Analyse d'impact relative a la protection des donnees (AIPD)
Article 35 du Reglement (UE) 2016/679 (RGPD)
Traitement : Geolocalisation GPS des participants — Modes outdoor et tactique
Responsable : Wilder Labs — Plateforme LiveQuest / TrailQuest / WildQuest
Date : mars 2026 · Mise a jour du 15 octobre 2026 · Version 1.2
1. Description du traitement
1.1 Nature du traitement
Collecte et traitement en temps reel des coordonnees GPS (latitude, longitude) des participants lors d'evenements outdoor (TrailQuest) et de missions tactiques (WildQuest). Les donnees sont utilisees pour :
- Guider les participants vers les etapes du parcours (boussole, carte)
- Declencher la validation automatique des etapes par proximite GPS (rayon 50m)
- Afficher la position des equipes sur le classement en direct
- Generer une heatmap de frequentation (anonymisee apres 7 jours)
- Declencher la collecte des bonus par proximite (rayon 30m)
1.2 Portee du traitement
| Element | Description |
|---|---|
| Personnes concernees | Participants aux evenements outdoor et missions WildQuest (estimation : 100-10 000 personnes/mois) |
| Donnees collectees | Latitude, longitude, horodatage (precision ~5-10m selon GPS du device) |
| Frequence | Mise a jour toutes les 30 secondes pendant la duree de l'evenement (1-4h en moyenne) |
| Volume | ~120-480 points GPS par participant par evenement |
| Duree de conservation | 7 jours apres fin de l'evenement (purge automatique quotidienne) |
| Localisation stockage | France (OVH SAS) |
| Sous-traitants | Aucun — donnees GPS traitees exclusivement sur les serveurs LiveQuest |
1.3 Base legale
Execution du service demande (Art. 6.1.b RGPD) — Le service demande par le participant est precisement la carte et la progression par position : la geolocalisation en mode outdoor est necessaire a ce service, elle ne repose pas sur le consentement. Le participant la declenche lui-meme, de deux manieres :
- Acceptation des CGU et de la politique de confidentialite avant inscription a l'evenement (case obligatoire, horodatee)
- Autorisation de geolocalisation via l'API du navigateur (popup natif du systeme d'exploitation)
Le participant peut refuser la geolocalisation a tout moment via les parametres de son navigateur. En mode indoor (ClueQuest), aucune geolocalisation n'est utilisee.
2. Necessite et proportionnalite
2.1 Necessite du traitement
La geolocalisation est strictement necessaire au fonctionnement du mode outdoor :
- Sans GPS, les participants ne peuvent pas etre guides vers les etapes
- La validation par proximite est le mecanisme principal de progression
- Le classement en direct repose sur la position des equipes
Alternative evaluee : validation manuelle par QR code uniquement. Rejetee car inadaptee aux parcours en plein air (pas de support physique en pleine nature).
2.2 Proportionnalite
| Principe | Mesure | Conformite |
|---|---|---|
| Minimisation | Seules lat/lng + horodatage sont collectees (pas d'altitude, vitesse, heading) | Conforme |
| Limitation finalite | GPS utilise uniquement pour la progression du jeu, pas de profilage | Conforme |
| Limitation conservation | Purge automatique 7 jours (le plus court possible pour permettre le recours) | Conforme |
| Exactitude | Precision GPS du device (~5-10m), pas d'augmentation artificielle | Conforme |
3. Evaluation des risques
| Risque | Gravite | Probabilite | Niveau | Mesures d'attenuation |
|---|---|---|---|---|
| Surveillance des deplacements d'un participant | Elevee | Faible | Moyen | Conservation 7j max · Acces restreint au QuestMaker de l'evenement · Pas de partage avec tiers |
| Fuite de donnees GPS (attaque serveur) | Elevee | Faible | Moyen | HTTPS obligatoire · Serveur France (OVH) · Backups chiffres · Rate limiting · Session organisateur : renouvelee a l'usage, close apres 30 jours d'inactivite et au plus tard 90 jours apres la connexion (8 heures pour les comptes a double authentification), revoquee a la deconnexion |
| Re-identification via croisement GPS + nom equipe | Moyenne | Moyenne | Moyen | Nom equipe = pseudonyme (pas de nom reel requis) · Purge 7j · Pas de lien avec email |
| Utilisation detournee par le QuestMaker | Moyenne | Faible | Faible | QuestMaker voit uniquement la derniere position · CGU interdisent la surveillance · Donnees purgees 7j |
| Collecte de GPS de mineurs (<15 ans) | Elevee | Faible | Moyen | Pas de collecte d'age (minimisation : l'age n'est ni demande ni verifie) · Mention dans la case d'acceptation obligatoire : « Si j'ai moins de 15 ans, je joue avec l'accord d'un adulte responsable (parent ou organisateur) » · L'organisateur, responsable de traitement, accueille les mineurs sous sa responsabilite et recueille l'accord des representants legaux avant l'evenement (CGU art. 12) · QuestMaker : derniere position seulement · Purge 7j |
| Acces non autorise aux positions (API) | Moyenne | Faible | Faible | Endpoints positions proteges par UUID (non devinable) · Rate limiting 30 req/min · Pas d'endpoint listant toutes les positions |
4. Mesures de securite
4.1 Mesures techniques
- Chiffrement en transit : HTTPS/TLS obligatoire (Let's Encrypt wildcard, HSTS)
- Authentification : UUID unique par equipe (128 bits, non devinable)
- Rate limiting : 30 requetes/min par IP sur les endpoints equipe
- Purge automatique : Positions GPS supprimees apres 7 jours (cron quotidien)
- Isolation : Multi-tenant — chaque evenement est isole, un QuestMaker ne voit que ses propres equipes
- Hebergement : Serveurs OVH SAS situés en France
- Sauvegardes : Toutes les 10 minutes + copie offsite quotidienne
- Monitoring : Alertes automatiques si anomalie serveur
4.2 Mesures organisationnelles
- Deux gestes du participant : acceptation des CGU/RGPD + autorisation navigateur
- Information claire : Politique de confidentialite detaillant le traitement GPS (section dediee)
- Droit d'opposition : Le participant peut couper le GPS a tout moment via les parametres navigateur
- Droit de suppression : Endpoint /rgpd/delete/:uuid supprime toutes les positions GPS
- Droit d'acces : Endpoint /rgpd/export/:uuid inclut les positions GPS dans l'export
- Formation : Les QuestMakers sont informes via le guide d'aide de leurs obligations (CGU section 5)
4.3 Mesures specifiques WildQuest (missions tactiques)
- Positions GPS des joueurs visibles uniquement par le Game Master pendant la mission
- Chat de mission supprime a la fin de la mission
- Donnees GPS des joueurs purgees 7 jours apres la fin de la mission
- Les roles et camps ne revelent aucune donnee personnelle
5. Droits des personnes
| Droit | Implementation | Delai |
|---|---|---|
| Acces (Art. 15) | GET /rgpd/export/:uuid — export JSON incluant toutes les positions GPS | Immediat (self-service) |
| Effacement (Art. 17) | DELETE /rgpd/delete/:uuid — supprime equipes_positions + toutes donnees liees | Immediat (self-service) |
| Opposition (Art. 21) | Couper la geolocalisation dans les parametres du navigateur a tout moment | Immediat |
| Portabilite (Art. 20) | Export JSON structuree avec lat/lng/timestamp | Immediat |
| Limitation (Art. 18) | Contact par email — traitement suspendu le temps de la verification | 30 jours max |
6. Conclusion
Le traitement de geolocalisation GPS dans le cadre des evenements outdoor (TrailQuest) et tactiques (WildQuest) presente un risque residuel moyen apres application des mesures d'attenuation.
Les mesures suivantes reduisent le risque a un niveau acceptable :
- Conservation minimale (7 jours)
- Acceptation des conditions et autorisation explicite du navigateur
- Pas de transfert hors UE
- Droits exercables immediatement (self-service)
- Isolation multi-tenant stricte
Decision : Le traitement peut etre poursuivi sous les conditions decrites ci-dessus. Revision prevue en mars 2027 ou en cas de modification substantielle du traitement.
7. Historique des revisions
| Version | Date | Modification |
|---|---|---|
| 1.0 | Mars 2026 | Creation initiale |
| 1.1 | 9 octobre 2026 | Mention d'un jeton de 8 heures remplacee par la regle reelle de session organisateur (30 jours d'inactivite, 90 jours au plus, 8 heures avec double authentification, revocation a la deconnexion). Risque residuel a reapprecier par le DPO : une session plus longue allonge la fenetre d'usage d'un appareil perdu ou d'un jeton copie, compensee par la revocation a la deconnexion et au changement de mot de passe. |
| 1.2 | 15 octobre 2026 | Risque « collecte de GPS de mineurs » : deux mesures annoncees ne correspondaient a aucune fonction du service et sont retirees (une condition d'age et un accord parental recueilli a l'inscription d'une equipe : aucun age n'est demande ni verifie, aucun accord parental n'est recueilli a cette etape). Mesures reelles decrites : pas de collecte d'age, mention dans la case d'acceptation obligatoire, responsabilite de l'organisateur (CGU article 12), derniere position seulement, purge a 7 jours. Base legale de la geolocalisation corrigee : execution du service demande (art. 6.1.b), et non consentement. Gravite, vraisemblance et niveau du risque inchanges : a reapprecier par le DPO, les mesures etant declaratives. |