Politique de Confidentialité

1. Introduction

La présente Politique de Confidentialité décrit la manière dont TOURDATA (« nous », « notre ») traite les données à caractère personnel dans le cadre du Service API FFE accessible à l'adresse ffe.chessxp.com et du site de présentation api-ffe.chessxp.com. Elle ne couvre pas les autres services ChessXP (plateforme d'entraînement, chessxp.com, etc.) qui font l'objet de politiques distinctes.

2. Identité du responsable de traitement

3. Répartition des rôles RGPD

La Fédération Française des Échecs (FFE) est le responsable du traitement amont : c'est elle qui collecte et publie les données des joueurs licenciés. TOURDATA est un sous-traitant au sens du RGPD : nous chargeons, restructurons et rediffusons ce fichier public en ajoutant des garanties de minimisation et d'opt-out.

Chaque intégrateur (vous, lorsque vous appelez l'API) est responsable de l'usage final des données dans son produit et doit respecter ses propres obligations RGPD vis-à-vis de ses utilisateurs. Pour toute question adressée à la FFE en tant que responsable amont, le contact RGPD de la FFE est : erick.mouret@echecs.asso.fr.

4. Données diffusées par défaut

Chaque réponse de l'API contient les catégories suivantes, issues directement du fichier officiel FFE :

• Numéro de licence, nom, prénom, genre
• Fédération, ligue, club
• Année de naissance, catégorie d'âge, statut de licence pour la saison en cours
• Classements Elo (standard, rapide, blitz)
• Identifiant FIDE et titre fédératif, s'ils existent
• Lien vers la fiche officielle du joueur sur le site de la FFE

Par souci de minimisation, la date de naissance complète et la ville sont volontairement masquées par défaut. Ces champs ne sont pas accessibles via l'API publique.

5. Provenance des données — fichier public, pas de scraping

Les données servies par l'API proviennent du fichier public PapiData publié par la FFE sur son propre site, que la fédération met à disposition de tous pour le téléchargement direct. TOURDATA charge et restructure ce fichier ; aucune navigation automatisée ni aucun scraping du site de la FFE n'est réalisé. Chaque réponse de l'API inclut un lien vers la fiche officielle du joueur sur le site FFE, afin de garantir la transparence sur la source des données.

La fraîcheur des données dépend des mises à jour du fichier PapiData publié par la FFE : nous rafraîchissons notre copie régulièrement, mais les données ne peuvent être plus récentes que la dernière publication de la FFE en amont. Tout horodatage de rafraîchissement indique la date de notre dernière récupération, et non la date de production des données par la FFE.

6. Bases légales du traitement

• Intérêt légitime de la FFE : la publication du fichier PapiData par la FFE constitue la base légale du traitement amont.
• Intérêt légitime de TOURDATA : la rediffusion structurée de ces données publiques, assortie de mesures de minimisation et d'un mécanisme d'opt-out, constitue notre base légale pour le traitement.
• Exécution d'un contrat : les données collectées via le formulaire de demande de clé API sont traitées pour permettre l'émission et la gestion de la clé.

7. Information au titre de l'article 14 du RGPD (données non collectées auprès de la personne)

Conformément à l'article 14 du Règlement (UE) 2016/679 (RGPD), TOURDATA informe les personnes concernées dont les données n'ont pas été collectées directement auprès d'elles :

• Source des données : le fichier public PapiData publié par la Fédération Française des Échecs (FFE) sur son propre site. Pour l'enrichissement optionnel : les listes officielles de la FIDE et l'API publique Lichess (voir section 8).
• Finalités du traitement : rediffusion structurée et enrichie de données publiques de classement échiquéen, afin de permettre aux intégrateurs tiers de les exposer dans leurs applications.
• Base légale : intérêt légitime de TOURDATA (voir section 6).
• Catégories de données concernées : voir section 4 (identifiant de licence, nom, prénom, classements Elo, identifiant FIDE, etc.).
• Durées de conservation : voir section 12 pour les journaux d'accès (max. 90 jours). Les données issues du fichier PapiData FFE sont mises à jour chaque semaine et ne sont pas conservées indépendamment de la source. Les données dérivées de la liste FIDE (identifiant, titre, classement FIDE) sont conservées en cache jusqu'à la prochaine mise à jour hebdomadaire ; elles sont supprimées dès que la personne concernée n'apparaît plus dans la liste officielle FIDE.
• Droit d'opposition et autres droits : voir section 9 (opt-out joueur) et section 10 (droits des personnes concernées). Pour les droits d'accès, de rectification ou d'effacement sur la source, la demande doit être adressée à la FFE en tant que responsable du traitement amont (erick.mouret@echecs.asso.fr).

8. Enrichissement FIDE optionnel

Sur demande explicite de l'intégrateur, la réponse peut être complétée avec des données issues de la liste officielle FIDE et, en cas d'absence en cache, de l'API publique Lichess. L'intégrateur est responsable du respect des conditions d'utilisation de ces sources tierces lorsqu'il affiche ces données à ses utilisateurs.

9. Opt-out joueur (RGPD)

Tout joueur peut demander le retrait de ses données des réponses de l'API sans que cela affecte le fichier source de la FFE. Deux voies sont disponibles :

1. Envoyer un email à contact@chessxp.com avec le numéro de licence concerné. Le retrait est effectif dans un délai de 7 jours calendaires.
2. Via la procédure interne pour les opérateurs disposant des droits d'administration du Service.

Une fois le retrait effectué, la licence n'apparaît plus dans aucune réponse de l'API. Pour une suppression dans le fichier source de la FFE, la demande doit être adressée directement à la FFE (erick.mouret@echecs.asso.fr).

10. Droits des personnes concernées

• Accès et rectification : à adresser à la FFE, responsable du traitement amont (erick.mouret@echecs.asso.fr).
• Retrait de l'API : via le mécanisme d'opt-out ChessXP décrit à la section 9.
• Réclamation : vous pouvez introduire une réclamation auprès de la CNIL à l'adresse www.cnil.fr.

11. Données du formulaire de demande de clé

Lorsque vous remplissez le formulaire de demande de clé API, nous collectons : nom, adresse e-mail, organisation ou projet, volume mensuel estimé, et description du cas d'usage. Ces données sont utilisées uniquement pour évaluer votre demande, émettre votre clé, et vous contacter en cas d'évolution du Service. Elles sont conservées pendant la durée de vie de la clé augmentée de 24 mois, et ne sont jamais transmises à des tiers.

12. Journaux et durées de conservation

Les journaux d'accès à l'API (clé utilisée, chemin consulté, code de réponse) sont conservés au maximum 90 jours à des fins de sécurité et de prévention des abus. Aucune adresse IP de l'utilisateur final de votre application n'est enregistrée par notre Service.

13. Sécurité

Toutes les communications avec le Service sont chiffrées (HTTPS/TLS). L'accès à l'API est protégé par clé. Les données sont stockées de façon chiffrée sur notre infrastructure. Les secrets et identifiants de service sont gérés via le coffre-fort sécurisé de notre hébergeur cloud.

14. Hébergement

L'API est hébergée sur une infrastructure cloud localisée au sein de l'Union européenne (Espace Économique Européen). Le site de présentation et le formulaire de demande de clé sont hébergés sur Netlify.

15. Sous-traitants

• Hébergeur cloud (API et stockage des données) — Union européenne
• Netlify (formulaire de demande de clé et site de présentation)
• Lichess (consultation de l'API publique FIDE, uniquement si l'intégrateur active l'enrichissement)

Aucun transfert de données identifiantes en dehors de l'Espace Économique Européen n'est initié par TOURDATA dans le cadre du fonctionnement courant du Service.

16. Joueurs mineurs

L'API rediffuse exclusivement des données publiées par la FFE, qui est responsable de la légalité de leur publication, y compris pour les joueurs mineurs. TOURDATA n'ajoute aucune donnée supplémentaire et n'étend pas les champs visibles au-delà de ce que la FFE publie.

17. Délégué à la protection des données (DPO)

TOURDATA ne remplit pas les critères imposant la désignation formelle d'un DPO au titre de l'article 37 du RGPD. Toutes les demandes relatives à la protection des données sont traitées par notre responsable vie privée, joignable à contact@chessxp.com dans un délai d'un jour ouvré.

18. Modifications

Cette politique peut être mise à jour. La date de « Dernière mise à jour » en tête de page sera modifiée en conséquence. En cas de modification substantielle affectant les titulaires de clé, une notification par e-mail sera envoyée à l'adresse enregistrée.

19. Contact