Politique de confidentialité

1. Introduction

La présente politique décrit comment OrBrain (« nous », « l'Éditeur ») collecte, utilise et protège vos données personnelles lorsque vous utilisez l'application OrBrain (iOS, Android, Web).

Nous nous conformons au Règlement Général sur la Protection des Données (RGPD — UE 2016/679) et à la loi française « Informatique et Libertés ».

2. Responsable du traitement & DPO

Le responsable du traitement des données est Michel Hakim, éditeur de l'application OrBrain et du site orbrain.ai.

• Éditeur : Michel Hakim
• Forme juridique : Entrepreneur individuel (EI)
• Numéro SIREN : 800 851 750
• Adresse : 20 rue Jean Mermoz, 75008 Paris, France
• Directeur de la publication : Michel Hakim
• Email de contact / point de contact RGPD : contact@orbrain.ai

Délégué à la protection des données (DPO) — OrBrain n'est pas soumis à l'obligation de désigner un DPO au sens de l'article 37 du RGPD (absence de traitement à grande échelle de données sensibles et effectifs inférieurs aux seuils applicables). Un point de contact RGPD est néanmoins désigné : contact@orbrain.ai.

3. Données collectées

3.1 Données fournies directement

3.2 Données générées par l'usage

3.3 Données techniques et mesure d'audience

Sur Android et iOS, un formulaire de consentement Google User Messaging Platform (UMP), conforme au cadre IAB TCF v2.2, vous est présenté au premier lancement de l'app, dans les pays où il est requis : dans ces pays, la mesure d'audience et la mesure d'acquisition décrites ci-dessous ne démarrent qu'avec votre consentement, donné dans ce formulaire ; un refus les empêche de démarrer, un retrait les arrête. La publicité récompensée démarre après votre réponse, quelle qu'elle soit : votre choix détermine si les annonces peuvent être personnalisées (voir ci-dessous). Dans les pays où ce formulaire n'est pas requis, ces traitements démarrent dès le premier lancement. Lorsque cette option est proposée (pays où le formulaire de consentement est requis), vous pouvez modifier votre choix à tout moment depuis Profil → Légal → Modifier mon consentement. Sur la version web, la mesure d'audience ne démarre que si vous l'acceptez dans un écran dédié. Les rapports de plantage font exception : ils reposent sur notre intérêt légitime, comme indiqué ci-dessous.

• Diagnostic technique : type d'appareil, version OS, version de l'app, langue, fuseau horaire.
• Rapports de plantage (Firebase Crashlytics) : trace d'exécution anonymisée, contexte technique du crash. Ne contient ni email, ni contenu utilisateur. Ce traitement est actif dès le lancement de l'application mobile, sans consentement préalable, sur le fondement de notre intérêt légitime à détecter et corriger les défaillances (art. 6.1.f RGPD). Vous pouvez vous y opposer à tout moment en écrivant à contact@orbrain.ai.
• Mesure d'audience (Firebase Analytics) : événements d'usage (partie lancée, paywall affiché, abonnement souscrit, publicité récompensée affichée et revenu qu'elle génère) pour améliorer l'app. Ces événements sont rattachés à l'identifiant technique de votre compte (UID) et à quelques caractéristiques de compte et de jeu (statut Pro, série en cours, nombre de jeux débloqués, et un indicateur de compte interne de l'équipe, qui sert à exclure nos propres tests des statistiques) ; ils ne contiennent ni votre adresse email ni votre pseudonyme.
• Publicité récompensée optionnelle (Google AdMob) : vous pouvez regarder une courte publicité vidéo pour récupérer des vies (utilisateurs non abonnés uniquement). Après votre réponse au formulaire de consentement (UMP) là où il est présenté, le SDK Google Mobile Ads est initialisé au lancement de l'app (au tout premier lancement, au premier chargement d'une publicité), et une publicité peut être chargée à l'avance quand vos vies s'épuisent, afin d'être prête si vous choisissez de la regarder : votre identifiant publicitaire (IDFA sur iOS, AAID sur Android), votre type d'appareil et votre adresse IP tronquée sont alors transmis à Google LLC, même si vous ne regardez finalement pas cette publicité. Si vous refusez, seules des annonces limitées, non personnalisées, peuvent vous être proposées. Une publicité ne s'affiche jamais sans votre action. Voir section 7 (sous-traitants) et section 11.1.
• Mesure d'acquisition (Adjust) : sur les applications mobiles uniquement, afin de savoir par quel canal (publicité, lien partagé, recherche dans un store) une installation nous est arrivée, votre identifiant publicitaire (IDFA sur iOS, AAID sur Android), le référent d'installation fourni par le store, votre type d'appareil et votre adresse IP tronquée sont transmis à Adjust GmbH. Ce traitement mesure l'installation, quelques étapes d'usage agrégées (fin d'onboarding, souscription) et le revenu des publicités récompensées affichées ; il ne crée aucun profil publicitaire et ne sert pas à vous cibler. Là où le formulaire de consentement est requis, il ne démarre qu'avec votre consentement aux finalités correspondantes de ce formulaire (stockage d'informations sur l'appareil et mesure de la performance publicitaire) : un refus l'empêche de démarrer, un retrait l'arrête. Ailleurs, il démarre dès le premier lancement. Voir section 7 (sous-traitants).

3.4 Données que nous NE collectons PAS

• Pas de géolocalisation précise (GPS)
• Pas d'accès aux contacts ni aux fichiers de l'appareil
• Pas de données biométriques
• Pas d'écoute du microphone
• Pas d'autre usage publicitaire de vos données que ceux décrits en section 3.3 (Google AdMob et Adjust) ; sur iOS, l'identifiant publicitaire (IDFA) n'est accessible qu'après acceptation de la fenêtre App Tracking Transparency d'Apple

Note sur la photothèque : l'accès à votre galerie n'est sollicité que ponctuellement, lorsque vous choisissez explicitement d'ajouter une photo de profil. Seule la photo que vous sélectionnez est lue et téléversée ; aucune autre photo de votre appareil n'est consultée, stockée ou analysée.

4. Finalités et bases légales

5. Profilage et décisions automatisées (BFQ)

L'application calcule automatiquement un score appelé BFQ (BrainFit Quotient), basé sur un algorithme de type ELO logistique qui évalue votre progression à partir de vos performances aux mini-jeux. Le BFQ est utilisé pour :

• vous attribuer un tier (novice, débutant, moyen, avancé, expert, élite) et un emoji correspondant ;
• vous positionner dans les classements mondial, par pays et tournoi hebdomadaire ;
• proposer un appariement (matchmaking) de niveau similaire en PvP.

Qualification juridique (article 22 du RGPD). Le BFQ n'est pas une décision automatisée produisant des effets juridiques ou affectant de manière significative l'utilisateur : il n'ouvre ni ne ferme l'accès aux services principaux de l'app, ne conditionne aucun paiement et ne produit aucune conséquence hors du jeu. L'intégralité des mini-jeux et des modes PvP reste accessible quel que soit votre BFQ.

Vous conservez néanmoins un droit d'opposition (art. 21 RGPD) et un droit à la réinitialisation de votre BFQ sur simple demande à contact@orbrain.ai. Toute contestation d'un classement fait l'objet d'un réexamen humain.

6. Modes PvP, défis et classements

Les modes multijoueurs (Duel, Orb Battle, Speed Duel, Block Battle, Grid War), les défis entre amis et les classements impliquent le partage de certaines données avec d'autres joueurs ou avec le public de l'application.

6.1 Données visibles par les autres joueurs

6.2 Données non exposées

• Adresse email, statut d'abonnement, UID technique, adresse IP — jamais visibles par les autres joueurs.
• L'application ne contient aucune messagerie ni chat entre joueurs.

6.3 Conservation

• Données de salon PvP actif : supprimées à la fin de la partie ou après 24 h d'inactivité.
• Historique des résultats : conservé tant que votre compte est actif.
• Classements : snapshot hebdomadaire pour les tournois, archivage 12 mois maximum.

7. Sous-traitants et destinataires

Nous utilisons les services tiers suivants, choisis pour leur conformité RGPD. Aucune donnée n'est vendue ni louée ; les seules transmissions à des fins publicitaires sont celles de Google AdMob et d'Adjust, décrites ci-dessous. Les politiques de confidentialité de chaque sous-traitant sont accessibles via les liens ci-dessous.

Aucune donnée bancaire (numéro de carte, CVV) n'est traitée ni stockée par OrBrain.

8. Transferts hors UE

Nos sous-traitants Google et RevenueCat sont basés aux États-Unis. Les transferts de données sont encadrés par :

• Les Clauses Contractuelles Types de la Commission européenne, et
• Le Data Privacy Framework UE-USA (pour les sociétés certifiées).

Ces dispositifs garantissent un niveau de protection équivalent à celui exigé par le RGPD.

9. Durée de conservation

10. Vos droits (RGPD)

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie des données que nous détenons sur vous
• Droit de rectification : corriger une donnée inexacte ou incomplète
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible (JSON)
• Droit d'opposition : vous opposer à un traitement basé sur l'intérêt légitime
• Droit à la limitation : geler temporairement le traitement
• Droit de retirer votre consentement à tout moment
• Droit de définir des directives post-mortem sur le sort de vos données

Pour exercer un droit, écrivez à contact@orbrain.ai. Une réponse vous sera apportée sous 30 jours maximum. Une preuve d'identité pourra être demandée en cas de doute raisonnable.

11. Cookies et traceurs

11.1 Application mobile

L'application mobile n'utilise pas de cookies. Là où le formulaire Google User Messaging Platform (UMP), conforme au cadre IAB TCF v2.2, est requis, la mesure d'audience (Firebase Analytics) et la mesure d'acquisition (Adjust) ne démarrent qu'avec votre consentement explicite, recueilli au premier lancement via ce formulaire ; ailleurs, elles démarrent dès le premier lancement. La publicité récompensée optionnelle (Google AdMob) démarre après votre réponse à ce formulaire, quelle qu'elle soit : votre choix détermine si les annonces peuvent être personnalisées, et si vous refusez, seules des annonces limitées, non personnalisées, peuvent vous être proposées. Lorsque cette option est proposée (pays où le formulaire de consentement est requis), ce choix est modifiable à tout moment depuis Profil → Légal → Modifier mon consentement. Les rapports de plantage (Firebase Crashlytics) sont actifs dès le lancement, sur le fondement de notre intérêt légitime (voir section 4).

Identifiant publicitaire (IDFA sur iOS, AAID sur Android). OrBrain y recourt dans deux cas : la mesure de l'installation par Adjust, avec votre consentement là où le formulaire de consentement est requis (voir section 3.3), et la publicité récompensée, réservée aux utilisateurs non abonnés et plafonnée à un nombre limité de publicités par jour : le SDK Google AdMob le reçoit à son initialisation et au chargement anticipé d'une publicité, après votre réponse au formulaire de consentement (UMP) là où il est présenté. Sur iOS, la fenêtre App Tracking Transparency d'Apple peut vous être présentée avec ce formulaire, au lancement de l'app, pour recueillir votre consentement spécifique au suivi cross-app ; si vous la refusez, l'IDFA n'est pas accessible. Si vous refusez la personnalisation dans l'UMP, seules des annonces limitées, non personnalisées, peuvent vous être proposées.

OrBrain n'utilise aucun pixel publicitaire et ne vend aucune donnée. Les applications mobiles intègrent deux SDK tiers liés à la publicité : Google AdMob (publicité récompensée, voir ci-dessus) et Adjust (mesure de l'installation et de la campagne qui vous a amené, voir section 3.3). Le revenu de chaque publicité récompensée affichée est aussi enregistré par Firebase Analytics et transmis à Adjust, chacun seulement lorsqu'il est actif.

11.2 Site orbrain.ai et version web de l'app

Le site de présentation orbrain.ai n'utilise que le stockage local strictement nécessaire à son affichage ; aucun cookie publicitaire, aucun traceur tiers (Google Analytics, pixel Meta, etc.) n'y est déposé.

La version web de l'application (app.orbrain.ai) utilise des cookies et un stockage local strictement nécessaires à son fonctionnement (session, préférences de thème et de langue), exemptés de consentement préalable conformément à la recommandation CNIL du 17 septembre 2020. La mesure d'audience (Firebase Analytics, qui s'appuie sur Google Analytics et dépose ses propres cookies) n'y démarre que si vous l'acceptez dans l'écran de consentement présenté au premier lancement ; si vous refusez, elle reste désactivée. Aucun cookie publicitaire n'y est déposé.

12. Mineurs

L'application est destinée aux personnes de 15 ans et plus en France, conformément à l'article 7-1 de la loi Informatique et Libertés (majorité numérique). Dans les autres États membres de l'EEE, l'âge applicable peut varier entre 13 et 16 ans selon la législation nationale.

En deçà de ces seuils, le traitement des données n'est licite qu'avec l'autorisation conjointe du ou des titulaires de l'autorité parentale. Nous ne collectons pas sciemment de données auprès d'enfants en dessous de l'âge applicable. Si vous estimez qu'un enfant nous a fourni des données sans autorisation parentale, contactez contact@orbrain.ai : nous procéderons à leur suppression sans délai.

13. Sécurité et notification de violation

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD) pour protéger vos données :

• Chiffrement TLS 1.2+ de toutes les communications
• Mots de passe hachés (jamais stockés en clair) côté Firebase Authentication
• Règles d'accès Firestore strictes (chaque utilisateur n'accède qu'à ses propres données)
• Règles serveur sur les modes PvP pour prévenir la triche et l'usurpation d'identité
• Sauvegardes régulières et accès restreint aux consoles d'administration
• Revues de sécurité périodiques du code et des dépendances

Notification de violation (art. 33 et 34 RGPD). En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons la CNIL dans un délai de 72 heures après en avoir pris connaissance. Si cette violation est susceptible d'engendrer un risque élevé, vous serez informé directement, dans les meilleurs délais, par email ou notification dans l'application.

14. Droits régionaux supplémentaires

14.1 Californie (CCPA / CPRA)

Si vous résidez en Californie, le California Consumer Privacy Act modifié par le CPRA vous accorde des droits spécifiques : droit de savoir, de supprimer, de corriger, de limiter l'usage des informations sensibles, et de ne pas subir de discrimination pour l'exercice de ces droits.

OrBrain ne « vend » jamais vos informations personnelles au sens classique du terme. En revanche, deux transmissions de votre identifiant publicitaire peuvent être qualifiées de « partage » (« share ») au sens du CPRA : celle qui permet d'attribuer votre installation à la campagne qui vous a amené (Adjust), et celle qui accompagne l'initialisation du SDK Google AdMob et le chargement anticipé d'une publicité récompensée, avant même que vous choisissiez de la regarder (Google AdMob).

Do Not Sell or Share My Personal Information. L'application ne présente pas de formulaire de consentement propre aux résidents californiens : pour vous opposer à ce partage, écrivez-nous à tout moment à contact@orbrain.ai. Là où le formulaire de consentement est présenté (pays européens soumis au RGPD), vous pouvez aussi modifier votre choix depuis l'application : Profil → Légal → Modifier mon consentement. Dans ces pays, un refus arrête la mesure d'acquisition (Adjust), et Google AdMob l'applique aux publicités suivantes : seules des annonces limitées, non personnalisées, peuvent alors vous être proposées.

Pour exercer tout autre droit CCPA/CPRA (accès, suppression, correction, non-discrimination), contactez-nous à contact@orbrain.ai.

14.2 Royaume-Uni (UK GDPR)

Les résidents du Royaume-Uni bénéficient de droits équivalents au RGPD UE en application du UK GDPR et du Data Protection Act 2018. L'autorité compétente est l'Information Commissioner's Office (ICO).

14.3 Brésil (LGPD)

Les résidents brésiliens bénéficient des droits prévus par la Lei Geral de Proteção de Dados (Loi n° 13.709/2018) : accès, correction, anonymisation, portabilité, suppression, information sur le partage, révocation du consentement. L'autorité compétente est l'ANPD.

15. Transparence stores (Apple & Google)

Conformément aux exigences des plateformes de distribution, OrBrain déclare les catégories de données suivantes :

OrBrain ne partage aucune donnée avec des courtiers de données. Le partage publicitaire se limite à deux cas : la mesure de l'installation par notre prestataire d'attribution Adjust, avec votre consentement là où le formulaire de consentement est requis et dès le premier lancement ailleurs, et la diffusion de publicités récompensées par Google AdMob, après votre réponse au formulaire de consentement (UMP) là où il est présenté : SDK initialisé au lancement, publicité chargée à l'avance quand vos vies s'épuisent, affichée uniquement à votre demande (voir section 7).

16. Évolution de la politique

Cette politique peut évoluer. La date et le numéro de version sont indiqués en haut du document. En cas de changement substantiel (nouvelle finalité, nouveau sous-traitant sensible, modification des durées de conservation), nous vous en informerons au moins 30 jours avant l'entrée en vigueur via un message dans l'app ou par email, et recueillerons un nouveau consentement si la base légale l'exige.

17. Contact et réclamation

Pour toute question : contact@orbrain.ai.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL :

• Site : cnil.fr/fr/plaintes
• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07