Politique de confidentialité

SkinROI est exploité par Ludovic Zammit, personne physique établie au Québec, Canada, dans le cadre d’un projet gratuit et non commercial. Il n’y a pas de société derrière. Au sens des lois sur la protection des renseignements personnels, il est le responsable du traitement : la personne qui décide ce qui est collecté et pourquoi. Il n’y a ni délégué à la protection des données ni représentant désigné dans l’UE ou au Royaume-Uni. Vous pouvez le joindre à zammitludovic@gmail.com.

L’application et sa base de données tournent au Canada, dans le centre de données de Toronto, Canada de Akamai Connected Cloud (Linode). Les détails d’hébergement figurent dans les mentions légales.

Les lois qui s’appliquent en premier sont la LPRPDE canadienne et la Loi 25 du Québec. Si vous êtes dans l’Union européenne ou au Royaume-Uni, vous disposez aussi des droits prévus par le RGPD et le UK GDPR ; ils sont listés à la section 7 et nous les accordons à tout le monde, où que vous habitiez.

• Compte Steam (public) : quand vous vous connectez avec Steam (OpenID), nous recevons et conservons votre SteamID public, votre pseudo, votre avatar, l’URL de votre profil et, si votre profil l’affiche, votre pays. Nous ne recevons ni ne conservons jamais votre mot de passe Steam.
• Votre inventaire CS2 : les objets de votre inventaire Steam public (nom, float, paint seed, stickers et charms appliqués) pour pouvoir les valoriser.
• Achats et ventes que vous saisissez : montants, dates, provenances et notes que vous ajoutez vous-même pour suivre vos profits et pertes.
• Courriel (facultatif) : seulement si vous créez une alerte de prix ou enregistrez une adresse d’alerte par défaut. Il sert uniquement à envoyer les alertes que vous avez demandées.
• Identifiants connectés (facultatif) : si vous choisissez de connecter votre propre clé API CSFloat, clé API Steam ou cookie de session Steam pour des prix plus complets, ils sont conservés pour faire des requêtes en votre nom. Ils sont chiffrés au repos (AES-256-GCM) et vous pouvez les retirer à tout moment dans les réglages.
• Jeton push de l’appareil (facultatif) : si vous activez les notifications, votre jeton Apple Push (APNs) ou votre abonnement push de navigateur est conservé pour livrer les alertes de prix.
• Pages vues anonymes : le chemin, l’hôte du référent, si le visiteur était connecté et une empreinte visiteur qui change chaque jour et n’est pas réversible. Nous ne conservons pas votre adresse IP et n’utilisons aucun cookie publicitaire ou de suivi entre sites.
• Retours : ce que vous écrivez dans le formulaire de retour, sa catégorie, la page où vous étiez, le courriel que vous pouvez ajouter et, si vous êtes connecté, votre pseudo et votre SteamID.
• Joueurs professionnels : SkinROI indexe aussi les inventaires publics d’une liste de joueurs professionnels et de streamers (nom, SteamID64, familles de skins présentes dans leur inventaire public) pour montrer qui joue avec un skin donné. La section 4 explique comment ces données sont rafraîchies et retirées.

Nous ne vendons pas vos données et ne les utilisons pas pour de la publicité. Chaque finalité, les données qu’elle demande et sa base légale :

Quand une finalité repose sur le consentement, le retirer arrête cette finalité sans toucher au reste du service ni à ce qui a été fait avant. Quand une finalité repose sur l’intérêt légitime, vous pouvez vous y opposer (section 7) et nous arrêterons, sauf motif impérieux de continuer.

Inventaires publics des joueurs professionnels

La liste provient d’un jeu de données communautaire de SteamID64. Une tâche automatique la rafraîchit par lots, de sorte que toute la liste est revisitée environ une fois par semaine ; la liste des familles de skins est remplacée à chaque passage, donc les objets sortis d’un inventaire disparaissent. Un inventaire privé est ignoré et revérifié après 30 jours. Seule la famille du skin (par exemple « ak-47 | redline ») est conservée, jamais les floats, motifs ou valeurs. Un joueur ou streamer qui souhaite être retiré de la liste peut écrire à ${EMAIL} ; l’entrée et ses données d’inventaire sont supprimées.

Vos données sont stockées au Canada. Le Canada bénéficie d’une décision d’adéquation de la Commission européenne pour les données traitées sous la LPRPDE ; pour les visiteurs de l’UE, le stockage lui-même n’exige donc pas de garantie supplémentaire.

Certaines requêtes nécessaires au service atteignent des entreprises situées aux États-Unis : Valve (connexion Steam, profil, inventaire et prix de marché), CSFloat (prix), ipapi.co (recherche de pays unique), Resend (courriel) et Apple (notifications push). Le tableau de la section 9 indique exactement ce que chacune reçoit ; le plus souvent, un nom de skin ou rien du tout. Skinport et frankfurter.dev ne reçoivent rien vous concernant. Pour les visiteurs de l’UE et du Royaume-Uni, ces transferts reposent sur les garanties que chaque prestataire offre pour les transferts internationaux, comme les clauses contractuelles types, et se limitent aux données listées.

• Tout circule en HTTPS ; les requêtes en HTTP simple sont redirigées.
• Les identifiants connectés (clé CSFloat, clé API Steam, cookie de session Steam) sont chiffrés au repos en AES-256-GCM, avec une clé qui ne se trouve que sur le serveur.
• Le serveur ne conserve qu’une empreinte SHA-256 de chaque jeton de connexion de l’app iOS ; une copie de la base ne permet donc pas de se connecter.
• Le cookie de session est un jeton signé, httpOnly et Secure.
• Les outils d’administration sont protégés par une clé d’accès (WebAuthn) en plus de la connexion Steam.
• La base de données se trouve sur un seul serveur au Canada, auquel seul l’éditeur a accès.

Aucun système n’est parfaitement sûr. Si vous pensez avoir trouvé un problème de sécurité, écrivez à zammitludovic@gmail.com.

Quelle que soit la loi qui s’applique à vous, vous pouvez :

• Accéder à ce que nous détenons sur vous : l’export JSON des réglages est le dossier complet.
• Rectifier : les données de profil viennent de Steam et suivent votre profil Steam à la prochaine connexion ; achats, ventes, alertes et préférences se modifient directement dans l’app.
• Supprimer : en libre-service, voir la section 8.
• Emporter vos données (portabilité) : l’export est un JSON lisible par machine.
• Vous opposer à un traitement fondé sur l’intérêt légitime, ou en demander la limitation, par courriel.
• Retirer votre consentement à tout moment : alertes courriel, notifications push et identifiants connectés se désactivent tous dans les réglages.
• Porter plainte auprès d’une autorité : la Commission d’accès à l’information du Québec, le Commissariat à la protection de la vie privée du Canada, la CNIL si vous résidez en France, ou l’autorité de protection des données de votre pays de l’UE ou du Royaume-Uni.

Pour tout ce que vous ne pouvez pas faire vous-même dans l’app, écrivez à zammitludovic@gmail.com. Nous répondons sous 30 jours. Nous pourrons vous demander d’écrire depuis l’adresse courriel ou le compte Steam concerné, pour ne pas remettre vos données à quelqu’un d’autre.

Vous n’avez pas besoin de nous le demander. Les deux prennent effet immédiatement :

• Export : dans les réglages, sous « Zone sensible », « Exporter mes données (JSON) » télécharge un fichier lisible par machine avec votre profil, vos préférences, votre inventaire, vos achats, ventes, alertes, votre liste de suivi et vos appareils enregistrés. Les identifiants connectés sont indiqués comme présents ou absents, jamais en clair.
• Suppression : au même endroit, « Supprimer mon compte » (après une confirmation saisie au clavier) retire votre profil et tout ce qui y est rattaché : inventaire, achats, ventes, alertes, liste de suivi, identifiants, clés d’accès, appareils push, connexions de l’app et retours envoyés. Il n’y a ni délai de grâce ni récupération. L’app iOS propose la même action depuis son écran Réglages ; elle appelle la même suppression.

Les données de marché partagées (catalogue de skins, historique des prix) ne sont pas des données personnelles et ne sont pas touchées par la suppression d’un compte. Vous pouvez aussi effacer les identifiants connectés et désactiver le portefeuille public à tout moment sans supprimer le compte.

Tous les cookies sont internes et posés par skinroi.gg lui-même. Il n’y a aucun cookie publicitaire, d’analyse ou tiers, donc pas de bandeau à cliquer. Les cookies de préférence ne sont posés que lorsque vous modifiez le réglage correspondant.

La page d’inventaire garde aussi vos choix de recherche, de tri et de filtre dans le sessionStorage de votre navigateur, effacé à la fermeture de l’onglet et qui ne quitte jamais votre appareil. L’app iOS conserve son jeton de connexion dans le trousseau de l’appareil et une copie en cache de votre inventaire sur l’appareil.

Tiers (sous-traitants)

Nous ne partageons des données que dans la mesure nécessaire au service. Voici les services que le serveur contacte réellement :

SkinROI ne s’adresse pas aux moins de 16 ans et nous ne collectons pas sciemment leurs données. Steam lui-même exige que ses utilisateurs aient au moins 13 ans. Si vous pensez qu’un enfant nous a transmis des données personnelles, écrivez à zammitludovic@gmail.com et nous les supprimerons.

Nous pouvons mettre cette politique à jour. La date en haut de page change à chaque fois, et une modification qui compte pour vous (nouvelle donnée, nouvelle finalité, nouveau destinataire) est annoncée sur le site avant de s’appliquer.

Ludovic Zammit, zammitludovic@gmail.com. Les informations sur l’éditeur et l’hébergeur figurent dans les mentions légales ; les règles d’utilisation du service sont dans les conditions d’utilisation.