Politique de confidentialité

NextCoaster est éditée par l'entité identifiée dans nos mentions légales, responsable du traitement de vos données personnelles au sens du RGPD.

• Compte : adresse email, nom, mot de passe (stocké uniquement sous forme hachée, jamais en clair). Si vous utilisez « Continuer avec Google », Google nous transmet votre nom et votre adresse email vérifiée ; nous ne recevons jamais votre mot de passe Google.
• Profil : avatar, bio, préférences (parc favori, type de visiteur choisi à l'inscription, archétype issu du quiz).
• Progression : crédits, XP (avec l'historique des gains, pour le résumé de journée), niveau, badges, attractions faites, temps d'attente cumulé, parties jouées.
• Localisation : avec votre autorisation, votre position sert à détecter les parcs à proximité, calculer des itinéraires à pied et, si vous l'activez, à signaler automatiquement votre présence dans un parc pour les fonctionnalités de fréquentation en temps réel. Vous pouvez désactiver le partage de position à tout moment dans les réglages de l'application.
• Interactions sociales : demandes d'amis, messages privés et de groupe, publications et photos que vous partagez dans l'application.
• Contributions à la communauté : temps d'attente mesurés avec le chronomètre (versés anonymement dans l'attente communautaire) et signalements de problèmes sur une attraction (panne, fermeture météo…). Pour un signalement, votre position est utilisée au moment de l'envoi afin de vérifier que vous êtes bien dans le parc. Les autres visiteurs ne voient que des informations agrégées (attente moyenne, nombre de signalements), jamais votre identité.
• Notifications : jeton push de votre appareil, si vous activez les notifications (ex. alertes de temps d'attente).
• Données techniques : adresse IP et journaux serveur, conservés une durée limitée à des fins de sécurité (détection d'abus, débogage).
• Rapports de plantage : lorsqu'une erreur survient dans l'application ou sur nos serveurs, un rapport technique est envoyé à notre outil de suivi des erreurs (écran ou requête concernés, modèle d'appareil, version du système et de l'application). Il n'est rattaché à votre compte que par un identifiant interne : ni nom, ni adresse email, ni adresse IP.

NextCoaster n'intègre aucun SDK publicitaire ni de mesure d'audience (pas de Google Analytics, Meta, ou équivalent) : les statistiques d'usage restent internes et servent uniquement à faire fonctionner les fonctionnalités de l'application (classements, fréquentation, défis). Le seul outil tiers intégré à l'application est le suivi des plantages décrit ci-dessus, utilisé uniquement pour corriger les erreurs.

• Créer et sécuriser votre compte, vous authentifier.
• Fournir les fonctionnalités principales : temps d'attente en direct, optimisation de parcours, mini-jeux, défis, classements.
• Permettre les interactions sociales que vous initiez (amis, messages, publications).
• Vous envoyer les emails nécessaires au service (vérification, réinitialisation de mot de passe, notifications de sécurité).
• Assurer la sécurité du service (limitation des tentatives de connexion, détection d'abus).
• Détecter et corriger les erreurs et plantages de l'application.

Le traitement repose sur l'exécution du contrat qui vous lie à NextCoaster lors de la création de votre compte (article 6.1.b du RGPD), sur votre consentement pour la localisation et les notifications push (que vous pouvez retirer à tout moment), et sur notre intérêt légitime pour les mesures de sécurité (limitation de tentatives de connexion, journaux techniques) et pour le suivi des plantages, nécessaire au bon fonctionnement de l'application.

Vos données ne sont jamais vendues. Elles peuvent être transmises à des sous-traitants strictement nécessaires au fonctionnement du service :

• Hébergement : [hébergeur du serveur applicatif et de la base de données — à compléter].
• Envoi d'emails : Brevo (Sendinblue SAS), pour l'envoi des emails transactionnels (vérification, réinitialisation de mot de passe).
• Données de parcs et temps d'attente : les services QueueTimes, ThemeParks Wiki et OpenStreetMap sont interrogés pour récupérer des données publiques (temps d'attente, files alternatives, horaires, plans) — aucune donnée personnelle vous concernant ne leur est transmise.
• Connexion avec Google : Google LLC, uniquement si vous choisissez ce mode de connexion, pour vérifier votre identité.
• Notifications push : Expo (650 Industries, Inc.) et Google Firebase Cloud Messaging acheminent les notifications vers votre appareil ; ils reçoivent le jeton push de l'appareil et le contenu de la notification.
• Suivi des plantages : Sentry (Functional Software, Inc.), avec un hébergement des données dans l'Union européenne (Allemagne), pour les rapports de plantage décrits plus haut.

Vos données de compte sont conservées tant que votre compte est actif. Vous pouvez demander la suppression définitive de votre compte et de l'ensemble des données associées (profil, publications, voyages, crédits, badges) directement depuis l'application (réglages → sécurité) ; la suppression est confirmée par email et prend effet immédiatement après validation du code de confirmation. Les journaux techniques (adresse IP, logs serveur) sont conservés une durée limitée à des fins de sécurité. Les rapports de plantage sont conservés par Sentry pour une durée limitée, puis supprimés automatiquement.

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Vous pouvez exercer ces droits :

• pour la suppression de compte : directement dans l'application (réglages → sécurité → supprimer mon compte) ;
• pour toute autre demande : en nous contactant à [email de contact à définir].

Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

Les mots de passe sont hachés (jamais stockés en clair), les échanges entre l'application et nos serveurs sont chiffrés (HTTPS), et l'accès à la base de données est limité au réseau interne de nos serveurs. Des mesures de limitation des tentatives de connexion protègent vos comptes contre les attaques par force brute.

Pour toute question relative à cette politique ou à vos données, contactez-nous à [email de contact à définir].