Politique de confidentialité

Le responsable du traitement est FLUXA SAS SAS, société par actions simplifiée au capital de 1 000 €, immatriculée sous le numéro RCS Angoulême 103 868 824, dont le siège social est situé 7 boulevard du 8 Mai 1945, 16000 Angoulême, France. Pour toute question sur tes données : [email protected]. Aucun délégué à la protection des données (DPO) n'est désigné, ce n'est pas obligatoire pour ce traitement.

Sans compte, ta partie est seulement enregistrée dans ton navigateur et rien n'est envoyé à nos serveurs à part les requêtes techniques nécessaires à l'affichage. Avec un compte :

L'email n'est jamais affiché aux autres joueurs : seul ton pseudo est public. Les données de ta carte bancaire sont saisies directement chez Stripe ; nous n'y avons jamais accès. Aucune décision automatisée produisant des effets juridiques n'est prise à ton sujet.

À la suppression du compte, les données qui y sont liées (sauvegarde, amis, lobby, droits d'achat) sont effacées, sauf les pièces comptables conservées pour l'obligation légale ci-dessus.

Les données sont destinées à l'Éditeur. Elles ne sont ni vendues ni louées. Elles sont confiées aux seuls prestataires nécessaires au service :

• Scaleway SAS (8 rue de la Ville l'Évêque, 75008 Paris, France) — fourniture du serveur dédié en France sur lequel tournent le jeu et sa base de données (auto-administrée par l'Éditeur).
• Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, États-Unis) — réseau de diffusion et protection contre les attaques : les requêtes vers le site transitent par ses serveurs (adresse IP, données techniques de connexion). Voir sa politique de confidentialité.
• OVH SAS (2 rue Kellermann, 59100 Roubaix, France) — envoi des emails liés à ton compte (code de changement de mot de passe) : adresse email et contenu du message.
• Google Ireland Ltd. (Dublin, Irlande) et Discord Inc. (San Francisco, États-Unis) — seulement si tu te connectes avec l'un d'eux : ils confirment ton identité et nous transmettent l'identifiant de ton compte et ton adresse email. Chacun agit comme responsable de traitement indépendant pour ses propres services.
• Stripe Payments Europe, Ltd. (Dublin, Irlande) — paiement, abonnement, reçus et factures, prévention de la fraude. Pour les données de paiement, Stripe agit aussi comme responsable de traitement indépendant pour ses obligations légales : voir sa politique de confidentialité.

Les données peuvent aussi être communiquées aux autorités lorsque la loi l'impose (réquisition judiciaire, par exemple).

La base de données du jeu est hébergée en France. Stripe peut transférer certaines données vers les États-Unis (Stripe, Inc.), tout comme Discord si tu te connectes avec lui, et Cloudflare, Inc. traite des données de connexion sur des serveurs situés hors de l'Union européenne. Ces transferts sont encadrés par le cadre de protection des données UE-États-Unis (Data Privacy Framework), auquel ces sociétés adhèrent, et par des clauses contractuelles types de la Commission européenne.

Conformément à l'article 82 de la loi Informatique et Libertés, seuls des traceurs strictement nécessaires au service que tu demandes sont utilisés. Ils sont exemptés de consentement : il n'y a donc pas de bandeau cookies.

• Cookie « patron_session » — garde ta session de connexion ouverte. Cookie httpOnly (inaccessible aux scripts), sécurisé, valable 60 jours, supprimé à la déconnexion.
• Stockage local du navigateur — sauvegarde de ta partie sur l'appareil, numéro de version de la sauvegarde en ligne, réglages du son et de la musique. Ces données restent dans ton navigateur ; tu peux les effacer depuis les réglages de celui-ci.

Aucun cookie publicitaire, de réseau social ou de mesure d'audience n'est utilisé. Les polices sont servies par notre propre serveur. Cloudflare, Inc. peut déposer un cookie technique de sécurité (détection des robots), lui aussi strictement nécessaire. La page de paiement, hébergée par Stripe, dépose ses propres cookies nécessaires au paiement et à la lutte contre la fraude.

Les mots de passe sont hachés avec l'algorithme scrypt et un sel unique : personne, pas même l'Éditeur, ne peut les lire. Les échanges sont chiffrés (HTTPS), la session est signée, les tentatives de connexion sont limitées et la base de données n'est pas exposée sur internet. En cas de violation de données présentant un risque, la CNIL est notifiée dans les 72 heures et les joueurs concernés sont informés si le risque est élevé (articles 33 et 34 du RGPD).

Conformément aux articles 15 à 22 du RGPD, tu disposes des droits suivants sur tes données :

• accès et copie ;
• rectification (ton pseudo est modifiable dans le jeu) ;
• effacement, notamment par la suppression de ton compte ;
• limitation du traitement ;
• portabilité (export de ta sauvegarde et de tes données de compte dans un format lisible) ;
• opposition aux traitements fondés sur l'intérêt légitime, pour des raisons tenant à ta situation ;
• définition de directives sur le sort de tes données après ton décès (article 85 de la loi Informatique et Libertés).

Pour les exercer, écris à [email protected] depuis l'adresse email de ton compte. Une réponse t'est apportée dans un délai d'un mois (prolongeable de deux mois pour une demande complexe, en t'en informant). En cas de doute raisonnable sur ton identité, une information complémentaire peut t'être demandée.

Le jeu ne collecte aucune donnée sensible et ne demande ni nom, ni âge, ni adresse. Si tu as moins de 15 ans, demande l'accord d'un parent avant de créer un compte. Un parent peut demander la suppression du compte de son enfant à [email protected].

Si tu estimes que tes droits ne sont pas respectés, tu peux introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr/fr/plaintes.

Cette politique peut évoluer (nouvelle fonctionnalité, nouveau prestataire). La date de mise à jour figure en haut de page ; en cas de changement important, tu en es informé dans le jeu ou par email.