Service exploité par : DigitalFreedom — une marque de DigitalFreedom Global LLC

Responsable du traitement (entité juridique) : DigitalFreedom Global LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, États-Unis

Protection des données : data-protection@digitalfreedom.co.za
Formulaire de demande : https://data-protection.digitalfreedom.co.za
Général : hello@digitalfreedom.co.za

1. Introduction

Cette politique explique comment DigitalFreedom Global LLC (« nous ») collecte, utilise, conserve et protège les données personnelles lorsque vous utilisez l’application Snapshots pour iOS et le site snapshots-quiz.app (ensemble, « les Services »). Lorsque l’application et le site diffèrent, la section le précise.

1.1 Portée mondiale

Snapshots est distribué via l’App Store d’Apple et est donc disponible dans tous les territoires desservis par cette boutique. Cette politique s’applique dans le monde entier, quel que soit le lieu de téléchargement ou d’utilisation.

1.2 Le RGPD comme socle mondial

Nous appliquons le règlement général sur la protection des données (RGPD) comme socle mondial : tout utilisateur, dans tout pays, bénéficie au minimum du niveau de protection décrit ici. Si votre droit local est plus protecteur, c’est lui qui prévaut. Sont pris en compte, entre autres : le RGPD et la BDSG, le UK GDPR et le Data Protection Act 2018, la LPD suisse, le CCPA/CPRA et les autres lois d’États américains, la LPRPDE (PIPEDA), le Privacy Act 1988 australien, la LGPD brésilienne, l’APPI japonaise, la PIPA coréenne, le DPDP Act indien et la POPIA.

2. Responsable du traitement

Responsable au sens de l’art. 4(7) RGPD :

DigitalFreedom Global LLC (exerçant sous le nom DigitalFreedom) 30 N Gould St, Ste N Sheridan, WY 82801 États-Unis

Pour toute demande, utilisez le formulaire https://data-protection.digitalfreedom.co.za ou écrivez à data-protection@digitalfreedom.co.za. Les deux voies sont ouvertes — et toute autre également ; nous traitons votre demande quel que soit le canal.

Aucun délégué à la protection des données n’est désigné : le seuil de l’art. 37 RGPD / § 38 BDSG n’est pas atteint.

3. Données traitées

3.1 L’application — ce qui quitte votre appareil

Snapshots fonctionne sans adresse e-mail, sans mot de passe et sans connexion via un réseau social. Ce que l’application envoie à notre backend :

Données	Pourquoi	Quand
Nom de joueur que vous choisissez au premier lancement	Il identifie votre entrée au classement mondial et doit être unique	Une fois à la création, puis avec chaque score
Scores — score final, nombre d’énigmes résolues, horodatage	Le classement et votre record personnel	À la fin d’une partie, ou plus tard une fois reconnecté
Code de langue des énigmes (p. ex. `fr`, `en`)	Pour que le backend serve les énigmes dans votre langue de jeu	À chaque demande d’énigmes
Données techniques de connexion — adresse IP, heure, agent utilisateur, ressource demandée	Inévitables lors de l’exploitation d’un serveur ; livraison, sécurité, analyse des erreurs	À chaque requête

C’est la liste complète. Il n’y a aucune adresse e-mail, aucun mot de passe, aucun nom réel sauf si vous en saisissez un dans le champ du nom de joueur, aucune donnée de paiement, et aucun accès au carnet d’adresses, à l’agenda, aux photos, au micro, à la caméra, à la position ou à des données de santé.

3.2 L’application — ce qui reste sur votre appareil

Les énigmes résolues, les images téléchargées, vos réglages, votre préférence sonore, votre record et la copie locale de votre fiche joueur sont stockés dans une base de données locale. Rien n’est transmis. Supprimer l’application les supprime.

3.3 L’application — ce qu’elle ne contient pas

Aucun SDK d’analyse tiers. Ni Firebase Analytics, ni Google Analytics for Firebase, ni Amplitude, ni Mixpanel.
Aucun SDK de rapport de plantage. Les plantages ne nous parviennent que via les rapports agrégés d’Apple, si vous avez autorisé leur partage dans iOS.
Aucune publicité. Aucun SDK publicitaire, aucune annonce, rien de vendu à une régie.
Aucun identifiant publicitaire. L’IDFA n’est jamais lu et aucune invite App Tracking Transparency n’apparaît, puisqu’il n’y a rien à demander.
Aucune notification push depuis un serveur. Les rappels sont planifiés localement par iOS ; aucun jeton push n’est enregistré ni ne quitte l’appareil.

3.4 Le site web

Données	Finalité	Base juridique
Journaux du serveur chez l’hébergeur (IP, heure, URL demandée, agent utilisateur)	Livraison des pages, sécurité, analyse des erreurs	Art. 6(1)(f) RGPD — intérêt légitime à l’exploitation du site
Google Analytics 4 avec le mode consentement v2	Mesure agrégée d’audience et de contenu	§ 25(1) TDDDG et art. 6(1)(a) RGPD — votre consentement pour tout ce qui est stocké ou lu sur votre appareil ; avant consentement, uniquement des pings agrégés sans cookie sur la base de l’art. 6(1)(f)
Votre choix sur les cookies	Pour ne pas vous redemander	Strictement nécessaire, § 25(2) n° 2 TDDDG
Votre langue et votre thème	Pour afficher le site tel que vous l’avez laissé	Strictement nécessaire, § 25(2) n° 2 TDDDG

Le site est une compilation statique servie par GitHub Pages (GitHub, Inc.), dont les serveurs écrivent les journaux d’accès ; nous n’y accédons pas. Les polices sont servies depuis ce domaine : aucune requête vers Google Fonts, aucun CDN, aucune vidéo intégrée, aucun plugin social. Les détails, avec les noms et durées des cookies, figurent dans la politique relative aux cookies.

3.5 Assistance et correspondance

Si vous nous écrivez — assistance, demande relative aux données, signalement de vulnérabilité —, nous traitons le contenu de votre message, votre adresse e-mail et ce que vous choisissez d’y joindre, afin de vous répondre. Bases juridiques : art. 6(1)(b) et (f) RGPD, et art. 6(1)(c) lorsque le traitement de la demande est légalement obligatoire.

4. Bases juridiques

Base	Ce qu’elle couvre
Exécution du contrat, art. 6(1)(b) RGPD	Création du nom de joueur, livraison des énigmes, enregistrement des scores, classement, déblocage de l’achat
Intérêt légitime, art. 6(1)(f) RGPD	Journaux du serveur, prévention des abus et de la fraude, analyse des erreurs, mesure agrégée sans cookie avant consentement
Consentement, art. 6(1)(a) RGPD	Google Analytics sur le site et tout ce qui, au-delà du strictement nécessaire, est stocké ou lu sur votre appareil
Obligation légale, art. 6(1)(c) RGPD	Pièces fiscales et comptables des achats, traitement des réquisitions légales

5. À quoi servent ces données

Nous les utilisons pour fournir et exploiter Snapshots, afficher le classement, servir les énigmes dans votre langue, vérifier et restaurer votre achat, répondre à vos messages, sécuriser le service, détecter et corriger les défauts et respecter nos obligations légales. Nous ne faisons pas de profilage, nous ne construisons pas d’audiences publicitaires et nous n’entraînons aucun modèle d’IA avec vos données.

6. Qui reçoit vos données

6.1 Sous-traitants

Sous-traitant	Rôle	Lieu
Civo Ltd.	Infrastructure cloud — cluster Kubernetes, base PostgreSQL gérée, stockage objet compatible S3 pour les images	Londres, Royaume-Uni (`lon1`)
RevenueCat, Inc.	Gestion de l’achat intégré : validation des reçus et état du droit d’accès, rattachés à un identifiant pseudonyme	États-Unis
Migadu Mail AG	Hébergement des adresses de contact et d’assistance	Suisse
Google Ireland Ltd.	Google Analytics 4 — site web uniquement, et seulement après votre consentement	EEE, avec transfert ultérieur vers Google LLC aux États-Unis
GitHub, Inc.	Hébergement de ce site statique (GitHub Pages)	États-Unis

OpenAI Ireland Ltd. génère les mots et les images des énigmes avant qu’un joueur ne les voie, dans une tâche planifiée sur nos serveurs. Aucune donnée d’utilisateur n’est envoyée à OpenAI — ni nom de joueur, ni score, ni message. OpenAI est donc un fournisseur de production de contenu, non un destinataire de vos données personnelles.

La liste peut évoluer ; son état actuel est tenu dans notre registre des sous-traitants ultérieurs et disponible à data-protection@digitalfreedom.co.za.

6.2 Plateforme et distribution

Apple Distribution International Ltd. agit comme responsable de traitement indépendant pour la distribution sur l’App Store, TestFlight et les achats intégrés. Apple est le vendeur de l’achat dans l’UE/EEE, au Royaume-Uni, en Suisse et en Turquie (commissionnaire) et notre agent ailleurs, où le vendeur est DigitalFreedom Global LLC. Apple ne nous transmet pas vos données de paiement et nous ne voyons jamais de données de carte. Le traitement propre d’Apple relève de https://www.apple.com/legal/privacy/.

6.3 Obligations légales

Nous communiquons des données lorsque la loi, une procédure judiciaire ou une réquisition régulière l’exige, et pas au-delà.

6.4 Opérations sur la société

En cas de fusion, d’acquisition ou de cession d’actifs, vos données pourraient être transférées. Vous en seriez informé au préalable, comme indiqué au § 15.

6.5 Aucune vente

Nous ne vendons pas vos données personnelles et ne les partageons pas à des fins de publicité comportementale inter-contextes.

7. Transferts internationaux

Civo lon1 (Londres, Royaume-Uni) — couvert par la décision d’adéquation de la Commission européenne pour le Royaume-Uni (art. 45 RGPD).
Migadu (Suisse) — couvert par la décision d’adéquation pour la Suisse (art. 45 RGPD).
RevenueCat, Inc. (États-Unis) — clauses contractuelles types de l’UE au titre du cadre DPA publié par RevenueCat, avec chiffrement en transit et au repos et identifiants pseudonymes. Aucune donnée de carte : le paiement est traité par Apple.
Google Ireland Ltd. / Google LLC (États-Unis) — clauses contractuelles types (décision d’exécution (UE) 2021/914), UK International Data Transfer Addendum et participation de Google au EU-US Data Privacy Framework.
GitHub, Inc. (États-Unis) — clauses contractuelles types au titre des conditions de protection des données de Microsoft/GitHub.
Apple — responsable indépendant ; transferts intragroupe sous ses propres garanties.

Le responsable du traitement est établi hors de l’EEE. Les traitements que nous réalisons ont donc lieu hors de l’EEE, et nous leur appliquons le standard du RGPD comme socle mondial (§ 1.2). Pour les transferts non couverts par une décision d’adéquation, nous nous appuyons sur les clauses contractuelles types, appliquons les garanties du chapitre V et évaluons le droit du pays destinataire avant d’engager un sous-traitant.

8. Durées de conservation

Données	Durée
Nom de joueur et date de création	Jusqu’à votre demande de suppression
Scores au classement	Jusqu’à votre demande de suppression
Journaux du serveur	30 jours, puis suppression
Données d’achat et de droit d’accès (RevenueCat, Apple)	Pendant la durée du droit d’accès ; pièces fiscales 7 ans, la durée qui lie le responsable aux États-Unis
Correspondance d’assistance	3 ans à compter de la clôture
Traces des demandes relatives aux données	6 ans à compter de la clôture, responsabilité au titre de l’art. 5(2) RGPD
Données Google Analytics	14 mois

Supprimer signifie supprimer, pas marquer. Ce que nous conservons parce que la loi l’exige est restreint à cette seule finalité — voir suppression des données.

8a. Données de santé

Aucune. Snapshots ne lit ni n’écrit de données HealthKit et n’offre aucune fonction de santé ou de forme. L’art. 9 RGPD n’est pas en cause.

8b. Accès aux informations stockées sur votre appareil

Indépendamment du droit de la protection des données, le § 25(1) TDDDG et l’art. 5(3) de la directive 2002/58/CE exigent votre consentement pour stocker des informations sur votre appareil ou lire celles qui s’y trouvent, qu’il s’agisse ou non de données personnelles.

Quoi	Où	Base
Base de jeu locale — fiche joueur, énigmes résolues, images, réglages	Application	Strictement nécessaire, § 25(2) n° 2 TDDDG
Cookies Google Analytics	Site web	Consentement, § 25(1) TDDDG
Choix cookies, langue et thème dans le stockage local	Site web	Strictement nécessaire, § 25(2) n° 2 TDDDG

Aucun identifiant publicitaire n’est lu, sur aucune des deux surfaces.

9. Sécurité

Chiffrement en transit (TLS) ; base de données et stockage objet chiffrés au repos
Contrôle d’accès au moindre privilège ; accès administratif avec authentification multifacteur
Requêtes backend authentifiées par un jeton applicatif
Sauvegardes quotidiennes de la base de données
Réponse aux incidents documentée selon notre plan interne (art. 33/34 RGPD)
Divulgation coordonnée des vulnérabilités, publiée sur la page sécurité et lisible par machine dans /.well-known/security.txt

Aucun système n’est totalement sûr et nous ne prétendons pas à une sécurité absolue.

9.1 Notification des violations

Lorsqu’une violation est susceptible d’engendrer un risque élevé pour vos droits et libertés (art. 34 RGPD), nous informons les utilisateurs concernés sans délai injustifié. Comme Snapshots ne conserve aucune adresse e-mail, une communication publique sur ce site est la voie par laquelle nous pouvons vous atteindre ; elle indiquera la nature de la violation, les catégories d’enregistrements concernés, les conséquences probables, les mesures prises et un contact pour toute information complémentaire.

10. Vos droits

10.1 Le catalogue du RGPD comme socle mondial

Où que vous viviez, vous pouvez exercer au minimum : accès (art. 15), rectification (art. 16), effacement (art. 17), limitation (art. 18), portabilité (art. 20), opposition (art. 21), retrait du consentement à tout moment et aussi simplement qu’il a été donné (art. 7(3)) et réclamation auprès d’une autorité de contrôle.

10.2 Ce que votre droit national ajoute

Plusieurs ordres juridiques accordent davantage ou fixent d’autres délais, voies de recours et responsables désignés. Le § 17 est le seul endroit où cela figure. Rien au § 17 n’abaisse le socle.

10.3 Comment les exercer

Écrivez à data-protection@digitalfreedom.co.za ou utilisez le formulaire https://data-protection.digitalfreedom.co.za. Comme Snapshots ne conserve aucune adresse e-mail, indiquez-nous le nom de joueur pour que nous retrouvions vos données. Nous répondons sous un mois (art. 12(3) RGPD), ou dans le délai plus court prévu par votre droit national.

11. Mineurs

Snapshots est un jeu grand public et ne s’adresse pas aux enfants. L’âge à partir duquel un mineur peut consentir à un traitement est fixé par les États membres entre 13 et 16 ans (art. 8(1) RGPD) ; cette politique ne mentionne donc pas un chiffre unique. Nous ne collectons pas sciemment de données d’enfants en dessous de l’âge applicable ; si nous l’apprenons, nous les supprimons sans délai. Si vous êtes parent ou tuteur et pensez que votre enfant a créé un nom de joueur, écrivez à data-protection@digitalfreedom.co.za et nous le supprimerons.

12. Cookies

Décrits séparément dans la politique relative aux cookies, qui concerne le site web. L’application ne dépose aucun cookie et ne contient aucune des balises qui y sont mentionnées.

13. Décisions automatisées et IA

13.1 Décisions automatisées

Nous ne prenons aucune décision automatisée produisant des effets juridiques ou vous affectant de manière significative (art. 22 RGPD). Le classement est une liste de scores triée, pas une décision sur une personne.

13.2 L’IA dans Snapshots

Les mots et les trois images d’indice de chaque énigme sont générés par intelligence artificielle — OpenAI GPT-4o pour les mots et leurs traductions, DALL·E 3 pour les images — dans une tâche planifiée sur nos serveurs, avant que l’énigme n’atteigne un joueur. Deux conséquences :

Chaque image de Snapshots est un contenu généré par IA, non la photographie d’une scène réelle. Cette divulgation est faite dans l’esprit de l’art. 50 du règlement sur l’IA (règlement (UE) 2024/1689) relatif à la transparence des contenus synthétiques.
Rien de ce que vous faites ne parvient à OpenAI. Votre nom de joueur, vos scores, vos réponses et vos messages ne sont jamais transmis à un fournisseur d’IA, et aucune de vos données ne sert à entraîner un modèle.

13.3 Marketing

Nous n’envoyons ni e-mail commercial ni notification push publicitaire. Il n’existe ni lettre d’information ni liste de diffusion.

14. Liens vers des tiers

Les Services renvoient vers des sites tiers — l’App Store, les politiques des sous-traitants, des organismes de normalisation. Nous ne répondons pas de leurs pratiques.

15. Modifications

Nous pouvons mettre à jour cette politique. Les changements substantiels sont annoncés via les Services et, lorsqu’un changement requiert votre consentement selon le droit applicable, nous le recueillons avant qu’il ne vous concerne : la simple poursuite de l’utilisation ne vaut jamais consentement. La date « Dernière mise à jour » indique la version en vigueur.

16. Contact

DigitalFreedom Global LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, États-Unis

Protection des données : data-protection@digitalfreedom.co.za · https://data-protection.digitalfreedom.co.za
Général : hello@digitalfreedom.co.za
Assistance : https://support.apps.digitalfreedom.co.za

Dans l’UE et l’EEE, vous pouvez également saisir l’autorité de contrôle de votre pays.

17. Dispositions régionales

Ce que chaque ordre juridique ajoute au socle. Le § 10.1 fixe le minimum applicable partout ; rien de ce qui suit ne l’abaisse. Toutes les demandes : data-protection@digitalfreedom.co.za ou https://data-protection.digitalfreedom.co.za.

17.1 Union européenne et EEE

Le traitement relève du RGPD, applicable aussi en Norvège, en Islande et au Liechtenstein via l’accord EEE.
Aucune autorité chef de file : le responsable n’étant pas établi dans l’Union, le guichet unique de l’art. 56 RGPD ne s’applique pas.
Vous pouvez introduire une réclamation auprès de l’autorité de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée (art. 77 RGPD) — en France, la CNIL ; dans les États de l’EEE, Datatilsynet (Norvège), Persónuvernd (Islande) ou Datenschutzstelle (Liechtenstein).
Des analyses d’impact sont réalisées lorsque l’art. 35 l’exige.
Sur l’âge du consentement numérique, fixé entre 13 et 16 ans selon les États, voir le § 11.

17.2 Royaume-Uni

Le UK GDPR et le Data Protection Act 2018 s’appliquent. L’autorité de contrôle est l’Information Commissioner’s Office (ICO), https://ico.org.uk.

17.3 Suisse

La loi fédérale révisée sur la protection des données (nLPD) s’applique aux traitements produisant des effets en Suisse, quel que soit le siège du responsable. Le standard RGPD de cette politique en couvre la substance.
Droit d’accès (art. 25 nLPD) : équivalent pour l’essentiel à l’art. 15 RGPD ; nous répondons sous 30 jours.
Annonce des violations (art. 24 nLPD) : due au PFPDT « dans les meilleurs délais ». Notre plan retient le délai le plus court, en pratique les 72 heures du RGPD.
Autorité compétente : le Préposé fédéral à la protection des données et à la transparence (PFPDT).

17.4 États-Unis

Le socle commun des lois d’État. Les lois générales (Virginie, Colorado, Connecticut, Texas, Oregon et les autres) accordent pour l’essentiel les droits du § 10.1 et ajoutent deux éléments :

Recours. En cas de refus, vous pouvez former un recours auprès de nous ; notre réponse indique comment saisir le procureur général de votre État. Exception : l’Utah, dont la loi ne prévoit pas de recours.
Délais. Nous répondons sous 45 jours, prorogeables une fois de 45 jours avec information. Exception : l’Iowa, dont la loi permet 90 jours plus 45 ; nous appliquons le délai le plus court.

Biométrie (BIPA, Illinois). Aucun identifiant biométrique n’est collecté ; Snapshots n’utilise ni Face ID ni Touch ID.

Données de santé (Washington, Nevada). Snapshots ne traite aucune donnée de santé : le My Health My Data Act et son équivalent au Nevada ne sont pas en cause et aucune politique distincte n’est publiée.

Lien « Do Not Sell or Share ». Non requis : rien n’est vendu ni partagé pour de la publicité comportementale inter-contextes. Si cela changeait, le lien deviendrait obligatoire et apparaîtrait.

Californie — avis au moment de la collecte (CCPA/CPRA)

Fourni aux résidents de Californie au plus tard au moment de la collecte, conformément aux §§ 1798.100(a) et 1798.130(a)(5)(A) du Cal. Civ. Code. La politique complète : https://snapshots-quiz.app/fr/confidentialite/.

Catégorie (CCPA § 1798.140(v))	Ce que nous collectons	Finalité	Divulgué à des fins commerciales ?	Vendu ou partagé ?
A. Identifiants	Nom de joueur ; adresse IP ; identifiant pseudonyme de l’achat	Classement, livraison, sécurité, droit d’accès	Oui — aux sous-traitants du § 6.1	Non
B. Fiches client	État de l’achat (débloqué ou non)	Restauration de votre achat	Oui — RevenueCat, Apple	Non
C. Catégories protégées	Aucune	—	—	—
D. Informations commerciales	L’achat intégré unique	Fourniture du service	Oui — Apple, RevenueCat	Non
E. Informations biométriques	Aucune	—	—	—
F. Activité réseau	Requêtes vers notre backend ; pages vues après consentement	Livraison, sécurité, mesure agrégée	Oui — Civo, Google (site uniquement)	Non
G. Géolocalisation	Aucune. L’IP est traitée pour la livraison et la sécurité, pas pour vous localiser	—	—	Non
H. Informations sensorielles	Aucune	—	—	—
I. Informations professionnelles	Aucune	—	—	—
J. Informations scolaires	Aucune	—	—	—
K. Déductions	Aucune	—	—	—
L. Informations personnelles sensibles	Aucune	—	—	—

Nous n’avons ni vendu ni partagé d’informations personnelles de résidents californiens et n’avons pas l’intention de le faire. Les durées figurent au § 8. Vos droits — savoir, supprimer, corriger, portabilité, non-discrimination — s’exercent à data-protection@digitalfreedom.co.za ; nous vérifions les demandes proportionnellement au risque et répondons sous 45 jours, prorogeables une fois de 45. Un mandataire est accepté sur justificatif.

Shine the Light (§ 1798.83) : nous ne divulguons aucune information personnelle à des tiers pour leur marketing direct ; la réponse annuelle est « aucune ». Global Privacy Control est honoré comme signal d’opposition valable ; comme nous ne vendons ni ne partageons, cela ne change rien en pratique, mais c’est respecté. Réclamations : California Privacy Protection Agency, 2101 Arena Boulevard, Sacramento, CA 95834, https://cppa.ca.gov/complaint/, ou le procureur général de Californie.

17.5 Canada

Consentement (LPRPDE, principe 3) : exprès lorsque l’information est sensible ou la finalité non évidente ; implicite lorsqu’elle est évidente et les données non sensibles. Retrait à tout moment, sous réserve de restrictions légales ou contractuelles et d’un préavis raisonnable.
Vos droits : accès et copie, contestation de l’exactitude et correction, retrait du consentement, plainte auprès du Commissariat à la protection de la vie privée du Canada, https://www.priv.gc.ca. Nous répondons sous 30 jours (LPRPDE § 8(4)).
Québec (loi 25) : la personne responsable de la protection des renseignements personnels est Marcel R. G. Berger, data-protection@digitalfreedom.co.za, 30 N Gould St, Ste N, Sheridan, WY 82801, États-Unis. Toute communication hors Québec est précédée d’une évaluation des facteurs relatifs à la vie privée ; les destinations sont le Royaume-Uni et la Suisse (adéquats) et les États-Unis sous clauses contractuelles types. Vous pouvez demander vos renseignements dans un format technologique structuré et couramment utilisé et vous êtes informé de toute décision fondée exclusivement sur un traitement automatisé — nous n’en prenons aucune. La version française de cette politique est celle que vous lisez.
LCAP : nous n’envoyons aucun message électronique commercial.
Les lois provinciales (BC PIPA, Alberta PIPA) s’appliquent lorsqu’elles sont plus protectrices ; plaintes également auprès de l’OIPC BC et de l’OIPC Alberta.

17.6 Australie et Nouvelle-Zélande

Australie : le Privacy Act 1988 et les Australian Privacy Principles s’appliquent à une entité étrangère exerçant en Australie. L’APP 12 fixe 30 jours pour l’accès. L’APP 8 nous rend comptables du traitement par un destinataire étranger, l’une des raisons pour lesquelles chaque destinataire est nommé au § 6. Plaintes : Office of the Australian Information Commissioner (OAIC).
Nouvelle-Zélande : le Privacy Act 2020 s’applique à une entité étrangère exerçant en Nouvelle-Zélande. L’IPP 12 encadre la communication hors du pays ; les demandes d’accès reçoivent une réponse sous 20 jours ouvrés. Plaintes : Office of the Privacy Commissioner (NZ).

17.7 Brésil (LGPD)

Encarregado (art. 41 LGPD) : Marcel R. G. Berger, data-protection@digitalfreedom.co.za, 30 N Gould St, Ste N, Sheridan, WY 82801, États-Unis. Cette politique constitue la publication de ces coordonnées exigée par la résolution CD/ANPD n° 18/2024.
Bases légales (art. 7) : exécution du contrat (V) pour le jeu, le classement et l’achat ; obligation légale (II) pour les durées de conservation ; intérêt légitime (IX) pour la sécurité et l’analyse des erreurs ; consentement (I) pour la mesure d’audience du site.
Droits de l’art. 18 : confirmation, accès, correction, anonymisation, blocage ou suppression de données inutiles, portabilité, suppression des données fondées sur le consentement, information sur les partages et sur les conséquences d’un refus, et révocation. Nous répondons sous 15 jours (art. 19 § 3).
Transferts (art. 33) : adéquation pour le Royaume-Uni et la Suisse, garanties contractuelles pour les segments américains.
Enfants (art. 14) : le traitement des données d’un enfant de moins de 12 ans exige un consentement parental spécifique et mis en évidence ; nous n’exploitons pas un tel mécanisme et ne traitons donc pas sciemment ces données.
Incidents (art. 48) : l’ANPD et les personnes concernées sont informées ; notre objectif est de 72 heures. Réclamations : https://www.gov.br/anpd. La version portugaise est publiée à https://snapshots-quiz.app/pt/privacidade/.

17.8 Inde (DPDP Act, 2023)

DigitalFreedom Global LLC est Data Fiduciary et n’est pas désignée Significant Data Fiduciary.
Consentement (§ 6) : libre, spécifique, éclairé, inconditionnel et univoque, par un acte positif clair, et retirable aussi facilement qu’il a été donné.
Vos droits (§§ 11–14) : accès à ce qui est traité et aux destinataires ; correction, complétude et effacement ; traitement des griefs ; désignation d’une autre personne pour exercer vos droits en cas de décès ou d’incapacité.
Grievance Officer (§ 8(10), IT Rules 2021) : Marcel R. G. Berger, data-protection@digitalfreedom.co.za. Accusé sous 24 heures ; résolution sous 15 jours, portée à 30 pour les griefs complexes avec explication. Escalade : le Data Protection Board of India, une fois constitué.
Enfants (§ 9) : les données d’une personne de moins de 18 ans ne sont traitées qu’avec un consentement parental vérifiable ; aucun suivi, aucune surveillance comportementale, aucune publicité ciblée — il n’y a aucune publicité.
Transferts (§ 16) : autorisés sauf vers des destinations notifiées comme restreintes ; aucune des destinations utilisées ne l’est actuellement.

17.9 Japon (APPI)

L’APPI s’applique à un opérateur étranger qui recueille des informations personnelles dans le cadre de la fourniture de services à des personnes au Japon ; Snapshots est donc couvert.
Spécification de la finalité : la finalité d’utilisation est définie aussi étroitement que possible et publiée ici. Un changement de finalité est limité à ce qui reste en lien pertinent avec la finalité initiale ; au-delà, un nouveau consentement est requis.
Fourniture à un tiers à l’étranger : aucune donnée d’utilisateur n’est fournie à un tiers pour ses propres finalités. Les sous-traitants du § 6.1 agissent sur nos instructions ; les pays concernés sont le Royaume-Uni, la Suisse et les États-Unis, et les garanties figurent au § 7.
Informations rendues publiques (art. 32) : le nom et l’adresse de l’opérateur, les finalités d’utilisation, la procédure de demande de divulgation et le contact pour les réclamations figurent dans cette politique et dans les mentions légales. Représentant : Marcel R. G. Berger.
Notification des violations : rapport préliminaire à la Personal Information Protection Commission sous environ 3 à 5 jours et rapport final sous 30 jours (60 en cas d’accès frauduleux).
Aucun courriel publicitaire n’est envoyé : le régime 特定電子メール法 n’est pas en cause.

17.10 Corée (PIPA)

La PIPA s’applique à un opérateur étranger traitant des informations personnelles dans le cadre de l’offre de services à des personnes en Corée ; Snapshots est donc couvert.
Consentement détaillé et séparé : lorsque le consentement est la base, il est recueilli séparément pour chaque élément, les éléments obligatoires et facultatifs sont distingués, et refuser un élément facultatif ne bloque jamais le service.
Transfert transfrontalier : destinataires, pays de destination, éléments transférés et finalités figurent aux §§ 6 et 7.
Moins de 14 ans : le traitement exige le consentement du représentant légal. Snapshots ne s’adresse pas aux enfants ; le § 11 s’applique.
Délais : les demandes d’accès, de correction, de suppression et de suspension sont traitées sous 10 jours, ou nous vous indiquons le motif et le calendrier. Ce délai est plus court que le mois du RGPD et prévaut.
Violations : les personnes concernées sont informées sans délai ; au-delà du seuil légal, la Personal Information Protection Commission est notifiée sous 72 heures.

17.11 Turquie (KVKK)

La KVKK (loi n° 6698) est proche du RGPD dans sa structure mais s’appuie davantage sur le consentement explicite comme base générale ; chaque traitement est apprécié séparément au regard du droit turc.
Les transferts à l’étranger reposent sur les garanties du § 7 et, lorsque c’est nécessaire, sur votre consentement explicite après information sur le transfert.
Délai : 30 jours. Vous pouvez saisir la Kişisel Verileri Koruma Kurumu après nous avoir saisis, dans les 30 jours suivant notre réponse ou 60 jours suivant votre demande.

17.12 Afrique du Sud (POPIA)

Le § 3(1) de la POPIA vise un responsable domicilié en République ou un traitement au moyen d’installations qui s’y trouvent. Ni l’un ni l’autre n’est le cas : le responsable est domicilié au Wyoming et traite sur des serveurs à Londres. Un nom de domaine .co.za est un nom, pas un moyen de traitement : la loi ne s’applique donc pas aux faits actuels. Les demandes de type POPIA reçoivent néanmoins une réponse par les mêmes canaux et dans les mêmes délais qu’ailleurs — un engagement de service, non une reconnaissance d’applicabilité. Deux points où la POPIA s’écarterait du socle RGPD, dits sans détour : elle considère comme enfant toute personne de moins de 18 ans, et son § 22(1) impose la notification des violations sans le seuil de risque élevé du RGPD ; notre plan applique le standard du RGPD. Information Regulator : JD House, 27 Stiemens Street, Braamfontein, Johannesburg, 2001, https://inforegulator.org.za.

17.13 Tous les autres pays

Partout où l’App Store distribue et où aucune section ci-dessus ne s’applique : le socle RGPD de cette politique est votre minimum (§ 1.2), toute règle locale impérative plus protectrice prévaut, et chaque demande passe par data-protection@digitalfreedom.co.za ou https://data-protection.digitalfreedom.co.za.

Politique de confidentialité