Politique de confidentialité de River

Version : projet du 29 octobre 2026. Date d'entrée en vigueur : à désigner.

River (nom provisoire ; nom commercial définitif : à désigner) est une application iPhone d'apprentissage du poker Texas Hold'em No-Limit. Cette politique explique quelles données River traite, dans quel but, sur quelle base, pendant combien de temps, avec qui elles sont partagées et quels sont vos droits. Elle s'applique à l'application et aux pages web de River (confidentialité, conditions d'utilisation, support et jeu responsable).

Elle tient compte de la loi fédérale suisse sur la protection des données (nLPD) et du règlement général de l'Union européenne sur la protection des données (RGPD), River étant aussi proposé dans des pays de l'Union européenne.

En bref

River fonctionne sans nom, sans adresse e-mail et sans mot de passe : un compte anonyme est créé automatiquement.
L'historique complet de vos mains simulées reste sur votre iPhone. Seules votre progression et vos décisions évaluées sont synchronisées.
Aucune publicité, aucun identifiant publicitaire, aucun traçage, aucun outil tiers d'analyse dans l'app.
La mesure d'audience ne fonctionne qu'avec votre accord, modifiable à tout moment.
Les paiements sont traités par Apple : River ne reçoit aucune donnée de paiement.
Vous pouvez supprimer votre compte et vos données directement dans l'app.

1. Responsable du traitement

ILYGO Sàrl, Suisse.

Adresse postale : à désigner
Numéro d'identification des entreprises (IDE) : à désigner
Contact pour la protection des données : à désigner
Représentant dans l'Union européenne (art. 27 RGPD) : à désigner

2. Données traitées

2.1 Compte et appareil

Au premier lancement avec une connexion à Internet, River crée un compte anonyme, sans action de votre part. Ce compte comprend :

un identifiant interne aléatoire ;
un second identifiant aléatoire, distinct du premier, transmis à Apple lors d'un achat pour rattacher l'achat à votre compte ;
la date de création du compte, la langue de l'app, la date à laquelle vous avez confirmé avoir 18 ans ou plus, votre choix concernant la mesure d'audience et votre niveau de départ (test de placement) ;
des jetons de connexion : un jeton d'accès valable 15 minutes et un jeton de renouvellement valable 90 jours au plus. Le serveur n'en conserve qu'une empreinte ; sur l'iPhone, ils sont rangés dans le trousseau d'iOS ;
pour chaque appareil : un identifiant d'installation généré par l'app, la plateforme, la version de l'app, la version d'iOS et la date de la dernière connexion.

River n'enregistre ni votre nom, ni votre adresse e-mail, ni votre numéro de téléphone.

2.2 Sign in with Apple (facultatif)

Si vous choisissez « Sauvegarder ma progression », River lie votre compte à votre identifiant Apple et enregistre :

l'identifiant stable qu'Apple fournit à River pour votre identifiant Apple ;
un jeton Apple, conservé chiffré et utilisé uniquement pour révoquer la liaison avec Apple lors de la suppression de votre compte, comme Apple l'exige.

2.3 Progression et apprentissage

Votre progression est enregistrée sur votre iPhone sous forme d'événements, puis synchronisée avec le serveur :

test de placement, leçons commencées, étapes et leçons terminées, réponses aux exercices, examens, révisions, réponses au puzzle du jour, utilisations du mode « Et si ? », mains jouées en partie libre (pour les limites quotidiennes), gels de série utilisés et changements de réglages (sans donnée personnelle) ;
pour chaque décision évaluée par le coach : la situation de jeu, l'action choisie, l'action de référence, la perte d'espérance de gain (EV) et la difficulté de la situation ;
pour chaque événement : la date et l'heure, la date locale et le décalage horaire, qui servent à calculer la série, les limites quotidiennes et les échéances de révision.

Le serveur conserve aussi un état récapitulatif (progression, indice de décision, file de révision, série, compteurs) pour restaurer rapidement votre progression, ainsi que vos résultats au puzzle du jour (date, puzzle, réussite, heure de la réponse), qui servent à afficher un taux de réussite global.

L'historique complet de vos mains simulées n'est jamais envoyé : il reste sur votre iPhone, limité aux 500 dernières mains.

2.4 Achats et abonnement

Les achats passent par l'App Store. River reçoit d'Apple des informations signées sur vos transactions :

identifiants de la transaction et de la transaction d'origine, produit acheté, dates d'achat, d'expiration et, le cas échéant, de révocation (par exemple après un remboursement) ;
type d'offre (par exemple l'essai gratuit), environnement (achat réel ou achat de test) et identifiant aléatoire rattaché à votre compte (voir 2.1) ;
notifications envoyées par Apple au serveur de River : renouvellement, expiration, remboursement, échec de facturation.

River en déduit votre accès Premium : statut, date d'expiration et éventuel délai de grâce.

River ne reçoit aucune donnée de paiement (numéro de carte, adresse de facturation) : le paiement est entièrement traité par Apple.

2.5 Mesure d'audience et diagnostics, avec votre accord uniquement

Si vous l'acceptez, à l'écran de confidentialité du premier lancement ou dans Réglages → Confidentialité, River envoie :

des événements d'usage nommés (par exemple « leçon terminée » ou « offre affichée »), avec des propriétés non personnelles, la version de l'app et l'heure ;
des diagnostics techniques fournis par iOS (MetricKit) : plantages, blocages et consommation d'énergie.

Ces événements sont rattachés à un pseudonyme calculé à partir de l'identifiant de votre compte au moyen d'une clé secrète, et non à cet identifiant lui-même.

Sans votre accord, aucun événement n'est envoyé. Si vous retirez votre accord, plus aucun événement n'est envoyé et ceux qui attendaient d'être envoyés sont supprimés de votre iPhone.

Apple peut également fournir à ILYGO, dans App Store Connect et Xcode, des statistiques et des rapports de plantage, selon les réglages de partage avec les développeurs que vous avez choisis dans iOS.

2.6 Sécurité

Journal d'audit : River consigne les opérations sensibles sur les comptes (création d'un compte anonyme, liaison avec Apple, fusion de comptes, suppression, rattachement, mise à jour et révocation d'un abonnement) ainsi que toutes les opérations d'administration. Chaque entrée indique notamment le compte concerné, désigné par son identifiant interne pseudonyme, l'opération, son résultat et sa date ; elle ne contient aucune donnée identifiante (ni identifiant Apple, ni adresse IP, ni identifiant d'installation) ni aucun secret.
Limitation du nombre de requêtes : pour protéger le service contre les abus, le serveur compte les requêtes par adresse IP et, selon l'opération, par compte, par installation ou par famille de jetons de renouvellement (une par appareil). Ces compteurs ne contiennent qu'une empreinte calculée au moyen d'une clé secrète (HMAC), jamais l'adresse IP ni l'identifiant en clair, et sont effacés au plus tard environ 24 heures après la dernière requête concernée.
Journaux techniques : les journaux techniques de l'API ne contiennent ni adresse IP, ni jeton, ni secret. Ils reprennent à l'identique les entrées du journal d'audit et peuvent donc contenir, comme elles, les identifiants internes pseudonymes d'un compte, de ses appareils ou de ses abonnements. Ils sont conservés 90 jours au plus.

2.7 Données conservées uniquement sur votre iPhone

les événements en attente de synchronisation et l'état de votre progression ;
l'historique des mains simulées (500 dernières mains) ;
le contenu pédagogique téléchargé ;
vos préférences, dont vos choix de confidentialité et l'heure de rappel ;
le dernier état connu de votre accès Premium.

Les rappels sont des notifications locales, programmées sur l'iPhone : River ne collecte aucun jeton de notification push.

2.8 Pages web

Les pages web de River n'utilisent aucun cookie ni aucun traceur. Les liens partagés depuis le puzzle du jour mènent à une page de redirection vers l'App Store, sans paramètre personnel.

2.9 Demandes au support

Si vous contactez le support, ILYGO traite les informations que vous lui transmettez (votre message, l'adresse à laquelle vous répondre) et, si vous l'indiquez, l'identifiant support affiché dans Réglages, qui permet de retrouver votre compte.

3. Finalités et bases légales

Finalité	Données	Base légale au sens du RGPD
Fournir l'app : compte, sauvegarde et synchronisation de la progression, restauration sur un autre appareil, fusion de comptes	2.1, 2.2, 2.3	Exécution du contrat (art. 6, par. 1, let. b)
Vérifier les achats et gérer l'accès Premium (restauration, renouvellement, remboursement, rapprochement quotidien avec Apple)	2.4	Exécution du contrat (art. 6, par. 1, let. b)
Afficher le taux de réussite global du puzzle du jour	Résultats du puzzle (2.3)	Exécution du contrat (art. 6, par. 1, let. b)
Réserver l'app aux personnes de 18 ans et plus	Date de confirmation de l'âge (2.1)	Intérêt légitime d'ILYGO à réserver l'app à un public adulte (art. 6, par. 1, let. f)
Mesure d'audience et diagnostics, pour améliorer l'app et corriger les plantages	2.5	Consentement (art. 6, par. 1, let. a), retirable à tout moment
Statistiques agrégées sur l'usage du service (progression, fidélité, essais et abonnements), sans donnée individuelle	2.1 à 2.4, et 2.5 seulement avec votre accord	Intérêt légitime d'ILYGO à piloter le service (art. 6, par. 1, let. f) ; consentement pour les données de 2.5
Sécurité : prévenir les abus, protéger les comptes, tracer les opérations sensibles	2.1, 2.6	Intérêt légitime d'ILYGO à la sécurité du service (art. 6, par. 1, let. f)
Support et exercice de vos droits	2.9 et données nécessaires à la demande	Exécution du contrat (art. 6, par. 1, let. b) ; obligation légale pour les demandes relatives à vos droits (art. 6, par. 1, let. c)
Obligations comptables liées aux ventes	2.4	Obligation légale (art. 6, par. 1, let. c) ; périmètre à désigner

Au regard de la nLPD, ILYGO traite vos données de manière licite, de bonne foi et proportionnée, pour les seules finalités indiquées ci-dessus, et recueille votre consentement lorsqu'il est requis.

River ne vend aucune donnée et ne les utilise pas à des fins publicitaires.

4. Durées de conservation

Données	Durée de conservation
Compte, appareils, identité Apple, progression, événements synchronisés, résultats du puzzle	Jusqu'à la suppression du compte. Un compte anonyme, c'est-à-dire non lié à un identifiant Apple, sans activité depuis 13 mois est supprimé automatiquement.
Jetons de renouvellement	90 jours au plus ; remplacés à chaque utilisation et révoqués à la déconnexion, puis effacés à leur expiration. Supprimés immédiatement avec le compte.
Données d'achat (transactions, accès Premium)	Jusqu'à la suppression du compte : elles sont alors supprimées avec lui. Durée éventuellement imposée par les obligations comptables : à désigner ; si une telle obligation est retenue, les données d'achat concernées seront conservées pendant cette durée au lieu d'être supprimées avec le compte, et cette politique sera mise à jour.
Notifications d'Apple relatives aux achats	13 mois, et au plus tard jusqu'à la suppression du compte.
Jeton Apple chiffré	Tant que le compte est lié à Apple. Après une suppression, 7 jours au plus, uniquement si la révocation auprès d'Apple doit être répétée.
Mesure d'audience et diagnostics (2.5)	13 mois ; supprimés avec le compte. Les événements déjà reçus avant un retrait de votre accord restent conservés jusqu'à l'échéance de cette durée, sauf suppression du compte.
Journal d'audit	90 jours, y compris après la suppression du compte (identifiant interne pseudonyme du compte, sans donnée identifiante ni secret).
Journaux techniques de l'API	90 jours au plus.
Adresses IP et autres compteurs utilisés pour limiter les requêtes	Jamais en clair : seule une empreinte (HMAC) sert de compteur, effacée au plus tard environ 24 heures après la dernière requête concernée.
Demandes au support	À désigner.
Sauvegardes du serveur	Les données supprimées restent dans les sauvegardes chiffrées jusqu'à l'expiration de leur durée de conservation (à désigner), puis disparaissent automatiquement.
Données sur votre iPhone	Jusqu'à la suppression du compte ou jusqu'à la déconnexion, après confirmation. Historique des mains : 500 dernières mains.

Supprimer l'app de votre iPhone ne supprime pas votre compte sur le serveur : utilisez pour cela « Supprimer mon compte et mes données » (section 9).

5. Destinataires et sous-traitants

ILYGO : seules les personnes et les agents autorisés par ILYGO pour l'exploitation du service accèdent aux données, dans la limite de ce qui est nécessaire.
Hébergement : les données du serveur sont hébergées en Suisse ou dans l'Union européenne, sur l'infrastructure d'ILYGO. Hébergeur et lieu exacts : à désigner.
Apple : Sign in with Apple, App Store (paiement, gestion des abonnements, remboursements), services de vérification des achats et notifications d'Apple. Apple traite ces données selon ses propres conditions et sa propre politique de confidentialité.
Agent d'intelligence artificielle (sous-traitant) : ILYGO peut recourir à un agent d'intelligence artificielle, fourni par un prestataire agissant comme sous-traitant (prestataire et lieu de traitement : à désigner), pour l'exploitation technique du service et le traitement des demandes de support. Cet agent passe par une interface d'administration dédiée, avec des permissions limitées, et chacune de ses opérations est consignée dans le journal d'audit. Il ne peut accéder aux données d'un compte (résumé du compte sans le contenu des événements, export ou effacement sur demande) que si ILYGO lui en a donné l'autorisation explicite. Les indicateurs qu'il consulte par ailleurs sont agrégés et ne contiennent aucune donnée individuelle.
Autorités : lorsque la loi l'exige.

6. Transferts hors de Suisse et de l'Espace économique européen

Les données du serveur de River sont hébergées en Suisse ou dans l'Union européenne. Certains destinataires, comme Apple ou le prestataire de l'agent d'intelligence artificielle, peuvent traiter des données dans d'autres pays. Dans ce cas, ILYGO s'appuie sur les garanties prévues par la loi, par exemple une décision d'adéquation du Conseil fédéral ou de la Commission européenne, ou des clauses contractuelles types. Garanties retenues pour chaque destinataire : à désigner.

7. Sécurité

Tous les échanges entre l'app et le serveur sont chiffrés (TLS).
Sur l'iPhone, les jetons de connexion sont rangés dans le trousseau d'iOS.
Sur le serveur, les jetons de renouvellement ne sont conservés que sous forme d'empreinte, le jeton Apple est chiffré et les sauvegardes sont chiffrées.
Les données de mesure d'audience et les compteurs de limitation des requêtes sont pseudonymisés.
L'accès d'administration est réservé à des comptes techniques aux permissions limitées, et chaque opération est consignée.

8. Vos droits

Dans les limites prévues par la loi, vous pouvez :

obtenir l'accès à vos données (art. 25 nLPD, art. 15 RGPD) ;
recevoir vos données dans un format électronique courant ou les faire transmettre à un autre responsable (art. 28 nLPD, art. 20 RGPD) ;
faire rectifier des données inexactes (art. 32 nLPD, art. 16 RGPD) ;
faire effacer vos données (art. 32 nLPD, art. 17 RGPD), directement dans l'app (section 9) ;
demander la limitation du traitement (art. 18 RGPD) ;
vous opposer à un traitement fondé sur l'intérêt légitime (art. 30 et 32 nLPD, art. 21 RGPD) ;
retirer votre consentement à tout moment, sans effet sur la licéité du traitement effectué avant ce retrait (art. 7, par. 3, RGPD) ;
déposer une plainte ou une dénonciation auprès d'une autorité de contrôle : en Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT) ; dans l'Union européenne, l'autorité de votre lieu de résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée (art. 77 RGPD).

Comment exercer vos droits :

Mesure d'audience : Réglages → Confidentialité.
Effacement : dans l'app (section 9).
Accès et portabilité : l'app ne propose pas encore d'export. Adressez votre demande au contact indiqué ci-dessous (à désigner) en mentionnant l'identifiant support affiché dans Réglages. ILYGO y répond dans un délai de 30 jours et vous remet vos données au format JSON.

Comme River ne connaît ni votre nom ni votre adresse e-mail, l'identifiant support permet de retrouver votre compte. ILYGO peut vous demander des éléments supplémentaires pour vérifier que la demande émane bien du titulaire du compte.

9. Supprimer votre compte et vos données

Dans Réglages, choisissez « Supprimer mon compte et mes données », puis confirmez. Cette fonction est aussi disponible pour un compte anonyme.

Sur le serveur : les données de votre compte sont supprimées (compte, identité Apple, appareils, progression et événements synchronisés, résultats du puzzle, données d'achat sous réserve d'une obligation de conservation comptable à désigner, mesure d'audience). Vos jetons de renouvellement sont supprimés immédiatement : toutes vos sessions sont fermées. La liaison avec Apple est révoquée aussitôt auprès d'Apple ; si Apple ne peut pas être joint, de nouveaux essais ont lieu à intervalles croissants (de quelques minutes à 6 heures) pendant 7 jours au plus.
Sur votre iPhone : les données de River sont effacées et l'app revient à l'état d'une nouvelle installation.
Hors ligne : la suppression est mise en attente et envoyée dès le retour du réseau. En attendant, seule une information minimale nécessaire pour terminer la suppression reste sur l'iPhone.
Ce qui subsiste temporairement : le journal d'audit et les journaux techniques (90 jours au plus), qui gardent l'identifiant interne pseudonyme du compte, sans aucune donnée identifiante ni secret ; les compteurs de limitation des requêtes, sous forme d'empreintes (HMAC), environ 24 heures au plus ; le jeton Apple chiffré si la révocation auprès d'Apple doit être répétée (7 jours au plus) ; les sauvegardes jusqu'à l'expiration de leur durée de conservation (à désigner).
Abonnement : supprimer votre compte ne résilie pas votre abonnement Apple. L'écran de suppression propose un lien vers la gestion de l'abonnement. Si vous restaurez plus tard vos achats sur un nouveau compte, l'accès Premium d'un abonnement en cours lui est transféré.

La déconnexion (Réglages, compte lié à Apple) est différente : après confirmation, elle efface les données de River sur l'iPhone, mais conserve votre compte sur le serveur.

10. Âge minimum

River est réservé aux personnes de 18 ans et plus. Au premier lancement, l'app vous demande de le confirmer. Sans cette confirmation, elle affiche une explication, ne donne accès à aucun contenu et n'envoie aucune donnée.

11. Évaluations automatisées

Le coach et l'indice de décision de River évaluent automatiquement vos décisions de jeu, par le calcul, à des fins d'apprentissage uniquement. Ces évaluations sont calculées sur votre iPhone, n'ont aucun effet juridique et ne vous affectent pas de manière significative. River ne prend aucune décision individuelle automatisée au sens de l'art. 21 nLPD et de l'art. 22 RGPD.

12. Modifications

ILYGO peut mettre à jour cette politique, notamment lorsque l'app évolue. La date de version figure en tête de page. En cas de changement important, ILYGO vous en informe de manière appropriée, par exemple dans l'app.

13. Contact

Pour toute question sur cette politique ou sur vos données : à désigner.