Confidentialité et cookies

Version du 22 octobre 2026.

Données que nous traitons

• Compte : e-mail, pseudo, mot de passe (stocké sous forme chiffrée irréversible), date de votre déclaration « 18 ans ou plus », identifiant Google, Apple ou Discord si vous choisissez ce mode de connexion. Nous ne demandons ni date de naissance ni pièce d'identité.
• Achats et collection : achats de crédits (montant, date, référence du paiement), ouvertures de packs et données de tirage, cartes détenues, reventes, achats en boutique, solde de crédits, factures.
• Livraisons : nom, adresse postale, numéro de téléphone (points relais et Chronopost : avis du transporteur), point relais choisi, cartes envoyées, mode d'envoi, numéro de suivi ; coordonnées mémorisées sur votre compte seulement si vous le demandez. Paiement par carte des frais : traité par notre prestataire de paiement, aucune donnée bancaire conservée par le site.
• Dépenses maîtrisées : limites de dépôt et auto-exclusion que vous choisissez.
• Échanges : e-mails que nous vous envoyons et messages que vous nous adressez, notamment via le formulaire de contact (nom ou pseudo, e-mail, sujet, référence éventuelle, message).
• E-mails d'actualité (seulement si vous l'acceptez) : votre choix, sa date, l'endroit où vous l'avez exprimé (inscription ou « Mon compte ») et, le cas échéant, la date de votre désinscription.
• Sécurité : adresse IP utilisée à la volée pour limiter les tentatives abusives (non enregistrée en base) et, sur les formulaires d'inscription, de mot de passe oublié et de contact, transmise à notre contrôle anti-robots (Cloudflare Turnstile) ; date de votre dernière connexion ; journal des actions sensibles.
• Provenance des visites : la façon dont les visiteurs arrivent sur le site (par exemple Instagram, TikTok, un moteur de recherche, un e-mail ou le lien d'un créateur), la campagne éventuelle et la page d'arrivée, comptées uniquement sous forme de compteurs anonymes : aucune adresse IP ni aucun identifiant n'est conservé, et cette information n'est jamais rattachée à votre compte.
• Parrainage : votre code personnel, le compte qui vous a invité ou les comptes que vous avez invités, leur statut et les crédits offerts ; pour éviter les abus, nous comparons l'e-mail, l'empreinte chiffrée de la carte bancaire et l'adresse de livraison du parrain et du filleul (sans jamais les montrer à l'autre).

Aucune donnée de carte bancaire n'est reçue ni conservée par le site : le paiement se fait sur la page de notre prestataire.

Pourquoi et sur quelle base

• Gérer votre compte, vos achats, vos tirages, vos livraisons et vos remboursements : exécution du contrat.
• Tenir la comptabilité, émettre les factures, tenir le registre des objets mobiliers : obligations légales.
• Sécuriser le service, prévenir la fraude et les abus (comptes multiples, contestations de paiement) : intérêt légitime.
• Répondre à vos messages (formulaire de contact) : intérêt légitime, ou exécution du contrat s'ils concernent une commande.
• Appliquer les limites et l'auto-exclusion que vous choisissez : exécution du contrat ; refuser l'accès aux mineurs : intérêt légitime.
• Mesurer l'audience du site (visites par canal : réseaux sociaux, moteurs de recherche, e-mails, créateurs), pour notre seul usage : intérêt légitime. Statistiques anonymes produites par le site lui-même, sans outil tiers ni recoupement avec d'autres sites.
• Vous envoyer nos nouveautés, codes promo et annonces par e-mail (prospection) : votre consentement, demandé par une case non cochée par défaut. Vous pouvez le retirer à tout moment, sans frais : lien de désinscription en un clic dans chaque e-mail, ou réglage « E-mails d'actualité » de votre compte. Ces e-mails ne sont jamais envoyés à un compte en auto-exclusion.

Nous ne faisons aucun profilage publicitaire, ne cédons pas votre adresse et ne prenons aucune décision automatisée produisant des effets juridiques à votre égard. Sans votre accord, les seuls e-mails envoyés concernent votre compte et vos commandes.

Durées de conservation

• Compte : tant qu'il est actif ; après 3 ans sans connexion, nous vous prévenons par e-mail puis l'anonymisons un mois plus tard (s'il vous reste des crédits ou des cartes, jamais sans votre accord). Compte jamais confirmé et jamais utilisé : supprimé après 6 mois.
• Preuve des achats, ouvertures et livraisons : 5 ans après la fin de la relation (délai de prescription), sans vos coordonnées une fois le compte supprimé.
• Factures, écritures comptables et registre des objets mobiliers : 10 ans (article L. 123-22 du Code de commerce, article 321-7 du Code pénal).
• Messages du formulaire de contact : 3 ans après notre dernier échange.
• E-mails d'actualité : votre accord et sa preuve, 3 ans après notre dernier contact avec vous ; après une désinscription, seule la date du retrait est gardée, pour ne plus vous écrire.
• Journal des e-mails envoyés et journal de sécurité : 1 an ; adresse IP d'un appel refusé par nos services de paiement : 90 jours. Sessions de connexion : 30 jours ; liens de réinitialisation du mot de passe : 30 minutes.
• Statistiques anonymes du parcours d'accueil : 13 mois.
• Mesure d'audience : cookie « gs_src » 90 jours ; compteurs de visites conservés, car anonymes. Une provenance enregistrée sur un compte avant le 21 octobre 2026 est effacée avec le compte.
• Adresse e-mail des testeurs de la bêta fermée (remerciements de l'avant-première) : supprimée dès les remerciements reçus et l'annonce envoyée, au plus tard 90 jours après son ajout.

Ces suppressions et anonymisations sont faites automatiquement, chaque nuit.

Destinataires et prestataires

Vos données ne sont ni vendues ni louées. Elles sont traitées pour notre compte par :

• hébergement : Vercel Inc. (fonctions exécutées à Francfort (Allemagne, région fra1)) ; base de données : Neon, LLC (groupe Databricks, Inc.) (données stockées à Francfort (Allemagne, AWS eu-central-1)) ;
• paiement : Stripe (Stripe Payments Europe, Irlande), qui agit aussi pour son propre compte pour la lutte contre la fraude ;
• envoi des e-mails : Brevo (France) ; messagerie : OVHcloud (France) ;
• contrôle anti-robots des formulaires d'inscription, de mot de passe oublié et de contact : Cloudflare Turnstile (Cloudflare, Inc.), qui reçoit votre adresse IP et des informations techniques sur votre navigateur, sans cookie publicitaire ;
• limitation des tentatives abusives : Upstash (Upstash, Inc.), qui ne reçoit qu'une empreinte irréversible de votre adresse IP, effacée automatiquement en 2 jours au plus ;
• acheminement des colis : le transporteur de l'option choisie — La Poste / Colissimo, Mondial Relay ou Chronopost (nom, adresse ou point relais et, pour les points relais et Chronopost, téléphone figurant sur l'étiquette).

Vercel, Neon, Stripe, Upstash et Cloudflare appartiennent à des groupes américains : les transferts éventuels vers les États-Unis sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) et par les clauses contractuelles types de la Commission européenne prévues dans leurs contrats. Si vous vous connectez avec Google, Apple ou Discord, ce service traite vos données selon sa propre politique.

Les images des cartes sont chargées depuis le service public TCGdex (assets.tcgdex.net) et, pour les quelques cartes qu'il n'illustre pas encore, depuis pokemontcg.io (images.scrydex.com) : votre navigateur leur transmet votre adresse IP pour afficher l'image, sans cookie.

Cookies et stockage local

Le site n'utilise aucun cookie publicitaire ni outil de mesure tiers. Ses traceurs sont strictement nécessaires au service, mémorisent vos propres choix ou servent à sa mesure d'audience anonyme dans les conditions de la CNIL : ils sont exemptés de consentement (article 82 de la loi Informatique et Libertés) ; c'est pourquoi aucun bandeau ne vous est présenté.

Le paiement se fait sur la page de Stripe, qui pose ses propres cookies de sécurité et de lutte contre la fraude selon sa politique. Si un outil de mesure tiers ou un autre service tiers était ajouté, cette page serait mise à jour et votre accord demandé si la loi l'exige.

Vos droits

Vous pouvez accéder à vos données, les rectifier, les effacer, en limiter le traitement, vous opposer à un traitement fondé sur l'intérêt légitime et recevoir vos données dans un format lisible (portabilité), en écrivant depuis l'adresse e-mail de votre compte à contact@goldstars.fr, ou via le formulaire de contact (sujet « Données personnelles »). Nous répondons dans un délai d'un mois. Depuis Mon compte › Mes données, vous pouvez aussi télécharger vos données (fichier JSON) et supprimer votre compte vous-même : vos données personnelles sont alors effacées ou anonymisées, sauf les factures, écritures comptables et le registre des objets mobiliers que la loi nous oblige à garder. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès. En cas de désaccord, vous pouvez saisir la CNIL (www.cnil.fr/fr/plaintes).

Sécurité : connexion chiffrée (HTTPS), mots de passe stockés de façon irréversible, données hébergées dans l'Union européenne (Francfort), accès d'administration protégé par double authentification.

Responsable du traitement

Gold Stars, éditeur du site, identifié dans les mentions légales. Contact : contact@goldstars.fr. Aucun délégué à la protection des données n'est désigné (non obligatoire pour notre activité).