Politique de confidentialité

Le responsable du traitement de tes données au sens du RGPD est la société éditrice d'Overcut :

• Raison sociale : Overcut
• Siège social : 173 rue de Courcelles - 75017 Paris
• SIREN : 109865154
• Représentants légaux : Corentin Pineau et Mattéo Aillet

Pour toute question relative à tes données personnelles ou pour exercer tes droits, tu peux nous écrire à support@overcut.live. On répond sous 30 jours maximum.

Coordonnées complètes disponibles dans les mentions légales.

On limite la collecte de données à ce qui est strictement nécessaire au fonctionnement du service.

Données nécessaires au service

• Identifiants de compte : adresse email, pseudonyme, mot de passe chiffré.
• Acceptation des CGU : date et version des CGU acceptées à l'inscription.
• Profil : avatar, pays, pilote et écurie favoris - tous facultatifs.
• Activité de jeu : pronostics, duels, votes, points et historique de scoring par course.
• Contenus que tu publies : messages envoyés via le formulaire de feedback, nom et description de tes ligues.
• Parrainage : code utilisé à l'inscription et lien avec le parrain, le cas échéant.

Protection anti-robot à l'inscription

Lors de la création d'un compte, Cloudflare Turnstile analyse certains signaux techniques (empreinte navigateur, comportement de la page) pour distinguer un humain d'un bot. Aucun cookie de suivi cross-site n'est déposé.

Rapports d'erreur de l'application mobile

Quand l'application plante ou rencontre une erreur, un rapport technique est envoyé à Sentry : message d'erreur, écran concerné, modèle et système de ton téléphone, version de l'application. Il ne contient ni ton e-mail, ni ton pseudo, ni ton identifiant de compte. Un plantage du système de l'application peut être rattaché à un identifiant technique aléatoire, propre à l'installation, qui ne permet pas de remonter jusqu'à toi. Les adresses consultées sont expurgées (codes d'invitation et de parrainage, identifiants), et ton adresse IP n'est pas conservée.

On ne collecte aucune donnée sensible (santé, opinions, orientation, localisation précise).

Les traitements qu'on réalise reposent sur les bases légales suivantes :

• Exécution du contrat (CGU acceptées à l'inscription) : gérer ton compte, calculer tes points, afficher le classement.
• Intérêt légitime : sécuriser la plateforme (protection anti-robot), prévenir la fraude, détecter et corriger les plantages de l'application mobile, améliorer le service.
• Obligation légale : réponse aux demandes des autorités compétentes.

• Compte actif : tant que ton compte existe.
• Compte inactif : peut être supprimé après 24 mois sans connexion, avec notification préalable par email.
• Compte supprimé : anonymisation immédiate, suppression définitive sous 30 jours.
• Historique de jeu : conservé de façon anonymisée pour les statistiques globales.
• Rapports d'erreur de l'application mobile : 30 jours.

Tes données ne sont ni vendues, ni louées. Elles sont uniquement transmises aux prestataires techniques suivants, chacun pour une finalité précise :

• Supabase (hébergement base de données & authentification) - serveurs situés dans l'UE (région Irlande).
• Vercel (hébergement de l'application web) - États-Unis, cadre juridique DPF (Data Privacy Framework).
• Expo / EAS (distribution et mises à jour de l'application mobile) - États-Unis, cadre juridique DPF (Data Privacy Framework).
• Sentry (rapports d'erreur de l'application mobile) - données hébergées dans l'UE (Francfort), sans identifiant de compte, adresse IP non conservée.
• Brevo (envoi des emails transactionnels : confirmation, reset password) - serveurs situés dans l'UE.
• Cloudflare Turnstile (protection anti-robot à l'inscription web) - États-Unis, cadre juridique DPF (Data Privacy Framework), traitement éphémère de signaux techniques, pas de profilage.
• Vercel Analytics & Speed Insights (mesure de performance et de trafic agrégé) - aucun cookie déposé, IP anonymisée à la collecte, données agrégées et non individualisées.
• Google Analytics, et Firebase Analytics dans l’application mobile (mesure d’audience : pages et écrans vus, parcours, points de décrochage) - États-Unis, encadré par des clauses contractuelles types. Activé uniquement après ton accord explicite. L’identifiant transmis est un pseudonyme technique, jamais ton e-mail ni ton pseudo.
• Microsoft Clarity (rejeu des sessions et cartes de chaleur) - États-Unis, encadré par des clauses contractuelles types. Chargé uniquement après ton accord explicite. Les champs de formulaire sont masqués et les pages d’invitation ne sont jamais enregistrées.
• OpenF1 (données publiques de Formule 1) - aucune donnée personnelle transmise, uniquement une consommation d'API publique.

Chaque sous-traitant est contractuellement engagé (via son DPA - Data Processing Agreement) à respecter le RGPD, à ne pas utiliser tes données à d'autres fins et à les protéger avec les mêmes standards que les nôtres.

Overcut utilise deux catégories de traceurs : ceux strictement nécessaires au fonctionnement du service, et ceux de mesure d’audience, soumis à ton accord. Aucun cookie publicitaire, aucun cookie de suivi cross-site n'est déposé.

Cookies et stockages essentiels

• Cookies de session Supabase : maintiennent ta connexion active pendant que tu navigues (déposés uniquement après login).
• Cookie temporaire de parrainage (ref_code) : transporte le code de parrain saisi jusqu'à la confirmation du compte (durée 10 minutes).
• Source d'inscription (sessionStorage) : lors d'une inscription Google, garde ta réponse à « Comment as-tu connu Overcut ? » le temps du passage chez Google, effacée dès ton profil complété ou à la fermeture de l'onglet.
• Préférences locales (localStorage) : stockent tes réglages d'affichage dans ton navigateur, jamais transmises à un serveur tiers.
• Choix de mesure d’audience : ta réponse (accepter ou refuser) est conservée dans ton navigateur, ou sur ton téléphone dans l’application, jamais sur nos serveurs.

Ces cookies sont dispensés du recueil de consentement au sens de l'article 82 de la loi Informatique et Libertés (finalité de fournir un service explicitement demandé par l'utilisateur).

Mesure d'audience — soumise à ton accord

Ces traceurs servent une seule finalité : comprendre comment le service est utilisé pour l'améliorer. Ils ne sont jamais déposés avant que tu aies cliqué sur « Accepter ». Tant que tu n'as pas répondu, ou si tu refuses, aucun script tiers de mesure n'est chargé dans la page. Dans l'application mobile, la collecte reste coupée tant que tu n'as pas accepté.

• Google Analytics : pages visitées, parcours dans le site, endroits où tu abandonnes, durée passée sur chaque page. Conservé 13 mois après ta dernière visite.
• Microsoft Clarity : rejeu de ta navigation et cartes de chaleur des zones cliquées, rattachés à un identifiant technique de compte. Les champs que tu remplis sont masqués automatiquement. Conservé jusqu’à 1 an.
• Firebase Analytics (application mobile) : écrans consultés et actions de jeu (pronostic envoyé, ligue créée…), rattachés à un identifiant d’installation. Aucun identifiant publicitaire de ton téléphone n’est lu. Conservé 14 mois au maximum.

Deux protections s'appliquent dans les deux cas. Les adresses des pages sont expurgées avant envoi : une page d'invitation à une ligue est transmise sous la forme /join/[code], jamais avec le code réel. Et le rejeu de navigation est totalement désactivé sur ces pages.

Revenir sur ton choix

Le lien « Gérer mes cookies » en bas de chaque page rouvre le choix à tout moment. Refuser y est aussi simple qu'accepter, en un clic. Dans l'application mobile, le même réglage se trouve dans ton profil : refuser coupe la collecte et efface les données de mesure stockées sur ton téléphone. Ton choix te sera redemandé si la finalité change ou si un nouvel outil est ajouté.

On met tout en œuvre pour protéger tes données : connexions chiffrées (HTTPS), mots de passe hachés, accès à la base restreint par des règles de sécurité strictes (Row Level Security de Supabase).

En cas de faille de sécurité affectant tes données, on s'engage à te prévenir dans les meilleurs délais et à notifier la CNIL conformément à la loi.

Conformément au RGPD, tu disposes des droits suivants sur tes données :

• Droit d'accès : demander une copie des données qu'on détient sur toi.
• Droit de rectification : corriger toute information inexacte.
• Droit à l'effacement : demander la suppression de ton compte et de tes données.
• Droit à la portabilité : récupérer tes données dans un format lisible.
• Droit d'opposition et de limitation du traitement.
• Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

Pour exercer un droit, envoie-nous un email. On te répond dans un délai maximum de 30 jours.

Cette politique peut évoluer avec le service. À chaque modification substantielle, on met à jour la date affichée en haut de page et on te prévient si les changements t'impactent directement.

Les mentions légales complètes (raison sociale, SIREN, siège social, hébergeurs) sont disponibles sur la page dédiée.

Une question sur tes données personnelles, ou l'exercice de tes droits RGPD ? Écris-nous directement à l'adresse suivante - on répond sous 30 jours maximum :

support@overcut.live

Pour toute autre demande, ou pour découvrir qui se cache derrière le projet :