Confidentialité

Bêta ouverte. Dernière mise à jour : 8 novembre 2026.

Start2Hack est une plateforme d'apprentissage de la sécurité web, en bêta. Cette page explique quelles données sont traitées, pourquoi, et comment les supprimer.

Responsable du traitement

Les responsables du traitement sont les trois éditeurs du site (voir les mentions légales). Contact : contact@start2hack.fr.

Données traitées

• Compte : ton nom d'enquêteur (l'identifiant), ton adresse e-mail, ton skin (les traits de ton portrait) et ton mot de passe (jamais enregistré en clair, seulement sous forme hachée avec Argon2).
• Vérification du mot de passe : à l'inscription et à chaque changement, le serveur vérifie que le mot de passe n'apparaît pas dans des fuites connues (Have I Been Pwned). Seuls les 5 premiers caractères de son empreinte SHA-1 sont envoyés, jamais le mot de passe.
• Vérification de l'e-mail : à l'inscription (et si tu changes d'adresse), un code à 6 chiffres t'est envoyé par e-mail, valable 15 minutes ; le serveur n'en garde qu'une empreinte, supprimée dès que le code est saisi. L'envoi passe par le service de messagerie d'OVHcloud (France).
• Double authentification : le serveur garde la clé de ton application d'authentification (pour contrôler tes codes à 6 chiffres), et des codes de secours sous forme d'empreintes. Elles sont supprimées avec ton compte.
• Quêtes et boutique : les récompenses récupérées et les objets achetés avec des octets, avec leur date. Aucun paiement en argent.
• Progression : les niveaux validés, les étapes franchies dans chaque niveau (chapitres, quiz, mini-labs), les suspects écartés et les trouvailles cachées, avec leur date. Les étapes servent à reprendre un niveau là où tu l'as laissé et à repérer, de façon globale, les passages où les joueurs bloquent pour les améliorer.
• Dernière activité : quand tu es connecté, l'heure de ta dernière activité dans le jeu est notée (une seule valeur, remplacée au plus une fois par minute). Elle sert uniquement à l'indicateur « en ligne » de l'administration et elle est effacée à la déconnexion. Aucun historique de ton activité de jeu ni de ton temps de jeu n'est conservé. Seul le journal de connexion, décrit plus bas, garde une trace de chaque tentative de connexion.
• Dans ton navigateur : l'avancement d'un cours en cours de route et, sans compte connecté, ton carnet d'enquête (stockage local du navigateur, jamais envoyé ailleurs ; il s'efface avec les données du site).
• Journaux techniques : adresse IP, date et heure des requêtes, erreurs du serveur. Ils servent au bon fonctionnement et à la sécurité du service.
• Journal de connexion : à chaque tentative de connexion, le nom saisi, l'adresse IP, le navigateur et la date sont notés, conservés 12 mois. Ce journal sert à bloquer les essais abusifs.
• Journaux du serveur web : adresse IP, date, page demandée et navigateur, conservés 12 mois.
• Sauvegardes : une copie nocturne de la base est gardée 14 jours. Un compte supprimé disparaît des sauvegardes au plus tard 14 jours après.
• Newsletter (facultative) : si tu coches la case, ton adresse e-mail est gardée pour t'écrire, avec la date de ton accord comme preuve. Aucun envoi n'a eu lieu à ce jour. Tu peux te désinscrire à tout moment, depuis Mon profil ou en écrivant à contact@start2hack.fr ; la date est alors effacée.
• Moins de 15 ans : l'adresse e-mail d'un parent ou représentant légal est demandée et gardée pour recueillir son accord ; elle est supprimée avec le compte. La newsletter est désactivée pour ces comptes. Sans clic du parent dans les 7 jours, le compte est supprimé.

Aucune donnée n'est vendue, ni transmise à des tiers à des fins publicitaires. Aucun outil de suivi ni cookie tiers : les seuls cookies posés sont ceux de ta session et la protection CSRF.

Pourquoi nous traitons ces données

Le nom d'enquêteur, l'adresse e-mail et le mot de passe sont obligatoires pour créer un compte. Le skin et la newsletter sont facultatifs.

Hébergement

Le service est hébergé chez MVPS (MVPS LTD, société établie à Chypre, dans l'Union européenne), dans un centre de données situé en France. Les données de ton compte sont stockées dans l'Union européenne.

Destinataires et services tiers

• OVHcloud (France) : envoi des e-mails.
• MVPS (hébergement, Union européenne) : stockage des données.
• Have I Been Pwned : seul le préfixe de 5 caractères de l'empreinte SHA-1 du mot de passe est envoyé, jamais une donnée personnelle.
• Discord : le site renvoie vers un serveur communautaire externe (invitation). Ce qui s'y passe relève de Discord Inc. (États-Unis) et de sa politique de confidentialité. Aucune donnée du jeu n'y est envoyée.

Durée de conservation

Les données sont conservées jusqu'à la fin de la bêta, annoncée sur le site et sur le Discord, puis supprimées au plus tard un mois après. Les journaux sont gardés 12 mois et les sauvegardes 14 jours (voir plus haut). Tu peux supprimer ton compte et toutes ses données à tout moment, toi-même, depuis Mon profil (ton mot de passe est demandé pour confirmer). Le journal de connexion à ton nom est effacé avec le compte.

Tes droits

Tu peux demander l'accès, la correction ou la suppression de tes données, la limitation de leur traitement, ou t'opposer à ce traitement, en écrivant à contact@start2hack.fr. Tu peux aussi :

• obtenir l'accès et la portabilité : un export de tes données au format JSON, que tu télécharges toi-même depuis Mon profil (bouton « Télécharger mes données », mot de passe demandé), ou en nous écrivant ;
• retirer ton consentement à tout moment (par exemple pour la newsletter, depuis Mon profil) ;
• donner des directives sur le sort de tes données après ton décès.

Nous répondons sous un mois. Une pièce d'identité peut t'être demandée seulement si nous avons un doute sur ton identité, jamais autrement. Tu peux aussi saisir la CNIL si tu estimes que tes droits ne sont pas respectés.