Politique de confidentialité

Le responsable du traitement est Julien PIERRAT-LABOLLE (Loluweb), Entrepreneur individuel, dont le siège est situé 1 bis rue de Viombois, 88110 Raon-l'Étape, France.

Contact données personnelles : julien.pierrat-labolle@loluweb.fr ou via le formulaire de contact. Identité complète dans les mentions légales.

Selon les fonctionnalités que vous utilisez (site, application mobile ou API), peuvent être traitées les catégories suivantes :

• Compte et authentification : adresse e-mail, nom ou pseudo affiché, mot de passe (stocké sous forme hachée), jetons et données de session (dont adresse IP et type de navigateur ou d'application lors de la connexion), statut de vérification de l'e-mail, rôle éventuel (joueur, commerçant, administrateur). Si vous utilisez une connexion via un compte tiers (Google, Facebook ou Discord lorsque ces options sont proposées) : identifiant fournisseur et jetons d'accès nécessaires à l'authentification — création du compte, sécurité et accès au service.
• Profil joueur : coordonnées postales ou téléphone si vous les renseignez, photo de profil (URL d'avatar généré), avatar 3D choisi, préférences d'interface dans l'application (thème, sons, affichage carte, etc.) — personnalisation du service.
• Activité de jeu : parcours démarrés ou terminés, validations d'énigmes et d'étapes trésor, codes coffre saisis, durée des parties, succès ou échec, attribution de badges virtuels ou physiques, gains éventuels liés à des lots partenaires — exécution du jeu, anti-triche, statistiques et amélioration des parcours.
• Avis et signalements : note, commentaire, photographie éventuelle, cases signalant un badge indisponible ou un trésor absent, et consentement distinct si vous autorisez la réutilisation de ces contenus pour la communication publique (site, réseaux sociaux, supports promotionnels) — modération, affichage des avis approuvés et retours terrain.
• Géolocalisation : si vous l'autorisez sur l'appareil, les coordonnées peuvent être transmises au serveur (dernière position connue) pour proposer des parcours à proximité, filtrer les contenus géolocalisés ou cibler les publicités partenaires selon une zone — fonctionnalités de proximité, avec consentement de l'OS lorsque requis.
• Publicités et offres partenaires : affichage d'encarts (commerces, associations, collectivités), enregistrement d'impressions et de clics, masquage d'une publicité, demandes de validation d'offre partenaire — gestion des partenariats, mesure d'audience interne et lutte contre les abus.
• Contact : nom, e-mail, téléphone optionnel et message transmis via le formulaire — réponse à votre demande. Ces messages sont acheminés vers un canal de notification interne à l'éditeur ; ils ne sont pas destinés à constituer une base de contacts marketing.
• Notifications push : identifiant technique de l'appareil (jeton push) si vous acceptez les notifications — informations sur les parcours, nouveautés ou messages de service.
• Journaux techniques : adresse IP, horodatages, logs serveur, identifiants de requêtes — sécurité, diagnostic, limitation du débit (anti-abus) et obligations légales.
• Administration (personnes habilitées uniquement) : actions réalisées dans le back-office (création de parcours, modération, gestion des utilisateurs) peuvent faire l'objet de journaux d'audit — sécurité et traçabilité des opérations sensibles.

Vous n'êtes pas tenu de fournir des données facultatives ; certaines fonctionnalités (proximité, offres géolocalisées, profil complet) peuvent toutefois en dépendre.

Les traitements reposent notamment sur :

• l'exécution des CGU et la fourniture du service de jeu (compte, progression, badges) ;
• l'intérêt légitime de l'éditeur (sécurité, prévention de la fraude, statistiques agrégées, amélioration des parcours, modération) ;
• votre consentement lorsque la loi l'exige : géolocalisation sur l'appareil, notifications push, réutilisation d'un avis à des fins de communication publique, cookies non essentiels le cas échéant.

Les données sont accessibles aux personnes habilitées de l'éditeur (administration, support, modération). L'hébergement du site, de l'API, de la base de données et des fichiers (images de parcours, badges, publicités) est assuré par l'éditeur sur une infrastructure située en France.

Des prestataires techniques peuvent intervenir, selon les fonctionnalités utilisées :

• fournisseurs de connexion par compte tiers (Google, Facebook, Discord) ;
• prestataire de messagerie pour les e-mails transactionnels (vérification de compte, réinitialisation de mot de passe, suppression de compte) ;
• service de notification push (Expo) pour l'envoi vers les appareils mobiles ;
• canal de notification pour les messages de contact (webhook Discord) ;
• fournisseurs de fonds de carte (OpenStreetMap et serveurs de tuiles) sur le site d'administration ;
• génération d'avatars illustrés (DiceBear) lorsque vous choisissez une image de profil de ce type.

Ces prestataires ne reçoivent que les données strictement nécessaires à leur intervention et sont liés par des obligations de confidentialité et de protection des données lorsque la loi l'impose.

Les données hébergées sur l'infrastructure de l'éditeur (comptes, progression, fichiers, journaux techniques) sont stockées et traitées en France, au sein de l'Union européenne. Elles ne font l'objet d'aucun transfert systématique hors de l'Espace économique européen du seul fait de l'hébergement du service.

Un transfert hors UE/EEE peut intervenir lorsque vous utilisez une fonctionnalité s'appuyant sur un prestataire situé à l'étranger, par exemple : connexion via Google, Facebook ou Discord ; téléchargement de l'application sur Google Play ; affichage de tuiles cartographiques ; envoi de notifications push via Expo ; notification Discord d'un message de contact ; chargement d'une image DiceBear. Seules les données nécessaires à la fonctionnalité concernée sont transmises. Lorsque la loi l'exige, des garanties appropriées sont mises en œuvre (clauses contractuelles types, décision d'adéquation le cas échéant, mesures complémentaires).

• Compte et profil : pendant l'utilisation du service, puis suppression ou anonymisation dans un délai raisonnable après suppression du compte (voir section 7) ou inactivité prolongée, sauf obligation légale contraire.
• Sessions et jetons : jusqu'à expiration, déconnexion ou suppression du compte.
• Progression et parties : liées à la durée de vie du compte, pour permettre la reprise du jeu et les statistiques.
• Avis approuvés : conservés tant qu'ils sont affichés publiquement ou nécessaires à la modération ; les avis refusés ou les brouillons sont supprimés ou archivés de façon limitée.
• Événements publicitaires : durée limitée compatible avec les statistiques internes et la preuve en cas de litige commercial.
• Journaux techniques : durée courte à modérée selon les besoins de sécurité et de diagnostic.

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité (lorsqu'il s'applique) et d'opposition pour les traitements fondés sur l'intérêt légitime. Vous pouvez retirer votre consentement à tout moment lorsque le traitement en dépend (géolocalisation, notifications, communication publique d'un avis), sans affecter la licéité des traitements antérieurs.

Vous pouvez supprimer votre compte depuis les paramètres du site (lorsque vous y êtes connecté) ou de l'application : un e-mail de confirmation peut être requis pour finaliser la suppression. Les données liées au compte sont alors effacées ou anonymisées, sous réserve des conservation légales ou des éléments agrégés ne permettant plus de vous identifier.

Pour exercer vos droits : julien.pierrat-labolle@loluweb.fr ou le formulaire de contact. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

Site web : des cookies strictement nécessaires au fonctionnement sont utilisés pour maintenir votre session de connexion (authentification sécurisée). À ce jour, le site ne déploie pas de traceur publicitaire tiers ni d'outil de mesure d'audience externe (type Google Analytics). Vous pouvez configurer votre navigateur pour refuser les cookies ; certaines fonctions (connexion, espace personnel) pourraient alors ne plus être disponibles.

Application mobile : des données peuvent être stockées localement sur l'appareil (jeton de session, préférences, cache) pour assurer le fonctionnement hors ligne partiel et la performance. Ces stockages ne sont pas des cookies navigateur mais relèvent du même principe d'information.

Si vous activez les notifications dans l'application, un jeton technique est enregistré pour adresser des messages (nouveau parcours à proximité, rappels de service, etc.). Vous pouvez désactiver les notifications à tout moment dans les réglages de l'appareil ou de l'application ; le jeton associé est alors ignoré ou supprimé lors des prochaines synchronisations.

Le service s'adresse notamment aux familles et aux sorties scolaires ou associatives. La création de compte par un mineur doit être effectuée avec l'accord du titulaire de l'autorité parentale lorsque la loi l'exige. Ne communiquez pas de données personnelles superflues concernant un enfant. En cas de doute sur un compte mineur, contactez l'éditeur.

L'éditeur met en œuvre des mesures techniques et organisationnelles adaptées (authentification sécurisée, hachage des mots de passe, validations côté serveur des étapes de jeu, limitation du débit des requêtes, accès restreint au back-office). Aucune transmission sur Internet n'est totalement invulnérable ; en cas d'incident susceptible d'affecter vos données, l'éditeur s'efforcera d'en informer les personnes concernées et la CNIL lorsque la loi l'impose.