Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est Ruby Rise Ltd, société immatriculée au Companies House du Royaume-Uni. Pour toute question relative à vos données : privacy@coteiq.com.

2. Données collectées

Nous collectons uniquement les données nécessaires au fonctionnement du Service :

• Données de compte : email, mot de passe (hashé bcrypt), date d'inscription, juridiction (FR/BE/UK/EU/autre).
• Préférences : devise, langue, ligues favorites, opt-in notifications.
• Bankroll & paris suivis : capital, mises enregistrées, résultats — utilisés uniquement pour vos statistiques personnelles, jamais partagés.
• Données techniques : adresse IP (pour rate-limiting + détection abus), user-agent, logs de connexion (90 jours max).
• Données de paiement : gérées entièrement par Stripe (PCI-DSS Level 1). Nous ne stockons jamais votre numéro de carte.

3. Finalités du traitement

Vos données sont traitées exclusivement pour :

• Fournir l'accès au Service et personnaliser votre expérience.
• Calculer vos statistiques de bankroll, ROI, drawdown, etc.
• Détecter les patterns à risque (jeu responsable) et déclencher les garde-fous.
• Facturer votre abonnement via Stripe.
• Vous envoyer des emails transactionnels (confirmation, factures, alertes EV+ si opt-in).
• Améliorer le Service (analytics anonymisés agrégés).

4. Base légale

Le traitement de vos données repose sur :

• Exécution du contrat : pour fournir le Service souscrit.
• Consentement : pour les emails marketing (opt-in explicite).
• Intérêt légitime : pour la sécurité du Service, prévention des fraudes, détection patterns à risque (protection user).
• Obligation légale : conservation des factures (obligation comptable UK/EU).

5. Sous-traitants & transferts

Nous utilisons les sous-traitants suivants, tous hébergés en EU/UK :

• Vercel Inc. (US/EU) — hébergement web. Régions : Frankfurt (eu-central-1).
• Supabase Inc. (US/EU) — base de données + auth. Région : Frankfurt.
• Upstash Inc. (US/EU) — cache Redis. Région : Frankfurt.
• Stripe Inc. (US/EU) — paiements. PCI-DSS Level 1.
• Anthropic PBC (US) — modèle IA Claude pour explanations contextuelles. Données envoyées : aucun PII (probabilités calculées + xG anonymisés uniquement).

Tous les transferts hors UE sont encadrés par les Clauses Contractuelles Types (Standard Contractual Clauses) approuvées par la Commission Européenne, ou par l'adhésion au Data Privacy Framework UE-États-Unis pour les sous-traitants américains certifiés.

6. Durée de conservation

• Données de compte : tant que votre compte est actif. 30 jours après suppression du compte.
• Logs techniques (IP, user-agent) : 90 jours.
• Logs de paris (bankroll_entries) : 3 ans après résiliation, anonymisés (obligation comptable).
• Factures Stripe : 10 ans (obligation légale UK).
• Cookies fonctionnels : 1 an maximum.

7. Vos droits RGPD

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de toutes vos données.
• Droit de rectification : corriger les données inexactes.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de votre compte et données.
• Droit à la portabilité : récupérer vos données dans un format machine-readable (JSON).
• Droit d'opposition : refuser le traitement marketing.
• Droit à la limitation : suspendre temporairement le traitement.

Pour exercer ces droits : privacy@coteiq.com. Réponse sous 30 jours maximum. En cas de désaccord, vous pouvez saisir l'autorité de contrôle de votre pays (CNIL en France, APD en Belgique, ICO au Royaume-Uni).

8. Sécurité

Vos données sont protégées par :

• Chiffrement TLS 1.3 en transit, AES-256 au repos.
• Mots de passe hashés (jamais stockés en clair).
• Row Level Security (RLS) PostgreSQL : chaque utilisateur ne peut accéder qu'à ses propres données.
• Audits de sécurité réguliers + monitoring 24/7.
• Accès employés strictement limité au principe du moindre privilège.

9. Mineurs

Le Service est strictement réservé aux personnes majeures. Aucune donnée de mineur n'est sciemment collectée. Si vous découvrez qu'un mineur a créé un compte, contactez immédiatement privacy@coteiq.com — le compte sera supprimé sous 24h.

10. Modifications

Cette politique peut être mise à jour. La date de dernière mise à jour est indiquée en haut. Toute modification substantielle vous sera notifiée par email avec au moins 30 jours de préavis.