Politique de confidentialité

1. Données collectées

Identité Roblox, si tu te connectes avec Roblox ou le relies à ton compte : identifiant utilisateur (sub), nom d'utilisateur, nom affiché, avatar et URL de profil, obtenus via Roblox OAuth 2.0 avec ton autorisation explicite.

Identité Google, si tu te connectes avec Google ou le relies à ton compte : obtenue via Google OAuth 2.0 et OpenID Connect, avec ton autorisation explicite donnée sur la page Google. Nemesis demande seulement ton identité (autorisations « openid », « email » et « profile ») et conserve ton identifiant Google (sub), ton adresse e-mail, l'indication qu'elle est vérifiée ou non par Google, la date de liaison et la date de ta dernière connexion.

Quand ton compte Nemesis est créé avec Google, ton nom Google (ou, à défaut, le début de ton adresse e-mail) sert à former ton pseudo et ton nom affiché, et l'adresse de ta photo de profil Google devient ton avatar ; ton adresse e-mail est aussi inscrite sur ton compte si Google l'a vérifiée et qu'aucun autre compte Nemesis ne l'utilise. Quand tu relies Google à un compte déjà existant, seule ton adresse e-mail vérifiée peut y être ajoutée, et seulement si ce compte n'en a pas encore.

Aucun jeton Google n'est conservé : ni jeton d'accès, ni jeton de rafraîchissement. Le jeton d'identité renvoyé par Google est vérifié au moment de la connexion, puis oublié. Nemesis n'accède à aucun autre service Google (ni Gmail, ni Drive).

Données d'usage : projets créés, conversations avec l'agent IA, actions effectuées.

Clés API que tu enregistres toi-même (fal.ai, Meshy) : chiffrées sur nos serveurs, utilisées uniquement pour les actions que tu demandes, jamais réaffichées en entier, et supprimées à ta demande ou avec ton compte.

Données de facturation : identifiants Stripe de ton paiement (session de paiement, paiement, client). Les coordonnées bancaires ne transitent jamais par nos serveurs et sont traitées exclusivement par Stripe.

Journaux techniques : horodatage, action réalisée, empreinte non réversible de l'adresse IP. L'adresse IP n'est jamais conservée en clair.

Mesure d'audience : pages consultées, type d'appareil, site d'origine, et un identifiant de visite anonyme stocké dans un cookie propre à Nemesis. Cette mesure sert uniquement à comprendre le parcours des visiteurs sur le site.

2. Mesure d'audience

La mesure est réalisée par nos propres serveurs. Aucun outil d'analyse tiers, aucun réseau publicitaire, aucun identifiant partagé entre sites ou entre appareils.

Les adresses des pages sont normalisées avant enregistrement : un identifiant de projet est remplacé par un marqueur générique, de sorte que la table d'audience ne contient jamais la liste de tes projets.

Le cookie de visite est httpOnly et limité à ce domaine. Il n'est associé à ton compte que si tu te connectes pendant la visite, et pour deux usages seulement : relier une inscription à la visite qui l'a produite, et repérer qu'un affilié tente de se parrainer lui-même (section 3). Ce lien est retiré si ton compte est supprimé.

Les signaux « Do Not Track » et « Global Privacy Control » sont respectés : lorsqu'ils sont activés, aucune page vue n'est enregistrée.

Les données d'audience sont supprimées au-delà de treize mois.

3. Programme d'affiliation

Quand tu arrives par un lien d'affiliation (/r/CODE), Nemesis enregistre le clic (lien utilisé, page d'arrivée, identifiant de visite, empreinte non réversible de l'adresse IP) et pose un cookie httpOnly de 30 jours qui ne contient qu'un jeton signé. Si tu crées un compte pendant ces 30 jours, ce compte est rattaché à l'affilié ; ton premier paiement lui rapporte une commission payée par Nemesis, sans rien changer à ton prix.

L'affilié ne voit jamais ton pseudo, ton e-mail ni ton moyen de paiement : seulement « Filleul n° », l'offre choisie, le montant du premier paiement et sa commission.

Pour empêcher les abus (se parrainer soi-même, comptes multiples), Nemesis compare des empreintes non réversibles : identifiant de visite, adresse IP, client Stripe et e-mail de paiement. Ces empreintes ne permettent pas de retrouver les données d'origine.

Pour être payé, l'affilié ouvre un compte Stripe Connect : l'adresse e-mail qu'il indique est transmise à Stripe à l'ouverture du compte, et son identité et ses coordonnées bancaires sont données directement à Stripe, jamais à Nemesis, qui ne conserve que l'identifiant du compte et l'état des versements.

4. Retours et signalements

Lorsque tu envoies un retour, nous conservons ton évaluation, le motif choisi et le commentaire éventuel, rattachés à ton compte.

Ces commentaires sont lus par notre équipe pour améliorer le service. Ils ne sont jamais transmis tels quels au modèle d'intelligence artificielle.

5. Ce que nous ne collectons pas

Nous ne recevons jamais ton mot de passe Roblox : l'authentification a lieu sur le domaine officiel Roblox. Il en va de même pour Google.

Nous ne collectons pas de données de navigation à des fins publicitaires et n'utilisons aucun traceur tiers. La mesure d'audience est interne, anonyme, et décrite à la section 2.

6. Finalités

Fournir le service, vérifier ta licence Nemesis Lifetime, facturer ton achat, prévenir la fraude et l'abus, et améliorer la plateforme.

7. Sous-traitants

Anthropic (modèles d'IA Claude), Stripe (paiement), OpenAI (conversations simples et créateur de prompt), fal.ai (génération d'images), Meshy (génération 3D), Railway (hébergement du site et de la base de données, qui contient aussi les fichiers générés), Roblox (connexion par OAuth) et Google (connexion, si tu la choisis). Plusieurs de ces fournisseurs sont établis aux États-Unis : les transferts hors de l'Union européenne reposent sur les garanties prévues par le RGPD.

Avec Nemesis Lifetime, les demandes d'intelligence artificielle passent par ton propre abonnement (Claude, ChatGPT) et, si tu les enregistres, par tes propres clés (fal.ai, Meshy) : ces éditeurs traitent alors les données qui leur sont envoyées dans le cadre du contrat que tu as conclu avec eux, selon leurs propres politiques.

8. Sécurité

Les jetons OAuth Roblox sont chiffrés au repos (AES-256-GCM). Aucun jeton Google n'est enregistré. Les sessions utilisent des cookies httpOnly signés. Les clés d'API des fournisseurs ne sont jamais exposées au navigateur.

9. Durée de conservation

Les données de ton compte sont conservées tant que le compte est actif ; tu peux demander sa suppression depuis la page Support ou sur le Discord de Nemesis.

Le lien avec Google se voit dans Paramètres, section « Comptes connectés ». Tu peux le retirer toi-même avec le bouton « Délier Google », à condition d'avoir relié Roblox : sinon Google est ta seule façon de te connecter, et ton compte deviendrait inaccessible. La suppression de ton compte efface aussi ce lien et les données Google décrites plus haut. Tu peux en plus retirer l'accès de Nemesis depuis les paramètres de ton compte Google ; cela n'efface pas ce que Nemesis a déjà enregistré.

Les pièces de facturation sont conservées dix ans, durée imposée par les obligations comptables.

Les journaux techniques ne sont conservés que le temps nécessaire à la sécurité et au diagnostic du service.

10. Apprentissage collectif

Nemesis peut s'améliorer en comparant ce qui marche d'une production à l'autre : quel modèle, quel outil, quel fournisseur d'assets donne le meilleur résultat pour quel type de jeu. Cette comparaison ne porte que sur des comptages et des notes (réussite, score de qualité, coût, durée). Elle ne lit jamais le contenu de tes jeux : ni ton code, ni tes prompts, ni tes images, ni tes messages, ni ta mémoire de projet.

Elle est désactivée par défaut. Tu peux l'activer depuis tes Paramètres, et la désactiver à tout moment : tes données quittent alors immédiatement les statistiques communes. Dans un projet à plusieurs, l'accord de chaque personne concernée est nécessaire.

Ce que Nemesis en tire (une préférence de modèle, par exemple) n'entre en service qu'après une vérification humaine et un banc d'essai, et peut être retiré à tout moment. Aucun modèle d'intelligence artificielle n'est entraîné avec tes données.

11. Tes droits

Conformément au RGPD, tu disposes d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Pour les exercer, contacte-nous depuis la page Support ou sur le Discord de Nemesis.

Tu peux également introduire une réclamation auprès de la CNIL.