Confidentialité

En vigueur au 9 novembre 2026.

En bref

Responsable du traitement

L'éditeur du site (voir les mentions légales), joignable à [email protected].

Données traitées

Compte
Adresse e-mail, pseudo, mot de passe si vous en choisissez un (seule une empreinte chiffrée est conservée, jamais le mot de passe lui-même), identifiant Google si vous vous connectez avec Google.
Partie
Cartes, boosters ouverts, pièces et leur historique, ventes et enchères du marché, classeurs, vitrine, wishlist, notifications du marché (gardées 30 jours) et préférences ; le joueur qui vous a invité, si vous êtes arrivé par un lien de partage.
Accord pour les e-mails
La date de chaque accord et de chaque retrait (preuve de votre choix), tant que le compte existe.
Appareils
Le type d'appareil (ordinateur, téléphone, tablette) et son système (Android, iOS, Windows…), sans modèle ni version, avec la date de dernière visite, pour adapter le jeu et connaître la part de chaque appareil ; ouvert ou non depuis l'écran d'accueil. Tant que le compte existe.
Activité
Date de votre dernière visite, mise à jour au plus toutes les 10 minutes.
Amis
Vos amis et les demandes d'ami envoyées et reçues ; votre choix de qui peut vous écrire (tout le monde, vos amis, personne).
Notifications push
Si vous les activez sur un appareil : l'adresse d'abonnement que fournit votre navigateur, ses clés de chiffrement, et les catégories que vous avez choisies.
Échanges et messages
Propositions d'échange, messages envoyés et reçus, joueurs bloqués, signalements. Vos messages ne sont lus que par leur destinataire, et par la modération s'ils sont signalés (avec les quelques messages qui précèdent).
Abonnement
Formule, période, état et échéance de l'abonnement, identifiants client et abonnement chez Stripe, date de votre accord pour un accès immédiat (renoncement au délai de rétractation).
Sécurité
Adresse IP associée aux demandes de lien de connexion ou de vérification et aux tentatives de connexion échouées ; empreinte chiffrée (jamais l'adresse elle-même) de l'adresse IP et du réseau d'où vous ouvrez vos boosters, pour repérer les comptes multiples ; compteurs de requêtes, tenus en mémoire du serveur quelques minutes sans être enregistrés ; en cas de manquement, date et motif d'une suspension, et journal des actions de modération.
Mesure d'audience
Page vue, site ou lien d'où vous venez (par exemple « reddit » ou « invitation »), et une empreinte anonyme de la visite : l'adresse IP et le navigateur, mélangés à une valeur tirée au hasard chaque jour puis effacée. Elle permet de compter les visiteurs d'une journée sans pouvoir les reconnaître le lendemain ; l'adresse IP n'est pas enregistrée. À l'inscription, l'origine de votre arrivée est rattachée au compte.

Votre pseudo, votre profil (vitrine, classeurs complétés, statistiques de collection) et vos ventes au marché sont visibles des autres joueurs. Dans « Qui l'a ? » et « Qui la veut ? », ils voient aussi le jour de votre dernière visite, jamais l'heure, pour savoir qui contacter pour un échange ; vous pouvez le masquer dans les Paramètres (vous ne voyez alors plus celui des autres). Votre adresse e-mail n'est jamais visible.

Votre collection et votre wishlist sont visibles des joueurs que vous choisissez dans les Paramètres (tous les joueurs, vos amis seulement, ou personne). Ceux qui la voient voient aussi, quand ils vous proposent un échange, les cartes auxquelles vous tenez et pourquoi (favorite, classeur favori ou suivi, classeur complété). C'est une indication : rien ne vous empêche d'échanger une carte, ni eux de vous la demander.

Pourquoi

Faire fonctionner le jeu et votre compte, conformément aux conditions d'utilisation (exécution du contrat) ; gérer votre abonnement et respecter nos obligations comptables (contrat, obligation légale) ; savoir combien de visiteurs viennent et d'où, pour faire connaître le jeu (intérêt légitime, mesure anonyme exemptée de consentement) ; mesurer, avec Meta et X, les inscriptions amenées par nos publicités (consentement, retirable à tout moment) ; protéger le service contre les abus, la triche et les intrusions (intérêt légitime) ; montrer aux autres joueurs le jour de votre dernière visite pour faciliter les échanges (intérêt légitime, opposition possible dans les Paramètres) ; vous envoyer les liens de connexion et de vérification que vous demandez, et les confirmations d'abonnement ; seulement si vous l'avez accepté (case à l'inscription, ou dans les Paramètres), nos cadeaux et nouveautés par e-mail, au plus 2 par mois (consentement, retirable à tout moment : lien « Se désinscrire » de chaque e-mail, ou Paramètres).

Combien de temps

Compte et partie
Tant que le compte existe. Supprimé, il est effacé immédiatement de la base, sauf ce qui suit.
Après une suppression
Pour lutter contre la fraude (comptes recréés pour toucher plusieurs fois les cadeaux de départ), nous gardons 3 ans une empreinte chiffrée de l'adresse e-mail (jamais l'adresse elle-même), l'ancien pseudo et les dates d'inscription et de suppression. Une nouvelle inscription avec la même adresse ne reçoit pas de nouveau les cadeaux de départ. Les échanges et les ventes au marché conclus avec d'autres joueurs restent dans leur historique, sous l'ancien pseudo.
Activité
Une seule date, remplacée à chaque visite et effacée avec le compte.
Liens de connexion
Valables 15 minutes (24 heures pour la vérification d'adresse), effacés avec leur adresse IP dans les jours qui suivent.
Facturation
Les pièces comptables liées aux paiements sont conservées 10 ans, comme l'exige la loi, y compris après la suppression du compte (chez Stripe).
Messages
Tant que les deux comptes existent ; un compte supprimé emporte les messages qu'il a envoyés. Signalements : tant que le compte existe.
Modération
Suspension et journal de modération : tant que le compte existe.
Empreintes d'adresse IP
30 jours après la dernière ouverture de booster depuis cette adresse.
Tentatives échouées
Prises en compte 15 minutes, effacées dans les jours qui suivent.
Mesure d'audience
Pages vues : 13 mois. La valeur qui rend l'empreinte calculable : 2 jours au plus.
Notifications push
Jusqu'à ce que vous les désactiviez, ou que l'appareil ne réponde plus (abonnement effacé).
Session
90 jours au plus, ou jusqu'à la déconnexion.
Choix sur les cookies publicitaires
6 mois, dans votre navigateur ; la question vous est ensuite reposée si vous revenez par une publicité.

Cookies

Un cookie, cine_session, vous garde connecté (90 jours au plus). Il est strictement nécessaire au service et ne demande donc pas de consentement. Si vous vous connectez avec Google, deux cookies techniques vivent 10 minutes le temps de l'aller-retour (sécurité de la connexion, et page d'où vous venez).

Cookies de mesure publicitaire. Nous faisons connaître le jeu par des publicités sur Meta (Facebook, Instagram) et X. Seulement si vous arrivez sur le site par l'une d'elles, un bandeau vous demande votre accord ; sans réponse ou en cas de refus, rien n'est chargé. Si vous acceptez, les pixels de Meta et de X sont chargés : ils déposent leurs cookies (_fbp, _fbc, _twclid…), voient les pages que vous visitez sur le site et, si vous créez un compte, en sont informés (avec un numéro d'inscription, jamais votre adresse e-mail ni votre pseudo). Meta et X s'en servent pour mesurer l'efficacité de nos publicités et les montrer à des personnes susceptibles d'être intéressées ; chaque régie traite ces données selon sa propre politique (Meta, X).

Votre choix est gardé 6 mois. Vous pouvez le changer à tout moment : .

Prestataires

Railway
Hébergement du site et de la base de données (États-Unis).
Stripe
Paiement des abonnements : Stripe reçoit votre adresse e-mail et vos coordonnées bancaires, que Ciné TCG ne voit jamais (États-Unis, Irlande).
Resend
Envoi des e-mails de connexion et, si vous l'avez accepté, des cadeaux et nouveautés : reçoit votre adresse e-mail (États-Unis).
Sentry
Suivi des erreurs techniques : en cas de plantage, la page concernée, le message d'erreur et, au plus, votre numéro de joueur (jamais votre adresse e-mail ni votre adresse IP).
Cloudflare
À l'inscription, le captcha invisible Turnstile vérifie que vous n'êtes pas un robot : Cloudflare reçoit votre adresse IP et des informations techniques sur le navigateur, sans cookie publicitaire (États-Unis).
Meta
Seulement si vous arrivez par une de nos publicités et acceptez ses cookies : mesure des inscriptions amenées par nos publicités (voir Cookies). Meta Platforms Ireland (Irlande, transferts vers les États-Unis).
X
Seulement si vous arrivez par une de nos publicités et acceptez ses cookies : mesure des inscriptions amenées par nos publicités (voir Cookies). X Corp. (États-Unis) et Twitter International (Irlande).
Google
Uniquement si vous choisissez « Continuer avec Google » : authentification de votre compte Google.
Service de push
Si vous activez les notifications, elles transitent par le service de votre navigateur (Google pour Chrome et Android, Apple pour Safari, Mozilla pour Firefox, Microsoft pour Edge). Leur contenu est chiffré de bout en bout : ce service ne le lit pas, il voit seulement qu'un message est envoyé à votre appareil.
Wikimedia
Les photos des cartes sont chargées depuis les serveurs de Wikimedia Commons, qui reçoivent donc votre adresse IP, comme pour toute image affichée. L'auteur et la licence de chaque photo sont demandés à Wikimedia par notre serveur, sans aucune donnée vous concernant.

Ces transferts hors de l'Union européenne sont encadrés par les garanties prévues par le RGPD (clauses contractuelles types de la Commission européenne ou adhésion du prestataire au Data Privacy Framework). Les polices de caractères sont servies par le site lui-même.

Vos droits

Vous pouvez accéder à vos données, les rectifier (pseudo depuis votre profil, mot de passe dans les Paramètres), les effacer (suppression du compte dans les Paramètres), en demander une copie portable, vous opposer à un traitement ou en demander la limitation, en écrivant à [email protected]. Réponse sous un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (cnil.fr/plaintes).