

1. Fournir le service principal — afficher votre profil, votre journal, vos critiques et vos listes, vous permettre de suivre d'autres joueurs.
2. Vous authentifier — par e-mail/mot de passe, Sign in with Apple ou Sign in with Google. La vérification de l'audience OAuth est appliquée côté backend.
3. Personnaliser le contenu — recommander des jeux selon vos favoris, votre historique et les scores tendances.
4. Envoyer uniquement les notifications acceptées — jamais d'autres.
5. Modérer la communauté — gérer les blocages, signalements et infractions.
6. Protéger le service — limiter les abus, détecter le credential stuffing.
7. Respecter la loi — répondre aux demandes légales, conserver une trace des suppressions.
8. Afficher et mesurer la publicité — avec votre consentement, afficher un nombre limité de publicités bannières / MREC et en mesurer la diffusion afin de garder l'app gratuite (voir la section 05a).

05 Destinataires et sous-traitants

Fournisseurs d'authentification

• Apple — Sign in with Apple. Nous recevons un identifiant opaque, éventuellement votre nom et un e-mail (réel ou relais).
• Google — OAuth. Nous recevons votre sub, votre e-mail vérifié et des informations de profil de base.

Bases de données de jeux

Nous appelons ces API depuis notre backend avec nos propres clés. Votre identité n'est jamais transmise.

Infrastructure et sous-traitants

• Hébergeur backend — Odoo 19 + PostgreSQL, hébergé chez Contabo GmbH, Welfenstrasse 22, 81541 Munich, Allemagne (UE). Stockage principal.
• Expo Inc. (États-Unis) — relais de notifications push Expo (exp.host) et pipeline EAS build / OTA. Traite les jetons push Expo et des pings de canal anonymisés.
• Sentry / Functional Software, Inc. (États-Unis) — télémétrie de plantage et de performance, lorsqu'elle est activée. Reçoit les données de diagnostic minimisées décrites à la section 02 (aucune IP, aucun cookie, aucun corps de requête ; identifiant de compte uniquement). Désactivée par défaut.
• Apple App Store et Google Play — distribution et livraison des binaires.

Fournisseurs LLM (module tier_ai, enrichissement de contenu uniquement)

Utilisés uniquement pour enrichir le catalogue public de jeux (ambiance, difficulté, faits associés à des noms propres). Aucune donnée personnelle n'est transmise à ces fournisseurs — uniquement des titres et métadonnées de jeux publics.

• Mistral AI (France) — aucun transfert hors UE.
• Groq Inc. (États-Unis) — EU-US Data Privacy Framework lorsque applicable, sinon Clauses Contractuelles Types.
• OpenRouter (États-Unis) — EU-US DPF lorsque applicable, sinon CCT.

Partenaires publicitaires et de médiation

Pour afficher des publicités, Tier intègre le SDK de médiation Unity LevelPlay (anciennement ironSource, une société Unity). LevelPlay achemine chaque demande publicitaire vers des réseaux qui se disputent son affichage. Les réseaux actuellement activés sont :

• Unity LevelPlay / ironSource (médiation et demande) — Unity Technologies.
• Google AdMob (demande, via enchères) — Google LLC. AdMob et ses fournisseurs de technologie publicitaire peuvent traiter des données comme décrit dans les politiques de Google. La liste à jour des partenaires publicitaires susceptibles de recevoir des données est publiée sur https://support.google.com/admob/answer/9012903.
• Unity Ads (demande) — Unity Technologies.

Nous pourrons ajouter d'autres réseaux à l'avenir ; le cas échéant, ils seront couverts par le même flux de consentement in-app et cette politique sera mise à jour. Ces partenaires peuvent agir en tant que responsables de traitement indépendants pour les données publicitaires qu'ils reçoivent.

05a — Publicité et monétisation

• À quoi ressemblent les publicités. Uniquement des formats bannière et rectangle moyen (MREC). Aucun interstitiel plein écran ni vidéo récompensée à ce stade.
• Consentement d'abord (EEE / Royaume-Uni / Suisse). Au premier lancement (et sur demande), nous affichons un message de consentement certifié par Google (Google User Messaging Platform, fondé sur l'IAB Transparency & Consent Framework). Vous pouvez Consentir, Gérer les options, ou refuser. Votre choix détermine si les publicités sont personnalisées ou non.
• App Tracking Transparency iOS. Sur iOS, si la publicité personnalisée est proposée, l'invite système App Tracking Transparency peut apparaître pour vous demander si Tier peut accéder à l'IDFA. Si vous refusez, nous n'utilisons pas l'IDFA et les publicités sont non personnalisées / mesurées uniquement via SKAdNetwork.
• SKAdNetwork. Sur iOS, la mesure des installations et conversions utilise SKAdNetwork d'Apple, respectueux de la vie privée, qui ne vous identifie pas individuellement.
• Comment changer d'avis. Vous pouvez rouvrir les choix de consentement à tout moment dans Paramètres → Confidentialité → « Choix publicitaires », réinitialiser votre identifiant publicitaire dans les réglages de votre appareil, ou, sur iOS, modifier la permission de suivi dans Réglages iOS → Confidentialité et sécurité → Suivi.
• Enfants. Les demandes publicitaires sont configurées comme « non destinées aux enfants » et les mineurs confirmés reçoivent toujours des publicités non personnalisées. L'app n'est pas destinée aux utilisateurs de moins de 13 ans (ou de l'âge du consentement numérique applicable dans l'UE).

05b — Mesure d'audience et publicité web (yourtier.com)

Notre site yourtier.com (pages publiques, pages légales et compagnon web) utilise des services tiers d'analyse d'audience et de publicité, en plus du dispositif mobile ci-dessus. Ils sont tous désactivés par défaut et ne s'activent qu'après votre acceptation des cookies optionnels dans le bandeau cookies. La liste complète des cookies figure dans la Politique relative aux cookies.

• Google Analytics 4 (identifiant de mesure G-81Z6KRF8XY) — mesure d'audience et statistiques produit. Dépose les cookies _ga et _ga_*. Un envoi côté serveur via le Measurement Protocol transmet également certains événements clés (inscription, clic affilié) à GA4 ; pour les utilisateurs connectés, ces événements serveur incluent votre identifiant utilisateur interne. Il est fail-closed — il n'envoie que lorsque le consentement aux cookies optionnels est accordé et que le cookie _ga existe. Destinataire : Google Ireland Ltd / Google LLC.
• Meta (Facebook) Pixel (identifiant 1005971575645752) — mesure et attribue les conversions publicitaires de notre marketing. Chargé avec le consentement révoqué par défaut ; il ne s'exécute qu'après votre acceptation des cookies optionnels. Dépose le cookie _fbp (et _fbc si vous arrivez via un clic sur une publicité Meta). Une Conversions API côté serveur envoie en complément un petit nombre d'événements clés (inscription, clic affilié) directement depuis notre serveur ; la même barrière de consentement fail-closed s'applique. Dans ces événements serveur, votre e-mail et votre identifiant utilisateur sont hachés en SHA-256 avant l'envoi ; votre adresse IP et le user agent de votre navigateur sont transmis en tant que clés de correspondance standard de Meta. Destinataire : Meta Platforms Ireland Ltd.
• Google AdSense (Auto Ads) (éditeur ca-pub-8020007711100279) — affiche des publicités sur des pages publiques sélectionnées par qualité afin de garder le service gratuit. Respecte les signaux Google Consent Mode : tant que le consentement est refusé, les publicités sont limitées / non personnalisées. Destinataire : Google Ireland Ltd / Google LLC.

Base légale : le consentement (art. 6.1.a RGPD) pour l'ensemble de ce qui précède. Le consentement est refusé par défaut (signaux Google Consent Mode v2 réglés sur « denied », Meta Pixel réglé sur « revoke ») et n'est accordé que lorsque vous acceptez les cookies optionnels. Vous pouvez retirer votre consentement à tout moment à l'aide du bandeau cookies (« Uniquement l'essentiel » / « J'accepte ») ou du bouton de reconsentement sur la page Politique relative aux cookies, qui fonctionne dans les deux sens (accorder et retirer).

06 Transferts internationaux (chapitre V RGPD)

La base de données principale est située dans l'Union européenne (hébergeur : Contabo GmbH, Munich, Allemagne). Lorsque des tiers traitent vos données en dehors de l'UE, les transferts reposent sur l'une des garanties suivantes prévues aux articles 44 à 49 du RGPD :

Une copie des Clauses Contractuelles Types signées avec chaque sous-traitant établi aux États-Unis peut être obtenue sur demande à contact@yourtier.com.

07 Durées de conservation

08 Visibilité de votre contenu

Vous contrôlez qui peut voir votre profil et votre contenu via le réglage de visibilité :

• Public — toute personne, y compris les visiteurs non connectés, peut voir votre profil, vos critiques et vos listes publiques.
• Abonnés uniquement — visible uniquement par les utilisateurs que vous suivez.
• Privé — visible uniquement par vous.

09 Vos droits

En application du RGPD (et des textes équivalents — UK GDPR, LGPD, CCPA / CPRA…), vous pouvez :

Pour exercer ces droits, écrivez à contact@yourtier.com depuis l'adresse associée à votre compte. Nous pouvons vous demander de prouver votre identité avant d'agir. Réponse sous un mois (art. 12.3 RGPD).

Registre des activités de traitement (art. 30 RGPD). Conformément à l'article 30 du RGPD, nous tenons un registre des activités de traitement disponible sur demande à contact@yourtier.com.

10 Mineurs

L'âge minimum pour créer un compte Tier est de 13 ans. Nous ne traitons pas sciemment de données personnelles concernant des enfants de moins de 13 ans (ou de l'âge local équivalent du consentement numérique lorsqu'il est supérieur).

Belgique et UE — âge du consentement numérique (art. 8 RGPD). En Belgique, la loi du 30 juillet 2018 (art. 7) fixe l'âge du consentement numérique à 13 ans. Aucune autorisation parentale supplémentaire n'est requise pour les utilisateurs de 13 ans et plus. Dans d'autres États membres de l'UE, le seuil local peut être plus élevé (jusqu'à 16 ans) ; nous appliquons le seuil local lorsque c'est le cas. Les parents peuvent à tout moment écrire à contact@yourtier.com pour exercer les droits d'accès, de rectification ou d'effacement des données de leur enfant.

Certains jeux du catalogue portent une classification PEGI / ESRB. Le champ « date de naissance » sert à vérifier l'âge minimum et à filtrer l'affichage des contenus classés ; la date brute n'est jamais affichée publiquement.

Conformément à l'article 28 du règlement européen sur les services numériques (DSA), nous n'affichons jamais de publicité ciblée fondée sur le profilage des mineurs.

Si vous pensez qu'un enfant s'est inscrit sans consentement approprié, écrivez à contact@yourtier.com et nous supprimerons le compte.

11 Sécurité

• Mots de passe — hachage KDF lent et salé. Jamais stockés ni transmis en clair.
• HTTPS / TLS — imposé partout. Chiffrement in-transit systématique.
• Chiffrement au repos — au niveau du système de fichiers / des disques de l'hébergeur.
• Accès API à plusieurs niveaux — public / utilisateur (portail) / interne / admin, avec listes blanches par point d'entrée.
• Anti force brute — journal tier.auth_attempt et compteurs de rate-limit.
• Sécurité au niveau ligne via les contraintes ir.rule d'Odoo — les utilisateurs du portail ne peuvent lire que les champs autorisés sur les autres utilisateurs.
• Vérification de l'audience OAuth côté backend — les identifiants clients sont publics par conception, la frontière de sécurité est la vérification d'audience.
• Délais de carence à la suppression de compte pour éviter les suppressions accidentelles ou forcées.

12 Cookies et stockage local

L'application mobile n'utilise pas de cookies HTTP. Nous utilisons un stockage technique strictement nécessaire pour vous garder connecté(e) et mémoriser vos préférences et — uniquement selon vos choix de consentement — le stockage du SDK publicitaire pour diffuser, plafonner et mesurer les publicités :

• Stockage sécurisé (Keychain sur iOS / Keystore sur Android via expo-secure-store) pour les jetons d'authentification.
• AsyncStorage pour les préférences non sensibles (thème, dernier onglet visité, date d'ignorance du daily prompt).
• Stockage et identifiants du SDK publicitaire. Le SDK publicitaire et ses partenaires peuvent stocker et lire des identifiants et technologies similaires sur votre appareil pour diffuser, plafonner et mesurer les publicités — uniquement selon vos choix de consentement (voir la section 05a).
• Sur yourtier.com (compagnon web / pages légales), des cookies de première partie essentiels sont toujours déposés pour la session. Les cookies d'analyse (Google Analytics 4) et de publicité (Meta Pixel, Google AdSense) ne sont déposés qu'après votre acceptation des cookies optionnels dans le bandeau cookies ; vous pouvez retirer votre consentement à tout moment via le bouton de la Politique relative aux cookies. Consultez la Politique relative aux cookies pour la liste complète des cookies (voir aussi la section 05b).

13 Notifications push et e-mail

Les notifications push sont envoyées uniquement lorsque vous avez activé l'interrupteur correspondant (activité des amis, social, sorties). Vous pouvez révoquer la permission de notifications au niveau du système d'exploitation à tout moment (iOS Réglages → Notifications → Tier ; Android Infos sur l'app → Notifications).

Le résumé hebdomadaire par e-mail est opt-in. Désactivez-le dans les Paramètres ou utilisez le lien de désinscription présent dans chaque e-mail.

14 Suppression de compte — ce qui se passe

1. Votre enregistrement res.users est archivé ; les champs identifiants sur res.partner (e-mail, gamer tag, bio, avatars, bannière, handles sociaux, date de naissance, pronoms) sont vidés ou remplacés par des valeurs de substitution.
2. Un préfixe SHA-256 court de votre ancien identifiant est inscrit dans le journal d'audit de suppression comme preuve que la demande a été honorée. L'e-mail original n'est pas conservé.
3. Toutes vos sessions actives sont révoquées.
4. Vos critiques et listes sont soit supprimées, soit anonymisées pour ne pas orpheliner les interactions d'autres utilisateurs.

15 Décisions automatisées (art. 22 RGPD)

Tier ne prend pas de décision produisant des effets juridiques ou vous affectant de manière significative sur la seule base d'un traitement automatisé au sens de l'article 22 du RGPD.

La modération de contenu combine 49 règles automatisées de détection (spam, discours haineux, contenus interdits, comportements coordonnés inauthentiques) avec une file d'examen humaine. Les sanctions (retrait de contenu, suspension, bannissement) sont toujours examinées et confirmées par un modérateur humain. Vous pouvez contester toute décision en écrivant à contact@yourtier.com — réponse sous un mois.

Les recommandations (jeux suggérés, utilisateurs à suivre) reposent sur vos favoris déclarés et votre activité dans l'application. Elles sont purement indicatives et n'ont aucun effet juridique.

16 Modifications de cette politique

Les changements importants sont annoncés dans l'application et par e-mail au moins 30 jours avant leur entrée en vigueur. La date « En vigueur » en haut de cette page reflète toujours la version actuelle. La poursuite de l'utilisation après cette date vaut acceptation de la politique mise à jour.

17 Contact

Éditeur (responsable de traitement) : Riccardo Accardi
Adresse postale : Chaussée de Mons 356, 1070 Bruxelles, Belgique
Numéro d'entreprise (BCE / TVA) : BE1006414491
Point de contact unique : contact@yourtier.com
Site officiel : yourtier.com

Si vous pensez que vos droits n'ont pas été respectés, vous pouvez introduire une réclamation auprès de votre autorité de protection des données. Les résidents belges et de l'UE peuvent saisir l'APD/GBA — https://www.autoriteprotectiondonnees.be.