Règles de confidentialité

La présente politique de confidentialité décrit comment S4F LLC (« nous », l’« éditeur ») collecte, utilise et protège vos données personnelles lorsque vous utilisez l’application et le site Luma TCG (« le Service »).

S4F LLC — 5830 E 2nd St, Ste 7000 #36802, Casper, WY 82609, États-Unis. Contact : contact@lumatcg.com.

Données que nous collectons

Nous collectons uniquement les données nécessaires au fonctionnement du Service :

• •Compte : adresse e-mail et informations d’authentification lors de la création de votre compte ; si vous vous connectez avec Google ou Apple, l’identifiant et l’adresse e-mail que ce service nous transmet.
• •Profil : nom d’utilisateur, pseudo, photo de profil et préférences que vous renseignez.
• •Collection : cartes, quantités, listes de souhaits et données de portefeuille que vous ajoutez.
• •Contenu généré : annonces de la marketplace, messages privés, stories, commentaires et publications. Sur le site, les formulaires de contact et de commentaire du blog recueillent le nom, l’adresse e-mail et le message que vous saisissez, et la liste d’attente votre adresse e-mail ; pour les messages et commentaires, l’adresse IP d’envoi n’est conservée que sous forme d’empreinte (hachage) non réversible, pour lutter contre les abus.
• •Photos : images que vous prenez ou importez (scanner de cartes, estimation de centrage, photo de profil, stories, pièces jointes de messages, photos d'annonces).
• •Achats : historique des abonnements « Luma Pro ». Sur iOS et Android, le paiement est traité par la boutique. Sur le web, il est traité par notre prestataire de paiement Stripe, via RevenueCat — nous ne voyons ni ne conservons jamais votre numéro de carte.
• •Diagnostic : rapports de plantage et d’erreur, données techniques (modèle et système de l’appareil, version de l’app, écrans parcourus avant l’erreur) et mesures de performance sur un échantillon des sessions, pour corriger les bugs. Ces rapports ne sont pas rattachés à votre compte (seul un identifiant technique d’installation peut y figurer).
• •Usage, uniquement avec votre accord : (1) un journal d’usage interne, rattaché à votre compte ou à votre session invité anonyme (et relié à votre compte si vous en créez un après avoir utilisé l’app en invité). Il enregistre notamment les écrans consultés et leur durée, les scans, les ajouts à la collection, les affichages de l’offre Pro, les inscriptions, connexions et achats, ainsi que vos actions sociales et de collection (publications, commentaires, messages, annonces, partages, listes de souhaits, alertes de prix), sans leur contenu : ni texte, ni photo, ni destinataire ; une annonce n’y porte que son prix et l’état de la carte. S’y ajoutent la plateforme et la version de l’app. Ce journal est stocké chez notre hébergeur (Supabase) ; (2) avec le même consentement, les mêmes événements alimentent la mesure d’usage PostHog et, sur le web, la mesure d’audience Google Analytics décrites plus bas. Sans votre accord (refus, retrait ou absence de choix), rien n’est écrit dans ce journal et rien n’est envoyé à PostHog ni à Google Analytics.

Comment nous utilisons vos données

• •Fournir et maintenir votre compte et les fonctionnalités du Service.
• •Reconnaître les cartes que vous scannez et estimer la valeur de votre collection. Sauf si vous vous y opposez (Réglages → « Aider à améliorer le scanner »), la photo de chaque carte que vous scannez ou gradez est conservée dans un espace privé, avec le résultat de la reconnaissance, pour améliorer la précision de notre scanner.
• •Gérer la marketplace, les échanges, la messagerie et les fonctions sociales.
• •Gérer votre abonnement et vos droits « Luma Pro ».
• •Assurer la sécurité, prévenir la fraude et corriger les dysfonctionnements.
• •Vous envoyer des notifications que vous avez activées.

Partage avec des tiers (sous-traitants)

Nous ne vendons jamais vos données. Nous faisons appel à des prestataires qui les traitent pour notre compte, dans le cadre du fonctionnement du Service :

• •Supabase (serveurs dans l’Union européenne, en Irlande) : base de données, authentification, fonctions serveur et stockage des fichiers privés.
• •Cloudflare : hébergement du site et de l’app web, réseau de diffusion (CDN), stockage des images (photos de profil, d’annonces et de messages) et protection anti-robots (Turnstile).
• •RevenueCat : gestion des abonnements et des droits d’accès Luma Pro.
• •Traitement des paiements : achats intégrés via les boutiques d’applications sur mobile, et Stripe Payments Europe pour les souscriptions et cadeaux réglés par carte sur l’app web.
• •Sentry (serveurs dans l’Union européenne, en Allemagne) : rapports de plantage et diagnostic technique.
• •Mesure d’usage et d’audience, uniquement avec votre accord : PostHog (serveurs dans l’Union européenne) pour l’application, sur mobile et sur le web, et Google Analytics 4, fourni par Google Ireland Limited, pour le site et l’app web. Voir la section « Cookies et mesure d’audience ».
• •Reconnaissance optique (OCR) des cartes que vous scannez : Google Cloud Vision (Google). L’image recadrée de la carte lui est envoyée pour en lire le texte ; l’app recrée cette image avant l’envoi, elle ne porte donc aucune métadonnée EXIF, comme la géolocalisation.
• •Acheminement des notifications push (Expo, puis Apple ou Google) et envoi des e-mails de compte et de service, comme les codes de connexion (Resend).

Cookies et mesure d’audience

Aucun cookie ni traceur non essentiel n’est déposé avant votre consentement : tant que vous n’avez pas accepté, aucune donnée de mesure n’est envoyée à un service de mesure d’audience et aucun cookie de mesure n’est écrit (ePrivacy Art. 5(3)).

Nous déposons un cookie strictement nécessaire, « luma-consent », qui mémorise votre choix pendant 180 jours afin de ne pas vous re-solliciter à chaque page. Il ne contient que ce choix et ne requiert pas votre consentement.

Si vous acceptez, nous utilisons Google Analytics 4, fourni par Google Ireland Limited, pour mesurer l’audience du site. Il dépose les cookies « _ga » et « _ga_<identifiant> », conservés 13 mois au maximum, et votre adresse IP est anonymisée. Ces données peuvent être transférées hors de l’Espace économique européen, sur la base des clauses contractuelles types de la Commission européenne et du cadre de protection des données UE—États-Unis auquel Google adhère. La base légale de ce traitement est votre consentement (RGPD Art. 6(1)(a)).

Vous pouvez revenir sur votre choix à tout moment, aussi simplement que vous l’avez donné (RGPD Art. 7(3)) : depuis Réglages → « Mesure d’utilisation » dans l’application, ou depuis le lien « Gérer les cookies » en pied de page du site. Dès le retrait, plus rien n’est envoyé à PostHog ni à Google Analytics, l’enregistrement des sessions s’arrête, plus rien n’est écrit dans le journal d’usage (y compris ce qui attendait encore d’être envoyé) et les cookies Google Analytics sont supprimés. Le retrait n’efface pas ce qui a déjà été collecté : ces données suivent les durées de la section « Conservation des données », et vous pouvez en demander l’effacement à tout moment.

Avec votre accord, PostHog (serveurs dans l’Union européenne) reçoit les écrans consultés, les actions effectuées, leur durée, les résultats du scanner et un identifiant de compte pseudonyme. Aucun enregistrement de session (« replay ») n’est réalisé ; ceux réalisés avant le 2 novembre 2026 sont effacés au bout de 30 jours. Il ne conserve pas votre adresse IP. Sur l’app web, il en déduit une localisation approximative (pays, ville) ; dans l’app mobile, cette déduction est désactivée. Nous n’envoyons ni e-mail, ni messages, ni photos de cartes, ni texte OCR dans les événements. Votre choix est conservé sur votre appareil (ou dans votre navigateur) pendant 180 jours ; sans choix enregistré, rien n’est mesuré. Il peut être retiré depuis Réglages → « Mesure d’utilisation ». Des interrupteurs de disponibilité sont aussi lus auprès de PostHog, y compris avant tout choix, avec un identifiant technique commun à toute l’application, sans identifiant de compte ni événement de mesure. Ils permettent de suspendre temporairement certaines fonctions de l’application.

Base légale (RGPD)

Pour les utilisateurs de l’Espace économique européen, nous traitons vos données sur les bases suivantes : l’exécution du contrat (fournir le Service), votre consentement (mesure d’usage et d’audience : journal d’usage, PostHog et Google Analytics ; notifications ; fonctions optionnelles) et notre intérêt légitime (sécurité et lutte contre les abus, diagnostic des erreurs, amélioration du scanner, à laquelle vous pouvez vous opposer dans les réglages).

Conservation des données

Nous conservons vos données tant que votre compte est actif. Lorsque vous supprimez votre compte, nous effaçons vos données personnelles sous 30 jours, sauf obligation légale de conservation. Certaines données sont conservées moins longtemps : le journal d’usage est effacé au bout de 180 jours, et les enregistrements de session PostHog au bout de 30 jours.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de portabilité et d’opposition sur vos données. Pour exercer ces droits, écrivez-nous à contact@lumatcg.com.

Vous pouvez demander la suppression de votre compte et de vos données à tout moment via notre page de demande de suppression.

Transferts internationaux

S4F LLC est établie aux États-Unis et certains de nos prestataires y hébergent ou y traitent des données. Ces transferts hors de l’Espace économique européen s’appuient sur des garanties appropriées — notamment les clauses contractuelles types de la Commission européenne et, le cas échéant, le cadre de protection des données UE—États-Unis. Vous pouvez nous contacter pour en savoir plus sur ces garanties.

Représentant dans l'Union européenne

Conformément à l'article 27 du RGPD, notre représentant dans l'Union européenne est Imed Benalia. Vous pouvez le contacter à contact@lumatcg.com pour toute question relative à la protection de vos données.

Enfants

Le Service n’est pas destiné aux enfants de moins de 13 ans (ou de l’âge minimum requis dans votre pays). Nous ne collectons pas sciemment leurs données. Si vous pensez qu’un enfant nous a communiqué des données, contactez-nous pour que nous les supprimions.

Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles raisonnables (chiffrement en transit, contrôle d’accès) pour protéger vos données. Aucun système n’étant infaillible, nous ne pouvons garantir une sécurité absolue.

Modifications

Nous pouvons mettre à jour cette politique. En cas de changement important, nous vous en informerons dans l’application ou par e-mail. La date de dernière mise à jour figure en haut de cette page.

Nous contacter

Pour toute question relative à cette politique ou à vos données : contact@lumatcg.com.