Prompt & Dragon

Politique de confidentialité

Version du 22 septembre 2026

Cette politique explique quelles données personnelles sont traitées lorsque vous consultez ou utilisez Prompt & Dragon, pourquoi elles le sont, avec qui elles peuvent être partagées et comment exercer vos droits. Elle complète les Conditions générales de vente.

1. Responsable du traitement

Le responsable du traitement est GHOST LOGIC, société par actions simplifiée (SAS) au capital de 2 000 €, 18 La Croix de Vaux, 14310 Épinay-sur-Odon, France, éditeur de Prompt & Dragon.

Contact relatif à la protection des données : [email protected].

2. Données que nous traitons

Données de compte et d’authentification

nom ou nom d’usage, lorsqu’il est renseigné ;
adresse électronique et date de vérification ;
mot de passe conservé uniquement sous forme hachée ;
jetons techniques hachés de vérification d’adresse, de connexion magique et de réinitialisation de mot de passe ;
identifiants de session strictement nécessaires à la connexion.

Briefs, paramètres et contenus de jeu

brief libre rédigé pour décrire l’aventure souhaitée ;
nombre de joueurs, durée, tonalité et type de scénario ;
kits, archétypes, situations, personnages et autres contenus générés ;
état du cockpit de jeu, progression, dispositions et préférences propres au Kit.

Les briefs sont transmis à des fournisseurs d’intelligence artificielle. N’y inscrivez pas de données sensibles, de secrets, d’informations confidentielles ni de données concernant un tiers sans disposer d’une base légale appropriée.

Commandes, paiements et Crédits

adresse électronique associée à la Commande ;
référence, date, montant, devise, produit ou pack acheté et statut du paiement ;
identifiants techniques Stripe de prix, session de paiement, événement et intention de paiement ;
solde, mouvements de Crédits, générations facturées et remboursements de Crédits ;
données fiscales ou de facturation que Stripe peut demander selon le contexte de vente.

Les coordonnées bancaires complètes sont saisies dans l’interface sécurisée de Stripe et ne sont pas enregistrées dans la base de données de Prompt & Dragon. Nous recevons seulement les informations nécessaires pour rapprocher et prouver la transaction.

Données techniques et de sécurité

dates et heures d’opérations, identifiants de requête et journaux d’erreur ;
adresse IP, URL demandée et informations de navigateur susceptibles d’apparaître dans les journaux du serveur ou de l’hébergeur ;
modèle d’IA utilisé, étapes de génération, nombre de jetons, durée, coût fournisseur et identifiant de requête OpenRouter ;
tentatives, codes d’erreur et éléments nécessaires à la prévention des abus et à la résolution d’incidents.

Communications

Nous traitons l’adresse électronique et le contenu utile des messages transactionnels envoyés pour vérifier un compte, réinitialiser un mot de passe, fournir un lien de connexion ou souhaiter la bienvenue. Si vous contactez le support, nous traitons également le contenu de votre demande et les informations nécessaires pour y répondre.

3. Finalités et bases légales

Finalité	Données principales	Base légale
Créer et sécuriser le compte	Identité, e-mail, mot de passe haché, sessions et jetons	Exécution du contrat ou mesures précontractuelles
Générer, stocker et restituer les Kits	Brief, paramètres, sorties générées et état du cockpit	Exécution du contrat
Traiter les paiements, Crédits et remboursements	Commande, transaction, identifiants Stripe et ledger de Crédits	Exécution du contrat et obligations légales comptables et fiscales
Envoyer les emails indispensables au Service	E-mail, nom et lien sécurisé à durée limitée	Exécution du contrat et intérêt légitime à sécuriser le compte
Maintenir, diagnostiquer et sécuriser le Service	Journaux techniques, erreurs, IP, métriques et événements de sécurité	Intérêt légitime à assurer la sécurité, prévenir les abus et améliorer la fiabilité
Répondre aux demandes et défendre nos droits	Correspondance, compte, commandes et preuves techniques	Intérêt légitime et obligations légales

Le Site n’utilise actuellement ni newsletter commerciale, ni publicité comportementale, ni outil tiers de suivi marketing. Si ces pratiques sont ajoutées, cette politique et, lorsque nécessaire, le mécanisme de consentement seront mis à jour avant leur activation.

4. Intelligence artificielle et transmission des briefs

Pour produire un Kit, Prompt & Dragon prépare des instructions à partir du brief et des paramètres choisis, puis les transmet à OpenRouter . OpenRouter route la demande vers le fournisseur du modèle sélectionné. Les sorties intermédiaires sont ensuite assemblées et conservées par Prompt & Dragon pour livrer le Kit.

Prompt & Dragon n’utilise pas vos briefs ou Kits pour entraîner son propre modèle. Toute évolution vers une réutilisation des contenus à des fins d’entraînement ou d’évaluation non indispensable au Service nécessiterait une information préalable et une base légale distincte.

5. Destinataires et sous-traitants

Les données sont accessibles uniquement aux personnes habilitées de Prompt & Dragon et aux prestataires nécessaires à la fourniture du Service, dans la limite de leur mission :

OVH SAS (OVHcloud) , hébergement de l’application et de la base PostgreSQL ;
Stripe , affichage du formulaire de paiement, traitement des transactions et prévention de la fraude ;
OpenRouter, Inc. et les fournisseurs de modèles sélectionnés, génération du contenu demandé ;
Plus Five Five, Inc. (Resend), envoi des emails transactionnels ;
les conseils, autorités ou juridictions lorsque la loi l’exige ou pour défendre un droit.

Nous ne vendons ni ne louons les données personnelles. Une liste plus détaillée des fournisseurs de modèles et de leurs conditions pourra être communiquée sur demande lorsque cette information est disponible.

6. Transferts hors de l’Espace économique européen

L’infrastructure principale est hébergée chez OVHcloud. Stripe, Resend, OpenRouter ou certains fournisseurs de modèles peuvent néanmoins traiter des données depuis les États-Unis ou un autre pays situé hors de l’Espace économique européen.

Lorsque le RGPD l’exige, ces transferts doivent reposer sur une décision d’adéquation, les clauses contractuelles types de la Commission européenne ou un autre mécanisme légal approprié, complété si nécessaire par des mesures supplémentaires. Les garanties applicables peuvent être demandées au contact indiqué à l’article 1.

7. Durées de conservation

Nous ne conservons pas les données indéfiniment. La durée dépend de la finalité, des obligations légales et de la nécessité de constater, exercer ou défendre un droit.

Compte, Kits et état de jeu : pendant la vie du compte. La suppression depuis « Mon compte », après confirmation et vérification du mot de passe, efface ces données de la base active ainsi que les jetons de connexion et le solde de crédits. Un paiement en attente doit être réglé ou son expiration confirmée au préalable.
Commandes et pièces comptables : Les données de paiement nécessaires aux obligations comptables (référence d’achat, adresse e-mail de facturation, montant, devise, date et références Stripe) sont conservées séparément après suppression du compte, avec un accès réservé aux besoins comptables, pendant dix ans à compter de la clôture de l’exercice concerné.
Données nécessaires à la preuve du contrat : pendant la durée de prescription applicable, avec accès restreint lorsqu’elles ne sont plus nécessaires au Service courant.
Jetons d’authentification : les liens deviennent inutilisables après leur expiration technique — une heure pour la réinitialisation du mot de passe et vingt-quatre heures pour la vérification ou la connexion magique — ou dès leur utilisation.
Demandes d’exercice de droits et réclamations : le temps de traiter la demande, puis pendant la durée nécessaire pour prouver son traitement.

Les sauvegardes sont écrasées selon leur cycle technique et ne sont restaurées qu’en cas d’incident. Les durées définitives devront être alignées avec les procédures de purge réellement déployées avant le lancement commercial.

8. Cookies et stockage local

Prompt & Dragon utilise un cookie de session strictement nécessaire, nommé adonis-session, pour maintenir la connexion, protéger les formulaires et conserver temporairement le parcours d’achat. La session expire après environ deux heures d’inactivité. Ce cookie est configuré pour ne pas être accessible au JavaScript du navigateur et pour être transmis uniquement en HTTPS en production.

Les pages de paiement intègrent Stripe, qui peut utiliser ses propres cookies et technologies strictement nécessaires à la sécurité, à la prévention de la fraude et au fonctionnement du paiement. Aucun cookie publicitaire ou outil tiers de mesure d’audience n’est actuellement installé par Prompt & Dragon. Si un traceur non nécessaire était ajouté, il ne serait activé qu’après information et, lorsque la loi l’exige, recueil de votre consentement.

9. Sécurité

Des mesures techniques et organisationnelles proportionnées sont mises en œuvre, notamment le chiffrement HTTPS, le hachage des mots de passe, des jetons d’authentification stockés sous forme hachée, des contrôles d’accès, la validation des entrées, la vérification signée des webhooks Stripe, la journalisation d’événements techniques et la séparation des secrets d’environnement.

Aucun système n’est totalement exempt de risque. En cas de violation de données susceptible d’engendrer un risque pour vos droits et libertés, nous appliquerons les obligations de documentation, notification à l’autorité et information des personnes concernées prévues par la réglementation.

10. Vos droits

Dans les conditions prévues par le RGPD et la loi Informatique et Libertés, vous pouvez demander :

l’accès à vos données et une copie de celles-ci ;
la rectification de données inexactes ou incomplètes ;
l’effacement de vos données lorsqu’aucun motif légal ne justifie leur conservation ;
la limitation temporaire d’un traitement ;
l’opposition aux traitements fondés sur notre intérêt légitime, pour des raisons tenant à votre situation ;
la portabilité des données fournies lorsque le traitement est automatisé et fondé sur le contrat ou le consentement ;
le retrait de votre consentement, sans remettre en cause la licéité du traitement antérieur ;
des informations sur les garanties applicables aux transferts internationaux.

Prompt & Dragon ne prend pas, sur la seule base d’un traitement automatisé, de décision produisant des effets juridiques ou vous affectant de manière similaire. La génération du Kit est automatisée, mais constitue la prestation créative demandée et non une décision portant sur vos droits.

Pour exercer vos droits, écrivez à [email protected]. Nous pouvons demander des informations raisonnables pour vérifier votre identité. Vous pouvez aussi définir des directives relatives au sort de vos données après votre décès, dans les conditions du droit français.

11. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés : www.cnil.fr/fr/plaintes , CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

12. Évolution de la politique

Cette politique peut être mise à jour pour refléter une évolution du Service, des prestataires ou de la réglementation. La date de version est indiquée en tête de page. En cas de modification substantielle, les utilisateurs concernés seront informés par un moyen approprié avant son entrée en vigueur lorsque la loi l’exige.