Registre des traitements de donnees personnelles
Article 30 du Reglement (UE) 2016/679 (RGPD)
Responsable de traitement : Wilder Labs — Plateforme LiveQuest / TrailQuest / ClueQuest
Derniere mise a jour : 24 octobre 2026 (sauvegardes : frequence et durees de conservation precisees pour refleter l'exploitation reelle ; 21 octobre 2026 : traitement n° 17 : purge automatique quotidienne des dossiers au bout de 730 jours sans mise a jour, y compris un dossier jamais clos, et reponse possible par email a contact@livequest.fr apres les 7 jours du lien ; 15 octobre 2026 : traitement n° 16 : la reservation repose sur l'execution du service, le consentement ne vaut que pour les champs facultatifs ; traitement n° 16 : le champ « allergies » de la reservation devient une question neutre « besoin particulier » avec l'avertissement de ne donner aucune information de sante, duree de 13 mois rappelee ; traitement n° 12 : destinataires de la diffusion (galerie, page de partage, profil public), duree de 30 jours apres l'envoi, accord du representant legal d'un mineur rappele sur les cases ; bases legales et roles : le jeu (equipe, position, progression, scores) repose sur l'execution du service et non sur le consentement, reserve a la photo de depart, a la diffusion d'une photo et aux informations par e-mail ; l'organisateur est responsable de traitement des donnees de ses joueurs et Wilder Labs son sous-traitant ; traitements n° 1, 2, 10 et 12 ; alignement sur le fonctionnement reel : traitement n° 11 : adresse e-mail et nom du compte transmis a Stripe pour un abonnement, pas pour un achat de credits, et adresse de l'acheteur transmise au prestataire de paiement pour un paiement a un organisateur ; traitement n° 8 : usages de l'IA complets (traduction, aide au quiz, missions WildQuest) et resume de requete conserve 12 mois ; nouveaux traitements n° 25 (signalements de contenu et moderation), n° 26 (attestation de contenu et controle automatique a l'activation) et n° 27 (attestation d'engagement tarifaire signee electroniquement) ; sauvegardes : frequence, chiffrement, duree et lieu ; 14 octobre 2026 : Cloudflare n'est plus le DNS, le proxy inverse ni le CDN de la plateforme : DNS et hebergement chez OVH en France, Cloudflare retire des sous-traitants, des transferts hors UE et des donnees de connexion ; traitement n° 8 : le controle automatique du contenu d'une quete a son activation n'est plus assure par l'IA, il ne fait plus intervenir ni Google ni aucun service exterieur — finalite, base legale et donnees transmises retirees, et l'indice rendu par l'IA a un joueur bloque devient une option de la quete, choisie par son createur et eteinte par defaut, seuls l'enonce de l'etape et l'indice du createur etant transmis, sans aucune donnee de joueur ; 13 octobre 2026 : traitement n° 3 : suppression d'un compte ou d'un espace, delai de 30 jours avant l'effacement a la place de « 1 an apres suppression » ; 11 octobre 2026 : traitement n° 24 : signalements de terrain par les joueurs ; 9 octobre 2026 : traitement n° 3 : mention d'un jeton de 8 heures remplacee par la regle reelle de session organisateur ; 8 octobre 2026 : traitement n° 8 : formulation exacte des donnees transmises, duree de 12 mois du resume de requete ; encadrement contractuel de Cloudflare, de Google API Gemini et de Google Firebase Cloud Messaging ; 6 octobre 2026 : traitement n° 12 : photos, base legale et fonctionnement reels ; traitement n° 23 : application Android, historique et notifications)
Identification du responsable
| Champ | Valeur |
|---|---|
| Responsable | Wilder Labs — LiveQuest |
| Roles | Pour les donnees des joueurs d'un evenement (equipe, position, photos), l'organisateur est responsable de traitement et Wilder Labs agit pour son compte comme sous-traitant. Wilder Labs est responsable de traitement pour ses propres finalites (comptes organisateurs, securite, journaux d'acces, facturation). |
| Statut | Micro-entreprise (auto-entrepreneur) |
| Contact | Formulaire de contact |
| DPO | Non designe (micro-entreprise, pas d'activite de surveillance a grande echelle) |
| Hebergeur | OVH SAS — 2 rue Kellermann, 59100 Roubaix, France |
Traitements
1. Participation aux evenements (TeamQuesters / ClueQuesters)
| Finalite | Permettre aux participants de rejoindre un evenement, progresser dans les etapes, collecter des photos et participer au classement |
|---|---|
| Base legale | Execution du service demande (Art. 6.1.b) — le jeu (equipe, position, progression, scores) ; la case d'acceptation des conditions, obligatoire et horodatee, est la demande du service. uniquement pour la conservation de la photo de depart, la diffusion d'une photo et les informations par e-mail du profil joueur (voir traitement n° 12). |
| Role de Wilder Labs | Sous-traitant de l'organisateur (responsable de traitement) |
| Personnes concernees | Participants aux evenements (TeamQuesters outdoor, ClueQuesters indoor) |
| Donnees collectees | Nom d'equipe, circuit, progression (etape, reponses), coordonnees GPS (outdoor), photos, taille d'equipe, acceptation des conditions horodatee, departement de provenance (facultatif : deduit du code postal saisi, qui n'est jamais conserve ; sert uniquement aux statistiques agregees de l'organisateur, un departement n'apparaissant qu'a partir de 5 equipes ; supprime avec l'equipe) Application Android uniquement : empreinte irreversible (SHA-256) d'un identifiant d'installation aleatoire, rattachee aux equipes jouees depuis cette installation pour afficher « Mes quetes » et « Mes badges » sans compte ; supprimee en meme temps que l'equipe, effacable par le joueur depuis l'application (Profil, "Effacer l'historique de cet appareil"). Cookie technique lq_app : 400 jours, renouvele a chaque ouverture de l'application. |
| Destinataires | Organisateur de l'evenement (QuestMaker), affichage classement public |
| Sous-traitants | OVH SAS (hebergement France) |
| Duree de conservation | Photos : 30 jours — Positions GPS : 7 jours — Progression, scores, badges, avis : tant que la quete est en ligne, puis effaces automatiquement 1 an apres la derniere modification d'une quete desactivee (effacement immediat a la suppression de la quete, de l'equipe ou du compte, ou sur demande) |
| Mesures de securite | HTTPS, rate limiting, purge automatique, acceptation des conditions horodatee |
2. WildQuest — Jeu tactique temps reel
| Finalite | Gestion des sessions de jeu tactique multijoueur (camps, roles, chat, positions) |
|---|---|
| Base legale | Execution du service demande (Art. 6.1.b) |
| Role de Wilder Labs | Sous-traitant de l'organisateur (responsable de traitement) |
| Personnes concernees | Joueurs WildQuest |
| Donnees collectees | Pseudo, camp, role, messages chat, coordonnees GPS, eliminations, respawns, scores, statistiques de partie (compteurs : prises, objectifs, distance parcourue en metres sans trajet) |
| Destinataires | Game Master (organisateur), autres joueurs (classement) |
| Sous-traitants | OVH SAS (hebergement France) |
| Duree de conservation | Chat : duree de la mission — GPS : 7 jours — Scores : duree de la mission |
| Mesures de securite | HTTPS, WebSocket securise, purge automatique |
3. Comptes organisateurs (QuestMakers)
| Finalite | Creation et gestion de compte, acces au tableau de bord, gestion des evenements, facturation |
|---|---|
| Base legale | Execution du contrat (Art. 6.1.b) |
| Personnes concernees | Organisateurs (QuestMakers), associations, entreprises |
| Donnees collectees | Email, mot de passe (hash bcrypt), nom, plan, identifiants Stripe, branding (logo, couleurs), secret TOTP (optionnel) |
| Destinataires | Stripe (paiement), Brevo (emails transactionnels) |
| Sous-traitants | OVH SAS, Stripe Inc., Brevo SAS |
| Duree de conservation | Duree du compte. Suppression demandee par la personne : desactivation pendant 30 jours (annulable), puis effacement ; seules subsistent les factures et pieces comptables (10 ans, obligation legale) et les journaux de securite a leurs durees propres. |
| Mesures de securite | HTTPS, bcrypt (cout 12), 2FA TOTP, WebAuthn/Passkeys, rate limiting, lockout ; session organisateur renouvelee a l'usage, close apres 30 jours d'inactivite et, au plus tard, 90 jours apres la connexion ; plus courte (8 heures) pour les comptes a double authentification, et de 7 jours pour les administrateurs de la plateforme ; revoquee a la deconnexion (« Se deconnecter ») et au changement de mot de passe ou a l'activation de la double authentification (identifiant de session aleatoire, sans donnee personnelle, conserve jusqu'a l'echeance de la session ; l'adresse email associee a une coupure de toutes les sessions — changement de mot de passe, activation de la double authentification — est conservee 91 jours puis effacee) |
4. Formulaires prospects
| Finalite | Collecte d'informations de contact de clients potentiels |
|---|---|
| Base legale | — soumission volontaire du formulaire |
| Personnes concernees | Prospects, visiteurs des pages d'atterrissage |
| Donnees collectees | Nom, email, telephone (optionnel), structure, plan souhaite, message |
| Destinataires | Équipe Wilder Labs (suivi commercial interne) |
| Sous-traitants | OVH SAS, Brevo SAS (notification email) |
| Duree de conservation | 3 ans (purge automatique) |
| Mesures de securite | HTTPS, rate limiting (10/h par IP), echappement HTML |
5. Mesure d'audience (analytics)
| Finalite | Comprendre le comportement des visiteurs, sources de trafic et usage de la plateforme |
|---|---|
| Base legale | Interet legitime (Art. 6.1.f) — amelioration du service |
| Personnes concernees | Visiteurs du site (anonymises) |
| Donnees collectees | IP anonymisee (hash SHA-256 irreversible + rotation quotidienne), pays de la visite (deduit localement de l'IP avant son anonymisation, base installee sur nos serveurs, aucune IP transmise a un tiers), user-agent, pages visitees, duree, ecran, langue, referrer, UTM. Aucun cookie tiers. |
| Destinataires | Aucun (stockage local uniquement) |
| Sous-traitants | OVH SAS |
| Duree de conservation | 1 an (purge automatique). Robots exclus automatiquement. |
| Mesures de securite | Anonymisation IP irreversible, fingerprint rotatif quotidien, exclusion bots, pas de tracking inter-sessions |
6. Logs de connexion
| Finalite | Securite, detection de fraude, audit des tentatives de connexion |
|---|---|
| Base legale | Interet legitime (Art. 6.1.f) — securite du systeme |
| Personnes concernees | Organisateurs, équipe Wilder Labs |
| Donnees collectees | Type utilisateur, ID, email, adresse IP, user-agent, action (login_ok/fail, 2fa, logout), horodatage |
| Destinataires | Aucun (accès équipe Wilder Labs uniquement) |
| Sous-traitants | OVH SAS |
| Duree de conservation | 1 an (purge automatique) |
| Mesures de securite | HTTPS, rate limiting, lockout apres echecs repetes |
7. Emails transactionnels
| Finalite | Envoi d'emails lies au service (bienvenue, reset mot de passe, notifications, alertes) |
|---|---|
| Base legale | Execution du contrat (Art. 6.1.b) |
| Personnes concernees | Organisateurs, participants, prospects |
| Donnees collectees | Email destinataire, sujet, contenu HTML, statut envoi |
| Destinataires | Brevo SAS (relais SMTP) |
| Sous-traitants | Brevo SAS (France ; hebergement France et Belgique ; sous-traitants ulterieurs aux Etats-Unis : voir le tableau des sous-traitants) |
| Duree de conservation | Logs email : 90 jours (purge quotidienne) |
| Mesures de securite | TLS vers Brevo, masquage email en console |
8. Oracle IA — Generation de contenu
| Finalite | Assister les QuestMakers dans la creation d'etapes, enigmes et indices via intelligence artificielle ; donner un indice plus precis a un joueur bloque, uniquement si le createur de la quete a active l'option (eteinte par defaut) ; traduire le contenu d'une quete |
|---|---|
| Base legale | Execution du contrat (Art. 6.1.b) — fonctionnalite du service |
| Personnes concernees | Organisateurs (QuestMakers) utilisant l'Oracle ; personnes dont le nom figurerait dans les textes que l'organisateur ecrit lui-meme (aucune donnee de joueur n'est transmise) |
| Donnees collectees | Conservees : resume du prompt (200 caracteres au plus), jetons utilises, cout, fournisseur, horodatage. Transmises au fournisseur d'IA, sans conservation par l'editeur : le texte saisi par l'organisateur (demande, descriptions de lieux), des photos de lieux, le texte d'une enigme et de son indice, uniquement si le createur de la quete a active l'option « indice par IA » (indice rendu a un joueur bloque), les textes d'affichage d'une quete ou du site de l'organisateur (traduction ; jamais les reponses attendues), la question et, pour les mauvaises reponses, la bonne reponse d'un quiz ou le texte colle par l'organisateur (aide a la redaction d'un quiz), l'idee, le contexte et les personnages d'une mission WildQuest (generation et aide a l'ecriture), des extraits de sources publiques sur les lieux (Wikipedia, Wikidata, OpenStreetMap, descriptions de photos de Wikimedia Commons, recherches faites depuis les serveurs de la plateforme). Aucune donnee de joueur n'est transmise (ni nom d'equipe, ni position, ni reponse, ni photo de participant) |
| Destinataires | Fournisseur unique : Google (API Gemini, offre payante) (generativelanguage.googleapis.com) |
| Sous-traitants | Google LLC (Mountain View, USA) — modele Gemini |
| Duree de conservation | Resume du prompt : 12 mois (purge quotidienne : le texte est efface, la ligne de comptage — jetons, cout, fournisseur — est conservee sans texte) — Donnees transmises : non conservees par l'editeur ; journalisees par Google pour une duree limitee, aux seules fins de detection des usages interdits (conditions de l'API Gemini, offre payante) |
| Mesures de securite | HTTPS, troncature du prompt, limitation de debit par formule, aucune donnee de joueur transmise ; le texte saisi par l'organisateur est transmis tel quel au fournisseur |
| Transfert hors UE | Oui (USA) — le texte saisi par l'organisateur, des photos de lieux et le contenu public des quetes sont transmis ; aucune donnee de joueur. Encadrement du transfert : l'Editeur utilise l'API Gemini sous l'offre payante (compte de facturation actif) ; Google traite les requetes et reponses en qualite de sous-traitant selon le Google Data Processing Addendum (version 10 du 7 mai 2026), qui s'applique aux « Gemini API Paid Services », et n'utilise pas ces contenus pour ameliorer ses produits. Transfert vers les Etats-Unis : Data Privacy Framework pour les entites Google certifiees ou, a defaut, clauses contractuelles types 2021/914 prevues par ce document. |
9. Notifications Web Push
| Finalite | Transmettre au participant les messages de l'organisateur pendant la partie (jamais entre 21 h et 8 h, heure de Paris ; plafond quotidien par equipe) |
|---|---|
| Base legale | — geste du participant (bouton « Recevoir les messages de l'organisateur ») puis autorisation du navigateur ; jamais demande automatiquement |
| Personnes concernees | Participants ayant active les notifications |
| Donnees collectees | Endpoint URL (genere par le navigateur), cles de chiffrement VAPID, identifiant de l'equipe et de la quete |
| Destinataires | Service push du navigateur (Apple, Google, Mozilla) |
| Sous-traitants | Fournisseur push du navigateur |
| Duree de conservation | Jusqu'au retrait (bouton « Couper » du jeu ou navigateur), au plus tard 7 jours apres la fin de la partie, 120 jours sans activite (purge automatique quotidienne) |
| Mesures de securite | Chiffrement VAPID bout-en-bout, texte sans nom d'equipe ni donnee du participant, nettoyage auto des abonnements expires |
10. Gamification (scores, badges, streaks)
| Finalite | Calculer les scores, attribuer des badges, suivre les series de reussites et afficher le classement |
|---|---|
| Base legale | Execution du contrat (Art. 6.1.b) — partie integrante de l'evenement |
| Role de Wilder Labs | Sous-traitant de l'organisateur (responsable de traitement) |
| Personnes concernees | Participants aux evenements |
| Donnees collectees | Scores, bonus, metriques par etape (tentatives, temps, indices), badges debloquees, series, notifications |
| Destinataires | Classement public de l'evenement, organisateur |
| Sous-traitants | OVH SAS |
| Duree de conservation | Duree de l'evenement |
| Mesures de securite | Rate limiting, validation des scores, transaction DB |
11. Paiements (Stripe)
| Finalite | Traitement des abonnements (annuels, ou semestriels pour ceux souscrits avant le 9 octobre 2026) et des achats ponctuels de credits prepayes (paiement unique, sans reconduction), facturation (factures emises par l'Editeur), gestion du portail client |
|---|---|
| Base legale | Execution du contrat (Art. 6.1.b) |
| Personnes concernees | Organisateurs avec plan payant ou ayant achete des credits |
| Donnees collectees | Identifiant client Stripe, identifiant abonnement ou de transaction, montant, statut, historique factures. Achat de credits : ni l'adresse email ni le nom du Client ne sont transmis a Stripe par l'Editeur (minimisation : la facture est emise par l'Editeur ; le recu Stripe faisait double emploi) ; la page de paiement hebergee par Stripe demande alors directement au Client, outre ses donnees bancaires, son adresse email et son adresse postale (constate le 2026-08-25 sur un paiement reel anterieur a tout envoi de notre part) : collecte par Stripe pour son propre compte. Abonnement : l'Editeur cree chez Stripe une fiche client qui porte l'adresse email et le nom du compte, l'identifiant du compte et la langue des documents ; Stripe y rattache les paiements et pre-remplit sa page avec cette adresse (verifie dans le code de production le 2026-10-15). L'Editeur ne demande ni ne stocke localement l'adresse postale saisie chez Stripe. |
| Destinataires | Stripe Inc. |
| Sous-traitants | Stripe Inc. (Irlande/USA) — PCI-DSS, SCC |
| Duree de conservation | Donnees de compte liees au paiement : duree du contrat + obligations legales de conservation comptable. Factures : conservees pour la duree imposee par les obligations comptables (a confirmer avec l'expert-comptable ; usuellement 10 ans, Code de commerce Art. L123-22), y compris apres suppression du compte — cette conservation repose sur une obligation legale (Art. 17.3.b RGPD) qui prime sur le droit a l'effacement pour ces seules pieces comptables. |
| Mesures de securite | Stripe Checkout (heberge), verification signature webhook, pas de donnees bancaires en local |
| Transfert hors UE | Oui (USA) — encadre par SCC et certification PCI-DSS. Donnees transferees par l'Editeur : achat de credits : identifiant de transaction et montant, a l'exclusion de l'adresse email et du nom ; abonnement : en plus, adresse email et nom du compte. Hors de ce transfert, Stripe collecte directement sur sa page les donnees bancaires et l'adresse postale (et l'adresse email pour un achat de credits). |
12. Photos des participants
| Finalite | Permettre la capture des photos demandees par les etapes de la quete (epreuve photo, photo de fin, photo « fil rouge », photo de depart), leur transmission a l'organisateur et, sur choix distinct du participant, leur diffusion (galerie publique, reseaux) ; un dessin rendu en reponse a une etape « dessin » suit la meme regle (case de diffusion distincte, decochee par defaut) |
|---|---|
| Base legale | Execution du service (Art. 6.1.b) pour les photos de jeu (epreuve, fin, fil rouge) : la quete les reclame, elles sont envoyees au moment ou le participant les prend et les valide, sans case de conservation. pour la photo de depart (case de conservation, decochee par defaut, posee apres la prise de vue et avant la validation) et pour toute diffusion au-dela de l'organisateur (case distincte, decochee par defaut, cochee par le participant lui-meme). Correction du 6 octobre 2026 : ce registre indiquait « case a cocher horodatee avant capture » pour toutes les photos ; c'est inexact (verifie dans le code : la case de conservation n'existe que pour la photo de depart). |
| Role de Wilder Labs | Sous-traitant de l'organisateur (responsable de traitement) |
| Personnes concernees | Participants prenant des photos ; personnes visibles sur les photos (dont des mineurs et des tiers, que les participants s'engagent a ne pas photographier lorsqu'ils sont identifiables) |
| Donnees collectees | Image (trois tailles stockees : originale, apercu, miniature), commentaire, indicateur de diffusion choisi par le participant, horodatage |
| Destinataires | Organisateur de la quete ; equipiers (miniatures du fil rouge pendant la partie) ; galerie publique de la quete (si l'organisateur l'a activee), page de partage sur les reseaux et profil public du joueur, uniquement si le participant a accepte la diffusion |
| Sous-traitants | OVH SAS |
| Duree de conservation | 30 jours apres l'envoi (purge automatique), fichiers du stockage compris. Effacement a la demande du participant (page /rgpd) : lignes ET fichiers du stockage (depuis le 6 octobre 2026 ; avant, les fichiers survivaient — purge des orphelins : scripts/purge-photos-orphelines.js) |
| Mesures de securite | Diffusion distincte de la capture et decochee par defaut, purge automatique, HTTPS, moderation (masquage et suppression par l'equipe) |
| Mineurs | Aucune verification d'age n'est faite a l'inscription d'une equipe ; l'accord du representant legal revient a l'organisateur et au representant legal (voir la politique de confidentialite, article 12). Seule la reservation en ligne d'un creneau recueille, sur declaration non verifiee, une autorisation parentale. La case d'acceptation de l'inscription rappelle que l'enfant de moins de 15 ans joue avec l'accord d'un adulte responsable ; les cases de conservation et de diffusion rappellent l'accord du representant legal. |
13. Programme de parrainage (ambassadeurs)
| Finalite | Suivi des parrainages, gestion des codes referral et calcul des commissions |
|---|---|
| Base legale | Execution du contrat (Art. 6.1.b) |
| Personnes concernees | Ambassadeurs (organisateurs), filleuls |
| Donnees collectees | Code parrainage, ID ambassadeur, ID filleul, statut, recompense |
| Destinataires | Aucun (gestion interne) |
| Sous-traitants | OVH SAS |
| Duree de conservation | Indefinie (audit commissions) |
| Mesures de securite | Contrainte unicite, suivi statut anti-doublon |
14. Support et tickets
| Finalite | Collecter les rapports de bugs, demandes d'assistance et retours utilisateurs |
|---|---|
| Base legale | — soumission volontaire |
| Personnes concernees | Utilisateurs soumettant un ticket |
| Donnees collectees | Nom, email (optionnel), sujet, message, capture d'ecran, URL de la page, user-agent |
| Destinataires | Équipe Wilder Labs (support interne) |
| Sous-traitants | OVH SAS |
| Duree de conservation | Indefinie (historique support, suppression manuelle possible) |
| Mesures de securite | Rate limiting, validation taille fichier, HTTPS |
15. Systeme de credits a l'usage — imputation des mouvements et instruction des litiges de facturation
| Finalite | Permettre d'instruire un litige de facturation sur un compte organisateur a plusieurs utilisateurs (« je n'ai jamais declenche cette depense ») en identifiant, pour chaque debit/credit/annulation de credits, QUI l'a declenche |
|---|---|
| Base legale | Execution du contrat (Art. 6.1.b) — necessaire a la bonne execution du volet facturation a l'usage du contrat d'abonnement (imputabilite des mouvements sur un compte a plusieurs organisateurs) |
| Personnes concernees | Organisateurs (QuestMakers) membres d'un compte, et operateurs Wilder Labs effectuant un ajustement manuel (avoir, remboursement, annulation). Exclus explicitement : les joueurs — aucune donnee d'acteur n'est enregistree sur les debits declenches par une action joueur (indice IA), precisement parce que ce relevé est consultable par l'organisateur, qui n'a pas a acceder au reseau ni a l'appareil de ses participants. |
| Donnees collectees | Identifiant utilisateur (session), adresse email, adresse IP tronquee (prefixe reseau /24 en IPv4, /48 en IPv6 — l'adresse complete n'est jamais conservee), agent utilisateur (borne a 120 caracteres). Aucun cookie, aucun en-tete d'authentification, aucun corps de requete. |
| Destinataires | L'organisateur lui-meme via son propre relevé de credits (GET /api/assoc/credits/ledger) — jamais les autres organisateurs d'un compte tiers, jamais les joueurs. En interne : support Wilder Labs pour instruction d'un litige. |
| Sous-traitants | OVH SAS (hebergement France) |
| Duree de conservation | Journal d'audit (audit_log) : 730 jours, purge automatique quotidienne — alignee sur la retention deja arbitree pour les autres traces d'activite de la plateforme (logs de connexion, funnel). Grand livre de credits (credit_ledger / credit_orders) : la ligne comptable elle-meme (montant, nature, date, compte concerne) est conservee pour la duree du grand livre (duree du compte + obligations de conservation comptable) et n'est jamais supprimee ; en revanche la donnee d'acteur qu'elle embarque (sous-cle actor du detail JSON et champ created_by_user) est anonymisee automatiquement au-dela de 730 jours, par une purge quotidienne alignee sur celle du journal d'audit. |
| Mesures de securite | Troncature IP appliquee cote serveur avant toute ecriture (jamais l'IP brute), agent utilisateur borne, ecriture en base best-effort (une panne de tracabilite ne bloque jamais un mouvement d'argent deja valide), exclusion verifiee par test automatise pour le chemin joueur |
Point de vigilance (minimisation) — TRAITE : la donnee d'acteur (identifiant, email, IP tronquee, user-agent) est ecrite a la fois dans audit_log (purge a 730 jours) et dans le detail JSON de la ligne de credit_ledger correspondante, dont la duree de vie est celle du grand livre comptable. La recommandation DPO formulee ici (aligner l'anonymisation de cette sous-cle sur les 730 jours du journal d'audit) est desormais appliquee : une purge quotidienne retire la sous-cle actor et le champ created_by_user des ecritures de plus de 730 jours, sur credit_ledger comme sur credit_orders, en laissant intact le reste de la ligne (montant, nature, date, compte concerne) qui n'est pas une donnee personnelle. La ligne comptable n'est jamais supprimee : le grand livre est en ecriture seule, l'anonymisation est le seul acte possible sur une ecriture passee.
16. Reservation de creneaux (inscription en ligne a un evenement)
| Finalite | Permettre a un visiteur de reserver un creneau de participation a un evenement (equipe, effectif, creneau horaire), recevoir sa confirmation et son rappel, et permettre a l'organisateur de gerer son remplissage et sa liste d'attente |
|---|---|
| Base legale | Execution du service demande (Art. 6.1.b) — la reservation elle-meme (equipe, effectif, creneau, adresse e-mail de confirmation). seulement pour les champs facultatifs : telephone, composition de l'equipe, commune, texte « besoin particulier » et case « droit a l'image ». |
| Personnes concernees | Visiteurs qui reservent, et les membres de l'equipe qu'ils declarent (mineurs inclus, sous la responsabilite de l'adulte qui reserve) |
| Donnees collectees | Nom d'equipe, email de contact, telephone de contact (facultatif), liste des membres (prenom/nom et age de chaque membre), champs libres definis par l'organisateur (commune d'origine notamment), texte libre facultatif « besoin particulier » (question neutre, accompagnee de l'avertissement « n'indiquez aucune information de sante » : la Plateforme ne demande aucune donnee de sante), creneau choisi, statut de la reservation |
| Destinataires | L'organisateur de l'evenement concerne uniquement (son tableau de bord et ses exports, y compris le texte « besoin particulier », que tout membre de son espace a le droit de lire). Jamais les autres organisateurs, jamais les autres participants. |
| Sous-traitants | OVH SAS (hebergement France), Brevo (envoi de la confirmation et du rappel), HelloAsso ou Stripe le cas echeant si le creneau est payant (l'adresse e-mail de la personne qui paie leur est alors transmise pour pre-remplir leur page de paiement) |
| Duree de conservation | 395 jours (13 mois) a compter de la reservation, puis anonymisation automatique quotidienne de la ligne (event_bookings). Sont alors effaces : nom d'equipe, email, telephone, identite des membres, champs libres de l'organisateur, texte « besoin particulier », code de confirmation et lien d'annulation. Sont conserves, parce qu'ils ne permettent plus d'identifier personne : l'age de chaque membre et la commune d'origine, qui alimentent le bilan de frequentation remis par l'organisateur a son financeur (pyramide des ages, communes, comparaison d'une annee sur l'autre). Une reservation dont le creneau est encore a venir n'est jamais anonymisee, quelle que soit sa date de saisie. |
| Mesures de securite | Anonymisation en une seule ecriture atomique par ligne (jamais d'etat intermediaire ou l'identite subsiste alors que la ligne est marquee traitee), horodatage d'anonymisation conserve en base a titre de preuve (pii_purged_at), echec de la purge remonte sur le canal d'alerte de la plateforme et trace au journal d'audit (jamais d'echec silencieux), liste blanche des champs libres conserves (un nouveau champ cree par un organisateur est efface par defaut, jamais conserve par oubli) |
Portee exacte de l'anonymisation (sauvegardes) : l'anonymisation porte sur la base de production. Les sauvegardes deja prises avant l'anonymisation continuent de contenir la reservation dans son etat d'origine, jusqu'a l'expiration de leur propre duree de retention (7 jours pour les exports de base, 10 jours au plus pour leur copie hors serveur, 4 jours au plus pour la sauvegarde complete, voir « Sauvegardes »). L'effacement est donc immediat en base et differe dans les sauvegardes ; il n'est jamais presente comme un effacement instantane et total.
17. Detection de comptes multiples (avantages promotionnels)
| Finalite | Identifier qu'une meme personne physique ou une meme structure (association, commune, entreprise) est titulaire de plusieurs comptes QuestMaker, en particulier pour eviter le cumul indu d'un avantage promotionnel reserve a un compte par titulaire (ex. pack de credits offert a l'inscription). Voir CGV, article 6.4. |
|---|---|
| Base legale | Interet legitime (Art. 6.1.f) — lutte contre l'utilisation abusive d'une offre commerciale |
| Personnes concernees | Titulaires de comptes QuestMaker dont le rapprochement avec un autre compte a ete releve par l'equipe Wilder Labs |
| Donnees collectees | Email et nom/structure declares a l'inscription des comptes rapproches, contenu de l'email de signalement envoye au titulaire, reponse eventuelle du titulaire (justification recue via la page de contact dediee et son lien a usage unique valable 7 jours, ou par email a contact@livequest.fr au-dela de ce delai — meme traitement, canal different). Aucune collecte de donnee nouvelle : uniquement des donnees d'inscription deja detenues au titre du traitement « Comptes organisateurs » (n°3). |
| Destinataires | Equipe Wilder Labs (examen humain individuel ; aucune decision automatisee) |
| Sous-traitants | OVH SAS (hebergement France), Brevo SAS (envoi de l'email de signalement) |
| Duree de conservation | 2 ans (730 jours), purge automatique quotidienne (account_duplicate_reviews). Duree choisie par alignement — pas arbitraire — sur celle deja retenue pour les autres traces d'usage a vocation probatoire de la plateforme : journal d'audit (730 jours, purge quotidienne) et donnee d'acteur des mouvements de credits (anonymisee au-dela de 730 jours). Le compteur part de la date de derniere mise a jour du dossier : pour un dossier clos, c'est la date de cloture ; pour un dossier jamais clos (titulaire resté sans reponse, ou dossier oublie en instruction), la meme purge s'applique au bout de 730 jours, pour eviter qu'un signalement non traite ne soit conserve indefiniment. Si une mesure est prise sur un compte (retrait d'un avantage, suspension, resiliation), la trace de cette mesure suit le regime de conservation applicable au compte lui-meme (traitement n°3). |
| Mesures de securite | Examen individuel humain avant toute mesure (pas de gel ni de decision automatique), lien de justification a usage unique et a duree limitee, acces reserve a l'equipe Wilder Labs, HTTPS |
Etat actuel du mecanisme : le rapprochement de comptes est aujourd'hui opere manuellement par un humain (aucun algorithme de correlation automatise n'est en service). Ce traitement n'entre donc pas dans le champ de l'article 22 du RGPD (decision individuelle automatisee) : la decision finale sur un compte reste, dans tous les cas, prise par une personne physique. Si un mecanisme de detection automatise (rapprochement d'email, d'IP ou de structure par script) venait a etre mis en place, cette fiche devrait etre mise a jour avant sa mise en service — la base legale (interet legitime) resterait probablement adaptee, mais un test de mise en balance documente serait requis, et l'article 22 RGPD redeviendrait a examiner si la decision cessait de comporter une intervention humaine determinante.
18. Organisateurs — encaissement (Stripe Connect Express)
| Finalite | Permettre a un Organisateur (commune, entreprise ou particulier) d'encaisser lui-meme les paiements de sa quete (inscriptions payantes, dons prix libre) via un compte Stripe Connect Express ouvert a son nom, sans que la Plateforme n'encaisse pour son compte |
|---|---|
| Base legale | Execution du contrat (Art. 6.1.b) — activation d'une fonctionnalite facultative du compte organisateur |
| Personnes concernees | Organisateurs (QuestMakers) qui activent l'encaissement |
| Donnees collectees | Identifiant du compte Stripe Connect (acct_...) et indicateurs d'etat (charges_enabled, payouts_enabled, date de finalisation de l'enrolement). Pour activer l'encaissement, l'Organisateur saisit lui-meme — sur un formulaire heberge par Stripe, jamais sur nos serveurs — son identite (nom, prenom, date de naissance, adresse, piece d'identite) ou les informations de sa societe (SIRET, Kbis, representant legal), ainsi que son IBAN. Ces donnees ne transitent jamais par LiveQuest : l'Editeur ne les recoit pas et ne les stocke pas. |
| Adresse e-mail des acheteurs | Pour un paiement d'un participant a un organisateur (inscription payante, achat en boutique, billet offert), l'adresse e-mail saisie par l'acheteur est transmise a Stripe (compte de l'organisateur) ou, pour une association, a HelloAsso, afin de pre-remplir leur page de paiement. Les dons « prix libre » et le soutien a la plateforme ne transmettent aucune adresse (voir traitements n° 19 et 20). |
| Destinataires | Stripe, qui agit pour son propre compte (et non comme sous-traitant de l'Editeur) sur la collecte d'identite et d'IBAN, au titre de ses obligations de connaissance client (KYC) et de lutte contre le blanchiment. En interne, l'equipe Wilder Labs n'a acces qu'a l'identifiant de compte et aux indicateurs d'etat — jamais a l'IBAN ni a la piece d'identite. |
| Sous-traitants | Stripe Inc. (Irlande/USA) — pour le seul identifiant de compte et les indicateurs d'etat transmis par l'Editeur. Sur l'identite et l'IBAN saisis directement sur son formulaire d'onboarding, Stripe agit comme responsable de traitement autonome, non comme sous-traitant de l'Editeur (voir Destinataires). |
| Duree de conservation | Identifiant de compte et indicateurs d'etat : duree du compte organisateur (meme regime que le traitement « Comptes organisateurs » ci-dessus). Donnees d'identite et IBAN saisies sur le formulaire Stripe : jamais detenues par l'Editeur, leur conservation releve exclusivement de Stripe. |
| Mesures de securite | Formulaire d'onboarding integralement heberge par Stripe (Stripe Connect Express) — aucune donnee d'identite ou bancaire en transit ni en base cote LiveQuest ; mise a jour de l'etat exclusivement pilotee par le webhook Stripe signe (account.updated) ou une relecture explicite, jamais un defaut applicatif vers « payable » (fail-closed) ; ouverture de compte bloquee pour tout compte de demonstration en environnement de production (LIVE). |
| Transfert hors UE | Oui (Irlande/USA), meme encadrement que le traitement « Paiements (Stripe) » ci-dessus (SCC). Portee ici : donnees d'identite et IBAN collectees directement par Stripe pour son propre compte (KYC), jamais transmises par l'Editeur qui n'en dispose pas. |
19. Dons « prix libre » verses a l'organisateur d'une quete
| Finalite | Permettre a un participant de verser, sur une quete proposee en prix libre, un don facultatif a l'Organisateur de la quete, a deux moments de son parcours (avant ou apres la quete) |
|---|---|
| Base legale | Execution du contrat (Art. 6.1.b) — fonctionnalite facultative activee par l'Organisateur sur sa quete |
| Personnes concernees | Equipes donatrices (deja couvertes au traitement « Participation aux evenements » ci-dessus) |
| Donnees collectees | Identifiant de l'equipe donatrice (deja couvert au traitement « Participation aux evenements »), montant du don, moment du don (avant ou apres la quete), statut du paiement, identifiants de transaction du prestataire. Aucune adresse email n'est demandee par LiveQuest dans ce parcours. |
| Destinataires | Selon le statut de l'Organisateur, le paiement transite par HelloAsso (association) ou par Stripe Connect (commune, entreprise, particulier — voir traitement n°18 ci-dessus). Ces prestataires peuvent, sur leur propre page de paiement, demander eux-memes une adresse email pour l'envoi de leur recu : cette donnee reste alors chez le prestataire, elle n'est ni transmise ni conservee par l'Editeur. |
| Sous-traitants | HelloAsso (France/UE) pour les organisateurs de statut association ; Stripe Inc. (Irlande/USA) pour les organisateurs commune, entreprise ou particulier — meme role que pour le traitement n°18. |
| Duree de conservation | Duree du compte de l'Organisateur destinataire du don, augmentee le cas echeant des obligations de conservation comptable (meme logique que les autres encaissements lies a une quete). Si l'equipe donatrice est supprimee, le lien vers elle est detache automatiquement : l'ecriture financiere est conservee, sans lien vers une personne. |
| Mesures de securite | L'Editeur n'encaisse a aucun moment ce don pour le compte de l'Organisateur : il preleve seulement, le cas echeant, une commission dans les memes conditions qu'une inscription payante. Page de paiement integralement hebergee par le prestataire (HelloAsso ou Stripe) — aucun formulaire de paiement propre a LiveQuest. |
| Transfert hors UE | Oui, pour la part encaissee via Stripe Connect (USA) — meme encadrement (SCC) que le traitement n°18. Aucun transfert hors UE pour la part encaissee via HelloAsso (France/UE). |
20. Soutien personnel a la plateforme (« soutenir LiveQuest »)
| Finalite | Permettre a un visiteur de verser, independamment de toute quete, un soutien financier libre a Wilder Labs, editeur de la Plateforme, depuis la page publique de LiveQuest |
|---|---|
| Base legale | Interet legitime (Art. 6.1.f) — recevoir un soutien financier libre a son activite |
| Personnes concernees | Visiteurs versant un soutien (aucune identification : voir Donnees collectees) |
| Donnees collectees | Montant, statut du paiement, horodatage, identifiants de transaction Stripe. Aucune donnee personnelle n'est demandee : ni nom, ni email, ni adresse ne sont collectes par LiveQuest ni transmis a Stripe pour ce paiement — l'Editeur exclut volontairement ces champs de la session de paiement. Le geste est anonyme. Il ne s'agit pas d'un don au sens fiscal : Wilder Labs n'etant pas un organisme d'interet general, aucun recu fiscal (article 200 du CGI) n'est delivre. |
| Destinataires | Stripe — paiement encaisse directement sur le compte de l'Editeur, sans compte connecte, sans commission |
| Sous-traitants | Stripe Inc. (Irlande/USA) |
| Duree de conservation | Donnees comptables (montant, statut, date) : duree imposee par les obligations comptables de l'Editeur, comme pour les factures (voir traitement « Paiements (Stripe) » ci-dessus). Aucune donnee personnelle a conserver ni a effacer : ce traitement n'identifie pas le donateur. |
| Mesures de securite | Exclusion volontaire des champs nom/email/adresse de la session de paiement Stripe (minimisation par conception), pas de compte connecte, pas de commission, HTTPS |
| Transfert hors UE | Oui (USA) — mais sans donnee personnelle transmise ni collectee (voir Donnees collectees) : seuls transitent des identifiants de transaction et un montant non rattaches a une personne. |
21. Demandes de contact et inscriptions — origine de la visite
| Finalite | Repondre a une demande envoyee par le formulaire de contact et savoir par quel canal elle est arrivee (moteur de recherche, autre site, acces direct, campagne) pour la traiter et pour mesurer l'efficacite de nos contenus |
|---|---|
| Base legale | Interet legitime (Art. 6.1.f) — repondre a la demande et comprendre l'origine des demandes ; donnees minimales, sans IP ni empreinte |
| Personnes concernees | Personnes qui envoient le formulaire de contact ; organisateurs qui creent un compte (depuis le 17/10/2026) |
| Donnees collectees | Nom, email, message ; rattachees a la visite par recoupement des mesures d'audience : provenance (domaine d'origine, UTM d'arrivee), page d'arrivee, pages vues avec l'heure, duree de la visite, type d'appareil, systeme et navigateur. Jamais l'adresse IP, meme hachee, ni l'empreinte d'appareil. Aucun identifiant n'est depose dans le navigateur : la session d'audience est retrouvee cote serveur par les en-tetes de la requete. A la creation d'un compte organisateur, une seule mention courte est enregistree avec le compte : la source de campagne (UTM), sinon le domaine du site d'origine, sinon la premiere page vue (par exemple « /tourisme »). Jamais d'adresse e-mail, de jeton ni de parametre d'adresse. |
| Destinataires | Équipe Wilder Labs (boite de contact) |
| Sous-traitants | OVH SAS, Brevo SAS (acheminement de l'email) |
| Duree de conservation | Les donnees de visite restent dans les mesures d'audience (1 an, purge automatique) ; l'email suit la duree de conservation de la boite de contact (3 ans apres le dernier echange) ; la mention d'origine d'un compte suit la duree de vie du compte et disparait avec lui |
| Mesures de securite | HTTPS, rate limiting (10/h par IP), echappement HTML, lecture seule des mesures d'audience, colonnes IP et empreinte jamais lues |
22. Ticket cadeau achete en ligne (« C'est un cadeau »)
| Finalite | Permettre a un acheteur d'offrir une partie : le beneficiaire recoit, par email, un ticket a usage unique (code et lien), avec le message de l'acheteur, immediatement ou a la date choisie par l'acheteur |
|---|---|
| Base legale | Execution du contrat (Art. 6.1.b) — le contrat est conclu avec l'acheteur ; l'envoi au beneficiaire est la prestation qu'il a commandee |
| Personnes concernees | L'acheteur (traite aussi au titre de la commande, traitement n° 18) et le beneficiaire du cadeau, tiers qui n'a rien demande ni contracte |
| Donnees collectees | Prenom de l'acheteur (il signe le cadeau), prenom et adresse email du beneficiaire, message de l'acheteur (300 caracteres au plus), date d'envoi choisie, etat des envois (envoye, nombre d'essais). Le ticket lui-meme (quest_entry_codes) ne porte aucune donnee personnelle : seul un numero de commande le relie a la commande |
| Destinataires | Le beneficiaire (son ticket et le message) ; l'acheteur (confirmation et recu, sans le code du ticket). L'organisateur de la quete voit la commande (montant, acheteur) et l'etat de son ticket, pas le message |
| Sous-traitants | OVH SAS (hebergement France), Brevo SAS (acheminement des emails), Stripe (paiement, compte de l'organisateur) |
| Duree de conservation | 395 jours (13 mois) a compter de la commande — meme duree que les reservations (traitement n° 16) — puis effacement automatique quotidien du prenom, de l'email et du message du beneficiaire et du prenom de l'acheteur (event_payment_gifts, horodatage pii_purged_at). Un envoi differe est limite a un an apres la commande : plus aucun envoi n'est du a 395 jours. Le corps des emails de ce traitement (au beneficiaire et a l'acheteur) n'est conserve ni dans le journal des emails ni dans le journal du hub (seuls restent le destinataire et l'objet, purges a 90 jours). Suppression du compte de l'organisateur : ces donnees sont supprimees avec lui, la commande (piece comptable) reste |
| Mesures de securite | Donnees du beneficiaire stockees avec la commande et jamais dans les tables de tickets, saisie validee et echappee (HTML, adresse refusee si elle designe plusieurs destinataires), un seul message par destinataire (verrou), aucun envoi a un compte de demonstration ni a une adresse de test, effacement en une ecriture atomique, echec de purge remonte sur le canal d'alerte de la plateforme. Le message d'information du beneficiaire (« vous recevez ce message parce que… ») et le lien vers la politique de confidentialite figurent dans chaque email |
23. Application Android — identifiant d'installation, « Carnet » et notifications
| Finalite | (a) Retrouver, sans compte, les parties jouees depuis une installation de l'application (ecrans « Mes quetes », « Carnet » et « Vitrine ») ; (b) prevenir le joueur par notification native quand l'organisateur d'une quete qu'il joue lui ecrit |
|---|---|
| Base legale | (a) Interet legitime (Art. 6.1.f) : rendre au joueur l'historique de ses propres parties, sans creer de compte ; effacement en un geste. (b) : facultatif, jamais demande au premier lancement, active par le joueur puis par l'autorisation d'Android, retirable dans « Reglages » |
| Personnes concernees | Joueurs utilisant l'application Android |
| Donnees collectees | (a) Empreinte SHA-256 d'un identifiant d'installation tire au hasard par l'application (ni identifiant publicitaire ni identifiant Android), reliee aux equipes jouees depuis l'installation. Le Carnet affiche des donnees de partie que LiveQuest detient deja : nom de la quete et de l'equipe, date, duree, etapes reussies, points, rang, fin obtenue, medailles, forme du parcours (positions des etapes mises a l'echelle, sans coordonnee). Aucune photo d'equipe. (b) Jeton de notification de l'appareil (un par installation), langue de l'interface ; dans le message : titre et texte de l'organisateur (180 caracteres au plus), lien vers la partie, sans nom d'equipe ni donnee du participant |
| Destinataires | Installation concernee seulement (l'historique ne se lit qu'avec son secret) ; Google LLC (Firebase Cloud Messaging) pour l'acheminement des notifications |
| Sous-traitants | OVH SAS ; Google LLC (acheminement des notifications) |
| Transfert hors UE | Oui (USA) pour les notifications : jeton, titre et texte du message, lien. Encadrement : Google agit en qualite de sous-traitant au titre des Firebase Data Processing and Security Terms (derniere modification du 21 aout 2024), incorporees aux conditions d'utilisation de Firebase acceptees par l'Editeur dans la console Firebase ; transfert vers les Etats-Unis : Data Privacy Framework pour les entites Google certifiees ou, a defaut, clauses contractuelles types 2021/914 prevues par ces conditions |
| Duree de conservation | (a) La liaison installation ↔ equipe est supprimee avec l'equipe (memes durees que le traitement n° 1), ou aussitot par « Effacer l'historique de cet appareil » ; cookie technique de l'application : 400 jours. Copie locale du Carnet sur le telephone : remplacee a chaque reponse du serveur, effacee par « Effacer l'historique », la desinstallation ou l'effacement des donnees. (b) Jeton : supprime aussitot si le joueur coupe les notifications, efface l'historique, ou si Google signale l'application desinstallee ; sinon 90 jours apres la derniere ouverture de l'application, et 7 jours apres l'enregistrement s'il n'est relie a aucune partie (purge automatique quotidienne) |
| Mesures de securite | Secret d'installation de 256 bits jamais donne au JavaScript des pages et jamais place dans une URL ; seule l'empreinte est conservee ; reponses « no-store » et indistinguables pour une installation inconnue ; limitation de debit ; notifications : jamais entre 21 h et 8 h (heure de Paris), 5 par equipe et par jour au plus, message perime au bout de 12 h, cle de compte de service chiffree au repos ; aucune sauvegarde dans le cloud de l'application (allowBackup=false) |
24. Signalements de terrain par les joueurs (« Signaler ou proposer »)
| Finalite | Permettre a un joueur de prevenir le createur d'une quete d'un element disparu ou deplace, d'un acces ferme, d'un danger, d'une erreur dans une enigme, ou de lui proposer une amelioration ; permettre au createur de traiter le signalement et, si le joueur a laisse son adresse, de lui repondre. Ce traitement est distinct du signalement de contenu illicite adresse a la moderation de la plateforme (obligations de l'hebergeur) |
|---|---|
| Base legale | pour l'adresse e-mail et les photos, facultatives et fournies volontairement par le joueur ; Interet legitime (Art. 6.1.f) pour le texte du signalement : permettre au createur de corriger sa quete et de garantir la securite des joueurs suivants |
| Personnes concernees | Joueurs ayant utilise le menu « Signaler ou proposer » de la page d'une quete |
| Donnees collectees | Motif choisi, etape concernee, texte libre (10 a 1 000 caracteres), jusqu'a 3 photos (privees de leurs metadonnees EXIF, dont la localisation, avant stockage), nom de l'equipe tel que saisi par le joueur, adresse e-mail de reponse (facultative). Ni adresse IP ni identifiant d'appareil ne sont conserves. Le joueur est informe, dans le formulaire, que son adresse est transmise au createur de la quete et qu'il doit eviter de photographier des personnes reconnaissables |
| Destinataires | Le createur (compte proprietaire) de la quete concernee uniquement, dans son tableau de bord et par e-mail (au plus un e-mail par quete et par heure). Jamais les autres createurs, jamais les autres joueurs. Les liens de photo contenus dans l'e-mail sont signes et ne donnent acces qu'a la photo concernee |
| Sous-traitants | OVH SAS (hebergement France, stockage des photos), Brevo SAS (envoi de l'e-mail au createur et, sur sa demande, de sa reponse au joueur) |
| Duree de conservation | Photos et adresse e-mail de reponse : 90 jours apres le signalement, puis effacees (objets de stockage compris). Texte, motif, etape, notes et reponses du createur : 12 mois, puis suppression de la ligne. Suppression immediate avec la quete ou le compte du createur, et avec l'equipe du joueur lorsqu'il exerce son droit a l'effacement (lien de gestion de ses donnees). Le texte des e-mails n'est pas conserve dans le journal d'e-mails |
| Mesures de securite | Envoi reserve a l'equipe (appareil rattache a l'equipe) ; limitation de debit par equipe et par adresse IP ; photos controlees (signature, dimensions) et re-encodees sans metadonnees ; texte du joueur affiche sans interpretation HTML et echappe dans les e-mails ; chaque requete du createur filtree sur son compte (aucune lecture des signalements d'un autre createur) ; HTTPS |
25. Signalements de contenu illicite et moderation des quetes
| Finalite | Recevoir et traiter les signalements de contenu illicite visant une quete publiee (obligations d'hebergeur), en accuser reception, informer l'organisateur et le signalant de la decision, et suspendre une quete sur decision humaine. Ce traitement est distinct des signalements de terrain adresses au createur (traitement n° 24) |
|---|---|
| Base legale | Obligation legale (Art. 6.1.c) : article 6 de la loi pour la confiance dans l'economie numerique, articles 16 et 17 du reglement (UE) 2022/2065 ; Interet legitime (Art. 6.1.f) pour la conservation de la preuve du traitement |
| Personnes concernees | Personnes qui signalent un contenu (visiteurs, joueurs, tiers) ; organisateurs dont la quete est signalee |
| Donnees collectees | Reference du signalement, quete et adresse du contenu vise, motif (liste fermee), description (10 a 2 000 caracteres), type de signalant, declaration de bonne foi, nom (facultatif), adresse e-mail (obligatoire sauf motif « mineurs »), empreinte irreversible de l'adresse IP (jamais l'adresse en clair ; elle sert a ne pas enregistrer deux fois le meme signalement), date, etat, decision et motif de la decision, dates des notifications. Signalement automatique (voir traitement n° 26) : categorie et termes reperes |
| Destinataires | Equipe de moderation de Wilder Labs. L'organisateur de la quete recoit l'expose des motifs (motif, passages concernes, decision, voies de recours), jamais l'adresse e-mail ni le nom du signalant. Le signalant recoit un accuse de reception a contenu fixe, puis la decision. Les autorites sur requete |
| Sous-traitants | OVH SAS (hebergement France), Brevo SAS (envoi des e-mails ; voir traitement n° 7) |
| Duree de conservation | Adresse e-mail et nom : 12 mois apres la cloture du signalement, puis effaces. Reste du dossier (reference, quete, motif, description, empreinte d'adresse IP, decision, dates) : 5 ans apres la cloture, puis suppression de la ligne. Un signalement non clos n'est jamais purge. Prolongation le temps d'une procedure ou d'une demande d'une autorite |
| Mesures de securite | Motifs en liste fermee ; adresse du signalant jamais renvoyee a la console de moderation (seule sa presence l'est) ni ecrite dans le journal d'audit ; accuses de reception plafonnes par adresse ; suspension d'une quete decidee par une personne uniquement (la retenue automatique est provisoire) ; HTTPS |
| Transfert hors UE | Non, hors sous-traitants ulterieurs de Brevo (voir traitement n° 7) |
26. Attestation de contenu et controle automatique a l'activation d'une quete
| Finalite | Recueillir, a chaque activation d'une quete, l'attestation de l'organisateur que son contenu est licite et adapte au public vise, et en garder la preuve ; comparer les textes de la quete a une liste de mots pour la retenir provisoirement « en verification avant publication » si un terme sensible est repere. La retenue n'est jamais une decision definitive : toute suspension ou tout maintien est decide par une personne. Depuis le 14 octobre 2026, ce controle n'utilise plus l'intelligence artificielle et n'envoie aucun texte a un service exterieur |
|---|---|
| Base legale | Interet legitime (Art. 6.1.f) : prevenir la publication de contenus illicites ; obligations du reglement (UE) 2022/2065 |
| Personnes concernees | Organisateurs (QuestMakers) ; personnes dont le nom figurerait dans les textes de la quete |
| Donnees collectees | Date et heure de l'attestation, par quete ; dans le journal des actions de l'espace : identifiant et adresse e-mail de l'utilisateur qui a atteste, son adresse IP et son navigateur ; textes de la quete (compares a la liste de mots, sans etre conserves a part) ; resultat de la comparaison (categorie et termes reperes), consigne dans un signalement automatique (traitement n° 25) |
| Destinataires | Equipe de moderation de Wilder Labs ; l'organisateur concerne (e-mail de mise en verification avec motif et passages) |
| Sous-traitants | OVH SAS (hebergement France), Brevo SAS (e-mail a l'organisateur). Aucun autre : le controle est fait par la plateforme elle-meme |
| Duree de conservation | Attestation par quete : duree de la quete et du compte, effacee avec eux (30 jours apres une demande de suppression de compte). Trace dans le journal des actions de l'espace : 2 ans (730 jours). Resultat du controle : comme les signalements (traitement n° 25) |
| Mesures de securite | Controle execute avant l'activation et applique dans la meme transaction ; jamais bloquant en cas d'erreur de lecture ; retenue levee par decision humaine ; HTTPS |
| Transfert hors UE | Non |
27. Attestation d'engagement tarifaire signee electroniquement (WilderSign)
| Finalite | Faire signer par l'Editeur puis par le titulaire d'un compte l'attestation qui fixe les conditions particulieres d'une garantie de tarif (CGV, article 3.4), au moyen du service de signature electronique de Wilder Labs (signature electronique simple, reglement (UE) n° 910/2014, article 25), et conserver le document signe et son dossier de preuve |
|---|---|
| Base legale | Execution du contrat (Art. 6.1.b) ; Interet legitime (Art. 6.1.f) pour la conservation de la preuve de l'engagement signe |
| Personnes concernees | Signataire du Client (titulaire du compte ou representant) et signataire de l'Editeur |
| Donnees collectees | Cote LiveQuest : etat de la demande, signataires (nom, qualite, adresse e-mail, etat), empreintes du document envoye, du document signe et du dossier de preuve, date de signature, personne qui a lance la demande ; document signe et dossier de preuve dans un stockage prive. Cote WilderSign : signataires (nom, adresse e-mail) et, pour chaque evenement de signature, adresse IP, navigateur, pays deduit de l'adresse et horodatage ; code a usage unique et invitations envoyes par e-mail |
| Destinataires | Les deux signataires (exemplaire signe par e-mail a la cloture) ; equipe de Wilder Labs |
| Sous-traitants | OVH SAS (hebergement France, pour LiveQuest comme pour WilderSign), Brevo SAS (envoi des e-mails) |
| Duree de conservation | Aucun effacement automatique : une attestation signee ne se modifie plus et ne se supprime pas (protection par la base de donnees). Une duree maximale de conservation n'est pas arretee a ce jour |
| Mesures de securite | Etat deduit de WilderSign par relecture (une notification n'est qu'un signal authentifie) ; document signe accepte seulement si les deux signatures numeriques sont verifiees ; stockage prive sans lien public ; acces filtre par compte (securite au niveau des lignes) ; HTTPS |
| Transfert hors UE | Non, hors sous-traitants ulterieurs de Brevo (voir traitement n° 7) |
Sauvegardes
| Mesure | Mesure commune a tous les traitements : sauvegarde de chaque base au moins toutes les 6 heures, et sauvegarde complete chiffree (GPG, AES-256) des bases LiveQuest, des photos et fichiers et de la configuration a la meme frequence |
|---|---|
| Lieu | Serveur d'hebergement OVH (France) ; chaque nuit, copie des seuls exports de base de donnees vers un second serveur distinct du serveur d'hebergement, situe en France (meme fournisseur, OVHcloud) (les photos et fichiers ne sont pas copies hors du serveur d'hebergement) |
| Duree de conservation | Exports de base : conserves 7 jours sur le serveur d'hebergement, 10 jours au plus sur le second serveur. Sauvegarde complete chiffree (bases, photos et fichiers) : 4 jours au plus sur le serveur d'hebergement |
| Effacement | Une donnee effacee ou anonymisee en base reste dans les sauvegardes deja prises jusqu'a leur expiration : 7 jours pour les exports de base sur le serveur d'hebergement (10 jours au plus pour leur copie sur le second serveur), 4 jours au plus pour la sauvegarde complete (bases, photos et fichiers) |
Sous-traitants
| Sous-traitant | Fonction | Localisation | Garanties |
|---|---|---|---|
| OVH SAS | Hebergement infrastructure et donnees ; DNS des domaines | France | RGPD UE |
| Stripe Inc. | Traitement des paiements (abonnements, credits, comptes Stripe Connect des Organisateurs, dons) | Irlande / USA | PCI-DSS, SCC |
| HelloAsso | Traitement des paiements des Organisateurs de statut association (inscriptions payantes, dons prix libre) | France / UE | Etablissement de paiement agree (ACPR), RGPD UE |
| Brevo SAS | Relais SMTP (emails) | France / Belgique (hebergement : OVH en France, Google Cloud en Belgique) ; certains sous-traitants ulterieurs de Brevo sont aux Etats-Unis (Cloudflare : CDN et pare-feu applicatif ; Zendesk : support ; Brevo Inc. : maintenance et support) | Data Processing Agreement de Brevo (annexe 3 de ses conditions d'utilisation, version du 1er octobre 2025) ; transferts hors EEE : clauses contractuelles types et mesures supplementaires, et Data Privacy Framework UE-Etats-Unis lorsque Brevo s'y appuie |
| Google LLC | Oracle IA (generation de contenu, traduction, aide a la redaction d'un quiz et de missions WildQuest, indice pour un joueur bloque si l'option est activee, API Gemini) | USA | Aucune donnee de joueur transmise ; Google Data Processing Addendum (offre payante de l'API) ; Data Privacy Framework ou clauses contractuelles types 2021/914 |
| Google LLC (Firebase Cloud Messaging) | Acheminement des notifications de l'application Android (jeton de l'appareil, titre et texte du message de l'organisateur, lien vers la partie) | USA | Firebase Data Processing and Security Terms ; Data Privacy Framework ou clauses contractuelles types 2021/914 |
| WilderSign (service de Wilder Labs) | Signature electronique des attestations d'engagement tarifaire (traitement n° 27) | France (OVH) | Meme responsable de traitement et meme hebergeur |
| OSRM / CartoDB / Esri | Calcul itineraires, tuiles cartographiques | International | Donnees publiques uniquement |
Transferts hors UE
| Destinataire | Pays | Donnees | Garantie |
|---|---|---|---|
| Stripe Inc. | USA | Transmis par l'Editeur : identifiants et montant du paiement ; adresse email et nom du compte pour un abonnement (ni l'un ni l'autre pour un achat de credits) ; adresse email de l'acheteur pour un paiement a un organisateur. Collecte directement par Stripe sur sa page : donnees bancaires, adresse postale (et adresse email pour un achat de credits) | Clauses Contractuelles Types (SCC) |
| Google LLC (API Gemini) | USA | Textes saisis par l'organisateur (demande, descriptions, textes a traduire, questions de quiz, idees de mission), photos de lieux, extraits de sources publiques ; aucune donnee de joueur | Google Data Processing Addendum (offre payante de l'API) ; Data Privacy Framework ou clauses contractuelles types 2021/914 |
| Google LLC (Firebase Cloud Messaging) | USA | Jeton de notification de l'appareil, titre et texte du message de l'organisateur (sans nom d'equipe), lien vers la partie | Firebase Data Processing and Security Terms ; Data Privacy Framework ou clauses contractuelles types 2021/914 |
Gouvernance des environnements hors production
Ce qui s'est passe : entre le 14 et le 24 aout 2026, l'equipe a copie manuellement, a des fins de test, un jeu de donnees issu de la production vers l'environnement de pre-production, sans lui appliquer le traitement d'anonymisation prevu a cet effet. Il ne s'agit pas d'une compromission ni d'un acces non autorise : c'est une copie interne, deliberee, faite pour disposer d'un jeu de test realiste, dont le tort est de ne pas avoir ete anonymisee — un script d'anonymisation existait mais n'a ete appele par aucune chaine, ce qui explique pourquoi rien ne l'a rattrapee pendant dix jours.
Ce que ca a expose : l'environnement de pre-production n'est pas accessible depuis Internet (trois mecanismes de restriction d'acces concordants et anterieurs a cet episode). L'analyse des journaux sur la fenetre concernee (environ 248 000 requetes) ne montre aucune adresse IP publique, donc aucun signe d'acces externe. Le jeu de donnees comportait de l'ordre de 285 personnes directement identifiees (au sens ou l'adresse email ou une donnee equivalente les designe nommement) et environ un millier de personnes identifiables indirectement (par recoupement, ex. position GPS + horodatage) ; le tres grand nombre de lignes techniques en base (positions, requetes) correspondait a un nombre de personnes distinctes bien plus restreint. Les adresses email issues d'une periode anterieure a cet episode etaient deja pseudonymisees dans le jeu copie.
Qualification retenue : ceci n'est vraisemblablement pas une violation de donnees au sens de l'article 4.12 du RGPD — pas de perte, pas de destruction, pas de divulgation a un tiers, pas d'acces non autorise constate, sur un environnement qui n'etait de toute facon pas exposable depuis l'exterieur. C'est en revanche un traitement au-dela de la finalite initiale (Art. 5.1.b RGPD, limitation des finalites) : des donnees collectees pour l'exploitation du service (jouer a une quete, gerer un compte organisateur) ont ete reutilisees pour du test technique, sans la mesure de securite (anonymisation) qui rend cet usage secondaire acceptable. C'est ce manquement — pas un incident de securite — qui est consigne ici.
Correctifs sur LiveQuest : execution reelle de l'anonymisation avant toute mise a disposition d'un jeu de donnees en pre-production, integration de cette etape dans la chaine automatisee (elle n'est plus une etape manuelle qu'on peut oublier d'invoquer), et controle quotidien independant qui verifie que l'environnement de pre-production ne contient effectivement aucune PII de production.
Portee du probleme — a traiter comme systemique, pas comme un cas isole : ce defaut de gouvernance n'est pas propre a LiveQuest. Aucune des six autres applications de la flotte Wilder Labs ne dispose a ce jour d'une procedure d'anonymisation equivalente pour ses environnements hors production, et un audit a identifie qu'une seconde pre-production porte des donnees reelles incluant des dates et lieux de naissance — une categorie de donnee plus sensible que celles concernees ici. Des travaux sont en cours pour etendre la couverture (anonymisation branchee + controle independant) a l'ensemble de la flotte ; c'est cet aspect transverse qui constitue le vrai chantier de conformite, au-dela de l'episode LiveQuest lui-meme.