Cookies, mentions et CGU

Cette page fait l'inventaire des traceurs, des bandeaux de consentement et des pages d'information légale des trois interfaces : le frontend web, l'application mobile et le site de l'Office de Tourisme. Pour chaque élément, elle indique ce qui existe dans le code et ce qui manque. Elle ne constitue pas un avis juridique ; les compléments à apporter sont repris dans Points à valider.

#Règles applicables en bref

Les articles et le périmètre exact de l'exemption de consentement pour la mesure d'audience sont à confirmer par un juriste.

#Frontend web

#Traceurs

Le web ne dépose aucun cookie. Il utilise le localStorage sous les clés déclarées dans frontend-web/src/lib/storage.ts :

#Consentement

Un bandeau s'affiche au premier passage, sur toutes les pages, tant qu'aucun choix valide n'est enregistré. Il est rendu par ConsentBanner de frontend-web/src/components/layout/ConsentBanner.tsx, monté dans frontend-web/src/app/providers.tsx, et s'appuie sur frontend-web/src/lib/consent.ts.

Une fois acceptée, la mesure envoie l'identifiant du compte quand l'utilisateur est connecté. Le fonctionnement est détaillé dans Analytique et consentement.

#Pages légales

Les textes sont rassemblés dans frontend-web/src/content/legal.ts, en français et en anglais, avec la mention « Version du 12 novembre 2026 » (LEGAL_VERSION). Le même fichier est recopié à l'identique dans l'application mobile. Chaque page est rendue par LegalDocumentPage de frontend-web/src/components/layout/LegalPage.tsx.

La politique de confidentialité réécrite corrige les écarts relevés auparavant : les événements de mesure y sont présentés comme reliés au compte et soumis au consentement, et le cadeau de ticket, la vérification d'âge par pièce d'identité, la connexion Google et la permanence des transactions publiques y figurent. La charte (TransparencyCharter de frontend-web/src/components/lottery/TransparencyCharter.tsx) signale l'environnement courant d'après GET /lottery/status : démonstration Hardhat (chain ID 31337, coordinateur VRF simulé, tirage non certifié par Chainlink), Sepolia ou mode simulé. Le texte servi par le backend (getTransparencyCharter de lottery.services.ts) ne parle plus de tirage « certifié » ni de remboursement de « 100 % des fonds » et précise que les frais réseau consommés ne sont pas remboursés.

Les six documents sont liés depuis le pied de page public (frontend-web/src/components/layout/PublicShell.tsx) et depuis une ligne légale en bas de l'espace connecté (frontend-web/src/components/layout/AppShell.tsx), dans l'ordre de LEGAL_DOC_ORDER, suivis du bouton « Gérer mes traceurs ».

Sur /connexion, une case obligatoire « J'accepte les conditions générales d'utilisation et le règlement de participation », avec des liens vers /cgu et /reglement, s'ajoute à la case de majorité ; le formulaire envoie alors acceptTerms: true à POST /auth/login, qui accepte ce champ de façon facultative. Une phrase indique ensuite « En créant un compte, vous reconnaissez avoir lu la politique de confidentialité », avec un lien vers /confidentialite. Ces déclarations ne suffisent pas pour jouer : la vérification d'âge par pièce d'identité, envoyée depuis /profil/identite ou depuis l'application mobile, est exigée avant tout achat.

Ce qui reste à faire :

#Application mobile

L'application ne dépose pas de cookie et n'envoie pas d'événement de mesure d'audience. Elle conserve le jeton, le profil et la préférence de sons (blocklucky_sound_enabled) dans le stockage sécurisé du système (voir Navigateur et mobile). Elle propose la rectification du prénom et du nom, l'export et la suppression des données dans Paramètres, puis Données personnelles (mobile-app/src/screens/settings/PersonalDataScreen.tsx).

Les six documents légaux sont consultables dans l'application, sans renvoi vers le web. Leur texte vient de mobile-app/src/content/legal.ts, identique à celui du web, et s'affiche dans l'écran Legal (mobile-app/src/screens/settings/LegalScreen.tsx), déclaré à la racine de la navigation pour être ouvert avant comme après la connexion. L'écran affiche la version du texte et la liste des autres documents. Aide & Support (mobile-app/src/screens/settings/HelpSupportScreen.tsx) comporte une section « Informations légales » qui ouvre chacun d'eux.

L'inscription par mot de passe (mobile-app/src/screens/auth/SignUpScreen.tsx) impose deux cases : « J'accepte les conditions générales d'utilisation et le règlement de participation » (acceptTerms) et « Je certifie avoir 18 ans ou plus » (isAdultConfirmed), toutes deux exigées à true par POST /auth/signup. Les liens « les CGU » et « le règlement », puis la phrase « En créant un compte, vous reconnaissez avoir lu la politique de confidentialité », ouvrent l'écran Legal. La connexion Google ne demande aucune acceptation. L'écran de vérification d'âge présente un encart sur la protection des données de la pièce, et l'application demande l'accès à l'appareil photo et aux photos avec un texte d'explication déclaré dans mobile-app/app.json. Les magasins d'applications exigent une URL de politique de confidentialité et des déclarations sur les données collectées ; ces éléments sont à préparer avant publication (voir Builds et publication).

#Site de l'Office de Tourisme

#Bandeau cookies

Le bandeau est construit par frontend-office-tourisme/assets/js/modules/cookies.js, appelé à chaque page par initCookies de frontend-office-tourisme/assets/js/main.js.

Le choix est enregistré mais aucune mesure d'audience n'est implémentée : accepter ou refuser ne change rien au fonctionnement du site. Le texte du bandeau parle de « cookies » alors que le site n'utilise que le localStorage. Le bandeau est donc prêt pour une future mesure d'audience, mais n'en conditionne aucune aujourd'hui.

#Données stockées

Aucune de ces données n'est transmise à un serveur. Aucun service tiers n'est appelé : les polices et la bibliothèque de QR code sont hébergées sur le site, et la CSP (connect-src 'self') interdit les appels vers d'autres domaines.

#Mentions légales

La page frontend-office-tourisme/mentions-legales.html regroupe :

Manquent : le directeur de la publication, l'hébergeur et ses coordonnées. Le contact DPO de ce site (dpo@destination-etherbay.fr) diffère de celui du projet (dpo@etherbay.fr) ; l'un des deux est à harmoniser.

#Synthèse