Aller au contenu principal

Politique de Confidentialité

Protection de vos données personnelles - Conforme RGPD

📋 Préambule

Chez Arkanes, la protection de vos données personnelles est une priorité absolue. La présente Politique de Confidentialité vous informe de manière transparente sur la collecte, l'utilisation, le stockage et la protection de vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD - Règlement UE 2016/679) et à la loi Informatique et Libertés.

Responsable du traitement : Jonathan Audran, entrepreneur individuel (EI), exerçant sous le nom « Les Arkanes », SIRET 820 642 346 00069, 3 rue Jacques Hillairet, 75012 Paris, France
Contact protection des données : contact@lesarkanes.com

Article 1 - Données personnelles collectées

1.1 Données de compte et authentification

Collectées lors de l'inscription :

  • Email : Pour l'authentification et les communications
  • Mot de passe : Hashé et sécurisé (jamais stocké en clair)
  • Nom d'affichage : Pour l'identification sur la plateforme (pseudo accepté)
  • Date de naissance : Collectée uniquement si vous demandez l'accès aux contenus signalés « Adulte 16+/18+ » (vérification d'âge déclarative)
  • Avatar/Photo de profil : Optionnel, stocké sur Supabase Storage

Authentification sécurisée par Supabase Auth, incluant la connexion via Google OAuth et Discord OAuth.

1.2 Données de profil utilisateur

  • Bio/Description : Présentation personnelle (optionnelle)
  • Localisation : Ville/région pour la recherche d'événements locaux
  • Préférences de jeu : Systèmes de jeu favoris, types d'événements préférés
  • Langues : Langue d'interface et langues parlées
  • Timezone : Pour l'affichage correct des dates/heures
  • Rôles : Participant, Organisateur, Spectateur, Comédien professionnel
  • Réseaux sociaux : Liens optionnels (Discord, Instagram, etc.)

1.3 Données liées aux événements

  • Événements créés : Titre, description, système de jeu, dates, lieu, tags, images
  • Participations : Historique de participation, statut (confirmé, en attente, refusé)
  • Personnages : Noms, descriptions, caractéristiques, relations, historiques
  • Planning : Horaires, disponibilités, préférences de dates
  • Images d'événements : Photos uploadées ou URL d'images externes (max 5MB)

1.4 Communications et messages

  • Messages : Contenu des messages dans les chats d'événements
  • Mode roleplay : Messages en personnage avec nom de personnage associé
  • Réactions : Emojis et réactions sur les messages
  • Partages de contact : Demandes et validations de partage de coordonnées
  • Fichiers partagés : Images et documents envoyés dans les conversations
  • Métadonnées : Horodatage, statut (lu/non lu), éditions, suppressions

1.5 Génération de contenu par IA

  • Prompts utilisateur : Textes envoyés à l'IA pour générer du contenu
  • Contexte de génération : Données d'événements utilisées pour enrichir les prompts
  • Contenus générés : Personnages, scénarios, univers, relations
  • Historique de génération : Nombre de générations, types de contenus, consommation de crédits IA
  • Préférences IA : Paramètres de génération, styles préférés

ℹ️ Les contenus générés par IA sont mis à votre disposition sous licence d'utilisation dans le cadre de la plateforme (cf. CGU, article 5.4).

1.6 Système de badges et progression

  • Badges obtenus : Liste des badges débloqués avec dates d'obtention
  • Progression : Avancement vers les prochains badges
  • Statistiques : Nombre d'événements, personnages créés, jours de connexion consécutifs
  • Récompenses : Crédits gagnés, titres débloqués, cadres d'avatar

1.7 Données de paiement et transactions

  • Transactions Stripe : Montants, dates, statuts (via Stripe Payment Intents)
  • Solde de crédits : Crédits IA disponibles, historique de consommation
  • Factures : Informations de facturation, adresse, numéro de TVA si applicable
  • Historique d'achats : Packages de crédits achetés, abonnements souscrits

⚠️ IMPORTANT : Les données bancaires ne sont jamais stockées sur nos serveurs. Elles sont traitées exclusivement par Stripe (certifié PCI DSS Niveau 1).

1.8 Marketplace talents créatifs

  • Profils professionnels : Expérience, compétences, tarifs, disponibilités
  • Prestations : Types de rôles proposés, références, portfolio
  • Réservations : Historique des prestations, événements animés
  • Évaluations reçues : Notes et avis des organisateurs

1.9 Évaluations et feedback

  • Évaluations post-événement : Notes sur différents critères (organisation, qualité, immersion)
  • Commentaires : Feedback textuel anonyme
  • Questionnaires : Réponses aux questionnaires de satisfaction
  • Signalements : Rapports de contenus inappropriés ou problèmes rencontrés

ℹ️ Les évaluations sont anonymisées pour garantir leur authenticité et éviter les biais.

1.10 Données techniques et logs

  • Logs d'audit : Actions importantes (création compte, modifications, paiements)
  • Logs de sécurité : Tentatives de connexion, détection d'anomalies
  • Mesure d'audience (PostHog) : Pages visitées, événements d'usage, parcours ; données pseudonymisées, collectées uniquement avec votre consentement (bandeau cookies)
  • Données techniques : Adresse IP, type de navigateur, système d'exploitation
  • Monitoring d'erreurs (Sentry) : Rapports d'erreurs techniques (message d'erreur, page, navigateur, adresse IP), sur la base de notre intérêt légitime à assurer la stabilité et la sécurité du service, sans enregistrement de session

ℹ️ Conservation maximale : 12 mois pour les logs techniques, 25 mois pour les données de mesure d'audience.

1.11 Données NON collectées

Arkanes ne collecte PAS :

  • ❌ Données bancaires complètes (gérées exclusivement par Stripe)
  • ❌ Données sensibles (origine ethnique, opinions politiques, données de santé)
  • ❌ Données de géolocalisation précise en temps réel
  • ❌ Contenus de vos conversations privées hors plateforme
  • ❌ Données de navigation sur d'autres sites (pas de tracking cross-site)

Article 2 - Bases légales et finalités du traitement

2.1 Exécution du contrat

La plupart des traitements sont nécessaires à l'exécution de nos services (base légale : art. 6.1.b RGPD) :

  • Création et gestion de votre compte utilisateur
  • Fourniture des services Arkanes (événements, personnages, communications)
  • Traitement des paiements et gestion des crédits
  • Support client et assistance technique

2.2 Intérêt légitime

Certains traitements reposent sur notre intérêt légitime (base légale : art. 6.1.f RGPD) :

  • Amélioration de la plateforme et des services
  • Prévention de la fraude et sécurisation des comptes
  • Monitoring d'erreurs techniques (stabilité et sécurité du service)
  • Communications transactionnelles (confirmations, notifications importantes)

2.3 Consentement

Votre consentement explicite est requis pour (base légale : art. 6.1.a RGPD) :

  • Cookies non-essentiels (mesure d'audience PostHog)
  • Communications marketing et newsletters
  • Captation d'image lors d'événements (photos/vidéos promotionnelles)
  • Utilisation de vos contenus à des fins promotionnelles

✅ Vous pouvez retirer votre consentement à tout moment sans affecter les services essentiels.

2.4 Obligations légales

Certains traitements découlent d'obligations légales (base légale : art. 6.1.c RGPD) :

  • Conservation des factures (10 ans selon le Code de commerce)
  • Lutte anti-fraude et anti-blanchiment
  • Coopération avec les autorités judiciaires sur réquisition
  • Respect des obligations comptables et fiscales

Article 3 - Destinataires et partage des données

3.1 Accès interne

Seules les personnes habilitées d'Arkanes ont accès à vos données, dans la stricte limite de leurs fonctions (support, facturation, modération en cas de signalement).

3.2 Sous-traitants

Nous travaillons avec les sous-traitants suivants, encadrés par des accords de traitement des données (DPA) :

🗄️ Supabase (Supabase Pte. Ltd.)

Service : Base de données PostgreSQL, authentification, stockage de fichiers
Localisation des données : Union européenne, AWS, région Paris (eu-west-3)
Encadrement : DPA avec clauses contractuelles types (SCC) ; certifications SOC 2 Type II

💳 Stripe Payments Europe Ltd.

Service : Traitement sécurisé des paiements
Localisation : Irlande (Union européenne) ; transferts éventuels vers Stripe Inc. (États-Unis)
Encadrement : PCI DSS Niveau 1 ; certification EU-U.S. Data Privacy Framework

🌐 Vercel Inc.

Service : Hébergement de l'application web et CDN
Localisation : États-Unis, réseau CDN mondial
Encadrement : Certification EU-U.S. Data Privacy Framework ; SCC

⚡ Render Services, Inc.

Service : Serveur de génération IA (orchestration des générations)
Localisation du serveur : Union européenne (Francfort, Allemagne)
Données traitées : Paramètres et contenus de génération en transit
Encadrement : Certification EU-U.S. Data Privacy Framework ; SCC

🤖 Anthropic PBC (Claude, via API)

Service : Génération de contenu par IA (personnages, scénarios, univers, relations) et interprétation des demandes formulées en langage naturel (assistant Aiko)
Localisation : États-Unis
Données envoyées : Uniquement les paramètres et contextes nécessaires à la génération
Encadrement : Clauses contractuelles types (SCC) ; Anthropic n'utilise pas les données API pour entraîner ses modèles et les supprime de ses systèmes sous 30 jours

🖼️ Google LLC (Gemini, via API)

Service : Génération d'images d'événements par IA
Localisation : États-Unis
Données envoyées : Descriptions d'images uniquement
Encadrement : Certification EU-U.S. Data Privacy Framework ; SCC ; les contenus transmis via l'interface de programmation professionnelle ne sont pas utilisés pour entraîner les modèles

📧 Resend

Service : Envoi d'emails transactionnels (invitations, notifications, confirmations)
Données envoyées : Adresse email du destinataire, contenu de l'email
Encadrement : Certification EU-U.S. Data Privacy Framework ; SCC

📊 PostHog Inc.

Service : Mesure d'audience et analytics produit, uniquement avec votre consentement (bandeau cookies)
Localisation des données : Union européenne (cloud EU, Francfort)
Encadrement : DPA avec clauses contractuelles types (SCC)

🐛 Sentry (Functional Software, Inc.)

Service : Monitoring d'erreurs techniques (intérêt légitime : stabilité et sécurité)
Données traitées : Rapports d'erreurs (message, page, navigateur, adresse IP)
Encadrement : Certification EU-U.S. Data Privacy Framework ; SCC

3.3 Transferts hors Union européenne

Vos données sont principalement hébergées dans l'Union européenne (base de données à Paris, serveur IA à Francfort, analytics à Francfort). Certains sous-traitants sont toutefois situés aux États-Unis.

Ces transferts sont encadrés soit par la certification du prestataire au cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework), objet de la décision d'adéquation de la Commission européenne du 10 juillet 2023, soit par les clauses contractuelles types de la Commission (décision 2021/914), complétées le cas échéant de mesures supplémentaires. Vous pouvez obtenir copie des garanties applicables en écrivant à contact@lesarkanes.com.

3.4 Aucune vente de données

🚫 Arkanes ne vend jamais vos données personnelles à des tiers.

Article 4 - Vos données et l'intelligence artificielle

4.1 Ce que nous transmettons

Lorsque vous utilisez une fonctionnalité de génération, nous transmettons au fournisseur du modèle concerné les seuls éléments nécessaires à la génération demandée : les paramètres que vous avez choisis (thème, ambiance, nombre de personnages, niveau de difficulté), les textes libres que vous avez saisis, et le contexte de l'événement en cours de création. Le détail des fournisseurs, des modèles et des surfaces concernées est publié sur la page Transparence IA.

4.2 Ce que nous ne transmettons jamais

Ne sont jamais transmis aux fournisseurs de modèles : votre adresse email, votre mot de passe, vos moyens de paiement et données de facturation, votre historique de navigation, ni les données de compte des autres participants à vos événements.

4.3 Base légale

Ce traitement repose sur l'exécution du contrat qui nous lie (art. 6.1.b du RGPD) : la génération est une fonctionnalité que vous demandez explicitement, à chaque fois. Aucun consentement distinct n'est requis, et vous pouvez utiliser l'ensemble de la Plateforme sans jamais y recourir.

4.4 Attention à vos saisies libres

Certaines fonctionnalités, dont l'assistant Aiko, acceptent un texte libre. Ce texte est transmis tel quel au modèle. N'y saisissez aucune donnée personnelle concernant un tiers : nom complet, coordonnées, adresse, éléments de vie privée, ou tout élément permettant d'identifier une personne réelle.

Un scénario se construit avec des personnages de fiction. Si vous introduisez malgré tout de telles données, vous en devenez responsable au sens du RGPD et vous vous exposez aux mesures prévues à l'article 5.7 des CGU.

4.5 Aucun entraînement sur vos contenus

Arkanes n'utilise ni vos demandes de génération, ni les contenus produits, pour entraîner ou améliorer un modèle d'intelligence artificielle. Les fournisseurs auxquels nous faisons appel s'engagent, dans le cadre des offres professionnelles de leurs interfaces de programmation, à ne pas utiliser les contenus transmis par API à des fins d'entraînement.

4.6 Journalisation des générations

Chaque génération est journalisée à des fins de facturation en crédits, de support et de suivi technique (identifiant du compte, type de génération, demande transmise, modèle utilisé, coût, statut et durée). Le texte de votre demande est effacé automatiquement au bout de 12 mois ; le reste du journal est conservé pendant la durée de vie de votre compte et supprimé avec lui. Ces journaux ne sont consultables que par les personnes habilitées mentionnées à l'article 3.1.

Article 5 - Durées de conservation

Données de compte et profil : durée de vie du compte, puis suppression ou anonymisation dans les 30 jours suivant la clôture

Contenus d'événements, personnages et messages : durée de vie du compte ou jusqu'à suppression par l'utilisateur

Texte des demandes de génération : 12 mois, puis effacement automatique

Journaux d'utilisation de l'IA (hors texte de la demande) : durée de vie du compte, puis suppression avec celui-ci

Données de facturation et transactions : 10 ans (obligation comptable, art. L.123-22 du Code de commerce)

Logs techniques et de sécurité : 12 mois maximum

Mesure d'audience (PostHog) : 25 mois maximum

Rapports d'erreurs (Sentry) : 90 jours

Logs d'envoi d'emails (Resend) : 30 jours

Choix de consentement cookies : 6 mois, puis le consentement est redemandé

Article 6 - Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

  • Droit d'accès (art. 15 RGPD) : obtenir la copie des données que nous détenons sur vous
  • Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes
  • Droit à l'effacement (art. 17) : demander la suppression de vos données
  • Droit à la limitation (art. 18) : geler temporairement l'utilisation de certaines données
  • Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et lisible par machine
  • Droit d'opposition (art. 21) : vous opposer aux traitements fondés sur notre intérêt légitime, ainsi qu'à toute prospection
  • Droit de retirer votre consentement à tout moment (cookies de mesure d'audience via « Gérer mes cookies » en pied de page ; autres traitements par email), sans remettre en cause la licéité des traitements antérieurs
  • Directives post-mortem : définir des directives relatives au sort de vos données après votre décès (art. 85 loi Informatique et Libertés)

Pour exercer ces droits, écrivez à contact@lesarkanes.com. Nous répondons dans un délai d'un mois (prolongeable de deux mois pour les demandes complexes). Un justificatif d'identité pourra être demandé en cas de doute raisonnable sur l'identité du demandeur.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

Article 7 - Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement des communications (HTTPS/TLS), hachage des mots de passe, contrôle d'accès par rôles et politiques de sécurité au niveau de la base de données (Row Level Security), authentification multifacteur disponible, journalisation des accès, et limitation des accès internes aux seules personnes habilitées. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en serez informé conformément à l'article 34 du RGPD.

Article 8 - Caractère obligatoire des données et décisions automatisées

Les données marquées comme requises lors de l'inscription (email, mot de passe, nom d'affichage) sont nécessaires à la création du compte : sans elles, l'inscription est impossible. Toutes les autres données (bio, localisation, préférences, réseaux sociaux, avatar) sont facultatives.

Arkanes ne prend aucune décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé (art. 22 RGPD). Les générations par IA produisent du contenu créatif à votre demande et ne constituent pas des décisions vous concernant ; les décisions de modération sont prises par un humain.

Article 9 - Mineurs

L'inscription est réservée aux personnes de 15 ans et plus (âge du consentement numérique en France, art. 45 de la loi Informatique et Libertés). Les mineurs de 15 à 18 ans doivent disposer de l'autorisation de leur représentant légal. Les contenus signalés « Adulte 16+/18+ » sont soumis à une vérification d'âge déclarative et ne sont jamais accessibles publiquement. Si vous pensez qu'un mineur utilise la plateforme en violation de ces règles, contactez-nous.

Article 10 - Mises à jour et contact

Cette politique peut évoluer avec la plateforme ou la réglementation. En cas de modification substantielle, vous en serez informé par un bandeau sur le site ou par email. Pour toute question : contact@lesarkanes.com.

Dernière mise à jour : 7 août 2026

Version 4.1 : Ajout de l'article dédié au traitement des données par l'IA