Politique de confidentialité du site

1) But et domaine d'application

• quelles données personnelles vous collectez,
• à quelles fins et sur quelles bases juridiques elles sont traitées,
• a qui et comment vous transmettez les données (processeurs, partenaires, fournisseurs),
• combien de temps conservez-vous, comment vous protégez et comment vous exercez les droits des personnes concernées.

Qui a besoin : n'importe quel site/application, en particulier iGaming et les services fintech avec KYC/AML, les transactions de paiement, l'analyse antifrod, l'analyse et le marketing.

2) Définitions clés

Données personnelles (DPn) : toute information permettant l'identification de l'utilisateur (nom, e-mail, IP, identifiants d'appareils, données de paiement, etc.).
Traitement : toute opération avec PDn (collecte, stockage, modification, transfert, suppression).
Contrôleur/Opérateur : l'entreprise qui détermine les objectifs et les moyens de traitement.
Sous-traitant : la personne/l'organisation qui traite le PDn à la demande du contrôleur.
Cookies et pixels : technologies de stockage et de lecture des identifiants pour le fonctionnement du site, l'analyse et le marketing.
Catégories spéciales de données : biométrie/médical, etc. (iGaming n'est généralement pas traité ; exception - KYC-biométrie chez des tiers par consentement/base séparé).

3) Quelles sont les données que vous collectez habituellement sur la plate-forme iGaming

1. Identification : nom, date de naissance, nationalité, adresse, document (passeport/ID), selfie/vidéo (si KYC a un fournisseur autorisé).
2. Contact : e-mail, téléphone, messagers.
3. Comptes : logins, mots de passe, paramètres de compte, préférences de langue/devise.
4. Paiement et transactionnel : cartes tokénisées, détails de portefeuille, historique de paiement, conclusions, chargeback/disputes.
5. Technique : IP, user-agent, identifiants d'appareils, journaux, événements de session, cookie-ID.
6. Marketing/analyse : sources de trafic, UTM, conversions, segments, résultats des tests A/B.
7. Antifrod/AML : schémas comportementaux, scores de risque, signaux géo/proxy, résultat des tests de sanctions et de PEP (via des fournisseurs autorisés).

4) Bases juridiques du traitement (liste indicative)

Exécution du contrat (enregistrement, tenue de compte, traitement des taux/paiements).
Obligation légale (KYC/AML, rapports fiscaux/financiers, registres de sécurité).
Intérêt légitime (frod prevention, sécurité, amélioration du service), avec un test d'équilibre des intérêts.
Consentement (newsletters marketing, cookies facultatifs, biométrie KYC chez des fournisseurs individuels, si requis par le droit local).
Protection des droits et de l'ordre public (règlement des différends, défense contre les réclamations).

5) Finalités du traitement (formulation type)

Créer et administrer un compte, donner accès à des jeux/services.
Effectuer les paiements et les retraits, les retours, le calcul des dépôts Net, les rapports financiers.
Contrôles KYC/AML/Sanctions/PEP, prévention de la fraude et de l'abus de bonus.
Soutenir les clients et répondre aux demandes des entités PdN.
Analyse et amélioration des produits (conversions, UX, performance).
Commercialisation (e-mail, push, retargeting) sous réserve d'une base juridique.
Respecter les exigences réglementaires et fournir des données à leurs demandes légitimes.

6) Cookies, tracking et pixels

• Strictement nécessaire : sessions, sécurité, fonctionnalité du compte.
• Fonctionnel : langue, devise, préférences d'interface.
• Analytique : mesure de la fréquentation, corbeau, métriques UX.
• Marketing : attribution du trafic, retargeting, segments look-alike.

Pratique : bannière distincte/panneau de contrôle de consentement (PGM), possibilité de changer de choix à tout moment. Indiquer la durée de vie, les objectifs et les fournisseurs.

7) Transferts transfrontaliers et localisation

Décrire la géographie du stockage et du traitement (UE/EEE, Royaume-Uni, Canada, Brésil, États-Unis, etc.).
Indiquer les mécanismes : clauses contractuelles types (CCN), instruments équivalents, stockage local/miroirs, DPIA si nécessaire.
Pour les flux particulièrement sensibles (KYC-biométrie) - mesures séparées et minimisation.

8) Destinataires de données (catégories)

Les fournisseurs de KYC/AML, les contrôles de sanctions et de PEP.
Fournisseurs de paiement, émetteurs, banques, passerelles de traitement.
Fournisseurs d'antifrod/risque-scoring, hébergement/cloud, CDN, messagerie/SMS.
Analyse/crash-reporting, plateformes marketing (d'accord).
Auditeurs, avocats, régulateurs et autres organes - légalement.

9) Durée de conservation (principe de minimisation)

Compte et données opérationnelles - tant que le contrat et les délais réglementaires sont en vigueur (souvent de 5 à 10 ans pour les documents finals/AML-logs).
Profils de marketing - selon les délais convenus avec le CMP et avant le retrait du consentement.
Logs de sécurité - multiple des objectifs (par exemple, 12-24 mois), sauf si la loi l'exige autrement.
Une fois les délais terminés, supprimer/anonymiser en toute sécurité.

10) Mesures de sécurité et d'organisation

Cryptage au repos et lors de la transmission, politiques réseau strictes, WAF/pare-feu.
Contrôle d'accès (RBAC/ABAC), journal, audits réguliers et tests de mousse.
Segmentation des systèmes, principe du moins de droits, gestion secrète.
Surveillance continue, règles antifrod, mise à l'essai des plans d'intervention en cas d'incident.
Évaluations des risques et DPIA pour les traitements à haut risque.

11) Droits des utilisateurs (personnes concernées)

Accès aux données, correction, suppression, limitation du traitement.
Portabilité (format machine-readable).
Objection au traitement (incluant la commercialisation).
Retrait du consentement sans détérioration des fonctions obligatoires.
Plainte adressée à l'organisme notifié (indiquer les contacts du régulateur en ce qui concerne la compétence).

12) Enfants et limites d'âge

Les services iGaming ne sont destinés qu'aux adultes selon les lois locales. Décrire les mécanismes de vérification de l'âge et la procédure de suppression des données des mineurs en cas d'enregistrement erroné.

13) Solutions automatisées et profilage

Décrire brièvement le profil de l'antifrod/risque-scoring/marketing.
Indiquer si le résultat affecte des décisions juridiquement pertinentes (gel, demande de KYC).
Prévoir le droit à un « réexamen humain » dans les affaires litigieuses.

14) Contacts et DPO

Indiquer l'adresse e-mail/formulaire de communication pour les demandes des sujets, l'adresse postale de l'entreprise. Si un DPO est attribué - nom/contacts. Délai de réponse (jusqu'à 30 jours, avec possibilité de prolongation si la loi le permet).

15) Mises à jour de la politique

Fixer la date d'entrée en vigueur et de révision.
Notifier de manière transparente les changements importants (bannière/lettre/notification interne).

16) Notes de compétence (matrice approximative)

EU/EEE (GDPR) : fondations, DPIA, DPA avec processeurs, CCN pour les transferts transfrontaliers, enregistrement des intérêts, registre des traitements.
Royaume-Uni (RGPD du Royaume-Uni) : de même, en tenant compte des autorités locales.
Brésil (LGPD) : fondement juridique, ombudsman de la LGPD, échéances locales.
Californie (CCPA/CPRA) : droit de refuser la « vente/échange » de données, « Do Not Sell or Share », catégories de données personnelles.
Canada (LPRPDE/provinces) : consentement et restriction ciblée.
Australie (Privacy Act) : APPs, divulgations transfrontalières.
Ajoutez des sections locales pour les pays où vous travaillez.

17) Chèque pratique avant publication

• Carte de données (quoi, où, pourquoi, combien de temps, qui a accès).
• Registre des traitements et DPA avec processeurs clés.
• CMP et table des cookies avec les délais et les objectifs.
• Procédure de réponse aux demandes des sujets (SLA, modèles de lettres).
• Procédure de notification des incidents (à qui, quand, comment).
• Versionage de la politique et journal du changement.

18) Modèle de politique prêt à l'emploi (copier et adapter)

Politique de confidentialité

Entrée en vigueur : [date] Version : [vX. Y]

1. Qui sommes-nous ?

[Nom complet de la société], [adresse juridique], [données d'enregistrement].

Contacts : [support @ domain], [adresse postale].

2. Applicabilité

Cette politique s'applique au (x) site (s) et aux applications : [domaines/applications] ainsi qu'aux services de support associés.

3. Données que nous traitons

Identification et contact (nom, date de naissance, e-mail, téléphone, adresse).
Comptes (login, mot de passe hash, paramètres).
Paiement/transaction (jetons de carte, historique des transactions).
Technique (IP, appareils, logs, cookie-ID).
Antifrod/AML (signaux comportementaux, résultats des inspections chez les fournisseurs).
Marketing/analytique (UTM, conversions) - sous réserve d'un consentement, si nécessaire.

4. Objectifs et fondements juridiques

Nous traitons les données pour : fournir le service, les paiements et les conclusions, KYC/AML, la sécurité et l'antifrod, le support, l'analyse, le marketing (si consenti), le respect de la loi. Motifs : exécution du contrat, obligation légale, intérêt légitime, consentement.

5. Cookies et technologies similaires

• strictement nécessaires (sessions, sécurité),
• fonctionnel (paramètres),
• analytique,
• marketing.
• La commande est accessible par [panneau de consentement/lien CMR]. Voir le tableau des cookies à l'annexe A.

6. Avec qui nous partageons les données

Catégories de bénéficiaires : Fournisseurs KYC/AML, organismes payeurs, hébergement/CDN, antifrod et analytique, support (e-mail/SMS), auditeurs, régulateurs par la loi. Transfert - sur la base de traités et de mesures de sécurité.

7. Transferts internationaux

Les données peuvent être traitées en dehors de votre pays. Nous appliquons des mécanismes juridiques (par exemple, des clauses contractuelles standard) et des mesures techniques/organisationnelles de protection.

8. Durée de conservation

Nous conservons autant que nécessaire aux fins et dans les délais prévus par la loi (par exemple, les dossiers financiers/AML - au moins [X] ans). Après l'expiration - suppression/anonymisation.

9. Sécurité

Cryptage, contrôle d'accès, surveillance, segmentation, audit, tests de mousse. Malgré les mesures prises, la sécurité absolue n'est pas garantie ; nous agissons conformément aux règles applicables en matière de notification des incidents.

10. Vos droits

Vous pouvez demander l'accès, la rectification, la suppression, la limitation, la portabilité, l'opposition et retirer votre consentement (pour le traitement sur consentement). Contacts pour les demandes : [privacy @ domain]. Vous avez également le droit de déposer une plainte auprès de [nom de l'autorité de surveillance/juridiction].

11. Solutions automatisées et profilage

Nous utilisons des systèmes automatisés pour l'antifrod et l'évaluation des risques. En cas de décision significative, vous pouvez demander une révision impliquant une personne.

12. Enfants

Le service est destiné aux personnes [18 +] ou plus âgées selon le droit local. Si un compte mineur est détecté, les données sont bloquées et supprimées.

13. Contacts DPO/responsable

[DPO Nom/poste], courriel : [dpo @ domain], adresse : [adresse].

14. Mises à jour de cette politique

Nous mettons régulièrement à jour la Politique. Les changements importants seront communiqués via le site/avis. La version actuelle est toujours disponible à l'adresse suivante : [lien].

Annexe A. Tableau des cookies (exemple)

Annexe B. Contreparties (catégories)

Fournisseurs KYC/AML : [titre/juridiction/rôle].
Processeurs de paiement/banques : [catégories].
Hébergement/cloud/CDN : [catégories].
Marketing/mailing/analytique : [catégories].
Support (tiquets/SMS/e-mail) : [catégories].

(Les noms exacts peuvent être divulgués dans le DPA/registre des traitements et les catégories dans la politique.)

Annexe C. Dopage juridictionnel. Conditions (modèle)

UE/EEE (RGPD) : droits, mécanismes de transmission, contacts de l'autorité de surveillance : [référence/titre].
Californie (CCPA/CPRA) : lien « Do Not Sell or Share My Personal Information », description des catégories et des droits des consommateurs.
Brésil (LGPD) : contact responsable, droits des titres.
Royaume-Uni : RGPD UK et ICO.
Canada/Australie : droits locaux et contacts des organismes de réglementation.

19) Conseils pour rester à jour

Une fois par trimestre, vérifiez la Politique avec le flou de données réel et la DPIA.
Lorsque vous ajoutez un nouveau fournisseur/SDK, mettez à jour le registre des traitements et le CMP.
Loger et documenter les réponses aux demandes des sujets (SLA, modèles, métriques).
Enregistrez les versions avec un bref changelog.

Comment utiliser cet article

1. Parcourez la checklist et rassemblez des faits sur vos données et vos flux.
2. Copiez le modèle et collez vos détails/délais/juridictions.
3. S'accorder avec l'avocat et le DPO, puis publier sur le site et connecter le CMP.
4. Configurez le processus d'acceptation des demandes des personnes concernées et mettez à jour la Politique lorsque des modifications sont apportées.