Passer au contenu principal

Politique de confidentialité (RGPD)

Version 1.0 — 19/05/2026

1. Responsable du traitement

Sport Cash Combi (« SCC »). Email DPO : dpo@scc.fr (à fournir avant Phase 8 lancement public — cf. NEEDS_DEPLOYMENT).

2. Données collectées

  • Identité : email, mot de passe (hash bcrypt+pepper), handle public si profil opt-in.
  • Activité pari : bets logués, tracked positions, value bets.
  • Credentials brokers : usernames/passwords chiffrés AES-256-GCM (jamais en clair).
  • Données techniques : logs IP, user agent (anonymisés après 30j).
  • Cookies : session JWT (httpOnly), thème, locale.

3. Finalités

  • Fournir les fonctionnalités du Service.
  • Sécurité (anti-fraude, audit log financier hash chain).
  • Amélioration des modèles (anonymisé).
  • Facturation (Stripe).

4. Base légale

  • Exécution du contrat (CGU).
  • Consentement explicite pour : disclaimer brokers, partage public de paris.
  • Obligation légale : audit log financier (10 ans), Form 3916/2086.

5. Durées de conservation

  • Compte actif : tant que le compte existe.
  • Audit financier : 10 ans (Code de commerce).
  • Logs techniques : 30 jours.
  • Bets : conservés anonymisés après suppression compte.

6. Vos droits

  • Accès : POST /me/gdpr/export (JSON complet de vos données).
  • Effacement : POST /me/gdpr/delete. Suppression immédiate sauf audit log légal.
  • Portabilité : export JSON utilisable ailleurs.
  • Rectification : Settings profil.
  • Opposition : désactivation profil public + désabonnement notifications.
  • Réclamation CNIL : cnil.fr.

7. Transferts hors UE

Stripe (US, certification DPF), brokers étrangers (uniquement les credentials chiffrés). Aucun transfert pour les données business.

8. Sécurité

  • Chiffrement AES-256-GCM (broker credentials, TOTP).
  • Bcrypt + pepper HMAC pour les mots de passe.
  • JWT RS256 4096 bits.
  • Audit log financier append-only hash chain SHA-256.
  • HTTPS strict + HSTS + certificate pinning mobile.

9. Cookies

SCC utilise des cookies fonctionnels uniquement (session, thème, locale). Aucun tracker tiers. Pas de bannière de consentement requise (cookies strictement nécessaires).

10. Contact

Pour toute question : dpo@scc.fr (à venir Phase 8).