Politique de confidentialité

1. Responsable de traitement

Le responsable de traitement est la société Lowdout, SASU au capital de 500 €, immatriculée au RCS de Paris sous le numéro 994 685 550, dont le siège social est situé au 60 rue François 1er, 75008 Paris.

Pour toute question relative à la présente politique ou à l'exercice de vos droits, vous pouvez contacter Lowdout par e-mail à privacy@lowdout.gg ou par courrier à l'adresse ci-dessus.

Lowdout n'est pas tenue de désigner un Délégué à la Protection des Données (DPO). Le directeur de la publication, Eliott Le Duc, est l'interlocuteur principal pour les questions de protection des données.

2. Données collectées

2.1 Données fournies par l'utilisateur

• Compte : adresse e-mail, prénom, nom, pseudo, langue préférée, photo de profil (lorsqu'elle est renseignée via Google ou Discord).
• Authentification : identifiant Google ou Discord (lorsque ces fournisseurs sont utilisés pour se connecter), code OTP à usage unique transmis par e-mail. Aucun mot de passe n'est stocké : la connexion par mot de passe est techniquement désactivée.
• Discord : identifiant Discord et nom d'utilisateur, lorsque l'utilisateur choisit de lier son compte Discord pour les fonctionnalités du bot.
• Organisation : nom d'équipe, slug, membres, rôles et invitations, dans le cadre de l'utilisation du produit Manage.
• Contenu utilisateur : notes en direct, annotations tactiques, fichiers VOD importés, commentaires de review et tout contenu publié via les services (offres de scrim, etc.).
• Profil Coach Weclimb : handle public, nom affiché, biographie, langues parlées, jeux pratiqués, configuration de jeu (lanes, concepts, range de rang), tarif horaire de référence, fuseau horaire, photographie de profil, et tout autre élément renseigné dans l'onboarding coach.
• Catalogue de prestations Weclimb : intitulés, descriptions, prix, durée et options des produits publiés par le Coach (sessions, packs, reviews VOD, sessions de groupe, abonnements communautaires).
• Disponibilités du Coach : créneaux récurrents et exceptions ponctuelles, saisis par le Coach pour la planification des sessions.
• Demandes de prestation : intentions de session ou de review formulées par le Joueur (cible, lane, note libre, fenêtres horaires souhaitées) traitées par la fonctionnalité de mise en relation automatisée WeSearch (cf. CGU article 18).
• Évaluations Weclimb : notes (1 à 5 étoiles) et commentaires textuels saisis par le Joueur à l'issue d'une prestation Weclimb, publiés sous forme nominative sur le profil public du Coach concerné (cf. CGU article 15).
• Préférences linguistiques de matching : liste des langues dans lesquelles le Joueur souhaite être coaché, saisie sur account.lowdout.gg, utilisée comme filtre obligatoire par WeSearch.

2.2 Données collectées automatiquement

• Sessions appareil : identifiant d'appareil, nom d'appareil (ex. « Companion · DESKTOP-ABC ») et date de dernière activité, afin de permettre la révocation des sessions actives depuis account.lowdout.gg/security.
• Jetons d'accès : jeton JWT court (1 h) et jeton de rafraîchissement à rotation, stockés côté serveur dans la table refresh_tokens. Sur l'application desktop, le jeton de rafraîchissement est stocké dans le Windows Credential Manager (chiffrement système).
• Journaux API (cf. CGU article 10) : méthode HTTP, URL (sans paramètres), code de statut, identifiant utilisateur (si authentifié), adresse IP, agent utilisateur, durée de traitement et message d'erreur éventuel. Conservés 30 jours.
• Mesure d'audience anonyme (cf. CGU article 11) : Umami, sans cookies, sans donnée identifiante, sans suivi inter-sites. Données agrégées (pages, référent, type d'appareil, type de navigateur, pays, durée de visite).
• Horodatages d'arrivée en salle de visioconférence : pour chaque session live Weclimb, instant d'arrivée du Joueur et du Coach dans la salle Daily.co. Ces horodatages permettent la détection automatisée des absences non excusées et le déclenchement des conséquences contractuelles correspondantes (CGV article 13).
• Décompte de strikes : nombre de points attribués au Joueur ou au Coach sur une fenêtre glissante de 365 jours, en fonction de leurs comportements d'annulation et d'absence (cf. CGU article 17).
• Préférences linguistiques techniques : langue d'affichage et préférence de thème (clair / sombre / système), conservées via cookies de préférence.

2.3 Données de paiement

Les paiements sont traités par notre prestataire Stripe. Les données de carte bancaire ne transitent jamais par les serveurs de Lowdout : elles sont collectées directement par Stripe via des composants sécurisés (Stripe Elements, Stripe Checkout). Lowdout conserve uniquement un identifiant client Stripe (stripeCustomerId) permettant de relier l'utilisateur à ses abonnements et à ses factures.

2.4 Données issues du jeu (application desktop)

L'application Lowdout Companion interagit en lecture seule avec le client local de Riot Games (LCU) et avec la base de données publique Data Dragon, afin de fournir les fonctionnalités d'overlay et d'enrichissement. Aucun mot de passe ni e-mail Riot n'est lu, transmis ou stocké. Seules les métadonnées de partie (identifiants de champion, horodatages, événements de jeu) nécessaires aux fonctionnalités « Live Notes » et « Match History » sont synchronisées vers les serveurs Lowdout (cf. CGU article 13).

2.5 Données Riot Games liées à la Plateforme Weclimb

Sur la Plateforme Weclimb, le Joueur peut, à son initiative et de manière strictement facultative, lier son compte Riot Games à son compte Lowdout depuis account.lowdout.gg/linked. La liaison est opérée par le mécanisme dit « Riot Sign-On » (RSO) lorsque Riot Games rend ce mécanisme accessible, et, à défaut, par le biais d'une saisie nominative de son identifiant Riot (gameName + tagLine) couplée à une déclaration sur l'honneur. Les données suivantes sont alors collectées via l'API publique Riot Games et stockées sur les serveurs Lowdout :

• Identifiant universel Riot (« PUUID »), nom de jeu, tagline, région et niveau Summoner.
• Historique de parties classées : identifiants de partie, mode, champion joué, rôle, durée, issue, et indicateurs de performance dérivés (KDA, score de combat, etc.).
• Rang ranked actuel et historique pour les queues classées dans lesquelles le Joueur a participé.
• Faiblesses pédagogiques détectées (catégories de la roue d'analyse, scores agrégés) calculées par le moteur d'analyse Lowdout à partir des données ci-dessus, à des fins de mise en relation avec un Coach.

Le Joueur peut, à tout moment, supprimer la liaison Riot depuis le même espace account.lowdout.gg/linked. La suppression entraîne la dissociation immédiate des données Riot du compte Lowdout et la suppression en cascade de l'historique de parties associé. Lowdout n'est pas affiliée à Riot Games Inc. ; les données collectées proviennent de l'API publique Riot et sont soumises aux conditions d'utilisation de Riot Games.

2.6 Enregistrements vidéo de sessions live Weclimb

Conformément à l'article 16 des CGU, chaque session live de coaching Weclimb est enregistrée par la Plateforme dans la salle de visioconférence dédiée fournie par Daily.co. Les enregistrements incluent la vidéo et l'audio des participants, l'éventuel partage d'écran ainsi que les messages textuels échangés dans le chat de la salle. Ils ne portent pas sur les communications tenues hors de la salle de visioconférence officielle.

Le Joueur dispose d'un téléchargement libre du replay pendant sept (7) jours après la session. Au-delà, le re-visionnage est réservé aux Joueurs disposant d'un abonnement Premium actif. L'enregistrement est conservé quatre-vingt-dix (90) jours, sauf litige en cours ou obligation légale de conservation plus longue.

3. Finalités et bases légales

Vos données sont traitées pour les finalités suivantes :

• Fourniture du Service (création de compte, accès aux outils, gestion des abonnements, livraison des prestations). Base légale : exécution du contrat(article 6.1.b RGPD).
• Facturation et obligations comptables. Base légale : obligation légale(article 6.1.c RGPD), notamment l'article L.123-22 du Code de commerce (conservation des pièces comptables 10 ans).
• Sécurité, débogage et amélioration du service (journaux API, sessions appareil, mesure d'audience anonyme). Base légale : intérêt légitime (article 6.1.f RGPD) consistant à maintenir un service stable, sécurisé et continuellement amélioré.
• Communications transactionnelles (e-mails de confirmation, factures, alertes de sécurité, expirations d'abonnement). Base légale : exécution du contrat.
• Communications marketing (newsletters, annonces de produit). Base légale : consentement (article 6.1.a RGPD), recueilli préalablement et révocable à tout moment via le lien de désinscription présent dans chaque e-mail.
• Réponse aux demandes utilisateurs et au support. Base légale : intérêt légitime.
• Mise en relation Joueur ↔ Coach sur la Plateforme Weclimb (catalogue, fonctionnalité WeSearch, fil de discussion contractuel, gestion des réservations et des prestations). Base légale : exécution du contrat (article 6.1.b RGPD).
• Publication de la notation des prestations Weclimb sur le profil public du Coach (cf. article 15 CGU). Base légale : exécution du contrat à l'égard du Joueur ayant noté, et intérêt légitime à informer les autres Joueurs sur la qualité des Coachs (article 6.1.f RGPD).
• Enregistrement des sessions live et accès au replay (cf. article 16 CGU). Base légale : exécution du contrat.
• Détection automatisée des absences non excusées et calcul du décompte de strikes (cf. articles 17 et 18 CGU et article 13 CGV). Base légale : intérêt légitimeconsistant à garantir le bon fonctionnement de la Plateforme et la fiabilité des prestations délivrées.
• Détection de contenu généré par intelligence artificielle non déclarée dans les reviews VOD livrées par les Coachs, dans le cadre du dispositif anti-fraude prévu par le Contrat d'onboarding Coach. Base légale : intérêt légitime à protéger la qualité du Service.
• Calcul des indicateurs de performance et de progression du Joueur à partir de son historique de parties Riot. Base légale : exécution du contrat à l'égard du Joueur abonné aux services correspondants.

4. Destinataires et sous-traitants

Vos données sont accessibles aux seuls salariés et prestataires de Lowdout ayant un besoin légitime d'y accéder dans le cadre de leurs missions. Aucun transfert ni cession à des tiers à des fins commerciales n'est effectué.

Les sous-traitants suivants interviennent dans la mise en œuvre du service. Chacun est lié par un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD ; les transferts hors UE sont encadrés par les clauses contractuelles types de la Commission européenne.

La liste à jour des sous-traitants peut être obtenue sur simple demande à privacy@lowdout.gg.

5. Durées de conservation

• Données de compte (e-mail, identité, préférences) : pendant toute la durée de la relation contractuelle, puis archivage 5 ans à compter de la fin du contrat (prescription civile, cf. CGV article 8.5).
• Pièces comptables et factures : 10 ans à compter de la clôture de l'exercice (article L.123-22 du Code de commerce).
• Journaux API : 30 jours, suppression automatique (cf. CGU article 10).
• Sessions appareil et jetons de rafraîchissement : durée alignée sur l'abonnement actif (jusqu'à 90 jours après expiration), supprimés à la révocation manuelle ou à la déconnexion.
• Codes SSO à usage unique : 60 secondes maximum, supprimés après usage.
• VODs et contenu utilisateur : tant que l'utilisateur ne les supprime pas. Suppression définitive sous 30 jours après suppression du compte.
• Données marketing : 3 ans à compter du dernier contact pour les prospects, ou jusqu'au retrait du consentement.
• Données Riot Games liées (PUUID, historique de parties, rangs) : pendant la durée de la liaison Riot, suppression immédiate à la dissociation manuelle par le Joueur.
• Enregistrements vidéo de sessions Weclimb : 90 jours à compter de la date de la session, suppression automatique au terme. Téléchargement libre par le Joueur pendant les 7 premiers jours ; re-visionnage Premium au-delà.
• Notations et commentaires Weclimb : durée indéterminée, publiés sous forme nominative sur le profil public du Coach concerné, sauf modération conformément à l'article 15 des CGU.
• Décompte de strikes : fenêtre glissante de 365 jours. Les points sortent automatiquement du décompte à l'expiration de ce délai.
• Demandes WeSearch (charges utiles, fenêtres horaires, coach claimer) : durée de vie de la demande active (maximum 7 jours), puis conservation 30 jours à des fins d'audit, puis anonymisation.
• Sessions, packs et reviews Weclimb commandés : pendant toute la durée du contrat, puis archivage 5 ans (prescription de la responsabilité civile contractuelle).
• Pièces justificatives de réclamation et de modération : pendant la durée du litige et 5 ans après son issue définitive.

6. Sécurité

Lowdout met en œuvre des mesures techniques et organisationnelles adaptées à la nature des données traitées :

• chiffrement TLS de bout en bout pour tous les échanges réseau ;
• cookies de session HttpOnly, SameSite=Lax, Secure en production ;
• jetons de rafraîchissement liés à un identifiant d'appareil et révocables instantanément ;
• stockage des jetons de l'application desktop dans le Windows Credential Manager ;
• signatures HMAC-SHA256 sur les données critiques ;
• vérification de l'empreinte SHA-256 des installeurs avant installation des mises à jour ;
• contrôles d'accès stricts en interne et journalisation des actions sensibles ;
• politique de mots de passe inutile : la connexion ne se fait que par OTP ou OAuth.

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, Lowdout notifiera la CNIL dans un délai de 72 heures et, le cas échéant, les personnes concernées, conformément aux articles 33 et 34 du RGPD.

7. Vos droits

Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès aux données vous concernant ;
• Droit de rectification en cas de données inexactes ou incomplètes ;
• Droit à l'effacement (« droit à l'oubli ») ;
• Droit à la portabilité (export des données dans un format structuré et lisible par machine) ;
• Droit à la limitation du traitement ;
• Droit d'opposition au traitement fondé sur l'intérêt légitime ;
• Droit de retirer votre consentement à tout moment, sans que ce retrait n'affecte la licéité du traitement antérieur ;
• Droit de définir des directives post-mortem relatives à la conservation, à l'effacement et à la communication de vos données après votre décès.

Vous pouvez exercer ces droits :

• directement depuis votre espace personnel sur account.lowdout.gg (mise à jour du profil, suppression du compte, gestion des appareils connectés) ;
• par e-mail à privacy@lowdout.gg en justifiant de votre identité.

Lowdout s'engage à répondre à toute demande dans un délai d'un mois, prolongeable de deux mois en cas de complexité.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr/plaintes.

8. Décisions automatisées et profilage

Conformément à l'article 22 du RGPD, vous êtes informé(e) que la Plateforme met en œuvre plusieurs traitements faisant intervenir des composants automatisés. Aucun de ces traitements ne produit, à ce stade, d'effet juridique vous concernant ni de conséquence vous affectant de manière significative et de manière analogue, au sens de l'article 22 précité, dans la mesure où une intervention humaine reste accessible à chaque étape.

• Moteur de mise en relation WeSearch (CGU article 18) : ordonnancement et filtrage des Coachs éligibles à partir de critères objectifs (langues, rang, lane, concepts, disponibilités, décompte de strikes, délais de prise en charge). Le Joueur peut consulter la marketplace en mode direct sans intermédiation algorithmique.
• Détection automatique des absences non excusées (CGV article 13.detection) : qualification d'une absence à partir des horodatages d'arrivée dans la salle de visioconférence. Le constat peut être contesté par les voies de l'article 14 des CGV.
• Calcul du décompte de strikes (CGU article 17) et application d'une pondération sur l'éligibilité aux fonctionnalités WeSearch. Le décompte est consultable et contestable depuis l'espace personnel.
• Analyse des faiblesses pédagogiques du Joueur à partir de son historique Riot, à des fins d'orientation de la recherche WeSearch. L'analyse n'est utilisée qu'à titre informatif ; le Joueur conserve le choix de son Coach et de la prestation commandée.
• Détection automatisée de contenu généré par intelligence artificielle dans les reviews VOD livrées par les Coachs. Le résultat n'est jamais opposé à un Coach sans vérification humaine préalable par l'équipe de modération de la Plateforme.

Sur simple demande adressée à privacy@lowdout.gg, vous pouvez obtenir des informations utiles sur la logique sous-jacente à un résultat automatisé qui vous a été présenté, dans la limite du secret d'affaires et des droits des tiers, et formuler vos observations sur ce résultat.

9. Cookies et traceurs

Lowdout utilise un nombre minimal de traceurs, dans le respect des recommandations de la CNIL :

• Cookies strictement nécessaires au fonctionnement du service (cookie de session d'authentification, cookie de préférence de langue, cookie d'état OAuth). Ces cookies sont exemptés de consentement préalable au titre de l'article 82 de la loi Informatique et Libertés.
• Mesure d'audience anonyme via Umami : aucun cookie n'est déposé, aucune donnée identifiante n'est collectée. Conformément aux recommandations de la CNIL, cette mesure est exemptée de consentement.

Aucun cookie publicitaire, aucun traceur tiers à des fins de profilage ou de retargeting n'est déposé sur les sites de Lowdout.

10. Mineurs

Les services Lowdout ne sont pas destinés aux enfants de moins de 15 ans. La création d'un compte par un mineur de moins de 15 ans nécessite le consentement préalable du titulaire de l'autorité parentale, conformément à l'article 7-1 de la loi Informatique et Libertés. Si vous avez connaissance d'un compte créé par un mineur sans ce consentement, contactez privacy@lowdout.gg : le compte sera supprimé sans délai.

11. Communications marketing

Lowdout peut adresser, par courrier électronique, des informations sur ses produits, ses lancements, l'ouverture de bêtas et ses offres commerciales. Ces communications sont strictement distinctes des emails dits « transactionnels » (sécurité, codes de connexion, factures, alertes de service) qui sont envoyés sans nécessiter de consentement spécifique.

Base légale : votre consentement explicite (article 6.1.a du RGPD), recueilli via une case décochée par défaut au moment de la création de compte ou ultérieurement depuis votre espace account.lowdout.gg/edit. Aucun email marketing ne vous est adressé sans votre opt-in préalable.

Données traitées : votre adresse email, votre prénom (pour la personnalisation), votre langue de préférence, votre statut d'abonnement aux différents produits Lowdout (pour la segmentation des envois). Aucun profilage avancé n'est réalisé.

Durée de conservation : votre consentement reste actif jusqu'à votre retrait, ou jusqu'à la suppression de votre compte. Une trace horodatée de chaque opt-in et opt-out est conservée 5 ans à des fins probatoires (preuve de consentement valide en cas de contrôle CNIL), puis supprimée.

Retrait du consentement : à tout moment et sans justification, en cliquant sur le lien « Se désinscrire » présent dans chaque email marketing, ou depuis account.lowdout.gg/account/edit. Le retrait est immédiat, sans confirmation supplémentaire requise.

Identification de l'expéditeur : conformément à l'article L.121-15-1 du Code de la consommation, chaque email marketing identifie clairement Lowdout comme expéditeur, fournit son adresse postale (60 rue François 1er, 75008 Paris, France) et un moyen de contact direct (contact@lowdout.gg).

12. Modifications

La présente politique peut être modifiée à tout moment pour refléter les évolutions du service ou de la réglementation. La date de dernière mise à jour figure en tête du document. Toute modification substantielle sera notifiée aux utilisateurs par e-mail ou par message dans l'application au moins 30 jours avant son entrée en vigueur.