Politique de confidentialité

1. Introduction

La présente politique décrit comment OrBrain (« nous », « l'Éditeur ») collecte, utilise et protège vos données personnelles lorsque vous utilisez l'application OrBrain (iOS, Android, Web).

Nous nous conformons au Règlement Général sur la Protection des Données (RGPD — UE 2016/679) et à la loi française « Informatique et Libertés ».

2. Responsable du traitement & DPO

Le responsable du traitement des données est Michel Hakim, éditeur de l'application OrBrain et du site orbrain.ai.

• Éditeur : Michel Hakim
• Forme juridique : Entrepreneur individuel (EI)
• Numéro SIREN : 800 851 750
• Adresse : 20 rue Jean Mermoz, 75008 Paris, France
• Directeur de la publication : Michel Hakim
• Email de contact / point de contact RGPD : contact@orbrain.ai

Délégué à la protection des données (DPO) — OrBrain n'est pas soumis à l'obligation de désigner un DPO au sens de l'article 37 du RGPD (absence de traitement à grande échelle de données sensibles et effectifs inférieurs aux seuils applicables). Un point de contact RGPD est néanmoins désigné : contact@orbrain.ai.

3. Données collectées

3.1 Données fournies directement

3.2 Données générées par l'usage

3.3 Données techniques et mesure d'audience

Les traitements suivants ne démarrent qu'après votre consentement explicite, donné lors du premier lancement de l'app. Sur Android et iOS, ce consentement est recueilli via le formulaire Google User Messaging Platform (UMP), conforme au cadre IAB TCF v2.2 ; sur la version web, via un écran dédié. Vous pouvez modifier ce choix à tout moment depuis Profil → Légal → Modifier mon consentement.

• Diagnostic technique : type d'appareil, version OS, version de l'app, langue, fuseau horaire.
• Rapports de plantage (Firebase Crashlytics) : trace d'exécution anonymisée, contexte technique du crash. Ne contient ni email, ni contenu utilisateur.
• Mesure d'audience anonyme (Firebase Analytics) : événements d'usage agrégés (partie lancée, paywall affiché, abonnement souscrit) pour améliorer l'app. Aucun identifiant personnel n'est inclus dans ces événements.
• Publicité récompensée optionnelle (Google AdMob) : si vous choisissez explicitement de regarder une courte publicité vidéo pour gagner une vie supplémentaire (utilisateurs non abonnés uniquement), votre identifiant publicitaire (IDFA sur iOS, AAID sur Android), votre type d'appareil et votre adresse IP tronquée sont transmis à Google LLC. Aucune donnée n'est envoyée à AdMob tant que vous ne lancez pas vous-même une publicité. Voir section 7 (sous-traitants) et section 11.1.

3.4 Données que nous NE collectons PAS

• Pas de géolocalisation précise (GPS)
• Pas d'accès aux contacts ni aux fichiers de l'appareil
• Pas de données biométriques
• Pas d'écoute du microphone
• Pas de suivi publicitaire cross-app en arrière-plan : l'identifiant publicitaire n'est utilisé qu'au moment précis où vous déclenchez vous-même la lecture d'une publicité récompensée

Note sur la photothèque : l'accès à votre galerie n'est sollicité que ponctuellement, lorsque vous choisissez explicitement d'ajouter une photo de profil. Seule la photo que vous sélectionnez est lue et téléversée ; aucune autre photo de votre appareil n'est consultée, stockée ou analysée.

4. Finalités et bases légales

5. Profilage et décisions automatisées (BFQ)

L'application calcule automatiquement un score appelé BFQ (BrainFit Quotient), basé sur un algorithme de type ELO logistique qui évalue votre progression à partir de vos performances aux mini-jeux. Le BFQ est utilisé pour :

• vous attribuer un tier (novice, débutant, moyen, avancé, expert, élite) et un emoji correspondant ;
• vous positionner dans les classements mondial, par pays et tournoi hebdomadaire ;
• proposer un appariement (matchmaking) de niveau similaire en PvP.

Qualification juridique (article 22 du RGPD). Le BFQ n'est pas une décision automatisée produisant des effets juridiques ou affectant de manière significative l'utilisateur : il n'ouvre ni ne ferme l'accès aux services principaux de l'app, ne conditionne aucun paiement et ne produit aucune conséquence hors du jeu. L'intégralité des mini-jeux et des modes PvP reste accessible quel que soit votre BFQ.

Vous conservez néanmoins un droit d'opposition (art. 21 RGPD) et un droit à la réinitialisation de votre BFQ sur simple demande à contact@orbrain.ai. Toute contestation d'un classement fait l'objet d'un réexamen humain.

6. Modes PvP, défis et classements

Les modes multijoueurs (Duel, Orb Battle, Speed Duel, Tetris Battle, Grid War), les défis entre amis et les classements impliquent le partage de certaines données avec d'autres joueurs ou avec le public de l'application.

6.1 Données visibles par les autres joueurs

6.2 Données non exposées

• Adresse email, statut d'abonnement, UID technique, adresse IP — jamais visibles par les autres joueurs.
• L'application ne contient aucune messagerie ni chat entre joueurs.

6.3 Conservation

• Données de salon PvP actif : supprimées à la fin de la partie ou après 24 h d'inactivité.
• Historique des résultats : conservé tant que votre compte est actif.
• Classements : snapshot hebdomadaire pour les tournois, archivage 12 mois maximum.

7. Sous-traitants et destinataires

Nous utilisons les services tiers suivants, choisis pour leur conformité RGPD. Aucune donnée n'est vendue, louée ni partagée à des fins publicitaires. Les politiques de confidentialité de chaque sous-traitant sont accessibles via les liens ci-dessous.

Aucune donnée bancaire (numéro de carte, CVV) n'est traitée ni stockée par OrBrain.

8. Transferts hors UE

Nos sous-traitants Google et RevenueCat sont basés aux États-Unis. Les transferts de données sont encadrés par :

• Les Clauses Contractuelles Types de la Commission européenne, et
• Le Data Privacy Framework UE-USA (pour les sociétés certifiées).

Ces dispositifs garantissent un niveau de protection équivalent à celui exigé par le RGPD.

9. Durée de conservation

10. Vos droits (RGPD)

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie des données que nous détenons sur vous
• Droit de rectification : corriger une donnée inexacte ou incomplète
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible (JSON)
• Droit d'opposition : vous opposer à un traitement basé sur l'intérêt légitime
• Droit à la limitation : geler temporairement le traitement
• Droit de retirer votre consentement à tout moment
• Droit de définir des directives post-mortem sur le sort de vos données

Pour exercer un droit, écrivez à contact@orbrain.ai. Une réponse vous sera apportée sous 30 jours maximum. Une preuve d'identité pourra être demandée en cas de doute raisonnable.

11. Cookies et traceurs

11.1 Application mobile

L'application mobile n'utilise pas de cookies. Les traceurs techniques (Crashlytics, Analytics) et la diffusion de publicité récompensée optionnelle (Google AdMob) ne démarrent qu'après votre consentement explicite recueilli au premier lancement via le formulaire Google User Messaging Platform (UMP), conforme au cadre IAB TCF v2.2. Ce choix est modifiable à tout moment depuis Profil → Légal → Modifier mon consentement.

Identifiant publicitaire (IDFA sur iOS, AAID sur Android). OrBrain ne recourt à cet identifiant que dans un cas précis : lorsque vous choisissez vous-même de regarder une courte publicité vidéo pour gagner une vie supplémentaire (fonctionnalité réservée aux utilisateurs non abonnés, plafonnée à 2 publicités par cycle de régénération du pool de vies). Sur iOS, la fenêtre App Tracking Transparency d'Apple s'affiche alors automatiquement pour recueillir votre consentement spécifique au suivi cross-app. Si vous refusez l'ATT ou la personnalisation dans l'UMP, des publicités non personnalisées (NPA) peuvent toujours vous être proposées si vous lancez une vidéo, sans transmission d'identifiant.

OrBrain n'effectue aucun suivi publicitaire en arrière-plan ni en dehors du contexte explicite de la publicité récompensée : aucun pixel, aucun SDK marketing tiers, aucune attribution cross-app passive.

11.2 Site web orbrain.ai

La version web utilise uniquement des cookies strictement nécessaires au fonctionnement (session, préférences de thème et de langue), exemptés de consentement préalable conformément à la recommandation CNIL du 17 septembre 2020.

Aucun cookie publicitaire, aucun traceur tiers (Google Analytics web, pixel Meta, etc.) n'est déposé sur le site.

12. Mineurs

L'application est destinée aux personnes de 15 ans et plus en France, conformément à l'article 7-1 de la loi Informatique et Libertés (majorité numérique). Dans les autres États membres de l'EEE, l'âge applicable peut varier entre 13 et 16 ans selon la législation nationale.

En deçà de ces seuils, le traitement des données n'est licite qu'avec l'autorisation conjointe du ou des titulaires de l'autorité parentale. Nous ne collectons pas sciemment de données auprès d'enfants en dessous de l'âge applicable. Si vous estimez qu'un enfant nous a fourni des données sans autorisation parentale, contactez contact@orbrain.ai : nous procéderons à leur suppression sans délai.

13. Sécurité et notification de violation

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD) pour protéger vos données :

• Chiffrement TLS 1.2+ de toutes les communications
• Mots de passe hachés (jamais stockés en clair) côté Firebase Authentication
• Règles d'accès Firestore strictes (chaque utilisateur n'accède qu'à ses propres données)
• Règles serveur sur les modes PvP pour prévenir la triche et l'usurpation d'identité
• Sauvegardes régulières et accès restreint aux consoles d'administration
• Revues de sécurité périodiques du code et des dépendances

Notification de violation (art. 33 et 34 RGPD). En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons la CNIL dans un délai de 72 heures après en avoir pris connaissance. Si cette violation est susceptible d'engendrer un risque élevé, vous serez informé directement, dans les meilleurs délais, par email ou notification dans l'application.

14. Droits régionaux supplémentaires

14.1 Californie (CCPA / CPRA)

Si vous résidez en Californie, le California Consumer Privacy Act modifié par le CPRA vous accorde des droits spécifiques : droit de savoir, de supprimer, de corriger, de limiter l'usage des informations sensibles, et de ne pas subir de discrimination pour l'exercice de ces droits.

OrBrain ne « vend » jamais vos informations personnelles au sens classique du terme. En revanche, lorsque vous choisissez explicitement de regarder une publicité récompensée pour gagner une vie, le partage de votre identifiant publicitaire avec Google AdMob peut être qualifié de « partage » (« share ») au sens du CPRA, à des fins de publicité comportementale contextuelle.

Do Not Sell or Share My Personal Information. Vous pouvez à tout moment retirer votre consentement à ce partage depuis l'application : Profil → Légal → Modifier mon consentement. Cette action désactive immédiatement la transmission de l'identifiant publicitaire à AdMob. Le formulaire Google UMP détecte automatiquement votre géographie et présente, pour les résidents californiens, l'interface CCPA appropriée.

Pour exercer tout autre droit CCPA/CPRA (accès, suppression, correction, non-discrimination), contactez-nous à contact@orbrain.ai.

14.2 Royaume-Uni (UK GDPR)

Les résidents du Royaume-Uni bénéficient de droits équivalents au RGPD UE en application du UK GDPR et du Data Protection Act 2018. L'autorité compétente est l'Information Commissioner's Office (ICO).

14.3 Brésil (LGPD)

Les résidents brésiliens bénéficient des droits prévus par la Lei Geral de Proteção de Dados (Loi n° 13.709/2018) : accès, correction, anonymisation, portabilité, suppression, information sur le partage, révocation du consentement. L'autorité compétente est l'ANPD.

15. Transparence stores (Apple & Google)

Conformément aux exigences des plateformes de distribution, OrBrain déclare les catégories de données suivantes :

OrBrain ne pratique aucun suivi publicitaire en arrière-plan et ne partage aucune donnée avec des courtiers de données. Le seul partage publicitaire intervient au moment précis où vous lancez vous-même une publicité récompensée optionnelle, et exclusivement avec Google AdMob (voir section 7).

16. Évolution de la politique

Cette politique peut évoluer. La date et le numéro de version sont indiqués en haut du document. En cas de changement substantiel (nouvelle finalité, nouveau sous-traitant sensible, modification des durées de conservation), nous vous en informerons au moins 30 jours avant l'entrée en vigueur via un message dans l'app ou par email, et recueillerons un nouveau consentement si la base légale l'exige.

17. Contact et réclamation

Pour toute question : contact@orbrain.ai.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL :

• Site : cnil.fr/fr/plaintes
• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07