1. Responsable de traitement
Le responsable de traitement est Perform Code SAS, 216 rue Clémenceau, 59139 Wattignies (France), immatriculée au RCS de Lille Métropole sous le numéro 942 543 943. Pour toute demande relative à vos données, contactez-nous à contact@performcode.fr.
2. Données collectées
Pour faire fonctionner Elofoot, nous collectons : (a) données de compte — email, nom d'utilisateur, mot de passe haché avec Argon2 ; (b) données techniques — logs de connexion, adresse IP anonymisée, user-agent à des fins de sécurité ; (c) données d'usage — prédictions générées, favoris, préférences ; (d) données de paiement traitées exclusivement par Stripe (aucun numéro de carte n'est stocké par Elofoot) ; (e) preuves de consentement — chaque acceptation des CGU et chaque opt-in/opt-out marketing est journalisé (horodatage, version du document, IP anonymisée et user-agent au moment de l'action) pour répondre à nos obligations probatoires CNIL. Aucune donnée sensible au sens de l'article 9 du RGPD n'est collectée.
2 bis. Roulette et prévention de la fraude
Pour administrer la roulette, Elofoot traite l'identifiant du compte, l'horodatage du tirage, le résultat aléatoire et le gain attribué. Pour faire respecter la limite de 24 heures et lutter contre les comptes multiples, nous utilisons aussi un identifiant d'appareil haché, une empreinte technique anti-fraude et un cookie HttpOnly dédié. En cas de gain Pro, les identifiants Stripe du code et de la promotion sont enregistrés ; aucune donnée de carte n'est stockée par Elofoot.
Le tirage et l'attribution reposent sur l'exécution du service demandé ; la prévention des abus repose sur l'intérêt légitime de Perform Code SAS à protéger l'équité et la sécurité de l'opération. Le registre des tirages est conservé avec le compte puis supprimé avec celui-ci, sous réserve des données de facturation que Stripe et Perform Code SAS doivent conserver en vertu de leurs obligations légales.
3. Finalités
Vos données servent à : (a) fournir le service (générer les prédictions, suivre vos favoris) ; (b) sécuriser votre compte ; (c) traiter les paiements via Stripe ; (d) envoyer des emails transactionnels (vérification, sécurité, confirmation de paiement) — ces emails sont indispensables à l'exécution du contrat et n'exigent pas votre consentement ; (e) si et seulement si vous y avez consenti, envoyer des emails marketing (newsletter, conseils produit, offres d'évolution de plan). Aucune donnée n'est utilisée à des fins de profilage publicitaire externe ni revendue à des tiers.
4. Bases légales
Les traitements reposent sur : l'exécution du contrat (fourniture des abonnements Starter, Pro et Elite, emails transactionnels), l'intérêt légitime (sécurité du compte, prévention de la fraude), le consentement explicite (communications marketing — vous pouvez retirer ce consentement à tout moment) et le respect d'obligations légales (facturation, comptabilité, journal probatoire des consentements).
5. Durées de conservation
Les données de compte sont conservées tant que votre compte est actif. En cas de suppression du compte, les données utilisateur sont effacées sous 30 jours ; seules les factures sont conservées dix ans afin de respecter les obligations comptables et fiscales (article L123-22 du Code de commerce). Les logs techniques sont conservés douze mois maximum.
7. Vos droits
Vous disposez à tout moment des droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité de vos données. Vous pouvez également définir des directives post-mortem. Vous pouvez exporter l'intégralité de vos données (y compris l'historique de vos consentements) ou supprimer votre compte directement depuis vos paramètres, ou en écrivant à contact@performcode.fr. Le consentement marketing peut être retiré à tout moment via vos paramètres « Notifications email » ou via le lien de désinscription présent au bas de chaque email marketing (conforme RFC 8058). Nous répondons sous un mois maximum (article 12 RGPD). En cas de désaccord persistant, vous pouvez déposer une réclamation auprès de la CNIL : www.cnil.fr.
10. Sécurité
Mots de passe hachés avec Argon2, chiffrement TLS en transit, sessions à durée limitée avec rotation des tokens, isolation des données par utilisateur. Aucun système n'étant infaillible, vous serez informé en cas d'incident de sécurité affectant vos données dans un délai de 72 heures, conformément à l'article 34 du RGPD.