Riser — Politique de confidentialité

Riser est une plateforme de pools de hockey : un site Web et une application mobile qui vous permettent de créer un pool entre amis, de repêcher des joueurs de la LNH et de suivre le classement tout au long de la saison. La présente politique explique, en langage clair, quels renseignements personnels nous recueillons, pourquoi, où ils circulent et comment vous pouvez les supprimer.

Responsable de la protection des renseignements personnels : William Paquin-Brien — support@riserpool.com.

1. Ce que nous recueillons

À la création de votre compte :

• Votre adresse courriel et un mot de passe (le mot de passe est traité par notre fournisseur d'authentification, Supabase, et ne nous est jamais visible en clair).
• Un nom d'affichage que vous choisissez. À défaut, nous utilisons la partie de votre courriel qui précède le « @ ».
• Si vous vous inscrivez ou vous connectez avec Google (offert sur le Web), Google nous transmet votre nom et votre adresse courriel. Nous ne recevons ni votre mot de passe Google ni vos contacts.

Pendant votre utilisation de Riser :

• Une photo de profil (avatar) facultative, si vous choisissez d'en téléverser une depuis la photothèque de votre appareil.
• Votre préférence linguistique (français ou anglais) et vos préférences de notification (les courriels et notifications poussées que vous souhaitez recevoir).
• Votre activité de pool : nom d'équipe, alignements, choix au repêchage, échanges, réclamations au ballottage, mouvements de formation et classements. C'est la substance même du jeu, et elle est visible pour les autres membres de vos pools.
• Vos messages : messages de clavardage de pool et messages directs aux autres membres.

Si vous activez les notifications poussées (mobile) :

• Un jeton de notification poussée émis par Expo (notre service de livraison de notifications), ainsi que la plateforme de l'appareil (iOS ou Android) et le nom de l'appareil. Nous ne demandons cette permission que depuis l'écran des réglages de notification ou lors d'une invitation unique après votre premier pool, et le jeton d'un appareil est supprimé lorsque vous vous y déconnectez.

Automatiquement, pour la fiabilité du service :

• Rapports d'erreur. En cas de défaillance, notre service de surveillance des erreurs (Sentry) reçoit un rapport technique. Celui-ci peut comprendre l'identifiant interne de votre compte (un identifiant aléatoire, pas votre courriel), le pool concerné et — sur le site Web — une reconstitution de ce que l'écran affichait au moment de l'erreur. Nous ne transmettons pas votre adresse courriel à Sentry.
• Journaux d'hébergement. Nos hébergeurs (Vercel et Supabase) conservent des journaux techniques standards (comme l'adresse IP et l'heure des requêtes) pour exploiter et sécuriser le service.

Ce que nous ne recueillons pas : date de naissance, adresse résidentielle, numéro de téléphone, ni aucun renseignement de paiement. Riser ne manipule aucun argent (voir les Conditions d'utilisation). Nous n'utilisons aucun traceur publicitaire.

2. Les fins d'utilisation

• Faire fonctionner le service : comptes, pools, repêchages, pointage, classements, clavardage.
• Vous envoyer les notifications auxquelles vous avez consenti (courriel ou poussées).
• Vous répondre lorsque vous joignez le soutien.
• Repérer et corriger les bogues (rapports d'erreur).
• Assurer la sécurité du service.

Nous ne vendons ni ne louons vos renseignements personnels. Nous ne les utilisons pas à des fins publicitaires.

3. Analytique

L'application mobile et le site Web de Riser utilisent PostHog, un service d'analytique de produit, pour comprendre l'utilisation de Riser : combien de personnes s'inscrivent et reviennent, sur quels écrans elles passent du temps, quelles fonctions elles utilisent, et où des parcours comme la création de pool perdent les gens. Nous nous en servons pour décider quoi améliorer. Nous ne l'utilisons pas à des fins publicitaires et nous ne vendons ni ne partageons ces données.

Écrans. L'application enregistre les écrans que vous visitez et le temps passé sur chacun. Les écrans sont enregistrés par leur type générique — « l'écran d'alignement », « un écran de conversation de messages directs » — jamais par un identifiant de contenu : la trace d'une visite à un écran de conversation ne contient aucune conversation, aucun participant et aucune information de message, d'aucune sorte. Le site Web enregistre les pages consultées de la même façon, par la forme générique de l'adresse de la page (« la page d'alignement d'un pool », « une page de conversation de messages directs ») : les identifiants, les codes d'invitation et tout ce qui suit le « ? » d'une adresse sont retirés dans votre navigateur avant tout envoi.

Utilisation des fonctions. L'application enregistre une liste fixe d'interactions — par exemple : changer d'onglet, créer ou joindre un pool (avec ses choix de réglages seulement — jamais son nom), consulter les étapes de l'assistant de création de pool (y compris l'étape d'abandon), entrer dans la salle de repêchage, ajouter un joueur à une file de repêchage, faire un choix, ouvrir le tableau de repêchage, proposer et compléter des échanges, participer aux fenêtres de réclamation, consulter les pages face-à-face, modifier les réglages de l'application (quel réglage, comme la langue ou une notification), et l'issue de la demande de permission de notifications du système. La liste complète est fixée dans le code; rien hors de cette liste n'est capturé.

Messagerie — ce que nous n'enregistrons délibérément pas. Nous enregistrons que les fonctions de messagerie sont utilisées — clavardage ouvert, écran de message direct ouvert, message envoyé, et depuis quelle partie de l'application — et jamais le contenu des messages, leur longueur, vos interlocuteurs ni la conversation concernée. Il n'existe aucun « enregistrement de touchers » généralisé dans l'application : chaque interaction enregistrée est codée individuellement et explicitement, et aucun événement enregistré ne peut porter du texte écrit par vous ou d'autres membres (noms, messages, recherches).

Chaque événement porte l'identifiant interne de votre compte (le même identifiant aléatoire que dans nos rapports d'erreur — jamais votre courriel ni votre nom; sur le site Web, les pages consultées alors que vous êtes déconnecté ne portent qu'un identifiant de navigateur aléatoire), l'identifiant interne du pool pour les événements liés à un pool, un horodatage, et le contexte technique de base ajouté par la bibliothèque d'analytique (version de l'application, plateforme et système d'exploitation de l'appareil, langue; sur le site Web, type de navigateur et taille d'écran).

Ce que nous n'envoyons jamais à l'analytique : votre courriel, votre nom d'affichage, les noms de pools, les noms d'équipes, le clavardage et les messages directs (contenu, longueur ou participants), les recherches de joueurs — et aucun enregistrement d'écran ni relecture de session, d'aucune sorte.

Où vont ces données. PostHog traite ces données aux États-Unis (US Cloud) — la même juridiction que notre hébergeur de base de données (voir §4).

Durée de conservation. Selon les conditions actuelles de PostHog, les données d'événements de notre forfait sont garanties conservées un an; les données plus anciennes peuvent être supprimées ou déplacées vers un stockage plus lent par PostHog. Si un changement de forfait modifie la conservation, nous mettrons la présente section à jour.

Votre choix. L'analytique est désactivée par défaut et ne fonctionne que si vous l'activez dans les Réglages (« Aider à améliorer Riser »), séparément dans l'application mobile et sur le site Web (le site Web mémorise votre choix dans votre navigateur; l'application, sur votre appareil). Rien n'est recueilli tant que vous ne l'avez pas activée, et sur le site Web la bibliothèque d'analytique PostHog n'est même pas téléchargée avant que vous le fassiez. Vous pouvez changer d'avis en tout temps au même endroit; la désactivation arrête immédiatement la collecte. Pour faire supprimer les données d'analytique déjà recueillies pour votre compte, écrivez à support@riserpool.com (voir §8, Vos droits).

4. Où vos renseignements sont conservés

Vos données de compte et de pool sont conservées chez Supabase, notre fournisseur de base de données et d'authentification, aux États-Unis (AWS us-east-1, Virginie du Nord). Nos autres fournisseurs (ci-dessous) traitent aussi des données sur des serveurs pouvant être situés hors du Québec et hors du Canada.

5. Avec qui nous les partageons

Nous ne partageons des renseignements personnels qu'avec les fournisseurs de services (sous-traitants) qui font fonctionner Riser :

Ces fournisseurs ne traitent les renseignements personnels que pour nous fournir leur service, et nous exigeons que chacun d'eux les protège avec un niveau de protection identique ou équivalent à celui décrit dans la présente politique.

Nous récupérons aussi des données publiques sur les joueurs de la LNH (noms, statistiques, données salariales, photos) auprès de l'API publique de la LNH et de CapWages. Aucun renseignement personnel vous concernant n'est transmis à ces sources.

Les autres membres de vos pools peuvent voir votre nom d'affichage, votre avatar, votre nom d'équipe, vos alignements, vos transactions et les messages que vous publiez. C'est la nature même d'un pool. Choisissez votre nom d'affichage et votre avatar en conséquence.

Note sur les images d'avatar : les fichiers d'avatar sont conservés dans un espace de stockage à adressage public — quiconque détient le lien exact de l'image peut la consulter sans se connecter.

Nous ne communiquerions des renseignements personnels aux autorités que si la loi l'exige.

6. Durée de conservation

• Les messages de clavardage et les messages directs sont supprimés automatiquement et définitivement après 30 jours, sous réserve des exceptions ci-dessous. Une tâche planifiée s'exécute quotidiennement et retire les messages de plus de 30 jours.
• Exception — comptes de démonstration et d'évaluation : un petit nombre de pools et de comptes que nous exploitons nous-mêmes à des fins de démonstration du produit et d'évaluation par les boutiques d'applications sont exemptés de la purge de 30 jours afin que leurs conversations d'exemple demeurent lisibles; les messages de ces pools (y compris tout message qu'un évaluateur y saisirait) peuvent être conservés au-delà du délai de 30 jours.
• Exception — contenu signalé : lorsqu'un message — ou un nom d'affichage, un nom d'équipe ou un nom de pool — est signalé aux fins de modération, une copie (instantané) du contenu signalé est conservée dans nos dossiers de modération afin d'examiner le signalement et de faire respecter nos règles; ces instantanés sont conservés au-delà du délai de 30 jours, demeurent même si le nom signalé est modifié par la suite, et subsistent après la suppression du compte signalé. Nous conservons ces instantanés sur le fondement de notre intérêt légitime à modérer le service et à assurer la sécurité de ses membres, et seulement aussi longtemps que nécessaire pour examiner et traiter le signalement et faire respecter nos règles; un instantané qui n'est plus nécessaire à cette fin est supprimé.
• Tout le reste (compte, historique des pools, alignements, classements) est conservé tant que votre compte existe, parce que l'historique d'un pool est le produit lui-même.
• Les jetons de notification expirés sont retirés automatiquement; le jeton d'un appareil est supprimé lorsque vous vous y déconnectez.

7. Supprimer votre compte

Vous pouvez supprimer votre compte vous-même, dans l'application, sur les deux plateformes :

• Web : Réglages → zone de danger → Supprimer le compte.
• Mobile : Plus → Réglages → Supprimer le compte.

Ce que la suppression fait réellement (nous le décrivons avec précision, car vos équipes ne disparaissent pas purement et simplement) :

• Votre profil, votre nom d'affichage, le lien vers votre avatar, vos préférences de notification, vos messages de clavardage, vos messages directs (y compris la copie de vos conversations chez l'autre personne), vos notifications et vos sessions de connexion sont supprimés définitivement, à une exception près : les instantanés de modération du contenu ayant fait l'objet d'un signalement, décrits ci-dessous. Votre accès lui-même est détruit.
• Vos équipes demeurent dans leurs pools à titre d'équipes sans nom, non réclamées. L'historique de jeu de l'équipe (alignements, choix au repêchage, échanges, classements) subsiste, car il appartient au dossier commun du pool — mais le nom d'équipe que vous lui aviez donné est retiré lors de la suppression (l'équipe apparaît comme une équipe sans nom jusqu'à ce que quelqu'un la renomme), elle n'est plus rattachée à vous, et rien de ce qui reste ne permet de vous identifier. Le commissaire du pool pourra plus tard confier l'équipe à une nouvelle personne.
• Un petit nombre de traces de vérification sont conservées sous forme anonymisée (par exemple, « cet échange a été examiné », sans indiquer par qui), pour l'intégrité de l'historique des pools.
• Si l'un de vos contenus a été signalé aux fins de modération — un message, ou un nom d'affichage, un nom d'équipe ou un nom de pool — l'instantané de ce contenu signalé conservé dans nos dossiers de modération demeure après la suppression de votre compte, afin que le signalement puisse encore être examiné et traité. Un tel instantané peut donc préserver un nom d'affichage, un nom d'équipe ou un nom de pool que vous utilisiez au moment du signalement, même après la suppression du reste de votre profil. Ces instantanés sont conservés sur le fondement juridique et pour la durée limitée décrits au §6 (modération et sécurité des membres, seulement aussi longtemps que nécessaire).
• Analytique (si vous y aviez consenti) : les événements d'utilisation encore en file d'attente sur votre appareil sont jetés — jamais transmis — lors de la suppression, et l'identifiant du compte supprimé est détaché de votre appareil. Les événements d'utilisation déjà recueillis par notre fournisseur d'analytique ne sont identifiés que par l'identifiant interne aléatoire de votre compte (jamais votre courriel ni votre nom; voir §3) et ne sont pas effacés automatiquement par la suppression du compte; pour les faire supprimer, écrivez à support@riserpool.com et nous les supprimerons.
• Si vous êtes hôte (commissaire) d'un pool, vous devez d'abord supprimer chaque pool que vous hébergez (depuis la page Commissaire de ce pool); l'application bloquera la suppression du compte et vous l'indiquera. Il n'existe actuellement aucun moyen de transférer un pool à un autre hôte.
• Les fichiers d'images d'avatar téléversés sont supprimés du stockage par la routine de suppression.

La suppression est immédiate et irréversible.

8. Vos droits

Vous pouvez nous demander, à support@riserpool.com :

• l'accès aux renseignements personnels que nous détenons à votre sujet;
• leur rectification s'ils sont inexacts ou incomplets;
• leur suppression (ou utiliser la suppression dans l'application, décrite ci-dessus);
• le retrait de votre consentement aux traitements facultatifs (par exemple, désactiver les courriels ou les notifications poussées — vous pouvez aussi le faire directement dans vos réglages);
• la remise d'une copie des renseignements personnels informatisés que vous nous avez fournis, dans un format technologique structuré et couramment utilisé (droit à la portabilité).

Nous répondrons dans un délai de 30 jours.

Si notre réponse ne vous satisfait pas, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI).

9. Témoins (cookies) et stockage local

• Site Web : nous n'utilisons que les témoins nécessaires au maintien de votre session (témoins d'authentification de Supabase), votre choix de langue et, une fois que vous avez utilisé l'interrupteur « Aider à améliorer Riser » dans les Réglages, deux petits témoins qui mémorisent ce choix et le moment où vous l'avez fait (ils ne contiennent que « accordé » ou « refusé » et un horodatage; l'horodatage permet au site d'appliquer votre choix le plus récent de façon cohérente si vous le modifiez dans plusieurs onglets ouverts). Aucun témoin publicitaire ni analytique : la bibliothèque d'analytique fonctionne sans témoin, et seulement si vous avez activé l'analytique; elle conserve un identifiant aléatoire et ses propres réglages dans le stockage local de votre navigateur, et cet identifiant est réinitialisé lorsque vous désactivez l'analytique. Votre navigateur conserve aussi localement quelques préférences d'interface (comme un affichage masqué); elles ne quittent jamais votre appareil.
• Application mobile : l'application conserve sur votre appareil votre session de connexion, votre choix de langue, le pool sélectionné et quelques préférences d'interface.

10. Sécurité

Les données en transit sont chiffrées (HTTPS). L'accès aux données de la base est restreint par des règles d'autorisation par utilisateur appliquées par la base de données elle-même (sécurité au niveau des rangées). Aucun système n'est parfaitement sûr; si un incident de confidentialité touchant vos renseignements personnels survenait, nous vous aviserions, ainsi que la CAI, comme la loi l'exige.

11. Enfants

Riser ne s'adresse pas aux enfants.

12. Modifications de la présente politique

Si nous modifions la présente politique, nous publierons la nouvelle version à cette adresse avec une nouvelle date de mise à jour et, pour les changements importants, nous vous aviserons dans l'application ou par courriel.

13. Nous joindre

Questions, demandes, plaintes : support@riserpool.com — à l'attention du responsable de la protection des renseignements personnels (William Paquin-Brien).