Vos données, votre jeu.

01 Identité du responsable de traitement

Tier est une application mobile de suivi de jeux vidéo et de journal social. Le responsable de traitement au sens de l'article 4(7) du RGPD est une personne physique établie en Belgique :

• Éditeur : Riccardo Accardi (indépendant / entrepreneur personne physique)
• Adresse postale : Chaussée de Mons 356, 1070 Bruxelles, Belgique
• Numéro d'entreprise (BCE / TVA) : BE1006414491
• Adresse de contact : contact@yourtier.com
• Application mobile : distribuée sur l'App Store d'Apple et Google Play sous l'identifiant com.yourtier.tier
• Site officiel : yourtier.com

L'éditeur étant une personne physique et le traitement n'étant pas effectué à grande échelle au sens de l'article 37 du RGPD, la désignation d'un Délégué à la Protection des Données (DPO) n'est pas obligatoire. Le point de contact unique pour toute demande relative à la vie privée est contact@yourtier.com. Nous répondons dans un délai d'un mois (art. 12.3 RGPD), prorogeable de deux mois pour les demandes complexes.

02 Données collectées

Uniquement ce qui est nécessaire au bon fonctionnement de l'application. Réparties par finalité :

Compte et identité (Odoo res.users / res.partner)

Profil (tous les champs sont facultatifs, sur res.partner)

• Nom d'affichage, bio, pronoms, année « gamer depuis »
• Date de naissance — utilisée pour vérifier l'âge minimum (13 ans) et filtrer les contenus PEGI / ESRB. La date brute n'est jamais affichée publiquement ; seule la tranche d'âge calculée peut être affichée si vous l'activez.
• Genres et plateformes favoris
• Avatar et bannière de profil
• Handles sociaux que vous saisissez : Twitter/X, Discord, Twitch, YouTube, Steam, Xbox Live, PSN, Nintendo. Nous stockons uniquement les handles saisis — nous n'appelons pas les API de ces plateformes en votre nom.
• Visibilité du profil : public, abonnés uniquement ou privé.

Activité et contenu

• Entrées du journal (tier.journal.entry) avec l'un des quatre états : à jouer, en cours, terminé, abandonné.
• Critiques (tier.review) — texte et note de 1 à 10. Les critiques que vous publiez sont publiques par conception.
• Listes personnalisées (8 types : favoris, wishlist, backlog, etc.).
• Graphe social : abonnements (tier.user.follow) et blocages (tier.user.block).
• Historique des notifications (tier.notification) et statistiques de gamification (XP, niveau, séries).

Appareil et technique

• Jetons push Expo (tier.push_device) — uniquement si vous autorisez les notifications.
• Préférences de notifications et opt-in du résumé hebdomadaire (réglages dans les Paramètres).
• Préférences de l'application (thème, réduction des animations).
• Tentatives d'authentification (tier.auth_attempt : IP, user-agent, résultat) — protection anti force brute.
• Compteurs de rate-limit — par utilisateur / par IP, sur des fenêtres courtes.
• Journaux de plantage anonymisés (rapports natifs Expo) — sauf si vous avez désactivé l'envoi au niveau du système d'exploitation. Aucun SDK de crash-reporting tiers (Sentry, Bugsnag, etc.) n'est intégré.

03 Bases légales (art. 6 RGPD)

Vous pouvez retirer votre consentement à tout moment sans que cela affecte la licéité des traitements antérieurs.

04 Finalités du traitement

1. Fournir le service principal — afficher votre profil, votre journal, vos critiques et vos listes, vous permettre de suivre d'autres joueurs.
2. Vous authentifier — par e-mail/mot de passe, Sign in with Apple ou Sign in with Google. La vérification de l'audience OAuth est appliquée côté backend.
3. Personnaliser le contenu — recommander des jeux selon vos favoris, votre historique et les scores tendances.
4. Envoyer uniquement les notifications acceptées — jamais d'autres.
5. Modérer la communauté — gérer les blocages, signalements et infractions.
6. Protéger le service — limiter les abus, détecter le credential stuffing.
7. Respecter la loi — répondre aux demandes légales, conserver une trace des suppressions.

05 Destinataires et sous-traitants

Fournisseurs d'authentification

• Apple — Sign in with Apple. Nous recevons un identifiant opaque, éventuellement votre nom et un e-mail (réel ou relais).
• Google — OAuth. Nous recevons votre sub, votre e-mail vérifié et des informations de profil de base.

Bases de données de jeux

Nous appelons ces API depuis notre backend avec nos propres clés. Votre identité n'est jamais transmise.

Infrastructure et sous-traitants

• Hébergeur backend — Odoo 19 + PostgreSQL, hébergé chez Contabo GmbH, Welfenstrasse 22, 81541 Munich, Allemagne (UE). Stockage principal.
• Expo Inc. (États-Unis) — relais de notifications push Expo (exp.host) et pipeline EAS build / OTA. Traite les jetons push Expo et des pings de canal anonymisés.
• Apple App Store et Google Play — distribution et livraison des binaires.

Fournisseurs LLM (module tier_ai, enrichissement de contenu uniquement)

Utilisés uniquement pour enrichir le catalogue public de jeux (ambiance, difficulté, faits associés à des noms propres). Aucune donnée personnelle n'est transmise à ces fournisseurs — uniquement des titres et métadonnées de jeux publics.

• Mistral AI (France) — aucun transfert hors UE.
• Groq Inc. (États-Unis) — EU-US Data Privacy Framework lorsque applicable, sinon Clauses Contractuelles Types.
• OpenRouter (États-Unis) — EU-US DPF lorsque applicable, sinon CCT.

06 Transferts internationaux (chapitre V RGPD)

La base de données principale est située dans l'Union européenne (hébergeur : Contabo GmbH, Munich, Allemagne). Lorsque des tiers traitent vos données en dehors de l'UE, les transferts reposent sur l'une des garanties suivantes prévues aux articles 44 à 49 du RGPD :

Une copie des Clauses Contractuelles Types signées avec chaque sous-traitant établi aux États-Unis peut être obtenue sur demande à contact@yourtier.com.

07 Durées de conservation

08 Visibilité de votre contenu

Vous contrôlez qui peut voir votre profil et votre contenu via le réglage de visibilité :

• Public — toute personne, y compris les visiteurs non connectés, peut voir votre profil, vos critiques et vos listes publiques.
• Abonnés uniquement — visible uniquement par les utilisateurs que vous suivez.
• Privé — visible uniquement par vous.

09 Vos droits

En application du RGPD (et des textes équivalents — UK GDPR, LGPD, CCPA / CPRA…), vous pouvez :

Pour exercer ces droits, écrivez à contact@yourtier.com depuis l'adresse associée à votre compte. Nous pouvons vous demander de prouver votre identité avant d'agir. Réponse sous un mois (art. 12.3 RGPD).

Registre des activités de traitement (art. 30 RGPD). Conformément à l'article 30 du RGPD, nous tenons un registre des activités de traitement disponible sur demande à contact@yourtier.com.

10 Mineurs

L'âge minimum pour créer un compte Tier est de 13 ans. Nous ne traitons pas sciemment de données personnelles concernant des enfants de moins de 13 ans (ou de l'âge local équivalent du consentement numérique lorsqu'il est supérieur).

Belgique et UE — âge du consentement numérique (art. 8 RGPD). En Belgique, la loi du 30 juillet 2018 (art. 7) fixe l'âge du consentement numérique à 13 ans. Aucune autorisation parentale supplémentaire n'est requise pour les utilisateurs de 13 ans et plus. Dans d'autres États membres de l'UE, le seuil local peut être plus élevé (jusqu'à 16 ans) ; nous appliquons le seuil local lorsque c'est le cas. Les parents peuvent à tout moment écrire à contact@yourtier.com pour exercer les droits d'accès, de rectification ou d'effacement des données de leur enfant.

Certains jeux du catalogue portent une classification PEGI / ESRB. Le champ « date de naissance » sert à vérifier l'âge minimum et à filtrer l'affichage des contenus classés ; la date brute n'est jamais affichée publiquement.

Conformément à l'article 28 du règlement européen sur les services numériques (DSA), nous n'affichons jamais de publicité ciblée fondée sur le profilage des mineurs.

Si vous pensez qu'un enfant s'est inscrit sans consentement approprié, écrivez à contact@yourtier.com et nous supprimerons le compte.

11 Sécurité

• Mots de passe — hachage KDF lent et salé. Jamais stockés ni transmis en clair.
• HTTPS / TLS — imposé partout. Chiffrement in-transit systématique.
• Chiffrement au repos — au niveau du système de fichiers / des disques de l'hébergeur.
• Accès API à plusieurs niveaux — public / utilisateur (portail) / interne / admin, avec listes blanches par point d'entrée.
• Anti force brute — journal tier.auth_attempt et compteurs de rate-limit.
• Sécurité au niveau ligne via les contraintes ir.rule d'Odoo — les utilisateurs du portail ne peuvent lire que les champs autorisés sur les autres utilisateurs.
• Vérification de l'audience OAuth côté backend — les identifiants clients sont publics par conception, la frontière de sécurité est la vérification d'audience.
• Délais de carence à la suppression de compte pour éviter les suppressions accidentelles ou forcées.

12 Cookies et stockage local

L'application mobile n'utilise pas de cookies HTTP. Aucun cookie de tracking tiers, aucun SDK publicitaire. Nous utilisons uniquement un stockage technique strictement nécessaire pour vous garder connecté(e) et mémoriser vos préférences :

• Stockage sécurisé (Keychain sur iOS / Keystore sur Android via expo-secure-store) pour les jetons d'authentification.
• AsyncStorage pour les préférences non sensibles (thème, dernier onglet visité, date d'ignorance du daily prompt).
• Sur yourtier.com (compagnon web / pages légales), seuls des cookies de première partie strictement nécessaires à la session sont déposés. Aucun cookie publicitaire ou analytique.

13 Notifications push et e-mail

Les notifications push sont envoyées uniquement lorsque vous avez activé l'interrupteur correspondant (activité des amis, social, sorties). Vous pouvez révoquer la permission de notifications au niveau du système d'exploitation à tout moment (iOS Réglages → Notifications → Tier ; Android Infos sur l'app → Notifications).

Le résumé hebdomadaire par e-mail est opt-in. Désactivez-le dans les Paramètres ou utilisez le lien de désinscription présent dans chaque e-mail.

14 Suppression de compte — ce qui se passe

1. Votre enregistrement res.users est archivé ; les champs identifiants sur res.partner (e-mail, gamer tag, bio, avatars, bannière, handles sociaux, date de naissance, pronoms) sont vidés ou remplacés par des valeurs de substitution.
2. Un préfixe SHA-256 court de votre ancien identifiant est inscrit dans le journal d'audit de suppression comme preuve que la demande a été honorée. L'e-mail original n'est pas conservé.
3. Toutes vos sessions actives sont révoquées.
4. Vos critiques et listes sont soit supprimées, soit anonymisées pour ne pas orpheliner les interactions d'autres utilisateurs.

15 Décisions automatisées (art. 22 RGPD)

Tier ne prend pas de décision produisant des effets juridiques ou vous affectant de manière significative sur la seule base d'un traitement automatisé au sens de l'article 22 du RGPD.

La modération de contenu combine 49 règles automatisées de détection (spam, discours haineux, contenus interdits, comportements coordonnés inauthentiques) avec une file d'examen humaine. Les sanctions (retrait de contenu, suspension, bannissement) sont toujours examinées et confirmées par un modérateur humain. Vous pouvez contester toute décision en écrivant à contact@yourtier.com — réponse sous un mois.

Les recommandations (jeux suggérés, utilisateurs à suivre) reposent sur vos favoris déclarés et votre activité dans l'application. Elles sont purement indicatives et n'ont aucun effet juridique.

16 Modifications de cette politique

Les changements importants sont annoncés dans l'application et par e-mail au moins 30 jours avant leur entrée en vigueur. La date « En vigueur » en haut de cette page reflète toujours la version actuelle. La poursuite de l'utilisation après cette date vaut acceptation de la politique mise à jour.

17 Contact

Éditeur (responsable de traitement) : Riccardo Accardi
Adresse postale : Chaussée de Mons 356, 1070 Bruxelles, Belgique
Numéro d'entreprise (BCE / TVA) : BE1006414491
Point de contact unique : contact@yourtier.com
Site officiel : yourtier.com

Si vous pensez que vos droits n'ont pas été respectés, vous pouvez introduire une réclamation auprès de votre autorité de protection des données. Les résidents belges et de l'UE peuvent saisir l'APD/GBA — https://www.autoriteprotectiondonnees.be.