Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

Louis BERTRAND, micro-entrepreneur 36 rue Jean Jaurès, 91330 Yerres, France Email : louis.bertrand@magic-cards.fr

2. Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du service :

Données de compte : adresse email, nom d'affichage et photo de profil fournis par votre fournisseur d'authentification (Google, MySSO, etc.) lors de la création de votre compte.

Données d'utilisation : decks et cartes créés, historique de révisions (dates et nombre de cartes révisées), série de jours consécutifs (streak), nombre de sessions de révision.

Données de paiement : les transactions sont traitées exclusivement par Stripe, Inc. Nous ne stockons aucun numéro de carte bancaire sur nos serveurs. Nous conservons uniquement les identifiants d'abonnement Stripe nécessaires à la gestion de votre plan.

Notifications push (optionnel) : si vous y consentez, un jeton de notification est stocké pour vous envoyer des rappels de révision. Vous pouvez révoquer cette permission à tout moment depuis les paramètres de votre navigateur.

Données de contact : si vous nous contactez par email, nous conservons votre message pour y répondre.

3. Finalité du traitement

Vos données sont utilisées exclusivement pour :

• Créer et gérer votre compte utilisateur. • Synchroniser vos decks et cartes sur tous vos appareils. • Calculer et afficher vos statistiques de progression (streak, heatmap, succès). • Gérer votre abonnement et vérifier votre statut Pro. • Vous envoyer des rappels de révision (uniquement si vous avez activé les notifications). • Améliorer la qualité et la sécurité du service.

Nous ne vendons, ne louons et ne partageons jamais vos données à des fins publicitaires ou commerciales.

4. Base légale (RGPD)

Le traitement de vos données repose sur les bases légales suivantes :

Exécution du contrat (art. 6.1.b RGPD) : traitement de l'email, des decks et cartes, de l'historique de révision et de l'abonnement - nécessaires pour vous fournir le service.

Intérêt légitime (art. 6.1.f RGPD) : journaux techniques (logs) conservés pour assurer la sécurité et détecter les abus.

Consentement (art. 6.1.a RGPD) : notifications push et communications marketing optionnelles.

5. Cookies et traceurs

MagicCards utilise uniquement des cookies et mécanismes de stockage local essentiels au fonctionnement du service. Aucun cookie publicitaire ou de tracking tiers n'est déposé.

Voici les cookies et données de stockage utilisés :

• Session d'authentification : token d'accès stocké en mémoire et refresh token en cookie httpOnly sécurisé, pour maintenir votre connexion. • Firebase / IndexedDB : cache local des données Firestore (decks, cartes) pour réduire les lectures réseau et permettre un accès hors-ligne. • Stripe : cookies techniques déposés par Stripe lors du processus de paiement, nécessaires à la sécurisation des transactions. Ces cookies sont soumis à la politique de confidentialité de Stripe (stripe.com/privacy).

Ces cookies étant strictement nécessaires au fonctionnement du service, ils ne requièrent pas de consentement préalable au titre de la directive ePrivacy.

6. Partage des données

Vos données ne sont partagées qu'avec les sous-traitants techniques suivants, dans le strict cadre de leurs missions :

• Google Firebase (Google LLC) : hébergement de la base de données, authentification. Données hébergées dans des centres de données européens (région europe-west1). Google est certifié conforme au RGPD. • Google Gemini (Google LLC) : génération de decks par intelligence artificielle. Lorsque vous utilisez la fonctionnalité de génération automatique de deck, le titre et le sujet que vous saisissez sont transmis à l'API Gemini. Ces données sont soumises à la politique de confidentialité de Google (policies.google.com/privacy). • Stripe, Inc. : traitement des paiements et gestion des abonnements. Stripe est certifié PCI-DSS niveau 1 et conforme au RGPD. • Vercel, Inc. : hébergement de l'application. Les requêtes transitent par les serveurs Vercel. • Resend (optionnel) : envoi des emails transactionnels (rappels). Vos emails ne sont pas utilisés à d'autres fins.

Nous pouvons également divulguer vos données si la loi l'exige (réquisition judiciaire, obligation légale).

7. Transferts hors UE

Certains de nos sous-traitants (Vercel, Stripe) sont établis aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (CCT) et/ou le Data Privacy Framework UE-États-Unis, garantissant un niveau de protection adéquat de vos données.

8. Conservation des données

Vos données sont conservées aussi longtemps que votre compte est actif.

En cas de suppression de compte (depuis la page Profil > « Supprimer mon compte »), toutes vos données personnelles (decks, cartes, historique, email) sont définitivement supprimées dans un délai de 30 jours.

Les logs techniques sont conservés au maximum 90 jours. Les données de paiement (historique de facturation) sont conservées 10 ans conformément aux obligations comptables légales.

9. Vos droits (RGPD)

Conformément au Règlement Général sur la Protection des Données (RGPD - Règlement UE 2016/679), vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de toutes les données que nous détenons sur vous. • Droit de rectification : corriger des données inexactes ou incomplètes. • Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données. Vous pouvez également supprimer votre compte directement depuis votre page Profil. • Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine (JSON). • Droit d'opposition : vous opposer au traitement fondé sur l'intérêt légitime. • Droit de retrait du consentement : retirer votre consentement à tout moment pour les traitements qui en dépendent (notifications push, communications marketing).

Pour exercer vos droits, contactez-nous à contact@magic-cards.fr. Nous répondrons dans un délai maximum de 30 jours.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : cnil.fr.

10. Sécurité

Nous mettons en œuvre les mesures de sécurité suivantes pour protéger vos données :

• Chiffrement des communications via HTTPS (TLS 1.3). • Règles de sécurité Firestore limitant l'accès aux seules données de l'utilisateur authentifié. • Authentification via OAuth 2.0 avec des fournisseurs tiers réputés (Google, MySSO). • Tokens d'accès à courte durée de vie, refresh tokens stockés en cookies httpOnly. • Aucun mot de passe stocké sur nos serveurs.

11. Modifications

Cette politique peut être mise à jour pour refléter des changements légaux ou techniques. En cas de modification substantielle affectant vos droits, nous vous en informerons par email au moins 15 jours avant l'entrée en vigueur. La date de dernière mise à jour est indiquée en haut de ce document.