Politique de confidentialité

Solutions Dynamics SAS — SIREN 953208873 Capital social : 30 000 € Siège social : France Email de contact : contact@solutions-dynamics.com En utilisant DuoDesk (app.duodesk.fr), vous acceptez les présentes conditions de traitement de vos données personnelles.

Nous collectons uniquement les données nécessaires au fonctionnement du service : - Données d'identification : adresse email, nom d'affichage (via Google OAuth ou email/mot de passe) - Données d'utilisation : analyses consultées, pronostics générés, préférences de ligues - Données de paiement : gérées exclusivement par Stripe (nous n'avons jamais accès à vos coordonnées bancaires) - Données techniques : adresse IP (enregistrée temporairement pour la sécurité et la prévention des abus — voir section 9), navigateur, système d'exploitation, logs d'erreurs (Sentry) - Anti-fraude de l'essai Pro : empreintes HMAC-SHA256 (non réversibles) de l'adresse email canonique et, le cas échéant, d'un identifiant d'appareil aléatoire, ainsi qu'une empreinte HMAC d'un préfixe réseau (/24 IPv4 ou /48 IPv6) associé à la famille et à la version majeure du navigateur, et l'identifiant interne du compte dans le registre anti-abus. Aucune adresse IP ni adresse email en clair n'est conservée à cette fin

Vos données sont utilisées pour : - Fournir le service DuoDesk (authentification, analyses IA, historique) - Gérer votre abonnement et la facturation via Stripe - Vous envoyer des emails transactionnels (confirmation, renouvellement) via Resend - Améliorer le service par analyse des usages agrégés et anonymisés - Assurer la sécurité et prévenir les abus (rate limiting, détection de fraude)

• Exécution du contrat (art. 6.1.b RGPD) : traitement nécessaire à la fourniture du service - Intérêt légitime (art. 6.1.f RGPD) : sécurité, prévention des abus, amélioration du service - Consentement (art. 6.1.a RGPD) : mesure d'audience (Google Analytics 4 et PostHog), avec possibilité de retrait à tout moment

• Compte actif : données conservées pendant toute la durée de votre abonnement - Après suppression du compte : données supprimées sous 30 jours, sauf obligations légales (facturation : 10 ans) - Logs techniques : 90 jours glissants - Anti-fraude de l'essai Pro : empreinte réseau conservée 90 jours (suppression automatique par TTL) ; cookie dd_tg conservé 1 an ; empreinte du jeton d'appareil conservée sur le compte jusqu'à sa suppression ; empreintes liées au compte supprimées avec le compte. L'empreinte réseau peut survivre jusqu'à 90 jours à la suppression du compte au titre de la prévention des abus (intérêt légitime) : ce registre ne contient ni adresse IP ni adresse email en clair - Données de paiement : conservées par Stripe selon leurs propres politiques

Nous ne vendons jamais vos données. Partages strictement limités à : - Stripe (paiement) — Privacy Shield + DPA signé - MongoDB Atlas / Vercel / Render (infrastructure) — hébergement UE/US avec clauses contractuelles types - Resend (emails transactionnels) — DPA conforme RGPD - Sentry (monitoring des erreurs techniques) — certaines données sensibles (jetons, adresses e-mail, identifiants) sont masquées avant l'envoi ; durée de conservation selon la politique de Sentry - Google Analytics 4 — avec votre consentement uniquement, données anonymisées - PostHog (mesure d'audience du parcours produit, hébergée dans l'Union européenne) — avec votre consentement uniquement

Conformément au RGPD, vous disposez des droits suivants : - Droit d'accès : obtenir une copie de vos données - Droit de rectification : corriger vos données inexactes - Droit à l'effacement : supprimer votre compte et vos données - Droit à la portabilité : recevoir vos données dans un format structuré - Droit d'opposition : vous opposer à certains traitements - Droit de retrait du consentement : désactiver les cookies analytiques à tout moment Pour exercer ces droits : contact@solutions-dynamics.com — Réponse sous 30 jours. Vous pouvez également déposer une réclamation auprès de la CNIL (www.cnil.fr).

• Cookies essentiels (session, authentification) : nécessaires au service, pas de consentement requis - dd_guest (identifiant invité) : cookie essentiel, illisible par du code côté client, qui sécurise temporairement la continuité d'un parcours invité (durée maximale : 30 jours) — il ne sert ni à la publicité ni au suivi marketing - dd_2fa_device (appareil de connexion) : cookie de sécurité strictement nécessaire, illisible par du code côté client, déposé après une connexion avec double authentification. Il contient un identifiant aléatoire qui permet de reconnaître un appareil déjà utilisé pour se connecter, afin de ne pas renvoyer l'e-mail « Nouvelle connexion » à chaque connexion depuis cet appareil (durée : 365 jours). Seule une empreinte de cet identifiant est conservée sur le compte — il ne sert ni à la publicité ni au suivi marketing - dd_tg (anti-fraude de l'essai) : cookie de sécurité strictement nécessaire, illisible par du code côté client, déposé uniquement lors de l'attribution de l'essai Pro gratuit. Il contient un identifiant aléatoire de 128 bits qui permet de reconnaître un appareil ayant déjà bénéficié de l'essai (durée : 1 an). Seule une empreinte HMAC-SHA256 de cet identifiant est conservée — il ne sert ni à la publicité ni au suivi marketing - dd_door (univers choisi) : cookie fonctionnel déposé uniquement quand vous choisissez un univers sur la page d'accueil (« Loto Foot » ou « Turf »). Il contient seulement ce choix, pour vous y ramener directement lors de votre prochaine visite (durée : 180 jours) ; aucun identifiant, aucune donnée personnelle. Le lien « Changer d'univers » le supprime — il ne sert ni à la publicité ni au suivi marketing - Google Analytics 4 : uniquement avec votre consentement explicite via notre bandeau CNIL - PostHog (mesure d'audience, hébergée dans l'UE) : chargé uniquement si vous cliquez sur « Tout accepter » ; aucun cookie, un identifiant aléatoire dans le stockage local du navigateur ; pas d'enregistrement de session ni de capture de saisie ; le retrait du consentement arrête la mesure - Aucun cookie publicitaire ou de tracking tiers sans consentement

• Chiffrement en transit : TLS 1.3 - Chiffrement au repos : AES-256 (MongoDB Atlas) - Authentification : 2FA TOTP disponible, sessions sécurisées (NextAuth.js) - Monitoring : Sentry (erreurs), UptimeRobot (disponibilité) - Accès aux données : restreint aux seuls développeurs autorisés - Journalisation IP : votre adresse IP est enregistrée lors de certaines actions sensibles (connexion, utilisation intensive de l'IA, requêtes suspectes) à des fins de sécurité et de prévention des abus, sur la base de l'intérêt légitime (art. 6.1.f RGPD). Ces logs sont conservés 30 jours puis supprimés automatiquement.

Toute modification substantielle de cette politique sera notifiée par email avec un préavis de 30 jours. La date de dernière mise à jour figure en bas de page.