Politique de confidentialité
Dernière mise à jour : 12 novembre 2026
La présente politique explique quelles données personnelles MapTrust traite, pour quelles finalités, sur quel fondement, pendant combien de temps et avec quels destinataires, conformément au règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
1. Responsable du traitement
Le responsable du traitement est Adrien Pennetier EI, exerçant sous le nom commercial PENRA, entrepreneur individuel (régime de la micro-entreprise), domicilié 11 allée de la Robertsau, 67000 Strasbourg, France (SIREN 989 816 947).
Pour toute question relative à vos données ou pour exercer vos droits, vous pouvez contacter notre référent pour la protection des données à l’adresse [à compléter], ou par courrier à l’adresse ci-dessus.
Les prestataires suivants agissent en qualité de responsables de traitement distincts :
- Stripe Payments Europe, Ltd. (Irlande), établissement de monnaie électronique, pour le paiement du prix des îles, la conservation des fonds, les versements aux vendeurs (service Stripe Connect), la vérification d’identité des vendeurs, la prévention de la fraude et la lutte contre le blanchiment de capitaux. Ces traitements sont décrits dans sa politique de confidentialité. Pour exercer vos droits auprès de Stripe, adressez-vous à lui selon les modalités qu’elle indique. Les documents d’identité et coordonnées bancaires que vous transmettez à Stripe à l’ouverture de votre compte de paiement lui sont communiqués directement et ne sont ni reçus ni conservés par MapTrust ;
- Polar Software, Inc. (États-Unis), revendeur (« merchant of record ») des frais de mise en vente, pour leur paiement, leur facturation et les obligations fiscales qui s’y attachent ; Polar fait traiter les paiements par carte par ses propres prestataires. Ces traitements relèvent de sa propre politique de confidentialité ;
- Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande), si vous choisissez « Continuer avec Google », pour votre compte Google et l’authentification qu’il permet. Google apprend que vous vous connectez à MapTrust ; MapTrust ne reçoit que les données décrites à l’article 2.
2. Données que nous traitons
- Données de compte : adresse électronique, identifiant, mot de passe (stocké sous forme chiffrée par notre prestataire d’authentification), déclaration de majorité, date et version des conditions acceptées. Si vous utilisez « Continuer avec Google » : identifiant de votre compte Google, adresse électronique et sa vérification, nom et photo de profil transmis par Google (ces deux derniers sont conservés par notre prestataire d’authentification et ne sont pas affichés publiquement : votre nom affiché et votre identifiant sont ceux que vous choisissez). MapTrust ne reçoit jamais votre mot de passe Google et n’accède ni à vos contacts, ni à votre messagerie Gmail, ni à vos fichiers.
- Données de profil : nom affiché, photo, biographie, liens publics, statut particulier ou professionnel, dénomination et numéros d’immatriculation pour les professionnels.
- Annonces : type d’annonce (Vitrine ou vente), descriptions, visuels, codes d’îles, prix, éléments cédés, dates de soumission et d’examen, échanges avec l’équipe d’examen, prix suggéré et prix maximal calculés pour une Annonce de vente et, le cas échéant, justification d’un prix plus élevé.
- Justificatifs : preuves de propriété et justificatifs de revenus (exports ou captures du Creator Portal), consultés uniquement par la modération.
- Messages : contenu des échanges dans la messagerie, pièces jointes, offres faites depuis la conversation, date de lecture de chaque message (accusé de lecture). L’indicateur « écrit… » est transmis en temps réel à l’interlocuteur sans être enregistré.
- Transactions : offres, montants, statuts, identité légale (nom et prénom réels de l’Acheteur) et qualité (particulier ou professionnel) déclarées au contrat, contrats de cession acceptés (avec horodatage et empreinte), date de la renonciation au droit de rétractation, étapes de transfert, litiges, avis, relevés de commission et factures, identifiants et statuts chez Stripe des paiements, transferts, remboursements et contestations bancaires. Les données de carte sont saisies chez Stripe et ne nous sont pas communiquées.
- Compte de paiement (vendeurs) : identifiant du compte Stripe et son état transmis par Stripe (informations complètes, paiements et versements activés). Pour ouvrir ce compte, MapTrust transmet à Stripe votre adresse électronique, votre pays et votre statut (particulier ou société) déclarés dans vos informations fiscales, l’adresse de votre profil public et votre identifiant interne ; vous communiquez directement à Stripe, sur ses pages, les autres informations qu’il demande (identité, date de naissance, adresse, compte bancaire, justificatifs).
- Frais de mise en vente : montant et statut des frais de chaque annonce, identifiants de la commande et du paiement chez Polar, dates de paiement et de remboursement, horodatage de la demande d’exécution immédiate, place éventuelle de l’offre de lancement. Pour créer le paiement, MapTrust transmet à Polar votre adresse électronique, l’identifiant interne de votre compte et, lorsqu’elle est connue, votre adresse IP (utile au calcul de la TVA et à la prévention de la fraude). Les données de carte et de facturation sont saisies chez Polar et ne nous sont pas communiquées.
- Données fiscales (DAC7) : nom, date de naissance, adresse, numéro d’identification fiscale, numéro de TVA ou d’immatriculation, montants perçus, commissions et frais.
- Données techniques : adresse IP, journaux de connexion et d’activité, type de navigateur, identifiants de session. Pour compter une seule vue par visiteur et par jour sur une annonce, MapTrust calcule une empreinte non réversible (HMAC avec une clé secrète) de l’adresse IP (ramenée à son préfixe /64 en IPv6), propre à cette annonce et à ce jour : elle ne permet ni de vous identifier ni de vous suivre d’une annonce à l’autre. Pour limiter les abus du formulaire de signalement, un compteur horaire est associé à une empreinte du même type de l’adresse IP (jamais à l’adresse en clair), ou à votre compte si l’adresse n’est pas connue.
- Modération et signalements : signalements émis ou reçus, décisions et exposés des motifs.
Nous ne collectons aucune donnée sensible au sens de l’article 9 du RGPD et ne vous demandons jamais les identifiants de votre compte Epic Games.
3. Finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Création et gestion du compte, publication des annonces, messagerie | Exécution du contrat (CGU) |
| Connexion avec un compte Google, à votre demande | Exécution du contrat (CGU, article 4.1) |
| Ouverture et suivi du compte de paiement du vendeur chez Stripe, transmission à Stripe des données nécessaires au paiement, à la conservation des fonds et aux versements | Exécution du contrat (CGV, article 5) |
| Gestion des offres et Transactions, génération et conservation des contrats, suivi du transfert, paiements et remboursements | Exécution du contrat (CGU et CGV) |
| Paiement et remboursement des frais de mise en vente, attribution des places de l’offre de lancement | Exécution du contrat (CGV) |
| Calcul du prix suggéré et du prix maximal d’une Annonce de vente (statistiques officielles, estimation et revenus vérifiés), examen d’un prix plus élevé | Exécution du contrat (CGU, article 5) |
| Examen des annonces avant publication : concordance avec l’API officielle d’Epic Games, preuve de propriété, contrôle interne de cohérence des revenus déclarés (jamais affiché) | Intérêt légitime (fiabilité de l’annuaire et prévention de la fraude) |
| Comptage des vues des annonces (une vue par visiteur et par jour), statistiques de l’Annonceur | Intérêt légitime (mesure d’audience fiable, sans suivi individuel) |
| Facturation et comptabilité | Obligation légale |
| Information fiscale des vendeurs, collecte et déclaration DAC7 | Obligation légale (art. 242 bis et 1649 ter A s. CGI) |
| Traitement des signalements, exposé des motifs, réponses aux autorités | Obligation légale (règlement (UE) 2022/2065) |
| Modération des annonces, vérification des justificatifs, prévention de la fraude et des ventes de comptes, sécurité de la Plateforme | Intérêt légitime (protéger les Utilisateurs et la Plateforme) |
| Gestion des litiges entre Utilisateurs et des contentieux, conservation des preuves | Intérêt légitime (constatation, exercice ou défense de droits) |
| Courriers électroniques de service (notifications de Transactions, d’offres, de modification des CGU) | Exécution du contrat |
| Mesure d’audience et traceurs non essentiels (si mis en place) | Consentement (art. 82 de la loi Informatique et Libertés) |
Les données que vous devez obligatoirement fournir sont signalées dans les formulaires ; à défaut, le service correspondant ne peut pas être fourni. MapTrust ne prend aucune décision produisant des effets juridiques à votre égard sur le seul fondement d’un traitement automatisé : les outils de détection automatique (par exemple de coordonnées dans les messages) ne font que signaler des contenus à un modérateur humain. Le prix d’une Annonce de vente est contrôlé automatiquement au regard du prix maximal calculé pour l’île (Référencement et classement, article 10) ; vous pouvez toujours justifier un prix plus élevé et demander son examen par un membre de l’équipe, qui décide de manière motivée. Stripe, responsable de traitement distinct, peut procéder à des profilages et à des décisions automatisées pour prévenir la fraude et le blanchiment de capitaux, dans les conditions décrites par sa politique de confidentialité.
4. Destinataires et sous-traitants
Vos données sont accessibles aux seules personnes habilitées de MapTrust, dans la limite de leurs attributions. Certaines informations sont visibles des autres Utilisateurs (profil public, annonces, avis) ou de votre cocontractant lors d’une Transaction (identité figurant au contrat). Nous faisons appel aux prestataires suivants :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage des fichiers, messagerie en temps réel (sous-traitant) | Union européenne ; société établie aux États-Unis |
| Cloudflare, Inc. | Hébergement et diffusion du site et de la console d’administration, protection contre les attaques (sous-traitant) | États-Unis et réseau mondial |
| Stripe Payments Europe, Ltd. | Paiement du prix des îles, conservation des fonds, versements aux vendeurs, comptes de paiement des vendeurs (Stripe Connect), vérification d’identité, prévention de la fraude et lutte contre le blanchiment (responsable de traitement distinct) | Irlande (Union européenne) ; transferts possibles vers les États-Unis |
| Polar Software, Inc. | Paiement des frais de mise en vente en qualité de revendeur, facturation et TVA (responsable de traitement distinct) | États-Unis |
| Google Ireland Limited | Connexion avec un compte Google, si vous la choisissez (responsable de traitement distinct pour votre compte Google) | Irlande ; Google LLC, États-Unis |
| Resend | Envoi des courriers électroniques de service (sous-traitant) | États-Unis |
L’API publique Fortnite Data API d’Epic Games est interrogée uniquement avec les codes des îles publiées : aucune donnée personnelle n’est transmise à Epic Games. Vos données peuvent enfin être communiquées aux autorités administratives ou judiciaires lorsque la loi l’exige, notamment à l’administration fiscale (DAC7).
Données échangées avec Stripe. MapTrust transmet à Stripe les données nécessaires à ses services : pour un vendeur, celles de l’ouverture de son compte de paiement (article 2) ; pour un acheteur, son adresse électronique ; pour chaque Transaction, son montant, sa référence et les instructions de libération ou de remboursement. Stripe communique en retour à MapTrust l’état des paiements, des contestations bancaires et du compte du vendeur. Les adresses des pages hébergées par Stripe (paiement, ouverture du compte) ne sont pas conservées par MapTrust, et l’identifiant du compte Stripe d’un Utilisateur n’est jamais montré à son cocontractant.
5. Transferts hors de l’Union européenne
Certains prestataires sont établis aux États-Unis ou peuvent y accéder aux données. Ces transferts sont encadrés par l’une des garanties prévues au chapitre V du RGPD : décision d’adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (« Data Privacy Framework ») lorsque le prestataire y est certifié, ou à défaut clauses contractuelles types adoptées par la Commission européenne, complétées de mesures supplémentaires lorsque nécessaire. Vous pouvez obtenir une copie de ces garanties en écrivant à [à compléter].
Les responsables de traitement distincts encadrent leurs propres transferts : Google transfère des données à Google LLC (États-Unis) dans le cadre du Data Privacy Framework ; Polar est établi aux États-Unis ; Stripe transfère des données à Stripe, Inc. (États-Unis) dans le cadre du Data Privacy Framework et de clauses contractuelles types. Leurs politiques respectives en précisent les conditions.
6. Durées de conservation
| Données | Durée |
|---|---|
| Compte et profil | Pendant toute la durée du compte, puis 3 ans à compter du dernier contact pour l’envoi éventuel d’informations, avant suppression ou anonymisation |
| Transactions (identifiants et statuts des opérations chez Stripe compris), paiements des frais de mise en vente, contrats de cession, relevés et factures | 10 ans à compter de la clôture de l’exercice (article L123-22 du Code de commerce) |
| Compte de paiement du vendeur (identifiant et état du compte Stripe) | Pendant toute la durée du compte ; l’identifiant reste ensuite associé aux Transactions conservées (ligne ci-dessus) |
| Données reçues de Google lors d’une connexion avec un compte Google | Pendant toute la durée du compte ; supprimées ou anonymisées à la suppression du compte |
| Données fiscales DAC7 | 10 ans après la fin de la période déclarée (durée maximale prévue par la directive (UE) 2021/514, dite DAC7) |
| Messages | 3 ans après la dernière activité de la conversation |
| Preuves de propriété et justificatifs de revenus | Jusqu’à la clôture de l’annonce, puis 5 ans en archive pour les besoins d’un éventuel contentieux |
| Signalements et décisions de modération | Pendant la durée du compte concerné, puis 5 ans en archive (prescription de droit commun, article 2224 du Code civil) |
| Journaux techniques et de connexion | 12 mois |
| Empreintes de comptage des vues d’annonces | 2 jours |
| Compteurs anti-abus (limitation de débit) | 2 jours |
| Cookie de consentement | 6 mois |
À l’expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible. Lorsque des données doivent être conservées au-delà de la fermeture du compte, elles sont placées en archive intermédiaire, avec un accès restreint. La suppression de votre compte MapTrust est sans effet sur les données que conservent les responsables de traitement distincts pour leurs propres obligations : Stripe conserve notamment les données de lutte contre le blanchiment pendant la durée que la loi lui impose, et Polar les factures et données fiscales des frais de mise en vente.
7. Vos droits
Vous disposez des droits suivants sur vos données :
- Droit d’accès (art. 15 RGPD) : obtenir la confirmation que vos données sont traitées et en recevoir une copie ;
- Droit de rectification (art. 16) : corriger des données inexactes, directement depuis vos paramètres ou sur demande ;
- Droit à l’effacement (art. 17) : supprimer votre compte depuis vos paramètres, sous réserve des données que nous devons conserver pour respecter une obligation légale ou pour la défense de droits ;
- Droit à la portabilité (art. 20) : télécharger vos données dans un format structuré et lisible par machine grâce au bouton « Exporter mes données » de vos paramètres ;
- Droit d’opposition (art. 21) : vous opposer, pour des raisons tenant à votre situation particulière, aux traitements fondés sur l’intérêt légitime ;
- Droit à la limitation (art. 18) : demander le gel temporaire de l’utilisation de vos données ;
- Droit de retirer votre consentement à tout moment, pour les traitements fondés sur celui-ci ;
- Directives post-mortem (art. 85 de la loi Informatique et Libertés) : définir des directives relatives à la conservation, à l’effacement et à la communication de vos données après votre décès.
Pour exercer ces droits, écrivez à [à compléter]. Nous pouvons vous demander de justifier de votre identité en cas de doute raisonnable. Nous répondons dans un délai d’un mois, prolongeable de deux mois compte tenu de la complexité ou du nombre de demandes, auquel cas vous en êtes informé. L’export de vos données comprend les méthodes de connexion associées à votre compte (par exemple Google).
Pour les traitements réalisés par les responsables de traitement distincts, adressez-vous directement à eux : pour Stripe, selon sa politique de confidentialité ; pour Polar, selon sa politique de confidentialité ; pour Google, depuis les paramètres de votre compte Google, où vous pouvez aussi retirer à MapTrust l’accès à votre compte (ce retrait ne supprime pas votre compte MapTrust).
8. Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr.
9. Mineurs
Le service est réservé aux personnes âgées d’au moins 18 ans. MapTrust ne collecte pas sciemment de données concernant des mineurs. Si nous apprenons qu’un compte a été créé par un mineur, il est suspendu et les données sont supprimées, sous réserve des obligations de conservation applicables. Vous pouvez nous signaler un tel compte via le formulaire de signalement.
10. Sécurité
MapTrust met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement des communications (HTTPS), chiffrement des données au repos chez nos hébergeurs, cloisonnement des accès par règles de sécurité au niveau des lignes de la base de données, stockage privé des justificatifs accessibles uniquement par la modération, mots de passe jamais stockés en clair, principe du moindre privilège pour les accès internes, comptes d’administration protégés par une authentification à deux facteurs, console d’administration réservée aux administrateurs, avec sa propre page de connexion et sa propre interface, vers laquelle aucune page publique du site ne renvoie, journalisation des connexions à cette console, des consultations de messages qui y sont faites par l’équipe et des actions de modération. Les données de carte bancaire sont saisies directement sur les pages de paiement de Stripe (prix des îles) et de Polar (frais de mise en vente), et les pièces d’identité sur les pages de Stripe : elles ne transitent jamais par nos serveurs. En cas de violation de données présentant un risque pour vos droits, nous la notifions à la CNIL et, si le risque est élevé, nous vous en informons.
11. Cookies et modifications
L’utilisation des cookies et traceurs est décrite dans notre politique relative aux cookies. La présente politique peut être mise à jour ; la date de dernière mise à jour figure en haut de page et toute modification substantielle vous est notifiée.