Politique de Confidentialité

0. Responsable de traitement

Krush Poker est édité et opéré par l'équipe Krush Poker (voir les mentions légales pour l'identité complète de l'éditeur). Le responsable de traitement au sens du RGPD est l'éditeur de Krush Poker, joignable à contact@krushpoker.com.

1. Catégories de données collectées

Selon ton usage de l'application, nous traitons les catégories de données suivantes :

• Compte & profil — email, mot de passe (haché, via l'authentification sécurisée), pseudo, avatar, niveau et variante de poker, volume de jeu hebdomadaire.
• Suivi mental & jeu — objectifs quotidiens/hebdo, bilans de session, journal, leaks mentaux identifiés, rituels de session, exercices et scores (Stroop, cohérence cardiaque, KPA, Krush Score), évaluations de readiness.
• Données cardiaques / variabilité de fréquence cardiaque (VFC) — si tu connectes un capteur de fréquence cardiaque Bluetooth (Web Bluetooth), nous enregistrons un résumé de session (BPM moyen/min/max, BPM au repos, intervalles RR, RMSSD, « Charge Nerveuse », pics au-dessus d'un seuil). Ce sont des données de santé au sens de l'article 9 du RGPD.
• Hand histories — fichiers d'historiques de mains que tu importes et les mains individuelles qui en sont extraites (actions, mises, résultats) pour l'analyse de ton jeu.
• Résultats & performance — sessions de grind (durée, buy-in, résultat), objectifs atteints, Krush Score et KPA au fil du temps.
• Krush Cup — si tu actives l'option, ton pseudo et ton score sont inclus dans un classement mensuel visible par les autres participants.
• Agenda — événements et rappels que tu crées dans l'agenda de l'application (aucune synchronisation avec un agenda externe comme Google Agenda n'est proposée à ce jour).
• Coach IA (Cortex) — messages échangés avec le coach IA.
• Support — messages que tu envoies via le formulaire de contact ou les threads de support (nom, email, sujet, contenu du message).
• Notifications — si tu actives les notifications push, l'identifiant technique (endpoint) de ton navigateur/appareil ; ton email pour les emails transactionnels et les récapitulatifs hebdomadaires / mensuels.
• Consentement coach — les catégories que tu autorises un coach/administrateur à consulter (journal, leaks, objectifs, cardio) et l'historique des consultations effectuées.
• Télémétrie technique — événements produits liés à ton parcours d'onboarding et journaux d'erreurs applicatives (voir section 4, « Analytics »).
• Paiement — si tu souscris à une offre payante, le paiement est traité par Stripe ; Krush Poker ne stocke pas ton numéro de carte bancaire.

2. Finalités et bases légales

Le tableau ci-dessous résume, pour chaque catégorie, la finalité principale, la base légale (RGPD) et la durée de conservation indicative.

3. Données cardiaques et VFC — un traitement à part

Krush Poker permet de connecter, si tu le souhaites, un capteur de fréquence cardiaque compatible Bluetooth Low Energy via l'API Web Bluetooth de ton navigateur. Cette connexion est :

• Opt-in : rien n'est activé par défaut, tu dois explicitement appairer un appareil ;
• Locale à l'appareil : l'appairage et la lecture du signal se font directement entre ton navigateur et le capteur, sans passer par un service tiers ;
• Seul un résumé de session (moyennes, RMSSD, score de charge, éventuellement un échantillonnage du signal) est envoyé à nos serveurs pour affichage dans ton historique.

Comme il s'agit de données de santé (art. 9 RGPD), la base légale est ton consentement explicite. Ce consentement n'est pas déduit de l'autorisation Bluetooth du navigateur : avant la première connexion d'un capteur, un écran dédié te présente le texte de consentement (finalité, données concernées, durée, retrait) et tu dois le cocher. Nous enregistrons alors une trace horodatée comprenant la version du texte accepté, la finalité et la date d'acceptation.

Tu peux retirer ce consentement à tout moment depuis « Mon profil » : le capteur est déconnecté et plus aucune donnée cardiaque n'est enregistrée ; la date de retrait est conservée dans la trace de consentement. Tu peux aussi supprimer tes sessions cardiaques individuellement ou via la réinitialisation complète de ton tableau de bord (section 7), qui s'exécute en une seule transaction et supprime l'ensemble de tes données de suivi.

4. Analytics et journaux techniques (déjà actifs)

Contrairement à une version antérieure de cette page, des analytics sont bien actifs dès aujourd'hui, sous deux formes :

• Télémétrie produit — des événements liés à ton parcours d'onboarding sont enregistrés pour comprendre l'usage global de l'application et l'améliorer (base légale : intérêt légitime).
• Journaux d'erreurs — les erreurs applicatives rencontrées côté client ou serveur sont journalisées pour diagnostiquer et corriger des bugs (base légale : intérêt légitime).

Ces analytics sont internes à l'infrastructure d'hébergement de Krush Poker, ne sont pas partagés à des fins publicitaires et ne déposent pas de cookies traceurs tiers.

5. Données transmises aux modèles d'IA (Coach / Cortex)

Le coach mental IA (« Cortex ») a besoin de contexte pour te répondre de manière pertinente. Lorsque tu lui écris, les données suivantes peuvent être transmises au fournisseur de modèle d'IA, via la passerelle Lovable AI Gateway :

• Le message que tu viens d'envoyer et l'historique récent de la conversation ;
• Un résumé de contexte : tes objectifs long terme, valeurs et règles de vie ;
• Tes leaks mentaux identifiés et événements de leaks récents ;
• Des extraits de tes bilans de session et de ton journal ;
• Tes objectifs quotidiens, sessions de grind récentes, évaluations de readiness ;
• Tes scores mentaux (dimensions, valeurs, dates).

Ce traitement est effectué par des fournisseurs tiers de modèles, tous appelés via la Lovable AI Gateway : Google (modèles Gemini) pour les conversations Cortex et la génération de contenus, OpenAI pour certaines générations (modèles GPT), la transcription vocale de tes notes (modèle de transcription audio) et la synthèse vocale du protocole de récupération NSDR (modèle text-to-speech). Les échanges transitent en HTTPS et, selon les conditions d'utilisation API de la passerelle et du fournisseur de modèle, ne sont pas destinés à l'entraînement de leurs modèles. Nous nous appuyons sur ces engagements contractuels : nous ne pouvons pas garantir davantage que ce que ces fournisseurs s'engagent à respecter. Les messages échangés sont conservés tant que ton compte est actif, ou jusqu'à ce que tu réinitialises ton tableau de bord (suppression manuelle possible à tout moment).

Tu peux éviter ce traitement en n'utilisant simplement pas le coach IA ; le reste de l'application (suivi manuel, agenda, hand histories, etc.) fonctionne indépendamment.

6. Krush Cup — classement entre joueurs

La Krush Cup est un classement mensuel opt-in : tant que tu ne l'actives pas, aucune de tes données n'y apparaît. Une fois activée, ton pseudo et ton score sont visibles par les autres participants pendant la période du classement. Tu peux quitter la Krush Cup à tout moment depuis tes réglages ; ton pseudo et ton score disparaissent alors du classement en cours.

7. Consentement coach et suivi par un administrateur

Si tu bénéficies d'un accompagnement par un coach/administrateur Krush Poker, tu choisis explicitement, catégorie par catégorie, ce qu'il peut consulter : journal, leaks, objectifs, données cardiaques. Rien n'est accessible par défaut.

Chaque consultation de tes données par un coach est journalisée (qui, quand, quelle catégorie) dans un registre d'accès. Tu peux révoquer ce consentement à tout moment ; la révocation empêche immédiatement tout nouvel accès.

8. Notifications

Les notifications push (navigateur) reposent sur un identifiant technique d'abonnement propre à ton appareil, que tu peux révoquer en désactivant les notifications dans ton navigateur ou dans les réglages de l'application. Les emails de récapitulatif hebdomadaire et mensuel sont envoyés uniquement si tu ne t'en es pas désabonné ; un lien de désinscription est présent dans chaque email.

9. Stockage et hébergement

Krush Poker est hébergé sur Lovable Cloud (infrastructure basée sur Supabase, hébergée dans l'Union européenne). Les données sont stockées dans des bases protégées par des règles d'accès au niveau ligne (Row-Level Security) qui isolent les données de chaque utilisateur. Seule l'équipe technique de Krush Poker peut y accéder, dans le cadre strict de la maintenance et du support.

10. Sous-traitants et destinataires

• Lovable Cloud / Supabase — hébergement de la base de données et des fonctions serveur (UE).
• Lovable AI Gateway — passerelle unique vers les modèles d'IA utilisés par le coach mental et les fonctions vocales : modèles Google Gemini et modèles OpenAI (génération, transcription audio, synthèse vocale).
• Lovable Email API — envoi des emails transactionnels et des récapitulatifs.
• Stripe — traitement des paiements et abonnements.
• Cloudflare — diffusion du site, protection anti-abus et exécution des fonctions serveur en périphérie de réseau. Traite les données techniques de connexion (adresse IP, en-têtes de requête).
• OnceHub — prise de rendez-vous pour les entretiens de coaching. Ce service n'est sollicité que si tu cliques volontairement sur le lien de réservation ; les informations que tu y saisis (nom, email, créneau) sont traitées sur le site d'OnceHub.
• Brevo — envoi de la newsletter, uniquement si tu y as consenti explicitement.
• WhatsApp (Meta Platforms Ireland) — canal de suivi proposé aux élèves accompagnés. Son usage est facultatif : il n'est activé que si tu nous écris toi-même sur ce canal, et aucune donnée n'y est transmise depuis le site.

Les polices de caractères du site sont auto-hébergées : aucune requête n'est adressée aux serveurs Google Fonts, et ton adresse IP n'est donc pas transmise à ce titre.

Krush Poker ne revend aucune donnée et ne les partage pas à des fins publicitaires.

Transferts hors Union européenne

L'hébergement de la base de données et des fonctions serveur est situé dans l'Union européenne. En revanche, les traitements d'intelligence artificielle (génération de texte, transcription audio, synthèse vocale) sont opérés par Google LLC et OpenAI, L.L.C., tous deux établis aux États-Unis, via la passerelle Lovable AI Gateway. L'envoi d'emails (Lovable Email API) et le traitement des paiements (Stripe, Inc.) peuvent également impliquer un transfert hors UE.

Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) et, le cas échéant, par la certification des destinataires au EU-U.S. Data Privacy Framework, complétées par des mesures techniques (chiffrement en transit, minimisation du contexte transmis, absence d'identifiant direct dans les requêtes IA).

Les contenus transmis aux modèles d'IA ne sont pas utilisés pour l'entraînement de ces modèles. Tu peux à tout moment cesser d'utiliser le coach IA : le reste de l'application reste pleinement fonctionnel sans aucun transfert de ce type.

Absence de décision automatisée

Aucune décision produisant des effets juridiques ou t'affectant de manière significative n'est prise de façon automatisée : les analyses de Cortex, les scores et les indicateurs sont des aides à la décision, jamais des décisions.

11. Conservation et suppression

Tes données sont conservées tant que ton compte est actif. Tu peux à tout moment :

• Réinitialiser ton tableau de bord (suppression des objectifs, bilans, sessions, hand histories, données cardiaques, conversations avec le coach IA, etc., en conservant ton compte, ton abonnement et l'historique de support) ;
• Demander la suppression complète de ton compte et de l'ensemble des données associées en écrivant à contact@krushpoker.com.

Certains journaux techniques et échanges de support peuvent être conservés au-delà, de manière limitée, pour des raisons de sécurité ou d'obligations légales (facturation).

12. Cookies et traceurs

Le site utilise uniquement des cookies et stockages locaux strictement nécessaires à son fonctionnement :

• Session — maintien de ton authentification et du verrou de session unique.
• Préférences — thème, raccourcis, brouillons de notes conservés sur ton appareil.
• Mesure d'audience — comptage interne des pages vues, sans cookie publicitaire ni revente, avec adresse IP non conservée en clair.
• Paiement — cookies déposés par Stripe lors du passage en caisse, nécessaires à la sécurité de la transaction.

Aucun cookie publicitaire ni traceur de réseau social n'est déposé sans ton consentement. Ces traceurs strictement nécessaires sont exemptés de consentement au sens des recommandations de la CNIL.

13. Tes droits

Conformément au Règlement Général sur la Protection des Données (RGPD), tu disposes des droits suivants :

• Droit d'accès à tes données
• Droit de rectification des informations inexactes
• Droit à l'effacement de ton compte et de tes données
• Droit à la limitation du traitement
• Droit à la portabilité de tes données
• Droit d'opposition à certains traitements (notamment analytics, notifications)
• Droit de retrait du consentement à tout moment (données cardiaques, Krush Cup, consentement coach, notifications), sans remise en cause de la licéité du traitement effectué avant ce retrait

Réclamation auprès de la CNIL

Tu peux exercer ces droits à tout moment en écrivant à contact@krushpoker.com. Nous répondons dans un délai d'un mois.

Si tu estimes, après nous avoir contactés, que tes droits ne sont pas respectés, tu as le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr/fr/plaintes.

14. Contact

Pour toute question relative à tes données ou pour exercer tes droits, tu peux nous contacter :

Email : contact@krushpoker.com

Cette politique de confidentialité peut être mise à jour. Nous t'invitons à consulter cette page régulièrement.