Politique de confidentialité

1. Qui est responsable

Le responsable du traitement est DevFIRE WEB SRL, Corvinilor 64, Ap. 1, 440080 Satu Mare, Satu Mare County, Romania.

Contact pour les questions de confidentialité : privacy@beaconstep.app.

Lorsqu’une entreprise utilise BeaconStep pour son propre événement d’équipe, c’est elle qui décide qui joue et ce que contient la quête. Pour les données des joueurs dans cette quête, l’entreprise est le responsable du traitement et BeaconStep traite les données pour son compte (accord de traitement des données, art. 28 RGPD).

2. Ce que nous utilisons, et pourquoi

Organisateurs (personnes qui créent des quêtes)

• Adresse e-mail — pour vous connecter avec un code à usage unique (sans mot de passe).
• Nom de l’entreprise, langue par défaut, moment où vous avez accepté nos conditions.
• Finalité et base juridique : fournir le service que vous avez demandé (art. 6, par. 1, point b), RGPD).

Joueurs (personnes qui rejoignent une quête)

• Un nom d’affichage que vous choisissez (un pseudonyme suffit), votre équipe et le moment où vous avez confirmé avoir 16 ans ou plus. Nous ne demandons ni votre date de naissance, ni votre e-mail, ni votre téléphone.
• Un identifiant de compte anonyme, pour que l’app se souvienne de votre quête sur cet appareil.
• Dans une prochaine version : les photos que vous prenez avec l’appareil photo de l’app pour une étape de quête, et votre position pendant la vérification d’une étape. L’app ne collecte pas encore de photos ni de position.
• Finalité et base juridique : faire fonctionner la quête que vous avez rejointe (art. 6, par. 1, point b), RGPD ; pour les événements d’entreprise, l’intérêt légitime de l’entreprise, art. 6, par. 1, point f)).

Site web (beaconstep.app)

• Pas de cookies, pas de mesure d’audience, pas de pistage. Notre hébergeur conserve de brefs journaux techniques (adresse IP, heure, page) à des fins de sécurité, pendant 30 jours au maximum.

Journaux techniques (app)

• Lorsque l’app communique avec nos serveurs, nos prestataires conservent de brefs journaux techniques (adresse IP, heure, requête) à des fins de sécurité et de recherche d’erreurs, pendant une durée limitée fixée par le prestataire.

E-mails au support

• Si vous nous écrivez, nous conservons votre message et votre adresse e-mail pour vous répondre. Notre messagerie est fournie par Google Workspace.

3. Localisation

Votre position sert uniquement à vérifier que votre équipe se trouve au lieu de l’étape en cours. Les traces de localisation brutes sont supprimées juste après la vérification ; seul le résultat (« sur place : oui/non », distance, heure) est conservé. Les organisateurs ne voient jamais votre itinéraire ni le tracé de votre position en direct.

4. Intelligence artificielle

L’app actuelle n’utilise pas encore l’IA. Lorsque ces fonctions arriveront, BeaconStep utilisera l’IA à deux endroits, et nous mettrons d’abord cette politique à jour :

1. Brouillons de quêtes pour les organisateurs. Un organisateur peut demander à l’IA de rédiger une quête à partir d’un lieu, d’une taille de groupe et d’un thème. L’organisateur relit et modifie chaque étape avant que les joueurs ne la voient. Aucune donnée de joueur n’est utilisée pour cela.
2. Vérification des photos. Une photo que vous prenez pour une étape peut être vérifiée par un modèle de vision par IA (« la photo montre-t-elle ce que l’étape demande ? »). Le résultat est une suggestion : l’organisateur peut le modifier, et vous pouvez demander un contrôle humain. Dans les écoles, un enseignant confirme toujours le résultat.

Fournisseur d’IA prévu : Google (Gemini via Vertex AI), dans une région de l’UE. Nous n’enverrons que la photo et le texte de l’étape — jamais votre e-mail, l’identifiant de votre appareil ni votre tracé de localisation. Selon les conditions de Google pour Vertex AI, ces données ne sont pas utilisées pour entraîner ses modèles. Avant la vérification de votre première photo, l’app vous demandera votre autorisation.

5. Où vos données sont stockées

Toutes les données de l’app sont traitées dans l’Union européenne :

• Supabase (base de données, connexion ; plus tard aussi le stockage des photos) — Francfort, Allemagne.
• Vercel (notre API) — Francfort, Allemagne.
• Plus tard, avec les fonctions d’IA : Google Cloud Vertex AI — région de l’UE.

Notre messagerie de support (Google Workspace) n’est pas limitée à l’UE.

Ce site web est un ensemble de pages statiques diffusées par le réseau mondial de Vercel ; une page peut donc être servie depuis un lieu proche de vous. Il n’enregistre rien sur vous ; Vercel conserve de brefs journaux techniques, comme décrit à la section 2.

Ces prestataires agissent en tant que nos sous-traitants dans le cadre d’accords de traitement des données. Nous ne vendons pas de données et ne les partageons pas à des fins publicitaires.

6. Durée de conservation

• Noms des joueurs, photos et réponses aux quêtes : par défaut 30 jours après la fin de la quête, puis supprimés par une tâche quotidienne (donc dans les 31 jours). Seules des statistiques anonymes restent (par exemple « 6 équipes, 8 étapes »). Une entreprise peut fixer une autre durée pour ses quêtes ; les joueurs peuvent demander à leur organisateur quelle durée s’applique.
• Une quête qui n’est jamais terminée se termine d’elle-même 7 jours après sa mise en ligne.
• Joueurs des quêtes de démonstration : supprimés après 1 jour.
• Comptes organisateur : jusqu’à ce que vous supprimiez votre compte ou que vous nous le demandiez.
• E-mails au support : aussi longtemps que nécessaire pour répondre, puis 2 ans au maximum.
• Traces de localisation brutes : supprimées juste après chaque vérification.

7. Enfants

Les quêtes d’entreprise et grand public s’adressent aux personnes de 16 ans ou plus ; les joueurs le confirment lorsqu’ils rejoignent une quête. Les quêtes scolaires pour des élèves plus jeunes ne seront proposées qu’avec le consentement des parents et sous la responsabilité d’un enseignant.

8. Vos droits

Vous pouvez nous demander d’accéder à vos données, de les rectifier, de les supprimer ou de les exporter, d’en limiter l’utilisation, ou vous opposer à leur utilisation (art. 15 à 21 RGPD). Écrivez à privacy@beaconstep.app. Les joueurs peuvent aussi s’adresser à leur organisateur. Vous pouvez introduire une réclamation auprès d’une autorité de protection des données — notre autorité chef de file est l’ANSPDCP en Roumanie (dataprotection.ro) ; vous pouvez aussi contacter l’autorité du pays où vous vivez ou travaillez, par exemple la CNPD au Luxembourg (cnpd.public.lu).

9. Sécurité

Les données sont chiffrées pendant leur transfert (HTTPS). Les données de chaque entreprise sont séparées de celles des autres entreprises par des règles de base de données. L’inscription à une quête est vérifiée sur notre serveur, sans jamais se fier au téléphone. Lorsque les vérifications de photos arriveront, les photos ne pourront provenir que de l’appareil photo de l’app et chaque vérification s’exécutera sur notre serveur.

10. Modifications

Si nous modifions cette politique, nous mettons à jour la date ci-dessus et en informons les organisateurs par e-mail.