Politique de Confidentialité

Dernière mise à jour : 24 octobre 2026 (sauvegardes : fréquence et durées de conservation précisées pour refléter l'exploitation réelle ; 15 octobre 2026 : article 1 : renvoi à l'annexe 1 des CGU, accord de sous-traitance (article 28 du RGPD) ; réservation d'un créneau : la réservation repose sur l'exécution du service, le consentement ne vaut que pour les champs facultatifs ; réservation d'un créneau : le champ « allergies » devient une question neutre « besoin particulier », avec l'avertissement de ne donner aucune information de santé ; photos : diffusion (galerie, page de partage, profil public), accord du représentant légal d'un mineur, durée de 30 jours après l'envoi ; bases légales et rôles : le jeu repose sur l'exécution du service et non sur le consentement, l'organisateur est responsable de traitement des données de ses joueurs et Wilder Labs son sous-traitant ; article 12 « Protection des mineurs » réécrit : l'âge n'est pas vérifié, base légale du jeu, options fondées sur le consentement, rôle de l'organisateur ; alignement des textes sur le fonctionnement réel : adresse e-mail et nom du compte transmis à Stripe pour un abonnement mais pas pour un achat de crédits, adresse de l'acheteur transmise au prestataire de paiement pour une inscription ou un achat chez un organisateur ; durées réelles des sessions et des liens de connexion ; sauvegardes (fréquence, chiffrement, durée, lieu) ; usages de l'intelligence artificielle détaillés (traduction, aide au quiz, missions WildQuest, résumé de requête conservé 12 mois) ; attestation d'engagement tarifaire signée électroniquement ; journal d'audit de l'attestation de contenu ; empreinte de l'adresse IP d'un signalement ; 14 octobre 2026 : mesure d'audience : le pays d'une visite est déduit localement de l'adresse IP, par une base installée sur nos serveurs, sans transmettre l'adresse à un tiers ; Cloudflare n'est plus le DNS, le proxy inverse ni le CDN de la Plateforme : DNS et hébergement chez OVHcloud, en France, et retrait de Cloudflare des sous-traitants, des transferts hors Union européenne et des données de connexion ; contrôle automatique des quêtes : liste de mots seule, plus aucun texte transmis à Google pour ce contrôle ; Google n'intervient plus que pour l'Oracle IA et les notifications de l'application Android ; indice pour un joueur bloqué : option de la quête choisie par le créateur, désactivée par défaut, seulement l'énoncé de l'étape et l'indice du créateur sont transmis, aucune donnée de joueur ; description de Cloudflare harmonisée ; 13 octobre 2026 : suppression d'un compte ou d'un espace : délai de 30 jours avant l'effacement, durées après suppression précisées ; application Android : création et modification de quêtes dans l'application, photos, coordonnées et narrations des étapes ; cartes, recherche de lieux, météo et bibliothèques chargés depuis des serveurs tiers, désormais nommés ; 11 octobre 2026 : signalements de terrain par les joueurs détaillés ; 8 octobre 2026 : connexion avec Google détaillée ; notifications de l'application Android et « Carnet » décrits ; photos : base légale et fonctionnement réels ; protection des mineurs : ce qui est réellement contrôlé ; effacement des photos jusque dans le stockage ; application Android : historique des quêtes et badges sans compte, identifiant d'installation (usage, durée, effacement) ; suppression du compte joueur depuis /rgpd ; durée de conservation des scores et de la progression précisée ; effacement de la dernière position GPS de l'équipe ; application Android ; contrôle des balises bonus et trajet hors ligne ; signalement et modération des quêtes ; contrôle automatique à l'activation ; notifications de l'organisateur)

1. Identité du responsable de traitement

Pour les données des joueurs d'un événement (équipe, position, photos), l'organisateur est responsable de traitement et Wilder Labs agit pour son compte comme sous-traitant. Wilder Labs est responsable de traitement pour ses propres finalités (comptes organisateurs, sécurité, journaux d'accès, facturation). Les conditions de ce rôle de sous-traitant figurent à l'Annexe 1 des CGU (accord de sous-traitance, article 28 du RGPD).

Wilder Labs est :

• Éditeur : Wilder Labs (micro-entreprise)
• Plateforme : LiveQuest (livequest.fr, trail.livequest.fr, clue.livequest.fr, wild.livequest.fr)
• Adresse : Disponible sur demande à
• Responsable du traitement : le gérant de Wilder Labs, joignable à .
• Délégué à la protection des données (DPO) : aucun DPO n'est désigné au sens de l'article 37 du RGPD. Pour toute question relative à vos données personnelles, contactez le responsable du traitement à .

2. Données collectées et finalités

Nous collectons uniquement les données strictement nécessaires au fonctionnement du service :

Précision sur les données GPS et boussole (mode outdoor)

Les données de géolocalisation des participants sont collectées uniquement pendant la durée de l'événement, pour fournir le service demandé (exécution du service, article 6, 1, b du RGPD) : le navigateur du participant lui demande l'autorisation de se géolocaliser à l'ouverture de la page TeamQuesters, et il peut la refuser. Ces données permettent le suivi en temps réel sur la carte, le calcul des itinéraires et l'affichage de la boussole. Elles sont conservées jusqu'à 7 jours après la fin de l'événement, puis purgées automatiquement. Les données d'orientation (boussole) ne sont pas enregistrées.

Ces positions servent aussi à vérifier les balises bonus : le serveur contrôle qu'un déplacement est vraisemblable (vitesse, horaires) avant d'attribuer des points, et détecte lui-même le passage près d'une balise secrète. Si le réseau est coupé pendant la partie, le téléphone garde temporairement son trajet (un point toutes les 10 secondes environ, au plus 4 heures) et l'envoie au retour du réseau pour ce même contrôle ; ce trajet est ensuite conservé et purgé comme les autres positions de la partie.

Précision sur le mode indoor (ClueQuest)

En mode indoor, aucune donnée de géolocalisation n'est collectée. La progression du participant est assurée par la lecture de QR codes physiques. Seule l'information de validation de chaque étape (horodatage du scan) est enregistrée.

Précision sur le mode tactique (WildQuest)

En mode tactique (wild.livequest.fr), les données suivantes sont collectées pour fournir le service demandé (exécution du service) : pseudo, camp, rôle et capacités assignées, messages de chat d'équipe, positions GPS en temps réel, événements de respawn et d'élimination, scans de QR codes terrain. Les messages de chat sont conservés pendant la durée de la mission et purgés avec les données de mission. Les positions GPS sont effacées dès la fin de la partie et, pour une partie abandonnée, au plus tard 7 jours après le dernier relevé.

Les statistiques de partie (zones prises, objectifs remplis, éliminations, alertes de l'arbitrage, distance parcourue) sont des compteurs : la distance est un simple total en mètres, sans trajet ni coordonnée. Le joueur ne voit que ses propres chiffres à la fin de la partie ; l'organisateur voit ceux de sa partie. Quand le réseau manque, le téléphone garde sur l'appareil la position et les actions du joueur jusqu'à leur envoi, puis les efface (au plus tard à la fin de la partie ou après 4 heures).

Précision sur les notifications push (Web Push)

Les notifications push utilisent le protocole Web Push avec chiffrement VAPID. Elles ne sont activées que si le participant touche lui-même « Recevoir les messages de l'organisateur » dans le jeu, puis accepte la demande de son navigateur ; rien n'est demandé automatiquement. Elles servent uniquement à transmettre les messages de l'organisateur pendant la partie : jamais entre 21 h et 8 h (heure de Paris), en nombre limité chaque jour, sans nom d'équipe ni donnée du participant dans le texte affiché. Le participant peut les couper à tout moment depuis le menu du jeu ou les réglages de son navigateur. L'abonnement est supprimé au plus tard 7 jours après la fin de la partie.

Précision sur l'application Android « LiveQuest – Jeux de piste »

L'application Android est une enveloppe de l'application de jeu : elle collecte les mêmes données, pour les mêmes finalités et les mêmes durées que le jeu en navigateur (tableau ci-dessus), plus l'identifiant d'installation décrit ci-dessous. Depuis la version 1.2.13, elle permet aussi de créer et de modifier ses quêtes (voir « Créer et modifier vos quêtes dans l'application » ci-dessous). Comme le jeu dans un navigateur, elle affiche des cartes et charge des bibliothèques depuis des serveurs de tiers (voir « Cartes, recherche de lieux et bibliothèques » ci-dessous). Elle ne contient ni publicité, ni outil de mesure d'audience ou de suivi tiers, ni extension de réseau social.

• Position : demandée par Android au moment où une quête outdoor la réclame, uniquement pendant que l'application est ouverte au premier plan. Aucune position n'est lue en arrière-plan. Pour que le suivi ne s'interrompe pas, l'écran reste allumé tant que l'application est ouverte. Dans l'éditeur de quêtes, la position est lue une seule fois, quand vous touchez « Utiliser ma position » pour placer une étape, ou quand vous ouvrez la carte d'une quête qui n'a pas encore d'étape (la carte se centre alors sur vous, sans rien enregistrer). Aucune trace de vos déplacements n'est conservée par l'application.
• Appareil photo : pour scanner un QR code (lecteur de codes de Google Play Services : l'image n'est pas transmise à LiveQuest) et pour photographier une épreuve de quête, ou un lieu quand vous créez une étape (cette photo est alors envoyée à LiveQuest). Autorisation demandée par Android à la première utilisation.
• Vibration : retours tactiles du jeu. Aucune autre autorisation (pas de micro, pas de contacts, pas de stockage partagé).
• Notifications (facultatives) : l'application peut vous prévenir quand l'organisateur d'une quête que vous jouez vous écrit, par les notifications natives d'Android (Firebase Cloud Messaging, service de Google). Rien n'est demandé au premier lancement et aucun jeton n'est créé tant que vous n'avez pas choisi : l'application vous les propose seulement après une première partie jouée (ou dans « Réglages »), explique de quoi il s'agit, puis Android demande lui-même son autorisation. Les notifications Web Push décrites ci-dessus concernent le jeu ouvert dans un navigateur, pas l'application.
  • Ce qui est enregistré : un jeton de notification par installation de l'application. C'est un identifiant d'appareil fourni par Google : il ne désigne personne, mais il permet d'adresser une notification à ce téléphone. Il est conservé en clair (il faut le présenter à Google pour envoyer), relié à l'empreinte de l'identifiant d'installation décrit plus bas, et à aucune équipe en propre : LiveQuest retrouve les téléphones d'une équipe grâce à la liaison installation ↔ équipe déjà décrite.
  • Ce qui est envoyé, et à qui : le titre et le texte du message de l'organisateur (180 caractères au plus), le lien vers la partie et la langue transitent par Google LLC (États-Unis), notre sous-traitant pour l'acheminement (voir « 3. Sous-traitants »). Aucun nom d'équipe ni donnée du participant n'est écrit dans le message. Mêmes règles que le Web Push : jamais entre 21 h et 8 h (heure de Paris), 5 notifications par équipe et par jour au plus, message périmé au bout de 12 heures. Une partie terminée peut encore en recevoir pendant 7 jours.
  • Durée de conservation du jeton : supprimé aussitôt si vous coupez les notifications (« Réglages » puis « Notifications »), si vous touchez « Effacer l'historique de cet appareil », ou quand Google indique que l'application a été désinstallée (à l'envoi suivant) ; sinon, au plus tard 90 jours après la dernière ouverture de l'application (elle renvoie son jeton à chaque ouverture), et 7 jours après son enregistrement s'il n'est relié à aucune partie jouée depuis l'installation. Purge automatique quotidienne.
  • Retrait : à tout moment dans l'application (« Réglages », interrupteur « Notifications »), ou dans les réglages d'Android. Côté Google, le jeton est aussi supprimé de l'appareil quand vous coupez les notifications.
• Créer et modifier vos quêtes dans l'application (depuis la version 1.2.13) : l'application affiche l'éditeur de quêtes de LiveQuest (onglet « Créer », « Mes quêtes »), avec le même compte que pour jouer : connexion par adresse e-mail et code, ou « Continuer avec Google ». Rien ne s'achète dans l'application, et on peut y jouer sans jamais créer. Les données traitées sont celles de la ligne « Créateurs de quêtes » du tableau ci-dessus ; en pratique :
  • Adresse e-mail du compte : indispensable pour créer une quête (elle ouvre et protège le compte), facultative pour jouer. Elle est conservée pendant la durée du compte, puis selon la ligne « Organisateurs (QuestMakers) » du tableau. Elle n'est communiquée à personne en dehors des sous-traitants de la section 3 (hébergement, envoi des codes par e-mail).
  • Photos des étapes : prises avec l'appareil photo ou choisies dans la galerie. Elles sont envoyées à LiveQuest, redimensionnées, et leurs métadonnées (dont la localisation intégrée par l'appareil) sont retirées. Elles sont montrées aux joueurs de la quête. Ne photographiez pas de personnes identifiables sans leur accord : le créateur est responsable des données personnelles qu'il publie. Conservation : tant que la quête existe ; une photo retirée d'une étape est supprimée au plus tard 7 jours plus tard.
  • Coordonnées des étapes : ce sont celles des lieux de la quête, placés sur la carte ou saisis. Si vous touchez « Utiliser ma position », ce sont les coordonnées de l'endroit où vous vous tenez à ce moment-là : elles sont enregistrées comme celles de l'étape (et non comme une position de votre part), et les joueurs les voient dans les quêtes en extérieur. Conservation : tant que la quête existe ; effacées avec elle.
  • Narrations audio : fichiers audio que vous choisissez pour une étape. Ils sont envoyés à LiveQuest et lus par les joueurs de la quête. Conservation : tant que la quête existe, ou jusqu'à leur suppression dans l'éditeur.
  • Suppression : une quête se supprime depuis l'éditeur (ses données et ses fichiers sont alors effacés) ; pour votre compte, voir « Comment exercer vos droits ».
• Cartes, recherche de lieux et bibliothèques (serveurs de tiers) : comme le jeu dans un navigateur, l'application charge des fonds de carte et quelques bibliothèques logicielles directement depuis des serveurs de tiers (liste dans « Services de cartes et bibliothèques chargés depuis des serveurs de tiers », section 3). Chacun reçoit votre adresse IP et le type de votre appareil. Les fournisseurs de cartes reçoivent aussi la zone de carte affichée : quand la carte suit votre position, elle révèle où vous êtes, à quelques centaines de mètres près (moins en zoomant). Dans l'éditeur, certains reçoivent en plus les coordonnées des étapes de la quête (et celles de l'endroit où vous vous tenez, si vous avez touché « Utiliser ma position »), ou le lieu que vous cherchez. Ces services sont exploités par des organismes indépendants de Wilder Labs, qui agissent pour leur propre compte et non pour le nôtre ; aucun ne reçoit votre nom, votre adresse e-mail ni votre compte. C'est pourquoi la fiche « Sécurité des données » de l'application sur Google Play les déclare comme partage de données (position et identifiants).
• Sur le téléphone : l'application conserve, comme un navigateur, l'identifiant de la partie en cours pour la reprendre, et l'adresse de la dernière quête ouverte. Désinstaller l'application ou effacer ses données supprime ces informations.
• « Mes quêtes » et « Mes badges », sans compte (identifiant d'installation) : à sa première ouverture, l'application tire au hasard un identifiant d'installation (un nombre aléatoire propre à l'application : ce n'est ni l'identifiant publicitaire ni un identifiant Android) et le garde sur le téléphone, sans sauvegarde dans le cloud.
  • Ce qu'il permet : l'application le transmet aux pages de jeu dans un cookie technique lq_app (illisible par les scripts des pages, envoyé en connexion chiffrée uniquement), et l'écran « Mes quêtes » l'utilise pour demander à LiveQuest l'historique de cette installation. Il sert uniquement à retrouver les parties jouées depuis cette installation, pour afficher dans l'application les quêtes jouées et les badges obtenus, sans compte. Il n'est utilisé pour aucun autre usage. Un autre appareil ne peut pas lire cet historique.
  • Ce que LiveQuest conserve : uniquement une empreinte irréversible (SHA-256) de cet identifiant, rattachée aux équipes jouées depuis l'installation. LiveQuest ne conserve pas l'identifiant lui-même.
  • Durée de conservation : le cookie lq_app est valable 400 jours et renouvelé à chaque ouverture de l'application. Côté LiveQuest, la liaison est supprimée en même temps que l'équipe, donc pour les mêmes durées que le tableau ci-dessus : tant que la quête reste en ligne, puis 1 an après la dernière modification d'une quête désactivée, ou aussitôt si l'équipe ou la quête est supprimée. Elle n'a pas de durée propre.
  • Suppression : dans l'application, « Profil » puis « Effacer l'historique de cet appareil » (après confirmation) supprime aussitôt toutes les liaisons conservées par LiveQuest pour cette installation et remplace l'identifiant par un nouveau ; les parties elles-mêmes ne sont pas supprimées (voir « Comment exercer vos droits »). Désinstaller l'application ou effacer ses données supprime l'identifiant et le cookie du téléphone : l'historique n'est alors plus consultable depuis le téléphone, et les liaisons qui restent chez LiveQuest ne désignent plus personne.
  • Rattachement à un compte : si vous créez ensuite un compte joueur, l'application vous propose, sans obligation, de rattacher ces parties à votre compte.
• « Carnet » (écran local de l'application) : il garde la trace de vos aventures sur le téléphone : une page par quête jouée (nom de la quête et de votre équipe, date, durée, étapes réussies, points, rang, fin obtenue, médailles) et la forme du parcours (les positions des étapes de la quête, mises à l'échelle : aucune coordonnée géographique n'est transmise à l'écran).
  • D'où viennent ces données : de LiveQuest, par l'identifiant d'installation décrit ci-dessus (l'application les demande avec lui ; ce sont des données de partie que LiveQuest détient déjà, rien de plus n'est collecté pour le Carnet). Aucune photo d'équipe n'est transmise ni affichée dans cette version : seule la photo de couverture choisie par l'organisateur pour sa quête peut illustrer une page.
  • Sur le téléphone : la dernière réponse est gardée dans le stockage local de l'application (pour s'afficher sans réseau), remplacée à chaque nouvelle réponse du serveur. Ni sauvegarde dans le cloud, ni partage avec d'autres applications. Elle est effacée par « Effacer l'historique de cet appareil », par la désinstallation ou l'effacement des données de l'application.
  • Partage en image : si vous partagez une page du Carnet, l'image est créée sur le téléphone, puis remise à l'application de votre choix : LiveQuest ne la reçoit pas. Elle ne contient aucune photo d'équipe. Elle peut porter le nom de votre équipe : si ce nom est un nom de personne, vous le diffusez en partageant.
• Compte joueur facultatif : la création et la suppression du compte se font dans l'application, depuis « Mon profil », ou depuis la page /rgpd (voir aussi « Comment exercer vos droits »).

Précision sur la mesure d'audience (analytics)

La Plateforme collecte des données de visite anonymisées à des fins d'amélioration du service. Cette collecte s'effectue sans aucun cookie tiers. Les données collectées incluent : adresse IP (anonymisée), pays de la visite, user-agent, résolution d'écran, pages visitées et durée de navigation. Le pays est déduit localement de l'adresse IP, au moyen d'une base installée sur nos serveurs (« IP Geolocation by DB-IP », licence CC BY 4.0) : aucune adresse IP n'est transmise à un tiers pour cela. Les robots et bots sont automatiquement exclus des statistiques. Les données sont purgées automatiquement après 1 an. Lorsque vous nous écrivez par le formulaire de contact, l'équipe voit d'où vous venez (moteur de recherche, autre site ou accès direct, page d'arrivée, pages consultées, durée de la visite, type d'appareil) afin de répondre à votre demande : cette information est rattachée à votre message sur la base de notre intérêt légitime, sans adresse IP ni identifiant déposé dans votre navigateur. Vous pouvez demander l'exclusion de cette collecte en écrivant à .

Précision sur la traçabilité des mouvements de crédits

Sur un compte organisateur partagé par plusieurs personnes, chaque débit, crédit ou annulation de crédits enregistre l'identifiant de la personne qui l'a déclenché, son adresse email, une version tronquée de son adresse IP (préfixe réseau uniquement, pas l'adresse complète) et son agent utilisateur. Cette information sert exclusivement à instruire un éventuel litige de facturation interne au compte (identifier qui a déclenché une action facturée) ; elle est visible dans le relevé de crédits accessible aux membres de ce même compte. Elle n'est jamais collectée pour les actions déclenchées par un participant à un événement (par exemple une demande d'indice assistée par IA), y compris lorsque cette action entraîne un débit de crédits sur le compte de l'organisateur : le relevé de crédits, consultable par l'organisateur, ne doit pas devenir un moyen d'accéder au réseau ou à l'appareil de ses participants.

Précision sur la gamification

La Plateforme calcule automatiquement des scores, badges et streaks (séries de participations) à partir de la progression des participants. Ces données ne sont pas utilisées à des fins de profilage commercial et sont conservées tant que la quête reste en ligne. Une fois la quête désactivée, elles sont effacées automatiquement un an après sa dernière modification, avec l'équipe, ses avis et ses statistiques d'étapes. Elles sont effacées sans attendre si l'organisateur supprime la quête ou l'équipe, ou si le participant exerce son droit à l'effacement ; si l'organisateur demande la suppression de son compte ou de son espace, elles sont effacées à l'issue du délai de 30 jours décrit plus bas, les quêtes n'étant plus accessibles aux joueurs dans l'intervalle.

Précision sur les photos

Photos demandées par le jeu (photo d'une épreuve, photo de fin, photo « fil rouge » d'une quête) : elles sont envoyées au moment où le participant les prend et les valide dans le jeu, sans case de conservation. Elles font partie du service demandé — la quête les réclame — et leur base légale est l'exécution du service (art. 6.1.b du RGPD). Elles sont transmises à l'organisateur de la quête ; les équipiers voient les miniatures du fil rouge pendant la partie. Elles sont supprimées automatiquement 30 jours après leur envoi.

Photo de départ (option activée par l'organisateur) : la photo est d'abord prise et visible en aperçu ; elle n'est conservée et transmise à l'organisateur que si le participant coche, après la prise de vue et avant de valider, une case de conservation décochée par défaut. Base légale : consentement (art. 6.1.a). Le libellé de la case rappelle que, pour un enfant de moins de 15 ans, l'accord de son représentant légal est requis.

Diffusion : une photo (ou un dessin rendu en réponse à une étape « dessin ») n'est jamais montrée au-delà de l'organisateur (galerie publique de la quête, page de partage sur les réseaux, profil public du joueur s'il l'a rendu public) sans un choix distinct du participant : une case, décochée par défaut, que le participant coche lui-même, ou une photo prise expressément pour les réseaux. La galerie publique n'existe que si l'organisateur l'a activée sur sa quête. Base légale : consentement (art. 6.1.a). Si un mineur figure sur la photo, le libellé rappelle l'accord de son représentant légal ; l'organisateur ne publie aucune photo d'un mineur sans cet accord (CGU, article 12). Un dessin suit la même règle : case distincte, décochée par défaut, et accord du représentant légal pour un joueur de moins de 15 ans. Le consentement à la diffusion se retire en demandant la suppression de la photo.

Les participants informent les personnes qu'ils photographient et ne photographient pas de tiers identifiables. Effacement : les participants peuvent demander la suppression anticipée de leurs photos, depuis la page /rgpd ; la suppression de l'équipe efface les photos et les fichiers correspondants dans le stockage.

Précision sur les signalements de terrain (« Signaler ou proposer »)

Depuis le menu de la page d'une quête, un joueur peut écrire au créateur de la quête pour signaler un élément disparu ou déplacé, un accès fermé, un danger, une erreur dans une énigme, ou proposer une amélioration. Données : le motif, l'étape concernée, le texte du message (10 à 1 000 caractères), jusqu'à 3 photos facultatives (leurs métadonnées, dont la localisation, sont retirées avant stockage), le nom de l'équipe tel que saisi, et une adresse e-mail facultative, transmise au créateur pour qu'il puisse répondre. Aucune adresse IP et aucun identifiant d'appareil ne sont conservés avec le signalement. Base légale : consentement pour l'adresse e-mail et les photos (art. 6.1.a), intérêt légitime pour le texte (art. 6.1.f : permettre au créateur de corriger sa quête et protéger les joueurs suivants). Destinataire : le seul créateur de la quête, dans son tableau de bord et par e-mail.

Conservation : photos et adresse e-mail de réponse, 90 jours ; texte et motif, 12 mois, puis suppression. Un signalement disparaît aussitôt avec la quête du créateur, ou avec son compte à l'issue du délai de 30 jours qui suit sa demande de suppression, ou lorsque le joueur demande l'effacement de son équipe depuis la page /rgpd. Ce circuit est distinct du signalement d'un contenu illicite à la modération de la plateforme (« Signaler cette quête »).

Précision sur la facturation et les paiements

Un Organisateur (QuestMaker) peut payer la Plateforme de deux façons : par abonnement (prélèvement récurrent) ou par achat ponctuel de crédits prépayés (paiement unique, sans échéance ni reconduction). Dans les deux cas, le traitement repose sur l'exécution du contrat (Art. 6.1.b RGPD).

Pour chacun de ces paiements, l'Éditeur émet lui-même la facture correspondante et la transmet au Client par email ainsi que depuis son espace de gestion. Ce que Stripe reçoit de l'Éditeur dépend du paiement. Pour un achat de crédits, en application du principe de minimisation, ni l'adresse email ni le nom du Client ne sont transmis à Stripe : celui-ci ne reçoit que l'identifiant de la transaction et le montant ; la page de paiement hébergée par Stripe demande alors elle-même au Client, en plus de ses données bancaires, son adresse email et son adresse postale, que Stripe collecte pour son propre compte, en tant que responsable du traitement du paiement (l'Éditeur ne les demande pas, ne les exploite pas et ne les conserve pas). Pour un abonnement, l'Éditeur crée chez Stripe une fiche client qui porte l'adresse email et le nom du compte (ainsi que l'identifiant du compte et la langue des documents) : Stripe y rattache les paiements de l'abonnement et pré-remplit sa page de paiement avec cette adresse. Pour les paiements d'un participant à un organisateur (inscription payante, achat en boutique, billet offert), l'adresse email saisie par l'acheteur est transmise au prestataire de paiement de l'organisateur (Stripe, ou HelloAsso pour une association) afin de pré-remplir sa page de paiement. Les dons « prix libre » et le soutien à la Plateforme ne transmettent aucune adresse.

Les factures constituent des pièces comptables : leur conservation obéit à une obligation légale de conservation comptable, distincte de la durée du compte et de la relation contractuelle. Cette obligation prime sur le droit à l'effacement (Art. 17.3.b RGPD) : une facture n'est pas supprimée à la demande du Client, ni à la clôture de son compte, tant que la durée de conservation comptable applicable n'est pas écoulée.

Précision sur la détection de comptes multiples

Conformément à l'article 6.4 des CGV, l'Éditeur peut être amené à constater qu'une même personne ou une même structure est titulaire de plusieurs comptes QuestMaker, notamment lorsque cette pluralité permet de bénéficier plusieurs fois d'un avantage promotionnel réservé à un compte par titulaire. Ce rapprochement repose aujourd'hui sur un examen individuel effectué par l'équipe de l'Éditeur, à l'exclusion de tout système de corrélation automatisée : aucune décision n'est prise sans intervention humaine, et l'article 22 du RGPD relatif aux décisions individuelles automatisées ne trouve donc pas à s'appliquer en l'état. La base légale retenue est l'intérêt légitime de l'Éditeur (Art. 6.1.f RGPD) à préserver l'équité de ses offres commerciales entre Clients. Le titulaire concerné est systématiquement informé par email et mis en mesure de s'expliquer avant toute décision. Le détail du traitement figure au registre des traitements (fiche n°17).

Précision sur l'encaissement Stripe Connect des organisateurs

Un Organisateur (commune, entreprise ou particulier) qui active l'encaissement (inscriptions payantes, dons prix libre) se voit ouvrir par la Plateforme un compte Stripe Connect Express. Ce compte est celui de l'Organisateur, pas celui de l'Éditeur : c'est l'Organisateur qui devient le marchand de référence des paiements qu'il perçoit, et qui en est responsable (identité, coordonnées bancaires, obligations fiscales et déclaratives propres à son statut) — la même logique que celle déjà décrite pour la place de marché entre associations (CGV, article 2 ter).

Pour ouvrir ce compte, l'Organisateur renseigne lui-même son identité ou celle de sa société directement sur un formulaire hébergé par Stripe : à aucun moment ces informations (nom, prénom, date de naissance, adresse, pièce d'identité, IBAN, ou SIRET/Kbis/représentant légal pour une société) ne transitent par les serveurs de LiveQuest. Sur cette opération de vérification d'identité, Stripe agit pour son propre compte, en qualité de responsable du traitement, au titre des obligations de connaissance client (KYC) et de lutte contre le blanchiment qui lui incombent en tant qu'établissement de paiement. L'Éditeur ne conserve que l'identifiant du compte (acct_...) et des indicateurs d'état (charges_enabled, payouts_enabled) qui lui indiquent si le compte peut encaisser — jamais l'IBAN ni la pièce d'identité elle-même.

Précision sur les dons « prix libre » et le soutien à la plateforme

Sur une quête proposée en prix libre (« donnez ce que vous voulez »), un participant peut verser, à deux moments facultatifs de son parcours, un don à l'Organisateur de la quête. Ce don est encaissé sur le compte de l'Organisateur (HelloAsso pour une association, Stripe Connect pour une commune, une entreprise ou un particulier) : l'Éditeur n'encaisse à aucun moment ce don pour le compte de l'Organisateur, et prélève seulement, le cas échéant, une commission dans les mêmes conditions qu'une inscription payante. Aucune adresse email n'est demandée par LiveQuest sur cette page ; le prestataire de paiement peut en demander une sur sa propre page pour l'envoi de son reçu, comme c'est déjà le cas pour les autres paiements décrits ci-dessus (voir « Précision sur la facturation et les paiements »).

Indépendamment de toute quête, un visiteur peut aussi verser un soutien libre à Wilder Labs, éditeur de la Plateforme, depuis la page publique de LiveQuest. Ce paiement est directement encaissé sur le compte Stripe de l'Éditeur (sans compte connecté, sans commission). Il ne s'agit pas d'un don au sens fiscal : Wilder Labs n'étant pas un organisme d'intérêt général, aucun reçu fiscal (article 200 du CGI) n'est délivré. Aucune donnée personnelle n'est collectée pour ce geste : ni nom, ni email, ni adresse ne sont demandés ni transmis à Stripe — le soutien est anonyme.

Précision sur la connexion avec Google (« Continuer avec Google »)

La connexion avec Google est facultative : vous pouvez toujours vous connecter avec votre seule adresse e-mail. Si vous la choisissez, sur le site ou dans l'application Android, LiveQuest utilise le service d'identification de Google et ne demande que les autorisations de base « adresse e-mail » et « profil ».

• Ce que LiveQuest reçoit de Google : votre adresse e-mail et l'indication qu'elle est vérifiée, votre prénom et votre nom tels qu'ils figurent dans votre compte Google, et l'identifiant technique de votre compte Google. Le lien vers votre photo de profil figure aussi dans ce qu'envoie Google, mais LiveQuest ne l'utilise pas et ne le conserve pas. LiveQuest n'a accès à aucune autre donnée de votre compte Google : ni contacts, ni agenda, ni fichiers, ni courriels.
• Ce que LiveQuest en fait : vous identifier et ouvrir votre session, créer votre compte joueur ou organisateur au premier passage, et proposer votre prénom comme pseudo (vous pouvez le changer). L'identifiant technique sert seulement à vous reconnaître aux connexions suivantes. Le jeton d'identification transmis par Google est vérifié puis aussitôt écarté : il n'est ni conservé ni journalisé.
• Ce que LiveQuest n'en fait pas : ces données ne sont ni vendues, ni louées, ni utilisées pour de la publicité, ni partagées avec des tiers, en dehors des sous-traitants techniques listés ci-dessous qui hébergent le service. L'utilisation et le transfert des informations reçues des API Google respectent la Règle relative aux données utilisateur des services d'API Google, y compris ses exigences d'utilisation limitée.
• Durée de conservation : celle de votre compte LiveQuest. Quand vous demandez la suppression du compte, depuis votre profil ou sur simple demande (voir « Vos droits »), il est d'abord désactivé pendant 30 jours, puis l'adresse e-mail, le nom et l'identifiant Google sont effacés.
• Retirer l'accès : à tout moment depuis votre compte Google, rubrique « Sécurité », « Vos connexions à des applications et services tiers » (myaccount.google.com/connections). Vous pourrez ensuite continuer à utiliser LiveQuest avec votre adresse e-mail.

Précision sur les usages de l'intelligence artificielle

La Plateforme utilise un modèle d'intelligence artificielle fourni par Google LLC (modèle Gemini, États-Unis) pour six usages, et pour eux seulement. Aucun n'envoie de donnée de joueur (ni nom d'équipe, ni position, ni réponse, ni photo de participant) et aucun ne prend de décision concernant une personne.

• Atelier de l'Oracle (création d'une quête entière) : à la demande du QuestMaker. Envoyés : sa demande (texte libre), la durée, le public, le ton, l'âge minimum souhaité, et des extraits de sources publiques sur les lieux (Wikipédia, Wikidata, OpenStreetMap, descriptions de photos de Wikimedia Commons). Les lieux et les sources sont recherchés depuis nos serveurs, sans l'aide de l'IA ; seuls des noms de lieux et des coordonnées de lieux publics sont envoyés à ces services.
• Génération d'une étape : à la demande du QuestMaker. Envoyés : sa description, son contexte et son thème, éventuellement une photo de lieu (métadonnées retirées avant l'envoi) et, en extérieur, le nom, la protection et l'historique d'un monument voisin trouvé dans les bases publiques.
• Traduction (anglais, espagnol, allemand ; italien pour le site) : à la demande du QuestMaker. Envoyés : les textes d'affichage des étapes (énoncé, description, indices, texte de découverte) ou les sections du site de l'organisateur. Jamais les réponses attendues ni les propositions d'un choix multiple.
• Aide à la rédaction d'un quiz : reformuler une question, proposer de mauvaises réponses, découper un texte collé. Envoyés : la question (et sa bonne réponse pour les mauvaises réponses) ou le texte collé par le QuestMaker.
• Missions WildQuest : génération et aide à l'écriture (répliques, scènes). Envoyés : l'idée du maître du jeu, le contexte de la mission et, pour une réplique, le personnage non joueur concerné, tels que le QuestMaker les a écrits.
• Indice pour un joueur bloqué : uniquement si le créateur de la quête a activé l'option (éteinte par défaut ; 1 crédit par indice servi, à la charge du compte de l'organisateur). Il est demandé par le joueur, mais seuls l'énoncé de l'étape et l'indice écrit par le créateur sont envoyés ; la réponse attendue ne l'est jamais.

Le contrôle automatique d'une quête à son activation ne fait plus appel à l'intelligence artificielle depuis le 14 octobre 2026 : il compare les textes à une liste de mots, sur nos serveurs. Les textes envoyés ne sont pas conservés par l'Éditeur ; un résumé de chaque requête (200 premiers caractères) est gardé 12 mois pour le suivi des coûts, puis effacé. Si le fournisseur change, cette page est mise à jour avant le changement.

3. Sous-traitants

Les sous-traitants suivants peuvent avoir accès à certaines données dans le cadre du fonctionnement du service :

Polices de caractères : La Plateforme utilise exclusivement des polices système (system fonts). Aucune police externe (Google Fonts ou autre) n'est chargée, ce qui signifie qu'aucune adresse IP n'est transmise à des tiers pour le chargement de polices.

Services de cartes et bibliothèques chargés depuis des serveurs de tiers

Les services ci-dessous ne sont pas nos sous-traitants : ils sont exploités par des organismes indépendants, qui agissent pour leur propre compte. Votre navigateur, ou l'application Android, les contacte directement, sans passer par nos serveurs. Comme tout serveur web, chacun reçoit l'adresse IP, le type d'appareil et l'adresse de la page (livequest.fr) de la personne qui charge la ressource. Aucun ne reçoit de nom, d'adresse e-mail ni d'identifiant de compte LiveQuest. Ces fournisseurs appliquent leur propre politique de confidentialité.

Les coordonnées envoyées depuis l'éditeur sont celles des lieux de la quête ; si le créateur a touché « Utiliser ma position » pour placer une étape, ce sont celles de l'endroit où il se tenait. Les joueurs, eux, n'envoient leur position à aucun de ces services (elle n'est envoyée qu'à LiveQuest, pour le jeu) ; seules les zones de carte demandées révèlent l'endroit où ils se trouvent.

4. Transferts hors Union Européenne

L'hébergement et le DNS sont assurés par OVH SAS (OVHcloud ; siège : Roubaix, France). Les données restent hébergées en France et sont soumises au RGPD. Aucun proxy inverse ni réseau de diffusion de contenu (CDN) d'un prestataire tiers n'est placé devant la Plateforme : votre appareil se connecte directement à nos serveurs.

Les transferts hors UE concernent le service Stripe (paiements) et Google (Oracle IA et notifications de l'application Android). Le transfert opéré par l'Éditeur vers Stripe porte sur l'identifiant de la transaction et le montant (paiement d'un abonnement ou achat ponctuel de crédits), à l'exclusion de l'adresse email du Client. S'y ajoutent, hors de ce transfert, les informations que Stripe recueille directement sur sa propre page de paiement (données bancaires, adresse email et adresse postale du Client), ainsi que celles que Stripe recueille directement des Organisateurs sur son formulaire d'ouverture de compte Stripe Connect Express (identité, pièce d'identité, IBAN, ou SIRET/Kbis pour une société) — ces dernières ne sont à aucun moment transmises par l'Éditeur, qui n'en dispose pas. Ces transferts sont encadrés par :

• Les Clauses Contractuelles Types (SCC) adoptées par la Commission européenne
• Les mesures techniques supplémentaires (chiffrement en transit et au repos)

Le service d'assistance à la création de contenu (Oracle IA) est assuré par Google LLC (siège : Mountain View, États-Unis) au moyen de l'API Gemini. Seuls les textes écrits par l'organisateur, des photos de lieux qu'il fournit et des extraits de sources publiques sont transmis : aucune donnée de joueur n'est envoyée (les textes de l'organisateur peuvent toutefois contenir des données personnelles qu'il y a lui-même saisies). Pour l'indice destiné à un joueur bloqué, qui n'existe que si le créateur de la quête a activé l'option, ce sont l'énoncé de l'étape et l'indice écrit par le créateur qui sont transmis : aucune donnée de joueur (ni nom d'équipe, ni position, ni réponse) n'est envoyée.

Les services de cartes et les bibliothèques de la section 3 (« Services de cartes et bibliothèques chargés depuis des serveurs de tiers ») sont contactés directement par votre appareil. Certains sont exploités hors de l'Union européenne (Esri, États-Unis ; réseaux de diffusion à l'échelle mondiale) : ils reçoivent votre adresse IP et les informations décrites dans cette section, mais aucune donnée de compte.

Les données principales (base de données, photos, comptes utilisateurs) sont hébergées exclusivement en France et ne font l'objet d'aucun transfert hors UE.

5. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

Comment exercer vos droits (suppression, export, accès)

Vous pouvez exercer vos droits de deux manières :

• En ligne : via la page /rgpd de la plateforme (export et suppression en self-service des données d'une équipe ; suppression du compte joueur après connexion)
• Par email : en écrivant à avec une copie d'une pièce d'identité

Nous nous engageons à répondre à votre demande dans un délai maximum de 30 jours.

Délai de 30 jours avant l'effacement d'un compte ou d'un espace

Quand vous demandez vous-même, depuis votre compte, la suppression de votre compte LiveQuest, de votre espace de création ou de votre profil de joueur, rien n'est effacé tout de suite. L'élément est désactivé : plus personne ne peut se connecter à l'espace, les quêtes de l'espace ne sont plus accessibles aux joueurs, le profil de joueur n'est plus visible, et l'abonnement en cours n'est plus renouvelé (il reste payé jusqu'à la fin de sa période, sans nouveau prélèvement). Vous disposez de 30 jours pour annuler et tout retrouver, en vous reconnectant ; nous vous écrivons à la demande (avec la date d'effacement et le lien pour annuler), puis 7 jours avant l'échéance. Vous pouvez télécharger vos données pendant ce délai. Passé ce délai, l'effacement est définitif. Si vous annulez, l'abonnement reprend normalement ; s'il a pris fin entre-temps (fin de sa période), vous pouvez en choisir un nouveau. À l'effacement définitif, un abonnement encore en cours est résilié.

Ce qui est conservé après l'effacement, et pour combien de temps : les factures et pièces comptables, avec les informations de facturation qui y figurent (10 ans, obligation légale, article L123-22 du Code de commerce) ; les journaux de sécurité, à leurs durées propres (journaux de connexion et d'accès : 12 mois ; journal des actions d'un espace : 2 ans ; copies des e-mails envoyés : 90 jours) ; une trace de l'effacement lui-même, sans votre nom ni votre adresse (jour, nature, quelques nombres), pendant 3 ans, pour pouvoir démontrer que nous avons répondu à votre demande ; l'adresse, si elle a provoqué un rebond ou une désinscription, pour ne plus vous écrire. Les sauvegardes s'effacent selon leur propre rotation : les exports de base sont conservés 7 jours sur le serveur d'hébergement (10 jours au plus sur le second serveur), la sauvegarde complète (bases, photos et fichiers) 4 jours au plus. La suppression d'une quête ou d'une équipe, elle, reste immédiate.

6. Sécurité des données

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :

• Chiffrement HTTPS sur l'ensemble des communications (certificat SSL wildcard Let's Encrypt)
• Mots de passe hashés avec l'algorithme bcrypt (irréversible)
• Authentification à deux facteurs (2FA) disponible pour les comptes organisateurs (TOTP)
• Rate limiting sur les endpoints d'authentification pour prévenir les attaques par force brute
• Sessions limitées dans le temps : la session d'un organisateur se renouvelle à l'usage, se ferme après 30 jours sans activité et, au plus tard, 90 jours après la connexion ; elle ne dure que 8 heures pour un compte protégé par la double authentification. Un compte joueur reste connecté 30 jours. Les codes de connexion reçus par e-mail valent 10 minutes ; les liens de connexion ou d'inscription 30 minutes ; le lien de réinitialisation du mot de passe 1 heure ; certains liens de rappel envoyés par e-mail (facturation, relance) valent 3 ou 7 jours. Ces liens ne servent qu'une fois. « Se déconnecter » ferme la session ; le changement de mot de passe et l'activation de la double authentification ferment les autres sessions du compte.
• Hébergement en France sur un serveur privé virtuel (VPS) d'OVHcloud
• Sauvegardes : chaque base est sauvegardée au moins toutes les 6 heures. Les exports de la base de données sont conservés 7 jours sur le serveur d'hébergement. Une sauvegarde complète chiffrée (GPG, AES-256) des bases LiveQuest, des photos et fichiers et de la configuration est faite à la même fréquence et gardée au plus 4 jours sur ce serveur. Chaque nuit, les exports de la base de données — pas les photos ni les fichiers — sont copiés vers un second serveur, distinct du serveur d'hébergement et situé en France, où ils sont conservés 10 jours au plus.
• Purge automatique des photos après 30 jours et des logs après 1 an

7. Cookies

La Plateforme utilise exclusivement le cookie tq_lang qui mémorise votre préférence de langue. Ce cookie :

• Est un cookie de préférence utilisateur (catégorie "fonctionnel")
• A une durée de vie de 1 an
• Ne contient aucune donnée personnelle
• N'est jamais transmis à des tiers

Aucun cookie de tracking, de publicité, d'analytics ou de réseaux sociaux n'est utilisé. La mesure d'audience est réalisée sans cookie tiers (voir section 2 — Mesure d'audience).

8. Profilage et décisions automatisées

La Plateforme ne procède à aucun profilage ni décision automatisée au sens de l'article 22 du RGPD. Le système de gamification (scores, badges, streaks) est un mécanisme de jeu transparent et ne constitue pas du profilage. L'Oracle IA (génération, traduction, aide à la rédaction, indice) produit du texte à la demande du QuestMaker ou, pour l'indice, d'un joueur bloqué ; il ne prend aucune décision automatisée affectant une personne.

À l'activation d'une quête (et après chaque modification d'une quête déjà active), un contrôle automatique des textes par liste de mots, sans intelligence artificielle ni transmission à un tiers, peut mettre une quête en attente d'examen (elle n'est alors ni jouable ni listée). Cette mise en attente ne devient jamais une décision définitive : toute suspension ou tout maintien est décidé par une personne de l'équipe, et l'organisateur peut contester par e-mail (CGU, article 14).

9. Analyse d'impact

Une analyse d'impact relative à la protection des données (AIPD) a été réalisée pour le traitement de géolocalisation, conformément à l'article 35 du RGPD. Le document complet est accessible sur /aipd-geolocalisation. Conclusion : risque résiduel moyen, traitement autorisé sous les conditions décrites (conservation 7 jours, consentement double, hébergement France).

10. Modifications de la politique

La présente politique de confidentialité peut être modifiée à tout moment. En cas de modification substantielle, les utilisateurs inscrits seront informés par email. La date de dernière mise à jour est indiquée en haut de cette page.

Nous vous invitons à consulter régulièrement cette page pour prendre connaissance des éventuelles modifications.

11. Contact

Pour toute question relative à la protection de vos données personnelles, contactez-nous :

• Email :
• Courrier : Wilder Labs — Protection des données (LiveQuest), adresse disponible sur demande par email

12. Protection des mineurs

Conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés, un enfant de moins de 15 ans ne peut consentir seul à un traitement fondé sur le consentement : l'accord de son représentant légal est requis. LiveQuest ne vérifie pas l'âge de ses utilisateurs et n'a aucun moyen de le faire sans collecter des données qu'il n'a pas besoin de détenir : aucun âge n'est demandé à l'inscription d'une équipe ni à la création d'un compte joueur.

Le jeu lui-même (nom d'équipe, position pendant la partie, progression, scores) est fourni sur la base de l'exécution du service demandé (article 6, 1, b du RGPD) et non du consentement. Seules les options suivantes de la partie reposent sur le consentement : conservation de la photo de départ, diffusion d'une photo, informations par e-mail, ainsi que les notifications, que le joueur active lui-même (voir le tableau de l'article 2). Pour un enfant de moins de 15 ans, ces options supposent l'accord de son représentant légal, que la case présentée à l'écran rappelle.

L'organisateur de l'événement, responsable de traitement des données de ses joueurs, accueille les mineurs sous sa responsabilité et recueille l'accord de leurs représentants légaux avant l'événement. Seule la réservation en ligne d'un créneau demande si l'équipe inclut un mineur ; la case d'autorisation parentale cochée par la personne qui réserve est conservée avec la réservation et transmise à l'organisateur, sans être vérifiée.

Un représentant légal peut exercer les droits de son enfant (accès, rectification, suppression, retrait d'un consentement) et demander la suppression de son équipe ou de ses photos depuis la page /rgpd.

13. Autorité de contrôle

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente :

• CNIL — Commission Nationale de l'Informatique et des Libertés
• Adresse : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Site web : www.cnil.fr
• Téléphone : 01 53 73 22 22