Politique de sécurité

Chiffrement en transit

Le trafic entre l'application et Supabase, la fonction serveur d'IA et les services publicitaires de Google utilise HTTPS/TLS. L'application n'autorise pas le trafic HTTP non chiffré.

Chiffrement au repos

Supabase chiffre le stockage de la base de données. Les sauvegardes de jeu restent dans l'espace de stockage privé de l'application, sur votre appareil.

Contrôle d'accès

La sécurité au niveau des lignes (Row Level Security, RLS) est activée sur chaque table Supabase, de sorte que la clé publique ne peut faire que ce que les règles autorisent, comme ajouter des événements de statistiques et lire les contenus partagés. La clé de rôle de service n'est jamais intégrée à l'application.

Gestion des secrets

La clé d'API OpenAI est un secret côté serveur de l'Edge Function de Supabase et n'est pas intégrée à l'application.

Prévention des abus

La fonction IA limite le nombre de requêtes par client et ne transmet que le message actuel et jusqu'à six messages récents.

Moindre privilège

Les droits d'administrateur sont limités à deux développeurs. Supabase, Google Play Console, AdMob et OpenAI utilisent la vérification en deux étapes.

Dépendances et versions

Nous mettons régulièrement à jour les SDK et les bibliothèques, et nous examinons les avis de sécurité avant chaque version. L'application est signée avec Play App Signing.

Protections de l'assistant IA

• Avant la première utilisation, les joueurs sont informés que leurs messages sont envoyés à OpenAI et sont invités à ne pas partager d'informations personnelles.
• Les joueurs peuvent signaler des réponses IA offensantes ou nuisibles depuis l'écran de discussion.
• Les conversations ne sont pas stockées dans notre base de données, nos journaux serveur ne conservent pas le texte des messages, et nous n'utilisons pas les conversations pour entraîner nos propres modèles.

Violations de données personnelles

Si nous découvrons une violation de données personnelles, nous la contenons, évaluons le risque et, lorsque la loi l'exige, notifions l'autorité de protection des données dans un délai de 72 heures. Lorsque le risque pour les joueurs concernés est élevé, nous les informons dans les meilleurs délais (articles 33 et 34 du RGPD). Nous tenons un registre interne des incidents.

Signaler un problème de sécurité

Si vous découvrez un problème de sécurité, envoyez les détails à contact@arojentarinat.com. Veuillez nous laisser un délai raisonnable pour corriger le problème avant de le publier. Nous accusons réception des signalements dans un délai de 5 jours ouvrables, et nous n'engagerons aucune action contre les recherches menées de bonne foi.