Confidentialité

En vigueur au 26 septembre 2026.

En bref

Nous ne collectons que ce qu'il faut pour jouer : une adresse e-mail, un pseudo, votre partie.
Aucune publicité, aucun cookie de suivi, aucun outil de mesure tiers : nous comptons nous-mêmes les visites, de façon anonyme.
Le paiement des abonnements est fait chez Stripe : nous ne voyons jamais vos coordonnées bancaires.
Vos données ne sont ni vendues ni partagées à des fins commerciales.
Vous pouvez supprimer votre compte et toutes ses données à tout moment, depuis les Paramètres.

Responsable du traitement

L'éditeur du site (voir les mentions légales), joignable à [email protected].

Données traitées

Compte: Adresse e-mail, pseudo, mot de passe si vous en choisissez un (seule une empreinte chiffrée est conservée, jamais le mot de passe lui-même), identifiant Google si vous vous connectez avec Google.
Partie: Cartes, boosters ouverts, pièces et leur historique, ventes et enchères du marché, classeurs, vitrine, wishlist, notifications du marché (gardées 30 jours) et préférences ; le joueur qui vous a invité, si vous êtes arrivé par un lien de partage.
Amis: Vos amis et les demandes d'ami envoyées et reçues ; votre choix de qui peut vous écrire (tout le monde, vos amis, personne).
Notifications push: Si vous les activez sur un appareil : l'adresse d'abonnement que fournit votre navigateur, ses clés de chiffrement, et les catégories que vous avez choisies.
Échanges et messages: Propositions d'échange, messages envoyés et reçus, joueurs bloqués, signalements. Vos messages ne sont lus que par leur destinataire, et par la modération s'ils sont signalés (avec les quelques messages qui précèdent).
Abonnement: Formule, période, état et échéance de l'abonnement, identifiants client et abonnement chez Stripe, date de votre accord pour un accès immédiat (renoncement au délai de rétractation).
Sécurité: Adresse IP associée aux demandes de lien de connexion ou de vérification et aux tentatives de connexion échouées ; compteurs de requêtes, tenus en mémoire du serveur quelques minutes sans être enregistrés ; en cas de manquement, date et motif d'une suspension, et journal des actions de modération.
Mesure d'audience: Page vue, site ou lien d'où vous venez (par exemple « reddit » ou « invitation »), et une empreinte anonyme de la visite : l'adresse IP et le navigateur, mélangés à une valeur tirée au hasard chaque jour puis effacée. Elle permet de compter les visiteurs d'une journée sans pouvoir les reconnaître le lendemain ; l'adresse IP n'est pas enregistrée. À l'inscription, l'origine de votre arrivée est rattachée au compte.

Votre pseudo, votre profil (vitrine, classeurs complétés, statistiques de collection) et vos ventes au marché sont visibles des autres joueurs. Votre adresse e-mail ne l'est jamais.

Pourquoi

Faire fonctionner le jeu et votre compte, conformément aux conditions d'utilisation (exécution du contrat) ; gérer votre abonnement et respecter nos obligations comptables (contrat, obligation légale) ; savoir combien de visiteurs viennent et d'où, pour faire connaître le jeu (intérêt légitime, mesure anonyme exemptée de consentement) ; protéger le service contre les abus, la triche et les intrusions (intérêt légitime) ; vous envoyer les liens de connexion et de vérification que vous demandez, et les confirmations d'abonnement. Aucun e-mail promotionnel n'est envoyé.

Combien de temps

Compte et partie: Tant que le compte existe. Supprimé, il est effacé immédiatement de la base.
Liens de connexion: Valables 15 minutes (24 heures pour la vérification d'adresse), effacés avec leur adresse IP dans les jours qui suivent.
Facturation: Les pièces comptables liées aux paiements sont conservées 10 ans, comme l'exige la loi, y compris après la suppression du compte (chez Stripe).
Messages: Tant que les deux comptes existent ; un compte supprimé emporte les messages qu'il a envoyés. Signalements : tant que le compte existe.
Modération: Suspension et journal de modération : tant que le compte existe.
Tentatives échouées: Prises en compte 15 minutes, effacées dans les jours qui suivent.
Mesure d'audience: Pages vues : 13 mois. La valeur qui rend l'empreinte calculable : 2 jours au plus.
Notifications push: Jusqu'à ce que vous les désactiviez, ou que l'appareil ne réponde plus (abonnement effacé).
Session: 90 jours au plus, ou jusqu'à la déconnexion.

Cookies

Un cookie, cine_session, vous garde connecté (90 jours au plus). Il est strictement nécessaire au service et ne demande donc pas de consentement. Si vous vous connectez avec Google, deux cookies techniques vivent 10 minutes le temps de l'aller-retour (sécurité de la connexion, et page d'où vous venez). Aucun cookie publicitaire ni de mesure d'audience.

Prestataires

Railway: Hébergement du site et de la base de données (États-Unis).
Stripe: Paiement des abonnements : Stripe reçoit votre adresse e-mail et vos coordonnées bancaires, que Ciné TCG ne voit jamais (États-Unis, Irlande).
Resend: Envoi des e-mails de connexion : reçoit votre adresse e-mail (États-Unis).
Sentry: Suivi des erreurs techniques : en cas de plantage, la page concernée, le message d'erreur et, au plus, votre numéro de joueur (jamais votre adresse e-mail ni votre adresse IP).
Cloudflare: À l'inscription, le captcha invisible Turnstile vérifie que vous n'êtes pas un robot : Cloudflare reçoit votre adresse IP et des informations techniques sur le navigateur, sans cookie publicitaire (États-Unis).
Google: Uniquement si vous choisissez « Continuer avec Google » : authentification de votre compte Google.
Service de push: Si vous activez les notifications, elles transitent par le service de votre navigateur (Google pour Chrome et Android, Apple pour Safari, Mozilla pour Firefox, Microsoft pour Edge). Leur contenu est chiffré de bout en bout : ce service ne le lit pas, il voit seulement qu'un message est envoyé à votre appareil.
Wikimedia: Les photos des cartes sont chargées depuis les serveurs de Wikimedia Commons, qui reçoivent donc votre adresse IP, comme pour toute image affichée. L'auteur et la licence de chaque photo sont demandés à Wikimedia par notre serveur, sans aucune donnée vous concernant.

Ces transferts hors de l'Union européenne sont encadrés par les garanties prévues par le RGPD (clauses contractuelles types de la Commission européenne ou adhésion du prestataire au Data Privacy Framework). Les polices de caractères sont servies par le site lui-même.

Vos droits

Vous pouvez accéder à vos données, les rectifier (pseudo depuis votre profil, mot de passe dans les Paramètres), les effacer (suppression du compte dans les Paramètres), en demander une copie portable, vous opposer à un traitement ou en demander la limitation, en écrivant à [email protected]. Réponse sous un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (cnil.fr/plaintes).