Notice de Confidentialité

La présente Notice de Confidentialité (« Notice ») décrit les engagements de Win & Win concernant la confidentialité, l'intégrité et la disponibilité des données que nos commerçants et leurs joueurs nous confient dans le cadre de l'utilisation de la plateforme.

Elle complète notre Politique de confidentialité (winandwin.club/privacy) et fait partie intégrante de nos Conditions Générales (winandwin.club/terms).

• Vos données restent vos données. Nous n'y accédons que pour opérer le service ou pour respecter une obligation légale.
• Nous ne vendons, ne louons ni n'échangeons vos données ou celles de vos joueurs avec des tiers.
• Nous appliquons le principe du moindre privilège : chaque collaborateur ou système n'a accès qu'aux données strictement nécessaires à sa mission.
• Nous chiffrons vos données en transit (TLS 1.3) et au repos (AES-256 côté base de données).
• Nous conservons vos données uniquement le temps nécessaire aux finalités décrites dans notre Politique de confidentialité.

Chiffrement

• Toutes les communications entre le navigateur et nos serveurs utilisent HTTPS avec TLS 1.3.
• La base de données est chiffrée au repos avec AES-256.
• Les mots de passe sont hashés avec Argon2 (algorithme récent, résistant aux attaques par matériel spécialisé).
• Les jetons d'authentification OAuth sont chiffrés au repos.

Contrôle d'accès

• Authentification obligatoire pour tout accès à la plateforme (mot de passe fort et/ou SSO Google).
• Sessions à expiration automatique, avec possibilité de révocation immédiate.
• Accès administrateur limité à un cercle très restreint et journalisé.
• Rotation régulière des clés et secrets, et audit des accès sensibles.

Sauvegardes et continuité

• Sauvegardes automatiques quotidiennes de la base de données.
• Réplications multi-zone chez notre hébergeur pour garantir la continuité de service.
• Procédure de restauration testée régulièrement.

Pour opérer le service, nous nous appuyons sur un nombre limité de prestataires soigneusement sélectionnés. Chacun est engagé contractuellement à respecter la confidentialité et à mettre en œuvre des mesures de sécurité au moins équivalentes aux nôtres.

• Vercel (États-Unis) — hébergement du site vitrine et du tableau de bord. Transferts encadrés par les Clauses Contractuelles Types.
• Cloudflare Workers (Union Européenne) — hébergement de notre API et du jeu joueur. Certifié ISO 27001 / SOC 2.
• Neon (États-Unis) — base de données Postgres managée. Chiffrement au repos, sauvegardes automatiques, conformité GDPR.
• Prestataire d'emails transactionnels (Postmark ou Resend) — envoi des notifications aux commerçants uniquement.
• Prestataire de paiement (Stripe ou équivalent) — traitement sécurisé des paiements. Nous ne stockons ni les numéros de carte ni les CVV.

La liste des sous-traitants est susceptible d'évoluer. Toute modification substantielle sera communiquée aux Commerçants par email au moins 30 jours avant son entrée en vigueur.

Les données que collectent nos commerçants via les jeux (email des joueurs, historique de participation, coupons) appartiennent au commerçant. Nous les traitons en qualité de sous-traitant, uniquement dans le but d'opérer le service demandé par le commerçant.

Concrètement, cela signifie :

• Aucun croisement de données entre les commerçants. Chaque commerçant voit uniquement ses propres joueurs et ses propres coupons.
• Isolation logique de chaque compte commerçant au niveau applicatif et base de données.
• Nous n'utilisons jamais les données des joueurs pour du marketing ou pour former des modèles d'IA.
• À la clôture du compte commerçant, nous supprimons ou anonymisons les données des joueurs dans un délai maximum de 90 jours.

Chaque collaborateur de Win & Win ayant accès à des données personnelles est lié par une obligation contractuelle de confidentialité qui survit à la fin de son contrat. Nous formons régulièrement nos équipes aux bonnes pratiques de sécurité et de protection des données.

En cas d'incident de sécurité affectant vos données, nous nous engageons à :

1. Contenir l'incident dans les meilleurs délais.
2. Analyser son étendue et ses conséquences.
3. Vous notifier sous 72 heures maximum si l'incident présente un risque pour vos données.
4. Vous fournir toutes les informations nécessaires (nature de l'incident, mesures prises, actions recommandées).
5. Notifier l'autorité compétente si nous y sommes tenus par la loi.

• Vous pouvez exporter vos données à tout moment depuis votre tableau de bord (joueurs, coupons, statistiques) au format CSV.
• Vous pouvez demander la suppression complète de votre compte et des données associées en écrivant à privacy@winandwin.club. La suppression est effective sous 30 jours, sauf obligation légale de conservation.
• Vous pouvez également obtenir une copie de vos données dans un format structuré et interopérable sur simple demande.

Pour toute question relative à la confidentialité ou à la sécurité de vos données, contactez notre Délégué à la Protection des Données à privacy@winandwin.club.