Politique de confidentialité

• Voir ton mot de passe Riot. La connexion passe par le système officiel de Riot Games (RSO) : tu saisis tes identifiants chez Riot, jamais sur vshopgg.
• Te demander un nom ou un numéro de téléphone. Ni l'un ni l'autre n'est collecté, nulle part.
• Utiliser ton adresse e-mail sans que tu l'aies confirmée. Le champ est facultatif : il ne sert qu'aux alertes du site (wishlist et Night Market), et rien ne part tant que tu n'as pas cliqué le lien de confirmation.
• Déposer un traceur publicitaire ou un outil de mesure d'audience. Il n'y en a aucun dans le code.
• Vendre, louer ou partager tes données. Elles ne sortent pas des hébergeurs listés plus bas.

Ton compte vshopgg n'est qu'un identifiant aléatoire. Il n'est relié à aucune identité civile.

• Identité Riot : ton identifiant de joueur (PUUID), ton pseudo et ton tag, ta région, ton niveau de compte. C'est ce que Riot renvoie à la connexion.
• Données de jeu mises en cache : boutique du jour, portefeuille, skins et accessoires possédés, progression du passe de combat, rang compétitif. Elles servent à afficher tes pages sans redemander à Riot à chaque visite.
• Ce que tu crées sur le site : ta wishlist, tes favoris, tes alertes et ton choix de langue.
• Ton adresse e-mail, UNIQUEMENT si tu l'as saisie pour recevoir les alertes du site, accompagnée de la date à laquelle tu l'as confirmée et de l'état de l'interrupteur. Ce champ est vide pour qui ne l'a pas demandé.
• Sessions : un identifiant de navigateur et la description de ton navigateur (user-agent). Le jeton de session lui-même n'est stocké que sous forme d'empreinte SHA-256 — sa valeur en clair n'existe que dans ton navigateur.

Par défaut, le jeton d'accès Riot obtenu à la connexion sert le temps de charger tes données, puis disparaît. Rien n'est conservé côté serveur.

Sur ordinateur, l'extension en garde une copie dans le stockage de session du navigateur ; dans l'application Android, elle est gardée en mémoire. C'est ce qui permet d'équiper depuis ta machine sans repasser par Riot à chaque fois. Ces copies-là ne quittent pas ton appareil, ne sont pas envoyées à vshopgg, et disparaissent à la fermeture — au plus tard au bout d'une heure, quand Riot invalide le jeton.

Une seule chose change cela : si tu actives les alertes de wishlist. Vérifier ta boutique pendant que tu n'es pas là suppose de conserver ce jeton. Il est alors chiffré en AES-256-GCM, avec une clé qui ne se trouve pas dans la base de données. La question t'est posée une fois par compte Riot, et tu peux révoquer à tout moment depuis les Paramètres : les jetons sont effacés immédiatement.

Avec ce jeton est conservé, au même endroit et sous le même chiffrement, ton cookie de session Riot (« ssid »). Il faut le dire précisément, parce que c'est le plus sensible de tout ce que garde ce site : il vaut plusieurs semaines là où le jeton d'accès vaut une heure, et il permet d'obtenir de nouveaux jetons d'accès à ton compte Riot sans mot de passe.

Il est là pour une seule raison, et sans lui la fonction ne marche pas : un jeton d'accès expire au bout d'une heure, alors que la vérification de ta boutique tourne une fois par nuit. Sans ce cookie, le serveur trouvait chaque compte expiré et aucune alerte ne partait jamais.

Ce qu'il ne permet pas : lire ton mot de passe, qui n'est jamais passé par nous, ni entrer dans le jeu — les jetons qu'il délivre servent à lire ta boutique et ton inventaire. Il n'est jamais transmis à personne d'autre que Riot. Il suit exactement le sort du reste : effacé quand tu désactives les alertes, quand tu retires le compte, quand tu supprimes ton compte vshopgg, et dès que Riot le refuse. Te déconnecter de Riot dans ton navigateur l'invalide de leur côté.

Si tu préfères t'en passer : n'active pas les alertes de wishlist. Rien de tout cela n'est conservé, et le site fonctionne — il te demandera simplement de rouvrir la page pour rafraîchir tes données.

Tout part de toi : le champ est vide par défaut, et saisir une adresse ne suffit pas. vshopgg envoie un e-mail de confirmation contenant un lien signé, valable 24 heures. Tant que ce lien n'est pas cliqué, l'adresse est enregistrée mais AUCUN message ne peut partir. C'est ce qu'on appelle un double opt-in, et c'est ce qui empêche d'inscrire quelqu'un d'autre à sa place.

Chaque alerte contient un lien de désinscription qui n'expire jamais, ainsi que les en-têtes qui font apparaître le bouton « Se désabonner » de ta messagerie. Se désinscrire coupe les envois sans supprimer l'adresse ; le bouton « Supprimer mon adresse » des Paramètres, lui, l'efface pour de bon.

Deux types de messages existent. L'alerte de wishlist se limite aux noms des skins de ta wishlist présents en boutique et, le cas échéant, au pseudo du compte Riot concerné. L'alerte d'ouverture du Night Market contient, elle, les noms des skins qui te sont proposés, leur prix normal, leur prix remisé et le pourcentage de remise — ces remises étant tirées par Riot pour ton compte, elles te sont propres. Aucun autre élément de ton compte de jeu ne figure dans ces messages : ni progression, ni statistiques, ni inventaire.

Uniquement des cookies de fonctionnement. Aucun n'est publicitaire, aucun ne suit ta navigation ailleurs.

• vshop_session — te garde connecté. Inaccessible au JavaScript de la page, 30 jours.
• vshop_rso_state — protège la connexion Riot contre la falsification de requête. 10 minutes.
• vshop_rso_alerts — retient que tu viens de demander l'activation des alertes. 10 minutes.
• vshop_lang — ta langue d'affichage. Un an.
• Le thème (sombre ou clair) est mémorisé dans le stockage local de ton navigateur et n'est jamais envoyé au serveur.

• Vercel — héberge le site. Reçoit tes requêtes et les journaux techniques associés.
• Neon (PostgreSQL serverless) — héberge la base de données, dans la région de l'Union européenne choisie à la création du projet. La liaison entre le site et la base est chiffrée (TLS).
• Riot Games — interrogé pour lire ta boutique, ta collection et ta progression. C'est la source des données affichées.
• valorant-api.com — fournit les noms et les images des skins. Aucune donnée te concernant ne lui est transmise.
• Resend — achemine les e-mails d'alerte et de confirmation. Reçoit ton adresse et le contenu du message, et rien d'autre : ni ton identifiant Riot, ni tes jetons, ni tes données de jeu. Ce destinataire n'existe que si tu as demandé les alertes par e-mail.

Il n'y a aucun autre destinataire.

• Sessions : 30 jours, puis suppression automatique par une tâche quotidienne.
• Données de jeu en cache : réécrites à chaque synchronisation, et supprimées avec le compte Riot auquel elles se rattachent.
• Jetons chiffrés et cookie de session Riot : jusqu'à ce que tu désactives les alertes, que tu retires le compte, ou que Riot les refuse.
• Wishlist, favoris et alertes : conservés tant que tu ne les supprimes pas.
• Adresse e-mail : conservée jusqu'à ce que tu la supprimes depuis les Paramètres, ou jusqu'à la suppression de ton compte. Une adresse saisie mais jamais confirmée est effacée avec le compte, comme le reste.

Retirer un compte Riot depuis les Paramètres efface immédiatement ses données mises en cache et ses jetons.

Les Paramètres comportent un bouton « Supprimer mon compte vshopgg ». Il efface définitivement, et sans délai, ton compte, les comptes Riot rattachés, leurs caches, les jetons chiffrés, ta wishlist, tes favoris, tes alertes et tes sessions.

Ton compte Riot n'est pas concerné : vshopgg ne peut rien y supprimer.

Le RGPD te donne un droit d'accès, de rectification, d'effacement, de limitation et d'opposition. L'effacement s'exerce directement depuis les Paramètres ; pour le reste, écris à l'adresse ci-dessous.

Tu peux aussi introduire une réclamation auprès de la CNIL.

La connexion à vshopgg nécessite une extension Chrome. Elle existe parce que Riot renvoie le jeton d'authentification dans l'adresse d'une page qu'un site tiers ne peut pas lire directement.

• Elle lit le jeton renvoyé par Riot et le transmet à vshopgg, sur ton domaine uniquement.
• Elle garde ta session Riot dans le stockage de session du navigateur, hors de portée des pages web.
• Quand ton jeton a expiré, elle en redemande un à Riot sans rien afficher, en s'appuyant sur ta session Riot déjà ouverte dans le navigateur. C'est ce qui remplace le « reconnecte-toi pour rafraîchir » d'avant. Si cette session a expiré elle aussi, le site le dit — c'est le seul cas.
• Elle a accès aux cookies de riotgames.com, et à aucun autre domaine. Elle ne s'en sert que pour lire ton cookie de session Riot lorsque tu as activé les alertes de wishlist, afin de le transmettre à vshopgg, qui en a besoin pour vérifier ta boutique la nuit (voir « Tes jetons Riot »). Sans les alertes, ce cookie n'est jamais lu ni envoyé.
• Quand tu cliques « Équiper », c'est ELLE qui écrit chez Riot, depuis ta machine et avec ta propre connexion. Le serveur de vshopgg n'intervient pas.
• Elle ne lit pas les pages que tu visites, n'enregistre rien de ta navigation et ne communique avec aucun serveur autre que Riot, vshopgg et valorant-api.com — ce dernier étant le catalogue public du jeu, interrogé pour connaître le numéro de version du client Valorant, sans qu'aucun élément de ton compte ne lui soit transmis.

L'application affiche le site dans une vue web et ajoute, en code natif, ce que l'extension apporte sur ordinateur. Même rôle, mêmes limites, et la même règle de fond : ce qui touche à ton compte Riot se passe entre ton téléphone et Riot.

• Elle lit le jeton renvoyé par Riot à la connexion et le transmet à vshopgg, exactement comme l'extension.
• Elle garde ta session Riot en mémoire, sur ton téléphone, hors de portée des pages web. Rien n'est écrit sur le disque : fermer l'application efface cette session, et le jeton n'est de toute façon valable qu'une heure.
• Quand tu touches un accessoire pour l'équiper, c'est ELLE qui écrit chez Riot, depuis ton téléphone et avec ta propre connexion. Le serveur de vshopgg n'intervient pas, et n'apprend le changement qu'à la resynchronisation suivante.
• Quand ce jeton a expiré, elle en redemande un à Riot sans rien afficher, en s'appuyant sur la session Riot déjà ouverte sur ton téléphone. Elle le fait aussi au lancement, pendant l'écran de chargement, pour que tes données soient à jour quand la page s'affiche. Si cette session a expiré aussi, le site le dit — c'est le seul cas.
• Ce jeton renouvelé est transmis à vshopgg, comme celui de la connexion : c'est le serveur qui détient ta boutique et ton portefeuille, et lui seul peut les recharger. S'il s'y ajoute ton cookie de session Riot, c'est uniquement quand tu as activé les alertes de wishlist (voir « Tes jetons Riot »).
• Elle n'ouvre que vshopgg et les pages de connexion de Riot, et ne communique avec aucun serveur autre que ceux cités pour l'extension.
• Elle n'inscrit aucun jeton dans les journaux du téléphone.

Le trafic est en HTTPS de bout en bout, y compris entre le site et la base de données. Les jetons de session ne sont stockés que sous forme d'empreinte. Les jetons Riot conservés le sont chiffrés, avec une clé tenue hors de la base. Aucune promesse d'inviolabilité n'est faite : c'est un projet personnel, et il est prudent de ne pas y voir davantage.

vshopgg n'est ni affilié, ni associé, ni approuvé par Riot Games. Valorant et les actifs associés sont des marques de Riot Games, Inc.

Le bouton « Équiper » utilise l'interface interne du jeu, ce que les conditions d'utilisation de Riot ne prévoient pas. Un avertissement explicite est affiché avant la première utilisation. Le reste du site se contente de LIRE des informations déjà visibles dans ton client Valorant.

Toute modification de fond de ce texte s'accompagne d'une mise à jour de la date affichée en tête de page.