Informations pour les marchés publics

GeoQuestr est un service web qui fonctionne sur nos propres serveurs dans l’UE. Les administrateurs se connectent pour créer des expériences. Les participants rejoignent l’activité par lien ou QR code, dans le navigateur ou l’application, avec des comptes anonymes, et n’ont pas à indiquer leur vrai nom ni leur adresse e-mail. Les données de jeu des participants (nom de joueur, avatar, points, progression, réponses et photos envoyées) sont conservées pour faire fonctionner l’activité et pour les rapports. Les données de localisation ne sont jamais stockées et ne sont pas envoyées sur le réseau. Elles sont traitées uniquement en local sur l’appareil du participant. Les données sensibles au sens de l’article 9 du RGPD ne doivent pas être traitées. Le juge IA fonctionne avec un modèle d’IA ouvert sur notre propre serveur dans l’UE (Hetzner, Finlande). Il lit une photo envoyée en mémoire, évalue dans quelle mesure elle remplit la tâche, convertit cela en points bonus et n’en garde aucune copie. Les photos et vidéos envoyées ne sont pas transmises à OpenAI. Le juge IA ne filtre pas les contenus : l’organisateur examine lui-même les photos envoyées. L’organisateur peut désactiver entièrement les fonctions IA. L’organisateur choisit si un rapport est partagé publiquement. Un rapport public affiche des statistiques et le classement avec les noms de joueur, mais aucune photo envoyée. Toutes les catégories de données personnelles sont décrites dans notre politique de confidentialité.

• Chiffrement en transit (HTTPS/TLS) et au repos. • Notre propre service de connexion, dans lequel chaque requête fait l’objet d’un contrôle d’autorisation sur le serveur, afin que les administrateurs n’accèdent qu’aux données de leur propre organisation. Les mots de passe sont stockés uniquement sous forme de hachages salés. • Seul le personnel autorisé a accès à l’environnement de production, avec des clés SSH personnelles et une authentification à deux facteurs. • Toutes les personnes qui traitent les données personnelles se sont engagées à en préserver la confidentialité. • Minimisation des données : les participants sont anonymes et les données de localisation ne sont pas stockées. • Les sauvegardes sont effectuées chaque jour, stockées chiffrées dans l’UE et conservées 30 jours au maximum.

• Les données des participants sont supprimées ou anonymisées automatiquement au plus tard 6 mois après la fin de la manche. • Les comptes administrateurs sont supprimés au plus tard 90 jours après la fin du contrat. • Dans les 90 jours suivant la fin du contrat, vous pouvez demander à récupérer votre contenu : textes, quêtes et lieux dans un fichier JSON, et images dans leur format d’origine. • Les sauvegardes sont conservées 30 jours au maximum, les données supprimées en disparaissent donc aussi. • Nous confirmons la suppression par écrit sur demande.

Lorsque vous organisez des activités dans GeoQuestr, vous êtes responsable du traitement et nous sommes sous-traitant. Nous concluons des accords de traitement des données conformes à l’article 28 du RGPD. Dans l’accord, nous nous engageons notamment à : • traiter les données personnelles uniquement selon vos instructions écrites, • vous informer par écrit au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur. Vous pouvez vous y opposer et, si nous ne parvenons pas à nous entendre, vous pouvez résilier le contrat sans frais, • vous aider à répondre aux demandes des personnes concernées, par exemple d’accès ou d’effacement, et vous assister pour les analyses d’impact, • vous permettre, à vous ou à un auditeur indépendant tenu au secret professionnel, de vérifier le respect de l’accord, après notification écrite au moins 30 jours à l’avance. Le droit suédois s’applique. Écrivez à upphandling@geoquestr.com en indiquant votre numéro d’organisation, et nous vous enverrons l’accord.

En cas de violation de données à caractère personnel, nous vous informons dans les meilleurs délais, et au plus tard dans les 36 heures après en avoir pris connaissance. La notification contient les informations exigées par l’article 33, paragraphe 3, du RGPD, dans la mesure où elles sont connues. Pour signaler un problème de sécurité ou une vulnérabilité suspectée : écrivez à security@geoquestr.com avec l’objet « Vulnérabilité suspectée ». Vous pouvez envoyer vos questions sur les données personnelles à la même adresse. Décrivez votre demande et votre lien avec le compte ou l’activité.

Notre plateforme est conçue pour atteindre WCAG 2.1 niveau AA pour les pages marketing clés et les parcours créateurs lorsque c’est réalisable. Les participants utilisent des cartes sur lesquelles un avatar 3D se déplace au rythme de leurs propres déplacements. La manière dont le créateur conçoit son parcours est essentielle pour garantir un haut niveau d’accessibilité. Tous les textes sont conçus pour être lisibles et accessibles ; les missions peuvent aussi être lues à voix haute dans la langue choisie par l’utilisateur. Pour les exigences du secteur public : décrivez vos besoins lors de votre prise de contact afin que nous puissions discuter d’éventuels ajustements.

Les paiements par carte en libre-service sont gérés par Stripe. Pour les bons de commande, les factures, les limites de participants sur mesure ou les marchés publics municipaux : utilisez Service complet sur la page tarifs ou le formulaire de contact des solutions, et nous traiterons votre demande au cas par cas. Les organisations facturées ne sont pas concernées par Stripe.

GeoQuestr fait appel aux sous-traitants ultérieurs suivants. Chacun reçoit uniquement les données dont sa fonction a besoin. Les sous-traitants ultérieurs situés hors de l’UE/EEE n’ont accès à des données personnelles que sur la base d’une décision d’adéquation, par exemple l’EU–US Data Privacy Framework (cadre de protection des données UE–États-Unis), ou des clauses contractuelles types de la Commission européenne. Les organisations ayant conclu un accord de traitement des données sont informées par écrit au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur.

Toutes les données personnelles, y compris les sauvegardes et les journaux, sont stockées dans l’UE sur nos propres serveurs chez Hetzner Online GmbH, dans des centres de données en Finlande et en Allemagne. Stripe stocke les données de paiement des clients qui paient par carte. OpenAI n’est pas utilisé pour stocker des données personnelles. La recherche de lieux et les itinéraires fonctionnent sur nos propres serveurs.