Politique de Confidentialité

1. Introduction

1.1. Objet de la présente politique

La présente Politique de Confidentialité (ci-après « la Politique ») régit la collecte, l'utilisation, le stockage, le partage et la protection des données à caractère personnel des utilisateurs de la plateforme HolyLuck, accessible à l'adresse holyluckvipfrance.com (ci-après « la Plateforme »).

HolyLuck s'engage à traiter vos données personnelles avec la plus haute rigueur, dans le strict respect du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (RGPD), ainsi que de la loi française n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi Informatique et Libertés), dans sa version modifiée.

1.2. Qui sommes-nous ?

HolyLuck (ci-après « nous », « notre », « la Société ») est l'opérateur de la Plateforme holyluckvipfrance.com, une plateforme de jeux en ligne proposant des jeux de casino et de divertissement à ses utilisateurs enregistrés (ci-après « vous », « l'Utilisateur »). La Plateforme est destinée exclusivement aux personnes physiques âgées d'au moins 18 ans, résidant dans les territoires où l'accès à nos services est légalement autorisé.

1.3. Articulation avec les autres documents contractuels

La présente Politique fait partie intégrante du cadre contractuel liant l'Utilisateur à HolyLuck. Elle doit être lue conjointement avec :

• Nos Conditions Générales d'Utilisation, disponibles à l'adresse /terms-and-conditions ;
• Notre Politique de Jeu Responsable, disponible à l'adresse /responsible-gaming.

En cas de contradiction entre la présente Politique et les Conditions Générales d'Utilisation sur des questions relatives à la vie privée, la présente Politique prévaut.

1.4. Acceptation

En créant un compte sur la Plateforme, en poursuivant votre navigation ou en utilisant nos services, vous reconnaissez avoir pris connaissance de la présente Politique et en accepter les termes. Si vous n'acceptez pas ces termes, nous vous invitons à ne pas utiliser nos services.

2. Données que nous collectons

2.1. Données collectées directement auprès de vous

Lors de votre inscription et de l'utilisation de la Plateforme, nous collectons les catégories de données suivantes :

2.1.1. Données d'identification et de compte

• Identité civile : nom, prénom, date de naissance ;
• Coordonnées : adresse e-mail, numéro de téléphone, adresse postale complète ;
• Identifiants de connexion : nom d'utilisateur (pseudonyme), mot de passe haché ;
• Nationalité et pays de résidence.

2.1.2. Données de vérification d'identité (KYC)

Dans le cadre de nos obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT), nous pouvons être amenés à collecter :

• Copie d'une pièce d'identité officielle (carte nationale d'identité, passeport, titre de séjour) ;
• Justificatif de domicile de moins de trois mois ;
• Justificatif de source de fonds (relevés bancaires, fiches de paie) lorsque les seuils réglementaires l'exigent ;
• Photographie (selfie) pour la vérification biométrique de l'identité.

2.1.3. Données financières et transactionnelles

• Méthodes de paiement utilisées : Visa, Mastercard, PayPal, Skrill, Neteller, Neosurf, Paysafecard, MiFinity, CASHlib, virement bancaire (SEPA), Apple Pay, Google Pay ;
• Historique des dépôts, retraits et transactions ;
• Solde du compte et mouvements de fonds ;
• Devise utilisée : Euro (€).

2.1.4. Données de jeu et comportementales

• Historique des parties jouées, mises et gains ;
• Préférences de jeu et types de jeux consultés ;
• Durée des sessions de jeu ;
• Limites de jeu responsable définies par l'utilisateur (dépôt, perte, mise, durée de session) ;
• Interactions avec les outils d'auto-exclusion.

2.2. Données collectées automatiquement

• Données techniques : adresse IP, type et version du navigateur, système d'exploitation, identifiant de l'appareil ;
• Données de navigation : pages visitées, liens cliqués, temps passé sur chaque page, URL de référence ;
• Données de localisation : localisation approximative dérivée de l'adresse IP (pays, région) ;
• Données de cookies : identifiants de session, préférences utilisateur (voir section 6).

2.3. Données reçues de tiers

• Données de vérification d'identité transmises par des prestataires KYC spécialisés ;
• Informations issues de bases de données de prévention de la fraude ;
• Données de vérification de liste de sanctions internationales (PEP, sanctions) ;
• Informations de connexion via réseaux sociaux si vous choisissez une authentification sociale.

3. Comment nous utilisons vos données

3.1. Finalités principales du traitement

3.2. Communications marketing

Si vous avez consenti à recevoir des communications commerciales, nous pouvons vous adresser des informations relatives à nos offres, bonus et promotions par e-mail, SMS ou notification push. Vous pouvez retirer ce consentement à tout moment en cliquant sur le lien de désabonnement présent dans chaque communication, ou en nous contactant à l'adresse notre service d'assistance client.

3.3. Prise de décision automatisée

Nous pouvons avoir recours à des traitements automatisés, notamment pour la détection de fraude, la vérification d'identité et la gestion des risques de jeu excessif. Lorsque ces traitements ont des effets juridiques ou similaires significatifs à votre égard, vous disposez du droit de demander une intervention humaine, d'exprimer votre point de vue et de contester la décision automatisée (voir section 9).

4. Bases légales du traitement

Conformément à l'article 6 du RGPD, nous fondons nos traitements de données sur les bases légales suivantes :

4.1. Exécution d'un contrat (art. 6(1)(b) RGPD)

La majeure partie de nos traitements est nécessaire à l'exécution des Conditions Générales d'Utilisation que vous avez acceptées lors de votre inscription : création et gestion de votre compte, traitement de vos transactions financières, fourniture d'accès aux jeux.

4.2. Respect d'une obligation légale (art. 6(1)(c) RGPD)

Certains traitements sont imposés par des obligations légales auxquelles nous sommes soumis, notamment :

• Les obligations en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme ;
• La vérification de l'âge légal (18 ans minimum) ;
• Les obligations de conservation des données transactionnelles à des fins comptables et fiscales ;
• La mise en place de mesures de jeu responsable conformément à la réglementation en vigueur.

4.3. Intérêt légitime (art. 6(1)(f) RGPD)

Nous traitons certaines données sur la base de notre intérêt légitime, notamment pour :

• La sécurité et l'intégrité de notre Plateforme ;
• La prévention et la détection de fraudes ;
• L'amélioration continue de nos services et de l'expérience utilisateur ;
• La gestion des risques opérationnels.

Ces intérêts légitimes ne prévalent jamais sur vos droits et libertés fondamentaux.

4.4. Consentement (art. 6(1)(a) RGPD)

Pour les traitements qui ne relèvent d'aucune autre base légale — notamment l'envoi de communications marketing et l'utilisation de certains cookies non essentiels — nous fondons notre traitement sur votre consentement explicite. Vous pouvez retirer votre consentement à tout moment, sans que cela remette en cause la licéité des traitements effectués avant ce retrait.

5. Partage des données & tiers

5.1. Catégories de destinataires

Nous ne vendons pas vos données personnelles à des tiers. Nous pouvons partager vos données avec les catégories de destinataires suivantes, dans les limites strictement nécessaires à chaque finalité :

5.1.1. Prestataires de services (sous-traitants)

• Prestataires de paiement : traitement sécurisé des transactions financières ;
• Prestataires KYC : vérification d'identité, vérification documentaire et biométrique ;
• Fournisseurs de jeux : éditeurs de logiciels de jeux intégrés à la Plateforme ;
• Hébergeurs et services cloud : stockage et infrastructure technique ;
• Prestataires d'analyse et de marketing : analyse d'audience et optimisation des campagnes ;
• Services de cybersécurité : détection et prévention des menaces ;
• Services de messagerie : envoi des communications transactionnelles et marketing.

Chaque sous-traitant est lié à HolyLuck par un contrat de traitement de données conforme aux exigences de l'article 28 du RGPD, garantissant des niveaux de protection équivalents.

5.1.2. Autorités et organismes réglementaires

Nous pouvons être tenus de divulguer vos données aux autorités compétentes dans les cas suivants :

• Décision de justice, ordonnance judiciaire ou réquisition légale ;
• Demande émanant d'une autorité de contrôle (CNIL, autorités fiscales, etc.) ;
• Obligations déclaratives en matière de lutte contre le blanchiment d'argent.

5.1.3. Transferts en cas de restructuration

En cas de fusion, acquisition, cession d'actifs ou restructuration, vos données peuvent être transférées au repreneur ou à la nouvelle entité, sous réserve d'une information préalable et dans le respect de vos droits tels que définis par le RGPD.

5.2. Absence de vente de données

6. Cookies & technologies de suivi

6.1. Définition et utilisation des cookies

Les cookies sont de petits fichiers texte stockés sur votre appareil lorsque vous visitez la Plateforme. Ils nous permettent d'assurer le bon fonctionnement du site, d'analyser son utilisation et de personnaliser votre expérience.

6.2. Types de cookies utilisés

6.3. Gestion de vos préférences

Lors de votre première visite sur la Plateforme, un bandeau de gestion du consentement vous permet d'accepter ou de refuser les différentes catégories de cookies. Vous pouvez modifier vos préférences à tout moment via le gestionnaire de cookies accessible en bas de chaque page.

Vous pouvez également configurer votre navigateur pour refuser tous les cookies ou être informé de leur dépôt. Notez que le blocage des cookies strictement nécessaires peut altérer le fonctionnement de certaines fonctionnalités de la Plateforme.

6.4. Autres technologies de suivi

En complément des cookies, nous pouvons utiliser d'autres technologies similaires :

• Balises web (web beacons) : pixels invisibles permettant de suivre l'ouverture des e-mails et les interactions ;
• Stockage local (localStorage/sessionStorage) : données stockées directement dans votre navigateur ;
• Empreinte numérique (device fingerprinting) : utilisée à des fins de sécurité et de prévention de la fraude.

La durée de conservation des cookies varie entre la session active et 13 mois maximum, conformément aux recommandations de la CNIL.

7. Sécurité des données

7.1. Mesures techniques et organisationnelles

HolyLuck met en œuvre un ensemble complet de mesures de sécurité techniques et organisationnelles afin de protéger vos données personnelles contre tout accès non autorisé, divulgation, altération ou destruction :

• Chiffrement des données en transit : protocole TLS 1.2 minimum pour toutes les communications entre votre navigateur et nos serveurs ;
• Chiffrement des données au repos : vos données sensibles sont stockées sous forme chiffrée dans nos bases de données ;
• Hachage des mots de passe : vos mots de passe ne sont jamais stockés en clair — ils sont hachés avec un algorithme sécurisé (bcrypt ou Argon2) ;
• Contrôle d'accès strict : principe du moindre privilège appliqué à l'ensemble de nos équipes ; seuls les collaborateurs autorisés accèdent à vos données ;
• Authentification multi-facteurs (MFA) : disponible pour votre compte et obligatoire pour nos accès internes aux systèmes critiques ;
• Surveillance et journalisation : suivi en temps réel des tentatives d'accès inhabituelles et des anomalies de sécurité ;
• Tests d'intrusion réguliers : audits de sécurité et tests de pénétration conduits par des tiers indépendants ;
• Plan de réponse aux incidents : procédure documentée pour la gestion des violations de données.

7.2. Notification en cas de violation de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, HolyLuck s'engage à :

• Notifier la Commission Nationale de l'Informatique et des Libertés (CNIL) dans un délai de 72 heures à compter de la prise de connaissance de l'incident, conformément à l'article 33 du RGPD ;
• Vous informer personnellement dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés, conformément à l'article 34 du RGPD.

7.3. Responsabilité partagée

La sécurité de votre compte dépend également de vous. Nous vous invitons à :

• Utiliser un mot de passe fort et unique ;
• Activer l'authentification à deux facteurs ;
• Ne jamais partager vos identifiants de connexion ;
• Signaler immédiatement toute activité suspecte à notre équipe support.

8. Conservation des données

8.1. Principes de conservation

Nous ne conservons vos données personnelles que pendant la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées, conformément au principe de limitation de la conservation prévu à l'article 5(1)(e) du RGPD.

8.2. Durées de conservation applicables

8.3. Suppression et anonymisation

À l'expiration des durées de conservation applicables, vos données sont soit supprimées définitivement et de manière sécurisée, soit anonymisées de façon irréversible à des fins statistiques. Les données anonymisées ne constituent plus des données à caractère personnel et ne sont pas soumises aux dispositions du RGPD.

9. Vos droits

9.1. Droits reconnus par le RGPD

En tant que personne concernée résidant dans l'Union européenne, vous bénéficiez des droits suivants sur vos données personnelles :

9.2. Comment exercer vos droits

Pour exercer l'un de vos droits, vous pouvez :

• Envoyer une demande écrite à notre Délégué à la Protection des Données (DPO) à l'adresse : notre service d'assistance client ;
• Contacter notre service support à l'adresse : notre service d'assistance client ;
• Utiliser le formulaire de demande disponible dans votre espace personnel (section « Confidentialité »).

Nous traiterons votre demande dans un délai de 30 jours à compter de sa réception. Ce délai peut être prolongé de deux mois supplémentaires en cas de demande complexe ou multiple, auquel cas nous vous en informerons dans les 30 jours.

Nous pouvons vous demander de confirmer votre identité avant de donner suite à votre demande, afin de nous assurer que nous communiquons avec la bonne personne.

9.3. Droit de réclamation auprès de la CNIL

10. Transferts internationaux de données

10.1. Principe

Dans le cadre de nos activités, vos données personnelles peuvent être transférées et traitées dans des pays situés en dehors de l'Espace Économique Européen (EEE). Ces transferts peuvent avoir lieu lorsque nos sous-traitants ou partenaires opèrent depuis des pays tiers.

10.2. Garanties applicables

Nous nous assurons que tout transfert de données vers un pays tiers est encadré par des garanties appropriées, conformément au Chapitre V du RGPD :

• Décision d'adéquation : transfert vers des pays reconnus par la Commission européenne comme offrant un niveau de protection adéquat (ex. : Royaume-Uni post-Brexit sous accord d'adéquation, Canada, Japon, Suisse) ;
• Clauses contractuelles types (CCT) : adoption des clauses contractuelles types approuvées par la Commission européenne (décision du 4 juin 2021) pour les transferts vers des pays sans décision d'adéquation ;
• Règles d'entreprise contraignantes (BCR) : pour les groupes d'entreprises disposant de règles internes approuvées par la CNIL ;
• Certifications et codes de conduite reconnus par les autorités compétentes.

10.3. Droit à l'information

Sur demande adressée à notre service d'assistance client, nous pouvons vous fournir une copie des garanties mises en place pour les transferts internationaux, ainsi que la liste des pays tiers concernés.

11. Mineurs

11.1. Interdiction formelle aux mineurs

11.2. Vérification de l'âge

Nous mettons en œuvre des procédures de vérification de l'âge lors de l'inscription et dans le cadre de notre processus KYC obligatoire. Toute tentative de contournement de ces mesures entraînera la fermeture immédiate du compte et le gel des fonds.

11.3. Collecte involontaire de données de mineurs

HolyLuck ne collecte pas sciemment de données personnelles relatives à des personnes âgées de moins de 18 ans. Si nous apprenons qu'un mineur a fourni des données personnelles sur notre Plateforme, nous prendrons immédiatement les mesures suivantes :

• Fermeture du compte concerné ;
• Suppression définitive et sécurisée de toutes les données collectées ;
• Information des parents ou tuteurs légaux si applicable ;
• Restitution des fonds déposés conformément à notre procédure interne.

11.4. Ressources de prévention

Si vous êtes parent ou tuteur et souhaitez protéger un mineur de l'accès aux jeux d'argent en ligne, nous vous encourageons à utiliser des logiciels de contrôle parental. Pour toute préoccupation, consultez également notre Politique de Jeu Responsable. Des ressources spécialisées sont disponibles auprès des organisations suivantes :

• Joueurs Info Service — les ressources d'aide specialisees aux joueurs (gratuit, 8h–2h) — joueurs-info-service.fr
• Addictaide — addictaide.fr
• Fédération Addiction — federationaddiction.fr
• Aide Info Jeu — aide-info-jeu.fr
• CSAPA (Centres de soins d'accompagnement et de prévention en addictologie) — réseau national accessible via votre médecin traitant
• SOS Joueurs — sosjoueurs.org

12. Modifications de la présente politique

12.1. Droit de modification

HolyLuck se réserve le droit de modifier ou de mettre à jour la présente Politique à tout moment, notamment pour refléter des évolutions législatives ou réglementaires, des modifications de nos pratiques de traitement des données, ou des changements dans nos services.

12.2. Modalités de notification

En cas de modification substantielle de la Politique, nous vous en informerons par :

• Un e-mail adressé à l'adresse associée à votre compte ;
• Un avis visible sur la Plateforme lors de votre prochaine connexion ;
• La mise à jour de la date « Dernière mise à jour » en tête du présent document.

12.3. Entrée en vigueur

La version modifiée de la Politique entre en vigueur dès sa publication sur la Plateforme. En continuant à utiliser nos services après la date d'entrée en vigueur, vous acceptez la version révisée. Si vous n'acceptez pas les modifications, vous devez cesser d'utiliser la Plateforme et clôturer votre compte.

12.4. Historique des versions

13. Coordonnées de contact

13.1. Pour toute question relative à votre vie privée

HolyLuck dispose d'un Délégué à la Protection des Données (DPO) chargé de superviser la conformité au RGPD et de traiter vos demandes relatives à vos données personnelles. Pour exercer vos droits ou pour toute question relative à la présente Politique, vous pouvez nous contacter :

13.2. Autorité de contrôle

Si vous estimez que vos droits en matière de protection des données n'ont pas été respectés, vous avez la possibilité de déposer une plainte auprès de l'autorité de contrôle compétente :

13.3. Documents connexes

Pour une vision complète de nos engagements envers vous, nous vous invitons à consulter :

• Conditions Générales d'Utilisation — règles d'utilisation de la Plateforme, droits et obligations des parties
• Politique de Jeu Responsable — outils de contrôle, auto-exclusion, ressources d'aide
• Politique de Confidentialité — présent document (version actuelle)