Confidentialité

On respecte ta vie privée. Voilà comment Cache-Cache traite tes données — sans bullshit.

Responsable du traitement

troisdeuxun Sàrl, en partenariat avec Vaud Promotion. Contact : privacy@cachecache.app.

Données que tu nous donnes

• Ton email, pour t'envoyer le lien de connexion (magic link) et, si tu acceptes, les notifications.
• Ton nom d'affichage (optionnel) et la langue de ton compte.
• Tes progressions sur les parcours : étapes validées, points cumulés, badges débloqués.

Données que ton navigateur nous envoie

• Un cookie de session (strictement nécessaire au login et à la langue choisie).
• Si tu actives la double authentification : un secret TOTP chiffré côté serveur.
• Lors de l'envoi du magic link : ton adresse IP (anti-abus, conservée 7 jours puis effacée).

Mesure d'audience (sans tracker tiers)

Pour comprendre ce qui amène les gens vers Cache-Cache, on garde si présents :

• Les paramètres utm_source / medium / campaign / content / term de l'URL d'arrivée.
• Le site référent (uniquement s'il est externe à cachecache.app).
• L'horodatage de ta première visite et de ta première étape validée.

C'est stocké sur ton compte (uniquement si tu en crées un) et utilisé en interne pour décider quels parcours mettre en avant. Pas de partage avec un tiers, pas de cookie tiers, pas de fingerprinting.

Performance et fiabilité

On collecte des Web Vitals anonymes (vitesse de chargement, fluidité) sur un endpoint maison. Aucun identifiant utilisateur, aucun cookie. Si quelque chose plante, le rapport d'erreur est envoyé à Sentry (sous-traitant) pour qu'on puisse corriger ; on configure Sentry pour scrubber email et infos perso.

Ce qu'on ne fait jamais

• Pas de Google Analytics, Meta Pixel, ou autre tracker tiers.
• Pas de profilage publicitaire, pas d'enchère en temps réel.
• Pas de revente ni de partage commercial de tes données.
• Pas d'envoi marketing sans opt-in explicite.

Tes droits

• Accès et portabilité : depuis ton profil, télécharge tout en JSON.
• Effacement : depuis ton profil, supprime ton compte (anonymisation immédiate).
• Rectification : nom et langue modifiables à tout moment.
• Opposition / réclamation : écris à privacy@cachecache.app. Tu peux aussi saisir le PFPDT (CH) ou ta CNIL nationale (UE).

Sous-traitants

• Mapbox (US) : tuiles cartographiques et calcul d'itinéraires piétons. Voit ton IP au moment où tu charges la carte. Politique Mapbox.
• Sentry : rapport d'erreurs, scrubber actif sur les données perso.
• Hébergeur en Suisse (à préciser au déploiement). Aucun transfert hors UE/Suisse autre que ceux listés ici.

Conservation

• Compte actif : tant que tu utilises Cache-Cache.
• Après suppression : anonymisation immédiate (email + nom remplacés par un identifiant aléatoire), progressions rendues anonymes, données conservées 30 jours pour audit, puis effacées.
• Logs anti-abus (IP magic link) : 7 jours.
• Web Vitals anonymes : 90 jours, agrégés.

Sécurité

HTTPS obligatoire, hash des tokens magic link (SHA-256), cookies HttpOnly + Secure + SameSite=Lax, double authentification disponible (TOTP), CSP stricte, headers de sécurité standards.

Mineurs

Cache-Cache est conçu pour les familles. Les moins de 16 ans devraient utiliser le service avec un parent ou tuteur. On ne demande aucune donnée nécessitant un âge précis.

Évolution

Cette politique peut évoluer. La date en haut de page fait foi. Si une évolution est substantielle, on prévient par email les comptes actifs.