Politique de confidentialité

Ystia attache une importance particulière à la protection des données personnelles et s’engage à les traiter conformément au Règlement général sur la protection des données, à la loi Informatique et Libertés et à la réglementation applicable.

1. Qui est responsable du traitement des données ?

Le responsable du traitement est :

• Nom : YSTIA
• Forme juridique : SAS
• Adresse : 1066 Chemin de Rabiac Estagnol, 06600 Antibes
• SIRET : 103195012 00010
• RCS : Antibes 103 195 012
• Contact : contact@ystia.fr

Ystia détermine les finalités et les moyens des traitements réalisés dans le cadre de l’application. Pour toute question relative à vos données personnelles ou pour exercer vos droits, vous pouvez nous contacter à l’adresse suivante : contact@ystia.fr. Vous pouvez également nous écrire à l’adresse postale indiquée ci-dessus.

2. Quelles données collectons-nous ?

Ystia collecte uniquement les données nécessaires au fonctionnement de l’application, à la sécurité du service, au support utilisateur, à l’amélioration de l’expérience et au respect de ses obligations légales.

Données de compte

Lorsque vous créez un compte, nous collectons notamment :

• votre adresse email ;
• votre mot de passe, traité sous une forme sécurisée ;
• votre pseudo ;
• votre image de profil, si vous en ajoutez une ;
• votre identifiant de compte ;
• la date de création du compte ;
• certains paramètres associés à votre compte.

Votre mot de passe n’est pas stocké en clair par Ystia.

Données de jeu et de progression

Lorsque vous utilisez l’application, nous pouvons collecter ou générer :

• les quêtes commencées, en cours ou terminées ;
• les étapes validées ;
• les réponses données aux quiz, énigmes ou défis ;
• les dates et heures de validation ;
• les XP obtenus ;
• les Ystia Coins obtenus ou utilisés ;
• les niveaux, badges, réussites et statistiques de jeu ;
• l’historique de progression associé à votre compte.

Données de géolocalisation

Certaines fonctionnalités nécessitent l’accès à la position de votre appareil, par exemple pour :

• afficher votre position sur une carte ;
• proposer des quêtes à proximité ;
• vous guider vers un lieu ;
• vérifier votre présence dans une zone précise pour valider une étape.

Ystia ne suit pas vos déplacements en continu et ne conserve pas d’historique permanent de vos positions GPS. En revanche, lorsqu’une quête ou une étape est validée, Ystia peut conserver une trace de cette validation. Cette trace peut permettre de déduire que vous avez participé à une activité située dans une zone géographique donnée à une date donnée.

Photos et contenus transmis

Certaines quêtes peuvent vous demander ou vous permettre de transmettre une photo ou un contenu. Cela peut inclure :

• une photo prise dans le cadre d’une quête ;
• votre image de profil ;
• une réponse ou un texte saisi dans l’application ;
• un message envoyé au support ;
• une capture d’écran ou une pièce jointe transmise à Ystia.

Les photos prises dans le cadre des quêtes servent principalement à réaliser, valider, suivre ou conserver le souvenir de l’expérience de jeu. Elles ne sont pas utilisées par Ystia à des fins commerciales, publicitaires ou promotionnelles externes sans votre autorisation spécifique.

Données liées aux Trésors et avantages partenaires

Lorsque vous obtenez ou utilisez un Trésor, un avantage partenaire, un QR Code, un code promotionnel ou un code alphanumérique, Ystia peut traiter notamment :

• l’avantage obtenu ;
• le partenaire concerné ;
• la date d’obtention ;
• la date d’expiration éventuelle ;
• le nombre de Ystia Coins utilisés ;
• le statut de l’avantage : actif, utilisé, expiré, annulé ou désactivé ;
• le QR Code, code ou identifiant associé ;
• les informations nécessaires à la vérification ou à l’utilisation de l’avantage.

Données techniques

Ystia peut également collecter certaines données techniques nécessaires au fonctionnement et à la sécurité de l’application, telles que :

• l’adresse IP ;
• le type d’appareil utilisé ;
• le système d’exploitation ;
• la version de l’application ;
• la langue ou certains paramètres techniques ;
• les dates et heures de connexion ;
• les journaux techniques ;
• les erreurs, bugs, diagnostics ou rapports de crash ;
• les données nécessaires à la prévention de la fraude et à la sécurité du service.

Données de support

Lorsque vous contactez Ystia, nous pouvons traiter :

• votre adresse email ;
• votre pseudo ou votre identité communiquée ;
• le contenu de votre message ;
• les pièces ou captures transmises ;
• les informations nécessaires à l’identification de votre compte ;
• l’historique des échanges.

Newsletter

Lors de la création de votre compte, vous pouvez choisir de recevoir la newsletter ou des communications d’information de Ystia. Si vous acceptez, Ystia peut utiliser votre adresse email pour vous envoyer des informations relatives à l’application, aux nouveautés, aux quêtes, aux événements, aux partenaires, aux Trésors ou aux actualités de Ystia.

Vous pouvez retirer votre consentement à tout moment, notamment depuis l’onglet Paramètres de l’application ou via un lien de désinscription lorsqu’il est proposé.

3. Pourquoi utilisons-nous vos données ?

Ystia utilise vos données pour les finalités suivantes :

• créer et gérer votre compte ;
• vous permettre d’utiliser l’application ;
• vous permettre de participer aux quêtes ;
• valider les étapes et objectifs de jeu ;
• afficher votre progression, vos XP, vos Ystia Coins, vos niveaux et vos statistiques ;
• gérer la Boutique, les Trésors et les avantages partenaires ;
• permettre aux partenaires de vérifier certains avantages lorsque cela est nécessaire ;
• assurer le support utilisateur ;
• sécuriser l’application ;
• prévenir la fraude, la triche ou les abus ;
• corriger les erreurs techniques ;
• améliorer l’application et l’expérience utilisateur ;
• produire des statistiques internes ;
• produire des rapports agrégés ou anonymisés pour des partenaires, collectivités ou clients professionnels ;
• envoyer des communications importantes liées au service ;
• envoyer la newsletter si vous y avez consenti ;
• respecter nos obligations légales ;
• gérer d’éventuels litiges.

Ystia ne vend pas les données personnelles des utilisateurs à des tiers.

4. Sur quelles bases légales reposent les traitements ?

L’exécution des CGU

C’est le cas lorsque les données sont nécessaires pour fournir le service demandé, par exemple créer et gérer votre compte, participer aux quêtes, suivre votre progression, obtenir des XP ou des Ystia Coins, accéder aux Trésors ou utiliser les avantages partenaires.

Votre consentement

C’est notamment le cas pour l’inscription à la newsletter, certaines autorisations données via votre téléphone comme la géolocalisation ou l’appareil photo, et certaines fonctionnalités facultatives lorsque votre accord est demandé.

Vous pouvez retirer votre consentement à tout moment. Certaines fonctionnalités peuvent toutefois devenir indisponibles si les données ou autorisations concernées sont nécessaires à leur fonctionnement.

L’intérêt légitime de Ystia

Ystia peut traiter certaines données pour assurer la sécurité de l’application, la prévention de la fraude, la détection d’anomalies, l’amélioration du service, la production de statistiques internes ou la défense de ses droits.

Le respect d’une obligation légale

Certaines données peuvent être conservées ou communiquées lorsque la loi l’exige, notamment en cas de demande d’une autorité compétente ou de nécessité de conserver une preuve.

5. Géolocalisation

La géolocalisation est utilisée uniquement lorsque cela est nécessaire au fonctionnement de certaines fonctionnalités. Elle peut servir à afficher votre position sur une carte, proposer des quêtes proches de vous, vous orienter vers un lieu ou vérifier que vous êtes bien dans une zone donnée pour valider une étape.

Vous pouvez désactiver la géolocalisation depuis les paramètres de votre appareil. Dans ce cas, certaines fonctionnalités peuvent être limitées ou indisponibles.

Sauf fonctionnalité spécifique clairement indiquée, Ystia n’utilise pas la géolocalisation en arrière-plan. Ystia ne conserve pas d’historique continu de vos positions GPS. Toutefois, les validations de quêtes ou d’étapes peuvent être conservées afin de suivre votre progression, attribuer les récompenses, sécuriser le service et prévenir la fraude.

6. Photos et contenus utilisateur

Les photos ou contenus que vous transmettez dans l’application sont utilisés uniquement pour les besoins du service : profil, quêtes, validations, support, sécurité, modération ou prévention de la fraude.

Vous êtes responsable des photos et contenus que vous transmettez. Vous devez notamment vous assurer de ne pas porter atteinte à la vie privée d’une personne, au droit à l’image, aux droits d’auteur, aux marques ou aux droits d’un tiers.

Ystia peut supprimer ou masquer un contenu manifestement illicite, inapproprié, frauduleux, dangereux ou contraire aux CGU. Ystia ne réutilise pas vos photos à des fins commerciales, publicitaires ou promotionnelles externes sans votre autorisation spécifique.

7. Données visibles par d’autres utilisateurs

Certaines informations peuvent être visibles par d’autres utilisateurs dans le cadre des fonctionnalités de profil, classement, statistiques ou progression.

Cela peut notamment inclure :

• votre pseudo ;
• votre image de profil ;
• votre niveau ;
• vos XP ;
• certains badges ou réussites ;
• certaines statistiques de jeu ;
• votre position dans un classement, lorsque cette fonctionnalité existe.

Votre adresse email, votre mot de passe, vos QR Codes personnels, vos codes promotionnels, vos demandes de support et vos données techniques ne sont pas visibles par les autres utilisateurs. Il vous appartient de choisir un pseudo et une image de profil que vous acceptez de rendre visibles dans l’application.

8. Partenaires et avantages

Certains Trésors ou avantages peuvent être proposés par des partenaires locaux. Lorsque vous présentez un QR Code ou utilisez un avantage partenaire, le partenaire concerné peut accéder uniquement aux informations nécessaires à la vérification ou à l’application de l’avantage.

Cela peut notamment inclure :

• le statut de l’avantage ;
• sa date d’expiration ;
• son état d’utilisation ;
• le QR Code, code ou identifiant de vérification ;
• les informations nécessaires à l’application de l’offre.

Ystia ne communique pas aux partenaires les données qui ne sont pas nécessaires à l’exécution de l’avantage. Si vous quittez l’application pour utiliser un site, une billetterie, une plateforme de réservation, un service de paiement ou tout autre service externe d’un partenaire, les données que vous transmettez sur ce service sont traitées par ce partenaire ou ce service tiers, selon sa propre politique de confidentialité.

9. Statistiques et reporting

Ystia peut produire des statistiques sur l’utilisation de l’application, par exemple :

• nombre de quêtes lancées ou terminées ;
• nombre d’étapes validées ;
• nombre de Trésors obtenus ou utilisés ;
• fréquentation d’une quête ou d’un territoire ;
• performance globale d’une campagne ou d’un partenariat.

Ces statistiques peuvent être utilisées par Ystia ou communiquées à des partenaires, collectivités, offices de tourisme, territoires ou clients professionnels. Sauf nécessité particulière liée à l’exécution d’un avantage, au support, à la sécurité ou à un litige, ces statistiques sont fournies sous une forme agrégée ou anonymisée, afin de ne pas identifier directement les utilisateurs.

10. Qui peut accéder aux données ?

Les données personnelles sont destinées en priorité à Ystia. Elles peuvent être accessibles, selon les besoins, aux personnes autorisées au sein de Ystia pour gérer l’application, assurer le support, traiter les réclamations, gérer les Trésors et avantages partenaires, assurer la sécurité, détecter la fraude, produire des statistiques et répondre aux demandes liées aux données personnelles.

Ystia peut également faire appel à des prestataires techniques, notamment pour :

• l’authentification ;
• l’hébergement ;
• la base de données ;
• le stockage de fichiers ;
• la cartographie ;
• les notifications ;
• l’analyse technique ;
• le diagnostic d’erreurs ;
• le reporting ;
• le support ;
• la sécurité.

Ces prestataires traitent les données uniquement pour le compte de Ystia, selon ses instructions, lorsqu’ils agissent comme sous-traitants.

Les principaux services utilisés ou susceptibles d’être utilisés par Ystia sont notamment :

• Firebase / Google Cloud : authentification, base de données, hébergement, stockage, sécurité, analyse technique ;
• Mapbox : affichage des cartes et éléments géographiques ;
• Google Maps ou services équivalents : ouverture d’itinéraires ou de liens externes de trajet ;
• BigQuery et Looker Studio : statistiques, tableaux de bord, reporting interne ou agrégé ;
• Apple App Store et Google Play : téléchargement, installation et mise à jour de l’application.

Lorsque vous utilisez directement un service tiers, ce service peut traiter vos données selon ses propres conditions et sa propre politique de confidentialité.

11. Transferts hors Union européenne

Les données sont, dans la mesure du possible, traitées et hébergées au sein de l’Union européenne ou de l’Espace économique européen. Cependant, certains prestataires techniques ou services tiers utilisés par Ystia peuvent être situés en dehors de l’Union européenne ou impliquer des transferts de données vers des pays tiers.

Lorsque cela se produit, Ystia veille à ce que ces transferts soient encadrés conformément à la réglementation applicable, notamment par une décision d’adéquation de la Commission européenne, des clauses contractuelles types, des garanties contractuelles, techniques ou organisationnelles appropriées, ou tout autre mécanisme prévu par la réglementation applicable.

Lorsque vous utilisez directement un service tiers, les éventuels transferts réalisés par ce service relèvent de sa propre politique de confidentialité.

12. Combien de temps conservons-nous les données ?

Ystia conserve les données uniquement pendant la durée nécessaire aux finalités pour lesquelles elles ont été collectées.

Données de compte

Les données de compte sont conservées tant que le compte existe. En cas de suppression du compte, elles sont supprimées ou anonymisées dans un délai maximum de 30 jours, sauf si une conservation temporaire est nécessaire pour des raisons de sécurité, de preuve, de fraude, de réclamation ou d’obligation légale. Dans ce cas, les données strictement nécessaires peuvent être conservées jusqu’à 2 ans.

Données de progression et de validation

Les données de progression, XP, Ystia Coins, quêtes et validations sont conservées pendant toute la durée d’existence du compte. En cas de suppression du compte, elles sont supprimées ou anonymisées dans un délai maximum de 30 jours, sauf besoin temporaire de preuve, sécurité, fraude ou litige. Les données anonymisées ou agrégées peuvent être conservées à des fins statistiques.

Données de géolocalisation

Ystia ne conserve pas d’historique continu de vos positions GPS. Les données utilisées ponctuellement pour afficher une carte ou valider une étape ne sont conservées que le temps nécessaire au fonctionnement de la fonctionnalité. Les traces de validation sont conservées avec les données de progression.

Photos et contenus

L’image de profil est conservée tant que le compte existe, sauf suppression ou modification par l’utilisateur. Les photos et contenus liés aux quêtes sont conservés tant que le compte existe, sauf suppression, demande d’effacement acceptée, obligation de retrait ou suppression du compte.

En cas de suppression du compte, ces contenus sont supprimés ou anonymisés dans un délai maximum de 30 jours, sauf nécessité de sécurité, modération, fraude, obligation légale ou litige. Les sauvegardes techniques peuvent subsister jusqu’à 90 jours.

Trésors et avantages partenaires

Les données liées aux Trésors, QR Codes, codes promotionnels et avantages partenaires sont conservées pendant la durée nécessaire à leur gestion, utilisation, expiration, support et preuve. Après utilisation ou expiration, les données strictement nécessaires peuvent être conservées jusqu’à 2 ans.

Données techniques

Les logs, journaux techniques, données de diagnostic, sécurité ou erreurs sont conservés au maximum 12 mois. En cas d’incident, fraude, abus ou litige, certaines données peuvent être conservées jusqu’à 2 ans après la clôture du dossier.

Support et demandes RGPD

Les données liées au support ou aux réclamations sont conservées le temps de traiter la demande. Les éléments nécessaires à la preuve du traitement peuvent être conservés jusqu’à 2 ans. Pour les demandes relatives aux droits RGPD, une preuve limitée peut être conservée jusqu’à 3 ans.

Newsletter

Les données liées à la newsletter sont conservées tant que vous ne retirez pas votre consentement. Après désinscription, Ystia cesse l’envoi des communications dans un délai maximum de 30 jours. Une preuve limitée du consentement ou du retrait peut être conservée jusqu’à 3 ans.

13. Site internet et cookies

Le site internet de Ystia a principalement vocation à présenter l’application, le projet, les informations utiles aux utilisateurs, partenaires et clients professionnels.

À ce stade, Ystia ne prévoit pas de déposer de cookies publicitaires, de cookies de mesure d’audience, de traceurs marketing ou de dispositifs de suivi comportemental sur son site internet.

Si Ystia devait utiliser ultérieurement des cookies ou traceurs soumis à information ou consentement, la présente Politique de confidentialité serait mise à jour.

14. Sécurité des données

Ystia met en œuvre des mesures techniques et organisationnelles destinées à protéger les données personnelles contre la perte, l’accès non autorisé, la divulgation, la modification, l’altération ou l’utilisation abusive.

Ces mesures peuvent notamment inclure :

• une authentification sécurisée ;
• le traitement sécurisé des mots de passe ;
• des accès limités aux données ;
• des règles de contrôle des accès ;
• des sauvegardes ;
• des mesures de détection d’anomalies ;
• des mesures de prévention de la fraude ;
• le recours à des prestataires présentant des garanties de sécurité.

L’utilisateur est également responsable de la sécurité de son compte. Il doit choisir un mot de passe suffisamment robuste, ne pas le communiquer à des tiers, protéger l’accès à son appareil et signaler rapidement toute utilisation suspecte.

Aucun système informatique ne peut être garanti comme totalement sécurisé. En cas d’incident affectant des données personnelles, Ystia prendra les mesures nécessaires et informera les personnes concernées ou l’autorité compétente lorsque la réglementation l’exige.

15. Vos droits

Conformément à la réglementation applicable, vous disposez de droits sur vos données personnelles. Vous pouvez demander :

• l’accès à vos données ;
• la rectification de données inexactes ;
• l’effacement de vos données ;
• la limitation d’un traitement ;
• l’opposition à certains traitements ;
• la portabilité de certaines données ;
• le retrait de votre consentement lorsque le traitement repose sur celui-ci ;
• la définition de directives relatives au sort de vos données après votre décès.

Pour exercer vos droits, vous pouvez contacter Ystia à l’adresse suivante : contact@ystia.fr.

Afin de traiter votre demande, Ystia pourra vous demander certaines informations permettant de vérifier votre identité et d’identifier le compte concerné. Ystia répondra dans un délai maximum d’un mois à compter de la réception de la demande complète. Ce délai peut être prolongé de deux mois supplémentaires en cas de demande complexe ou de nombre important de demandes.

Certains droits peuvent être limités lorsque la conservation de certaines données est nécessaire pour respecter une obligation légale, assurer la sécurité du service, prévenir la fraude, traiter une réclamation, conserver une preuve ou défendre les droits de Ystia.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL.

16. Mineurs

L’application Ystia est accessible aux utilisateurs âgés d’au moins treize ans, dans les conditions prévues par les CGU.

Les utilisateurs mineurs sont invités à utiliser l’application avec l’accord et sous la supervision de leurs représentants légaux, en particulier lorsqu’ils participent à des quêtes en extérieur, utilisent la géolocalisation, prennent ou transmettent des photos, accèdent à des fonctionnalités communautaires ou obtiennent des Trésors.

Lorsque le traitement repose sur le consentement et concerne un mineur de moins de quinze ans, le consentement doit être donné conjointement par le mineur concerné et par le ou les titulaires de l’autorité parentale, lorsque la réglementation l’exige.

Les représentants légaux peuvent contacter Ystia pour exercer les droits relatifs aux données personnelles du mineur concerné. Si Ystia constate qu’un compte a été créé par un utilisateur ne respectant pas les conditions d’âge ou sans autorisation requise, Ystia peut restreindre, suspendre ou supprimer le compte concerné.

17. Modification de la Politique de confidentialité

Ystia peut modifier la présente Politique de confidentialité afin de tenir compte de l’évolution de l’application, des fonctionnalités, des outils utilisés, des partenaires, des prestataires ou de la réglementation applicable.

En cas de modification importante, Ystia pourra informer les utilisateurs par tout moyen approprié, notamment par affichage dans l’application, notification, email, message lors de la connexion ou publication sur le site internet.

Lorsque la modification nécessite un nouveau consentement, Ystia pourra demander à l’utilisateur de confirmer ou mettre à jour ses choix. La version applicable est celle en vigueur au moment de l’utilisation de l’application.