PatinaAI : politique de confidentialité

PatinaAI est un outil de suivi de la valeur des inventaires CS2, accessible à l'adresse patinaai.net. La présente politique couvre l'application web et l'extension de navigateur PatinaAI Inventory Sync, et décrit la manière dont les données à caractère personnel sont traitées au titre du règlement général sur la protection des données de l'UE (RGPD).

Qui est responsable

Le responsable du traitement est Albu Adrian, une personne physique (et non une société ni une entreprise enregistrée) établie en Roumanie, qui exploite patinaai.net seul. Écrivez à info@patinaai.net pour toute question sur la présente politique ; nous répondons en anglais ou en roumain. Il n’y a pas de délégué à la protection des données : un site tenu par une seule personne n’en a pas besoin, c’est donc l’adresse ci-dessus qu’il faut utiliser. Les mentions légales reprennent les mêmes informations.

À qui s’adresse le site

PatinaAI s’adresse aux personnes de 16 ans et plus. En Roumanie, où nous sommes établis, 16 ans est l’âge à partir duquel vous pouvez consentir seul à un service en ligne ; si vous êtes plus jeune, merci de ne pas vous connecter, de ne pas suivre de prix et de ne rien publier. Pro est un contrat payant : il faut avoir 18 ans, ou 16 ou 17 ans avec le consentement d’un parent. Si vous pensez qu’un enfant de moins de 16 ans nous a transmis des données, écrivez-nous et nous les supprimons.

Ce que fait l’extension

Sa finalité unique : maintenir votre compte PatinaAI synchronisé avec vos propres données Steam. Elle lit à cette fin les données suivantes sur steamcommunity.com et api.steampowered.com dans votre propre navigateur, au moyen de la session Steam à laquelle vous êtes déjà connecté, et transmet le résultat à votre compte PatinaAI sur patinaai.net :

Votre inventaire CS2, dans tous ses contextes, y compris les items protégés à l’échange (toutes les 15 minutes et lorsque vous cliquez sur l’icône de l’extension).
Vos offres d’échange actives, envoyées et reçues, avec leurs items, le SteamID de l’autre personne et l’éventuel message joint. Elles sont lues au moyen du jeton d’accès de courte durée que le site Steam délivre à votre session connectée ; ce jeton n’est utilisé que dans votre navigateur et n’est jamais transmis à PatinaAI.
Votre historique du Marché de la communauté Steam : vos propres achats et ventes.
Votre liste d’amis (SteamID, nom et avatar), uniquement si vous activez les amis dans PatinaAI. Le serveur évalue alors les inventaires publics de vos amis afin de vous les présenter.
L’historique des prix du Marché Steam pour les items que vous détenez ou suivez, qui alimente vos graphiques et est conservé avec les prix de marché partagés de PatinaAI.

Option : « Aide à estimer tout le marché ». Un réglage dans les options de l’extension, désactivé par défaut. Ce n’est que si vous l’activez que l’extension utilise en outre votre navigateur et votre session Steam pour lire des pages publiques d’historique des prix du Marché Steam concernant des items que d’autres utilisateurs de PatinaAI détiennent ou consultent, ainsi que les inventaires publics de partenaires d’échange que d’autres utilisateurs de PatinaAI souhaitent vérifier (lorsque Steam empêche notre serveur de les lire). Les données lues sont des données Steam publiques relatives aux items et aux inventaires publics de ces partenaires ; elles alimentent les données de prix partagées de PatinaAI et sont remises à l’utilisateur qui a demandé la vérification de l’échange. Les autres utilisateurs ne voient jamais qui les a récupérées. Vous pouvez le désactiver à tout moment dans les réglages de l’extension, et votre propre synchronisation fonctionne dans les deux cas. L’extension communique votre choix au serveur, qui le conserve (activé ou désactivé, et depuis quand) et l’affiche dans votre onglet Compte.

L’extension conserve son jeton (un identifiant de connexion), l’adresse de notre serveur, votre choix de partage et l’état d’avancement de sa lecture de l’historique du marché dans le stockage local de l’extension, sur ce navigateur. À partir de la version 1.5.0, rien de tout cela n’est synchronisé avec votre compte Google.

Votre mot de passe Steam, vos cookies, votre session et le jeton d’accès ne quittent jamais votre navigateur ; seules les données énumérées ci-dessus sont transmises. L’extension ne peut pas échanger, accepter d’offres ni modifier quoi que ce soit sur votre compte Steam.

Bases juridiques : la lecture et l’importation de vos propres données sont nécessaires à la fourniture du service auquel vous avez souscrit (contrat, art. 6, par. 1, point b du RGPD). Le partage optionnel repose sur votre consentement (art. 6, par. 1, point a du RGPD), que vous donnez en cochant la case et que vous pouvez retirer à tout moment en la décochant dans les réglages de l’extension, sans que cela n’affecte ce qui a été fait auparavant.

PatinaAI et son extension ne sont ni affiliés à Valve Corporation ou Steam, ni approuvés ou sponsorisés par eux.

Données, finalités, bases légales, durées de conservation

Données	Finalité · base légale	Conservation
SteamID, nom de profil, avatar, votre lien d'échange, votre langue	Connexion et affichage de votre compte · contrat (art. 6, par. 1, point b))	Jusqu'à la suppression du compte
Inventaire et évolution de sa valeur, floats, prix de revient, thèses, liste de suivi, alertes, unités de stockage	Le service de suivi lui-même · contrat	Jusqu'à la suppression du compte ; une copie en cache de l’inventaire Steam lui-même est supprimée après 7 jours
Échanges que vous acceptez (objets, valeurs, SteamID de l’autre partie)	Votre registre d'échanges et vos gains et pertes · contrat	Jusqu'à la suppression du compte
Vos offres d’échange ouvertes telles que l’extension les a lues en dernier, avec le SteamID de l’autre personne et l’éventuel message de l’offre	Chiffrer vos offres pour vous · contrat	Remplacées à chaque synchronisation ; supprimées 30 jours après la dernière
Annonces sur le tableau d'échanges (objets proposés et recherchés, votre note de 500 caractères au plus)	Publication sur le tableau partagé · contrat, vous choisissez de publier	14 jours, ou moins si vous retirez l’annonce, échangez un objet qu’elle contient ou supprimez votre compte ; affichées aux autres utilisateurs connectés avec votre SteamID, votre nom et votre avatar
Le signalement d’arnaque que SteamRep détient sur le SteamID d’un partenaire d’échange ou de l’auteur d’une annonce	Vous avertir avant un échange avec un compte signalé · intérêt légitime à la sécurité des échanges (art. 6, par. 1, point f RGPD)	La réponse de SteamRep est gardée en cache 7 jours, puis supprimée
Inventaires publics des partenaires d’échange, et le dernier partenaire que vous avez vérifié	Évaluation d'un échange que vous demandez · intérêt légitime (art. 6, par. 1, point f RGPD)	7 jours après leur lecture, puis supprimés par le nettoyage horaire
Votre liste d’amis et la valeur des inventaires publics de vos amis (leur SteamID, nom, avatar, valeur et principaux objets), uniquement si les amis sont activés	Vous montrer ce que détiennent vos amis · intérêt légitime lié à la fonction que vous avez activée (art. 6, par. 1, point f RGPD)	Votre liste est supprimée dès que vous désactivez les amis, sinon 30 jours après sa dernière actualisation ; la valeur d’un ami 7 jours après sa lecture, ou aussitôt qu’aucune liste ne mentionne plus cet ami
Le float, la seed de pattern et les stickers d’un objet, lus via le lien d’inspection de l’objet (qui contient le SteamID de son propriétaire)	Afficher les floats exacts de vos objets et de ceux d’un partenaire · contrat, et intérêt légitime pour les objets d’un partenaire (art. 6, par. 1, point f RGPD)	Le float, la seed et les stickers sont conservés par objet, sans le SteamID du propriétaire
L’arcade : vos pronostics, parties, points et série ; votre nom Steam et votre avatar dans les classements	Faire tourner les jeux auxquels vous jouez · contrat ; les classements sont publics	Jusqu'à la suppression du compte
Commentaires que vous envoyez	Amélioration du service · intérêt légitime (art. 6, par. 1, point f))	Jusqu'à la suppression du compte
Votre réponse à la question facultative posée après le résultat d’un outil (« Qu’est-ce que tu cherchais ? ») : le texte saisi, la page, sa langue et l’heure ; aucun compte, aucune adresse IP	Choisir les pages et les outils à construire ensuite · intérêt légitime (art. 6(1)(f))	12 mois, puis supprimée ; jamais affichée publiquement
Pro : votre offre, le fait qu’elle vous a été accordée par nous ou non, les identifiants client et d’abonnement Stripe (jamais votre carte) et, quand vous l’achetez, le texte exact de la case de démarrage que vous avez cochée, avec l’heure et la langue	Fourniture et facturation de Pro · contrat ; conservation de la case cochée comme preuve · obligation légale (art. 6, par. 1, point c RGPD)	Jusqu'à la suppression du compte
Compteurs d'utilisation de l'analyste IA (nombres, coût)	Maîtrise des coûts et quotas · intérêt légitime (art. 6, par. 1, point f))	Jusqu'à la suppression du compte
Conversations avec l'analyste	Poursuite de votre conversation · contrat	Uniquement dans le navigateur, jamais sur le serveur ; supprimées automatiquement après 30 jours d'inactivité ; le bouton Effacer les supprime immédiatement
Inventaires publics consultés sur la page de recherche d’inventaire par lien de profil, lien d’échange, nom personnalisé ou SteamID64 (sans compte) : les items, leurs prix et le SteamID64 du profil	Vous afficher l’inventaire chiffré demandé · intérêt légitime (art. 6, par. 1, point f) du RGPD) ; données Steam publiques uniquement. Rien n’est conservé : nous lisons l’inventaire public, le chiffrons et l’affichons, et rien concernant le profil consulté n’est écrit dans notre base de données ni journalisé, hormis des comptages anonymes du nombre de recherches effectuées. Le jeton d’un lien d’échange est retiré avant que la recherche ne s’exécute (dans votre navigateur quand les scripts tournent, sinon dès qu’il nous parvient) et n’est jamais conservé. Un lien de partage ne porte le SteamID64 qu’après le # de l’adresse, que votre navigateur ne nous envoie jamais.	La réponse environ 10 minutes en mémoire (le SteamID64 d’un nom personnalisé jusqu’à 1 heure), pour qu’un rechargement ne réinterroge pas Steam, puis supprimée ; jamais liée à la personne qui a consulté
Cartes partagées de valeur d’inventaire : les totaux cash et Steam, le nombre d’objets et combien ont un prix, les noms, prix et images de catalogue des cinq objets les plus chers, un compteur de vues, une empreinte irréversible de la clé de suppression et l’heure ; aucun SteamID, nom, avatar, lien de profil ou identifiant d’objet, aucune adresse IP et rien qui relie la carte à votre compte	Afficher la carte que vous avez choisi de partager à toute personne qui a le lien · intérêt légitime à fournir la fonction que vous avez demandée (art. 6, par. 1, point f). Vous créez une carte connecté avec Steam, dans l’application, et toujours uniquement de votre propre inventaire : nous calculons la valeur nous-mêmes, et personne ne peut créer une carte à partir du lien de profil de quelqu’un d’autre.	90 jours, puis supprimé. Vous pouvez la supprimer plus tôt avec « Supprimer ce lien » dans l’application ou « Supprimer cette carte » sur la page de la carte, dans le navigateur qui l’a créée, car il garde la clé de suppression. Si cette clé a disparu, écrivez à info@patinaai.net avec le lien et nous la supprimons. L’image d’aperçu d’une carte supprimée peut encore se charger depuis des caches jusqu’à cinq minutes, et un aperçu qu’une appli de chat a déjà créé reste dans cette appli
Posts d’échange faits depuis la vérif d’échange : les noms des objets, l’image de chaque objet (son adresse d’image Steam), la phase, le float et la quantité choisis pour eux, ce que chacun rapporte net et sur quelle plateforme, le total, la courte phrase facultative que vous saisissez (80 caractères au plus, sans lien), un compteur de vues, une empreinte irréversible de la clé de suppression et l’heure ; aucun compte n’est nécessaire ni relié : aucun SteamID, nom, avatar, lien de profil, identifiant d’objet ou adresse IP	Afficher le post que vous avez choisi de faire, et ses images pour les aperçus de liens, à toute personne qui a le lien · intérêt légitime à fournir la fonction que vous avez demandée (art. 6, par. 1, point f). Votre phrase est affichée publiquement sur le post : n’y mettez donc pas de données personnelles.	90 jours, puis supprimé avec ses images. Vous pouvez le supprimer plus tôt avec « Supprimer ce post » sur la page du post, dans le navigateur qui l’a créé, car il garde la clé de suppression. Si cette clé a disparu, écrivez à info@patinaai.net avec le lien et nous le supprimons. Toute personne peut signaler un post avec le lien Signaler qui s’y trouve, ou en écrivant à info@patinaai.net avec son lien, et nous le retirons s’il est illégal ou enfreint les règles. Les images d’un post supprimé peuvent encore se charger depuis des caches jusqu’à cinq minutes, et une image que vous avez déjà publiée dans un groupe y reste jusqu’à ce que vous la retiriez
Paniers publics et trade-ups partagés : le nom ou le titre que vous leur avez donné, les objets, un compteur de vues ; affichés sous votre nom Steam	Afficher ce que vous avez choisi de publier · contrat	Jusqu’à ce que vous le rendiez privé, le supprimiez ou supprimiez votre compte
Liens de reprise (« L'envoyer sur mon PC ») : l’adresse de la page où vous étiez et les choix faits dessus (les noms des objets avec la phase, le float et la quantité choisis dans la vérif d’échange, les objets d’un trade-up, les filtres d’une liste), le type de page et l’heure ; aucun compte n’est nécessaire ni relié : aucune adresse mail, aucun SteamID, lien d’échange ou adresse IP n’est enregistré avec lui, et un choix qui y ressemble est refusé	Ouvrir la même page avec les mêmes choix sur un autre appareil, pour toute personne qui a le lien · intérêt légitime à fournir la fonction que vous avez demandée (art. 6, par. 1, point f). Ouvrir le lien ne connecte jamais personne.	7 jours, puis supprimé. Ouvrir le lien ne l’use pas : toute personne à qui vous le transmettez voit la même page et les mêmes choix jusque-là
Signalements de contenu que vous envoyez avec un lien Signaler : le contenu visé, le motif et votre explication, votre nom et votre adresse e-mail (facultatifs pour certains motifs), votre déclaration de bonne foi, l’heure et notre décision	Traitement des notifications de contenus illicites et d’infractions aux règles, comme l’exige le règlement européen sur les services numériques (DSA, art. 16 et 17) · obligation légale (art. 6, par. 1, point c RGPD)	12 mois, puis supprimés. Nous ne disons jamais à l’auteur qui l’a signalé
Quand nous retirons un contenu : ce qui a été retiré, le motif que nous avons donné et si l’auteur en a été informé	Fournir à l’auteur un exposé des motifs et traiter sa réponse · obligation légale (art. 6, par. 1, point c RGPD)	12 mois, puis supprimé
Le choix de partage de votre extension (activé ou désactivé, et date de sa dernière communication)	Respect et affichage de votre choix · obligation légale de démontrer le consentement (art. 6, par. 1, point c, et art. 7, par. 1)	Jusqu’à la suppression du compte ; remplacé à chaque communication de l’extension
Journaux du serveur et limites de requêtes : le journal de notre application contient des messages d’erreur et d’état et aucune adresse IP. Pour limiter les abus, les limites de requêtes et la vérification qu’un visiteur se disant moteur de recherche en est bien un associent un compteur ou une réponse à votre adresse IP (ou à son réseau), en mémoire uniquement	Sécurité et traitement des abus · intérêt légitime (art. 6, par. 1, point f))	Le journal a une taille plafonnée (3 fichiers de 10 Mo) et se réécrit au fur et à mesure. Les adresses en mémoire disparaissent à la fin de leur fenêtre (d’une minute à un jour, vérifié chaque minute), ne sont jamais écrites sur disque ni dans un journal, et un redémarrage les efface toutes
Adresse e-mail de notification (facultative)	Envoi des alertes de prix et, si vous cochez leur propre case, de l’e-mail quotidien de l’arcade que vous avez demandés · consentement (art. 6, par. 1, point a)), avec double confirmation : rien n'est envoyé tant que vous n'avez pas cliqué sur le lien que nous vous adressons. La date à laquelle nous vous avons demandé une adresse pour la dernière fois est conservée avec votre compte, pour que le desk ne vous la demande pas trop souvent	Jusqu'à ce que vous la retiriez ou supprimiez le compte ; chaque e-mail contient un lien de désinscription en un clic
Suivi de prix sans compte : votre adresse e-mail ou l’abonnement push de votre navigateur (l’adresse que le service push a donnée à votre navigateur, avec ses clés), les objets suivis avec leurs seuils et le prix au moment du suivi, votre langue et la date de notre dernier message ; et, pour chaque objet, une trace du consentement : le texte exact que vous avez vu, dans la langue où vous l’avez vu, quand vous l’avez demandé et quand vous l’avez confirmé. Nous gardons chaque trace aussi longtemps que le suivi auquel elle appartient et ne la réécrivons jamais : une trace jamais confirmée est supprimée après 48 heures, les autres quand vous arrêtez, au plus tard 12 mois après la première confirmation de votre adresse ou de votre navigateur. Aucune adresse IP, aucun SteamID, aucun compte	Vous prévenir des mouvements de prix que vous avez demandés, au plus une alerte par jour, jamais d’actualités ni d’offres · consentement (art. 6, par. 1, point a). Par e-mail, chaque objet que vous ajoutez attend votre propre clic dans un e-mail qui nomme cet objet, donc personne ne peut ajouter d’objets à votre adresse ; le lien de confirmation ne fait que confirmer et le lien d’arrêt ne fait qu’arrêter. Par push, seulement après avoir autorisé les notifications dans votre navigateur. Les e-mails de suivi, celui de confirmation comme les alertes, ne chargent aucune image : ni image d’objet, ni même notre emblème, ni pixel de suivi, donc en ouvrir un ne demande rien à aucun serveur. Le lien d’une alerte, par e-mail ou par push, porte une étiquette qui dit qu’il vient d’une alerte, jamais qui vous êtes.	Non confirmé : 48 heures après la dernière demande que vous n’avez pas confirmée. Sinon 12 mois après la première confirmation de votre adresse ou de votre navigateur, objets ajoutés ensuite compris, ou jusqu’à ce que vous l’arrêtiez, puis supprimé. Par e-mail, le lien d’arrêt présent dans chaque message le supprime en un clic. Dans le navigateur, appuyez sur « Arrêter les alertes » sur une notification, si votre navigateur affiche ce bouton, ou sur « Arrêter les notifications dans ce navigateur » dans la fenêtre de suivi sur patinaai.net : le suivi est supprimé aussitôt et l’abonnement retiré. Désactiver les notifications de patinaai.net dans les paramètres du site de votre navigateur marche aussi : à la prochaine tentative d’envoi, le service push nous signale que l’abonnement n’existe plus et nous supprimons le suivi. Après 7 envois échoués d’affilée, nous le supprimons aussi, et dans tous les cas il est supprimé 12 mois après la première fois que vous avez autorisé les notifications.
Actualités et offres par e-mail (facultatives, distinctes)	Vous informer des nouveaux outils et des offres, quelques fois par mois au plus · consentement (art. 6, par. 1, point a), du RGPD, art. 13 de la directive vie privée et communications électroniques) : une case distincte, non cochée par défaut, jamais présumée du simple ajout d'une adresse ; nous conservons le moment où vous l'avez cochée et notre propre copie du libellé exact affiché à l'écran, dans la langue où vous l'avez vu (nous conservons cette copie depuis le 26 septembre 2026 ; pour une case cochée avant cette date, l’enregistrement contient le moment et le libellé de référence en anglais alors en vigueur, version v1 du 2 septembre 2026), et ce consentement ne prend effet qu'une fois l'adresse confirmée	Jusqu'à ce que vous la décochiez dans Compte, cliquiez sur le lien de désinscription d'un e-mail (ce qui met fin aux alertes et aux actualités à la fois), retiriez l'adresse ou supprimiez le compte
Vérifs d’échange enregistrées, lorsque vous êtes connecté et appuyez sur « Enregistrer cette vérif » : les deux côtés tels que vous les avez saisis (noms des objets et la phase, le float et la quantité choisis), ce que valait chaque côté au moment de l’enregistrement, et l’heure	Vous montrer vos vérifs enregistrées avec la valeur du jour à côté de l’ancienne · contrat (art. 6, par. 1, point b RGPD), une fonction que vous utilisez en appuyant sur le bouton	Jusqu’à ce que vous supprimiez la vérif ou votre compte ; jamais affichées publiquement, et incluses dans l’export de vos données
Le récap hebdomadaire par e-mail (facultatif, distinct) : l’adresse à laquelle il est envoyé (celle que vous avez confirmée pour un suivi de prix, ou l’adresse confirmée de votre compte), les objets que vous suivez, les prix auxquels le dernier récap a comparé, votre langue, la date du dernier envoi, et une preuve du consentement : le texte exact que vous avez vu, dans la langue où vous l’avez vu, et le moment où vous l’avez donné. Aucune adresse IP	Un e-mail par semaine au plus, uniquement les semaines où un de vos suivis a bougé de plus de 5 %, jamais d’actualités ni d’offres · consentement (art. 6, par. 1, point a RGPD, art. 13 directive ePrivacy) : une case distincte, non cochée, sur la page qui confirme un suivi de prix, accessible uniquement par l’e-mail envoyé à votre adresse, ou un interrupteur distinct dans Compte pour une adresse déjà confirmée. Le lien d’un récap porte une mention indiquant qu’il vient du récap, jamais qui vous êtes, et un récap ne charge aucune image	Jusqu’à ce que vous l’arrêtiez : le lien d’arrêt présent dans chaque récap ouvre une page où un clic les arrête tous et supprime la preuve, consentement compris. Il prend fin aussi quand vous arrêtez le suivi ou qu’il expire, quand vous le décochez dans Compte, modifiez ou retirez l’adresse, cliquez sur le lien d’arrêt de tous les e-mails ou supprimez le compte
Rapports d'erreurs du serveur (route en échec, trace d'appels)	Détection et correction des plantages · intérêt légitime (art. 6, par. 1, point f))	90 jours, dans un outil de suivi auto-hébergé sur notre propre serveur ; les cookies, les en-têtes, le corps des requêtes et la partie de chaque adresse après le « ? » sont supprimés avant l'enregistrement d'un rapport, pour les requêtes qui nous arrivent comme pour les appels que notre serveur fait à d'autres services
Mesure des visites (voir plus bas) : par visite, le navigateur, le système d’exploitation, le type d’appareil, la taille d’écran, la langue, le pays, la région et la ville, un identifiant de visite, les pages vues et les événements nommés	Savoir quelles pages et quels outils sont utilisés · intérêt légitime (art. 6, par. 1, point f RGPD)	12 mois, puis supprimées par une tâche hebdomadaire

Les données de prix du marché (ce que coûtent les objets sur telle ou telle plateforme) décrivent des objets, et non des personnes, et sont partagées entre les comptes. Les annonces CSFloat que lisent nos vérifications de prix portent l’identifiant et le nom CSFloat du vendeur ; nous les conservons 60 jours après avoir vu l’annonce pour la dernière fois, afin de repérer les manipulations de prix (intérêt légitime, art. 6, par. 1, point f RGPD).

Si vous nous demandez de vous envoyer par e-mail un lien pour terminer sur votre ordinateur, nous utilisons l’adresse saisie uniquement pour envoyer cet unique e-mail par l’intermédiaire de notre prestataire d’e-mail (art. 6(1)(b) du RGPD, une démarche que vous demandez, ou notre intérêt légitime (art. 6(1)(f) du RGPD) à répondre à la demande) et ne la conservons pas ; pour qu’aucune adresse ne reçoive plus d’un tel e-mail par jour, le serveur garde en mémoire une empreinte à sens unique (hash) de l’adresse pendant 24 heures, puis la supprime.

Les personnes qui ne sont pas nos utilisateurs. Certaines lignes ci-dessus concernent d’autres personnes : partenaires d’échange, amis, auteurs d’annonces, propriétaire d’un profil consulté. Nous ne lisons que ce que Steam affiche publiquement, uniquement quand un utilisateur le demande, nous le gardons pendant les courtes durées indiquées ci-dessus et nous ne constituons jamais de profil de qui que ce soit. Si vous êtes l’une de ces personnes et souhaitez que vos données soient supprimées, ou voulez vous opposer à leur traitement, écrivez à info@patinaai.net avec votre SteamID.

Sauvegardes

Nous sauvegardons toute la base de données pour qu’un disque en panne ne vous fasse pas perdre vos données. Une copie est faite chaque nuit sur notre serveur Hetzner en Allemagne, et les 3 plus récentes sont conservées. Une copie supplémentaire y est faite avant chaque mise à jour du serveur ou nouvelle version, et remplacée à la suivante. Chaque jour, une copie compressée est aussi chiffrée (AES-256) sur l’ordinateur de l’exploitant lui-même, et seulement ensuite déposée dans son espace Microsoft OneDrive, où les 2 plus récentes sont conservées. La clé ne va jamais sur OneDrive, Microsoft ne peut donc pas les lire. La suppression de votre compte n’atteint pas ces copies, mais elles disparaissent d’elles-mêmes : vos données ont disparu de toutes les sauvegardes sous 30 jours. Nous ne restaurons une sauvegarde que pour réparer le site, et dans ce cas nous supprimons à nouveau tout compte supprimé après la création de la copie.

Cookies et stockage sur votre appareil

Le droit de l’UE (art. 5, par. 3 de la directive ePrivacy) ne permet à un site de stocker quelque chose sur votre appareil sans vous le demander d’abord que lorsque c’est strictement nécessaire à quelque chose que vous avez demandé. C’est la seule raison pour laquelle nous stockons quoi que ce soit, et rien de ce qui suit ne sert à la mesure d’audience ou à la publicité. Le site n’affiche aucune publicité et ne charge aucun code publicitaire ni de suivi, ni aucun script, aucune police ou aucun cadre provenant de qui que ce soit d’autre.

Cookies

session (avec session.sig) : déposé quand vous vous connectez avec Steam, il contient votre SteamID et le moment de votre connexion, et dure 30 jours ou jusqu’à votre déconnexion. Sans lui, vous ne pouvez pas rester connecté.
lang : votre langue, déposé uniquement quand vous en choisissez une avec le sélecteur de langue (ou, si vous êtes connecté, quand votre compte en a déjà une, choisie sur un autre appareil), pour 1 an. Nous ne le déposons jamais sur une supposition : une première visite est orientée vers une langue selon ce que demande votre navigateur, sans cookie.
Cloudflare, par lequel passe chaque requête vers le site, peut également déposer un cookie de sécurité strictement nécessaire, __cf_bm, afin de distinguer les personnes du trafic automatisé ; il expire après 30 minutes d’inactivité. Si Cloudflare affiche une vérification de sécurité, il dépose cf_clearance, qui enregistre que la vérification a été réussie et reste valable 30 minutes par défaut. Aucun de ces cookies n’est utilisé pour la mesure d’audience ou la publicité.

Stockage local et stockage de session

Le stockage local reste sur votre appareil jusqu’à ce que vous effaciez les données du site ; le stockage de session disparaît quand vous fermez l’onglet. Rien de ce qu’il contient ne nous est envoyé, sauf si la liste l’indique. Chaque clé ne contient que ce que nomme la liste ci-dessous : ce que vous avez vous-même choisi, saisi, enregistré ou fermé, et les quelques éléments que le site y garde pour vous. Aucune clé ne contient d’adresse e-mail ni d’adresse IP, sauf si vous en avez saisi une vous-même, dans l’analyste par exemple. Un SteamID dans une clé est le vôtre, pour distinguer deux comptes sur un même navigateur, ou fait partie de ce que vous avez saisi, comme un lien d’échange, qui peut être celui d’un partenaire.

Vos choix : votre devise (seulement une fois que vous en choisissez une, ou que vous choisissez une langue, qui apporte sa devise), le dernier onglet du desk que vous avez ouvert, cartes ou tableau, net ou brut, le tri, la section Marché, le lissage des graphiques, les plateformes du chercheur de flips, le son de l’arcade, et si le panneau de l’analyste est ouvert et sa taille. Chacun n’est écrit que lorsque vous le modifiez.
Ce que vous avez fermé ou lu : le fait que vous avez fermé la visite guidée de bienvenue, la carte des premiers pas, la carte « Depuis ta dernière visite », l’invitation à saisir votre lien d’échange, un avis, la rubrique « Comment jouer » d’un jeu ou la question unique posée après un résultat ; le fait que vous avez appuyé sur « Plus tard » sur l’invitation à installer l’extension (3 jours) ; quelle entrée du journal des modifications et quelles notifications vous avez ouvertes. C’est la trace de la fermeture qui garde l’élément fermé, et elle n’existe que parce que vous avez appuyé sur ce bouton.
Ce que vous avez créé, saisi ou enregistré : le lien d’échange que vous avez saisi dans la vérif d’échange, vos 6 dernières recherches dans Chercher, votre conversation avec l’analyste (30 jours sans utilisation, ou Effacer), les vérifs d’échange que vous enregistrez sans être connecté (20 au plus, uniquement quand vous appuyez sur « Enregistrer cette vérif » ; leur valeur du jour est calculée en envoyant les noms des objets et vos choix à notre serveur, qui répond et ne garde rien), les pronostics et la partie d’entraînement du jour d’un joueur de l’arcade non connecté, et un contrat que vous avez demandé à enregistrer ou à partager avant de vous connecter (1 heure).
« Depuis ta dernière visite » : sur les pages publiques, uniquement après que vous avez appuyé sur Les garder, les prix qu’une page vous a montrés et le jour, pour les 12 dernières pages, afin qu’une visite ultérieure puisse vous dire ce qui a bougé. « Non merci » enregistre seulement que vous avez refusé. « Oublier ce que j’ai regardé » efface tout. Rien de cela ne nous est envoyé.
L’indice de connexion : le fait que le serveur vient d’indiquer que ce navigateur est connecté, pour que le desk commence à charger plus tôt. Il disparaît quand le serveur indique que vous êtes déconnecté.
Pour l’onglet en cours uniquement (stockage de session) : le trade-up que vous êtes en train de construire, un contrat transporté pendant la connexion Steam que vous avez lancée, le fait que vous avez appuyé sur « Ajouter une unité de stockage », que vous avez fermé la barre de connexion, et un marqueur de rechargement unique quand un fichier de code n’a pas pu se charger après une mise à jour.

Si vous demandez des notifications de prix dans votre navigateur, celui-ci enregistre notre petit service worker (/sw.js, qui ne fait qu’afficher les notifications, ouvrir la page de l’objet quand vous cliquez dessus et exécuter le bouton « Arrêter les alertes ») et crée un abonnement push. Les deux n’ont lieu qu’après votre clic et votre autorisation des notifications, et vous pouvez les retirer à tout moment dans les paramètres du site de votre navigateur. Quand vous partagez une carte de valeur d’inventaire dans l’application, la clé qui permet de la supprimer est gardée dans le stockage local de votre navigateur, sur votre appareil uniquement. Quand vous faites un post d’échange, la clé qui permet de le supprimer est gardée de la même façon dans le stockage local de votre navigateur. Chacun de ces éléments est stocké parce que vous avez demandé la fonction qu’il sert, ce que l’art. 5, par. 3 de la directive ePrivacy permet sans consentement distinct. Rien ici ne repose sur notre intérêt légitime, et effacer les données de ce site dans votre navigateur supprime tout.

Toutes les images, avatars Steam compris, viennent de notre propre serveur : votre navigateur ne contacte donc pas les serveurs d’images de Valve pendant que vous utilisez le site. Les liens vers Steam, Discord et les profils sur les réseaux sociaux ne chargent rien tant que vous ne cliquez pas dessus.

Mesure des visites

Les visites sont comptabilisées avec Umami, que nous faisons tourner nous-mêmes sur notre propre serveur en Allemagne : aucun cookie et rien de stocké sur votre appareil, aucun identifiant publicitaire et aucun tiers. Pour chaque visite, il conserve le navigateur, le système d’exploitation, le type d’appareil, la taille d’écran, la langue, le pays, la région et la ville, les pages vues et les événements nommés, sous un identifiant de visite. Cet identifiant est obtenu en hachant votre adresse IP et la chaîne d’identification de votre navigateur avec un secret qui change régulièrement ; votre adresse IP elle-même n’est pas conservée, et nous ne rattachons jamais ces lignes à votre compte. Les lignes de plus de 12 mois sont supprimées par une tâche hebdomadaire. La base légale est notre intérêt légitime à savoir quelles pages et quels outils sont utilisés (art. 6, par. 1, point f RGPD) ; vous pouvez vous y opposer en nous écrivant, ou bloquer /u.js dans votre navigateur. Les clics sur les boutons et l’utilisation des outils, par exemple l’ouverture de la fenêtre de suivi d’un prix, une consultation de prix, un calcul de trade-up ou la copie d’un lien de partage, sont comptabilisés de la même manière, sous forme d’événements sans cookies : un nom d’événement accompagné tout au plus de quelques précisions simples, comme le bouton, la page ou le nombre d’objets, jamais votre nom ni votre compte. Lorsque vous vous connectez, le serveur compte aussi chaque étape de l’aller-retour par Steam, sous forme de totaux quotidiens par type d’appareil et famille de navigateur ; la chaîne d’identification de votre navigateur (user agent) est réduite sur-le-champ à ces deux libellés et n’est pas conservée.

Destinataires et transferts

Ces services traitent des données personnelles pour notre compte, ou en reçoivent parce qu’une fonction en a besoin. Hors de l’UE, un transfert repose sur la base indiquée.

Hetzner Online GmbH (Allemagne) : héberge le serveur, la base de données, les sauvegardes nocturnes, la mesure des visites et l’outil de suivi des erreurs. Aucun transfert hors de l’UE.
Cloudflare, Inc. (États-Unis) : diffusion de contenu et sécurité en amont de patinaai.net. Chaque requête vers le site passe par Cloudflare, qui voit donc votre adresse IP, l’adresse que vous ouvrez et ce que vous envoyez, uniquement pour livrer et protéger le site. Cloudflare nous indique aussi de quel pays vient une requête ; nous nous en servons uniquement pour choisir la langue et la devise de votre première visite, et nous ne la conservons pas. Le réglage de langue de votre navigateur, qu’il envoie à tous les sites, passe en premier : s’il indique l’une de nos langues, votre première visite s’ouvre dans celle-ci, et le pays ne décide que dans le cas contraire. Nous ne le conservons pas non plus. Cloudflare, Inc. figure comme participant actif au cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) sur la liste officielle du département du Commerce des États-Unis, cadre qui couvre le transfert vers les États-Unis ; son accord de traitement des données prévoit en plus les clauses contractuelles types de l’UE si cette certification venait à tomber.
GoDaddy (GoDaddy Operating Company, LLC, États-Unis) : achemine chaque e-mail que nous envoyons (confirmations, alertes, récaps, e-mails de l’arcade, accusés de réception des signalements). Il traite l’adresse et le message en transit, éventuellement sur des serveurs situés hors de l’UE. Base du transfert : les clauses contractuelles types de l’UE figurant dans les conditions de traitement des données de GoDaddy ; GoDaddy indique aussi participer à l’EU-US Data Privacy Framework.
Anthropic, PBC (États-Unis) : fait tourner l’analyste IA. Il reçoit votre question et ce que les outils de l’analyste lisent pour y répondre : votre inventaire et votre portefeuille et, dans une vérif d’échange, l’inventaire public du partenaire et son signalement SteamRep. L’analyste peut aussi faire des recherches sur le web : des mots de recherche tirés de votre question passent alors par le prestataire de recherche d’Anthropic. Uniquement quand vous posez une question à l’analyste ; selon les conditions commerciales d’Anthropic, les données transmises par l’API ne servent pas à entraîner des modèles. Base du transfert : les clauses contractuelles types de l’UE figurant dans l’accord de traitement des données d’Anthropic. Nous lui envoyons aussi les publications publiques de Valve pour qu’il les résume ; elles ne contiennent aucune donnée personnelle.
Microsoft (OneDrive) : stocke les sauvegardes externes décrites plus haut, chiffrées avant d’y arriver, avec une clé que seul l’exploitant détient : Microsoft conserve les fichiers mais ne peut pas les lire. Ils peuvent être stockés hors de l’UE. Base du transfert : Microsoft Corporation participe à l’EU-US Data Privacy Framework, et ses conditions ajoutent les clauses contractuelles types de l’UE.
Stripe (Stripe Payments Europe, Ltd., Irlande, avec Stripe, Inc. aux États-Unis) : gère le paiement quand vous achetez Pro. Stripe reçoit votre SteamID comme référence, l’offre et le moment où vous avez coché la case de démarrage, et collecte lui-même votre e-mail, votre carte, votre adresse de facturation et votre pays ; les règles fiscales de la vente dépendent du pays. Nous gardons les identifiants client et d’abonnement Stripe pour relier le paiement à votre compte, et nous ne voyons jamais votre carte. Les transferts vers les États-Unis reposent sur l’EU-US Data Privacy Framework et les clauses contractuelles types figurant dans les conditions de Stripe.
Valve/Steam (Valve Corporation, États-Unis) : le service avec lequel vous vous connectez et depuis lequel les données sont lues. Notre serveur lit sur Steam des profils, des inventaires et des pages d’amis publics, y compris ceux d’un partenaire d’échange ou d’un profil consulté. Steam fonctionne selon la propre politique de confidentialité de Valve ; c’est un responsable du traitement distinct, et non notre sous-traitant.
SteamRep (steamrep.com) : nous lui envoyons les SteamID des partenaires d’échange et des auteurs d’annonces pour obtenir leur signalement d’arnaque. Il fonctionne selon ses propres conditions, en tant que service distinct.
CSFloat (csfloat.com) : nous lui envoyons le lien d’inspection d’un objet pour lire son float. Le lien contient le SteamID du propriétaire de l’objet, le vôtre ou celui d’un partenaire. Il fonctionne selon ses propres conditions, en tant que service distinct.
Le service push de votre navigateur, seulement si vous demandez des notifications : Google (Firebase Cloud Messaging, pour Chrome et la plupart des navigateurs Chromium), Mozilla (Firefox), Apple (Safari) ou Microsoft (Edge), selon votre navigateur. Il achemine chaque notification jusqu’à votre appareil. Le contenu (le nom de l’objet, les prix et un lien vers la page de l’objet) est chiffré pour votre navigateur, le service push ne peut donc pas le lire ; il voit l’adresse de l’abonnement, quand chaque message est envoyé, sa taille et qu’il vient de nous. Il fonctionne selon la politique de confidentialité de son fournisseur ; certains de ces fournisseurs sont aux États-Unis. Nous n’envoyons qu’à ces quatre services : un abonnement qui pointe ailleurs est refusé.

Les plateformes dont nous lisons les prix (et les services de taux de change) ne reçoivent que des noms d’objets, jamais de données vous concernant. Aucune vente, location ni communication de vos données à quiconque d'autre. Ce que vous publiez vous-même (une annonce sur le tableau d'échanges, un post d’échange, un panier ou un trade-up public, une carte de valeur, votre nom dans l’arcade) est affiché comme l’indique chaque ligne ci-dessus, et le retirer le supprime. Nous ne communiquons des données à une autorité que lorsque la loi nous y oblige.

Assistants IA (le GPT PatinaAI et le connecteur MCP)

Le GPT PatinaAI dans ChatGPT et notre connecteur MCP permettent à un assistant IA de consulter pour vous des données de marché publiques. Dans ce cas, les serveurs du fournisseur de l’assistant (par exemple OpenAI) nous appellent avec les paramètres de cette seule requête : un nom d’objet, des mots de recherche, des entrées de trade-up ou une publication de Valve. Nous ne recevons ni votre nom, ni votre compte, ni votre conversation, ni rien d’autre que vous avez saisi, et ces appels ne lisent ni ne modifient jamais un compte PatinaAI.

Nous conservons en mémoire un compteur par adresse pour appliquer les limites d’usage (effacé sous un jour au plus) et des totaux par opération, sans adresse. Votre conversation elle-même est traitée par le fournisseur de l’assistant selon sa propre politique de confidentialité.

Vos droits

Accès et portabilité : le bouton « Télécharger mes données » de l’onglet Compte vous donne un seul fichier JSON contenant tout ce que le serveur conserve sur votre compte : votre ligne de profil avec votre e-mail et vos traces de consentement, vos imports d'avoirs et vos unités de stockage, vos échanges et événements d'échange, les offres d’échange enregistrées, vos thèses, vos règles d'alerte et les alertes déclenchées, vos paniers, vos trade-ups et vérifs d’échange enregistrés, votre liste d'amis, vos pronostics, parties, duels et points de l'arcade, vos annonces sur le tableau d'échanges, vos commentaires, vos compteurs d'actions quotidiennes, votre utilisation de l'analyste, chaque cache conservé sous votre SteamID et le suivi de prix lié à votre adresse confirmée. Seules les clés de votre compte (le jeton d’extension et autres éléments du même type) en sont exclues.
Effacement : le bouton « Supprimer mon compte » de l'onglet Compte supprime immédiatement votre compte et les données vous concernant, sans délai de grâce, ainsi que l’éventuel abonnement Stripe. Les sauvegardes disparaissent sous 30 jours, comme décrit plus haut. Les enregistrements qui appartiennent à un autre utilisateur, comme son propre registre d’échanges qui vous désigne comme partenaire, restent chez cet utilisateur.
Rectification, limitation, opposition : écrivez à info@patinaai.net. Vous pouvez vous opposer à tout moment à tout traitement que nous fondons sur l’intérêt légitime.
Retrait du consentement : chaque fois que nous nous fondons sur votre consentement, vous pouvez le retirer aussi facilement que vous l’avez donné (les liens d’arrêt, les interrupteurs dans Compte, le réglage de l’extension), sans que cela n’affecte ce qui a été fait auparavant.
Suivi de prix sans compte : par e-mail, le lien d’arrêt présent dans chaque message ouvre une page où un clic supprime le suivi et tout ce qui est conservé avec lui, traces de consentement comprises. Dans le navigateur, « Arrêter les alertes » sur une notification ou « Arrêter les notifications dans ce navigateur » dans la fenêtre de suivi le supprime aussitôt ; désactiver les notifications de patinaai.net y met fin aussi, comme décrit plus haut. Un suivi dans le navigateur ne contient rien qui nous permette de le rattacher à une demande, nous ne pouvons donc pas le retrouver pour vous. Pour l’accès, une copie ou toute autre demande sur un suivi par e-mail, écrivez à info@patinaai.net depuis l’adresse que vous utilisez pour le suivi, puisqu’il n’y a pas de compte pour le retrouver.
Nous répondons dans un délai d’un mois. Aucune décision vous concernant n’est prise sur le seul fondement d’un traitement automatisé d’une manière qui produit des effets juridiques ou des effets similaires significatifs.
Réclamation : vous pouvez introduire une réclamation auprès d’une autorité de protection des données. Comme nous sommes établis en Roumanie, l’autorité chef de file est l’Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) (l’autorité nationale roumaine de protection des données), www.dataprotection.ro. Vous pouvez aussi vous adresser à l’autorité du pays où vous vivez ou travaillez. Nous aimerions d’abord avoir l’occasion de corriger le problème, à info@patinaai.net.

Sécurité

TLS partout ; clés API propres à chaque utilisateur chiffrées au repos (AES-256-GCM) ; jetons d'extension propres à chaque utilisateur et renouvelables ; l'application n'accède à Steam qu'en lecture et ne peut effectuer aucun échange.

Modifications

Quand cette politique change, la date ci-dessous change aussi, et une modification qui compte pour vous est affichée dans l’application avant de s’appliquer.