Politique de confidentialité

Article 1. Responsable du traitement

Le responsable du traitement au sens de l'article 4 du règlement (UE) 2016/679 (ci-après le « RGPD ») est l'éditeur du site quiz-circus.com, dont les coordonnées figurent dans les mentions légales. Toute demande relative aux données à caractère personnel est adressée à circusquiz@gmail.com.

Aucun délégué à la protection des données n'a été désigné, les conditions de l'article 37 du RGPD n'étant pas réunies.

Article 2. Traitements, finalités et bases légales

• Gestion des comptes et authentification. Données : adresse électronique, pseudonyme, anciens pseudonymes et date de chaque changement, avatar, identifiant auprès du fournisseur d'identité tiers, date d'acceptation des conditions, dates de création et de dernière activité, jetons de session, codes à usage unique. Base légale : exécution du contrat, article 6.1.b du RGPD.
• Fourniture du jeu et suivi de la progression. Données : réponses fournies, parties, scores, niveau estimé, séries, succès et titres obtenus, éléments de présentation choisis pour la Loge. Base légale : exécution du contrat, article 6.1.b du RGPD.
• Classements et compétitions. Données : pseudonyme, scores, rangs, résultats et distinctions. Base légale : exécution du contrat, article 6.1.b du RGPD.
• Fonctionnalités sociales. Données : relations, groupes, blocages, invitations, appartenance aux salons, contenu des messages privés. Base légale : exécution du contrat, article 6.1.b du RGPD.
• Contribution et vérification éditoriales. Données : identifiant de l'auteur, historique des modifications. Base légale : exécution du contrat et intérêt légitime tiré de la traçabilité éditoriale, articles 6.1.b et 6.1.f du RGPD.
• Signalements et modération. Données : identifiant du déclarant, contenu du signalement, suites données. Base légale : intérêt légitime tiré de la sécurité et de la qualité du service, article 6.1.f du RGPD, et respect d'obligations légales pour les contenus illicites, article 6.1.c du RGPD.
• Sécurité et prévention des abus. Données : horodatages de connexion, agent utilisateur, tentatives d'authentification. Base légale : intérêt légitime, article 6.1.f du RGPD.
• Mesure du bon fonctionnement du site. Données : erreurs survenues dans le navigateur, durées de chargement et de réaction des pages, type de navigateur et d'appareil, page concernée. Ces mesures ne comportent ni identifiant de compte, ni cookie, ni adresse IP conservée, et ne sont recueillies que sur une partie des visites. Base légale : intérêt légitime tiré de la qualité et de la sécurité du service, article 6.1.f du RGPD.

Aucune donnée n'est traitée à des fins publicitaires ni cédée à des tiers à titre onéreux. Aucun traitement n'est fondé sur le consentement.

Article 3. Caractère obligatoire des données

La fourniture des données nécessaires à la création du compte conditionne l'accès aux fonctionnalités réservées. À défaut, l'inscription ne peut aboutir.

Article 4. Données rendues publiques

Le pseudonyme, l'avatar, le titre porté, le niveau et les statistiques de jeu, les scores et classements ainsi que l'attribution des contributions éditoriales sont accessibles aux autres utilisateurs. Sont également accessibles, pour chaque utilisateur, le relevé de ses derniers jours au défi du jour et, lorsqu'il les a choisis, les éléments de présentation de sa Loge : palette, affiche, cadre, devise et pièces épinglées, dont l'énoncé d'une question qu'il a rédigée, jamais sa réponse. Il peut masquer ses statistiques, ce relevé et ses pièces épinglées. L'adresse électronique n'est en aucun cas rendue publique.

Article 5. Destinataires et sous-traitants

Les données sont destinées au responsable du traitement et aux personnes habilitées à la modération. Interviennent en qualité de sous-traitants au sens de l'article 28 du RGPD :

• Neon, hébergement de la base de données, au sein de l'Union européenne ;
• Cloudflare, hébergement, distribution, stockage des fichiers et des mesures de bon fonctionnement ;
• Resend, acheminement des courriers électroniques d'authentification ;
• Google et Discord, fourniture d'identité, en cas de recours par l'utilisateur à ce mode de connexion.

Article 6. Transferts hors Union européenne

Certains sous-traitants sont établis aux États-Unis. Les transferts corrélatifs sont encadrés par les mécanismes prévus au chapitre V du RGPD, notamment les clauses contractuelles types adoptées par la Commission européenne et, le cas échéant, la décision d'adéquation applicable.

Article 7. Durées de conservation

• Compte et données de jeu : pour la durée d'existence du compte.
• Jeton de session : douze mois au maximum.
• Codes d'authentification à usage unique : quelques minutes.
• Traces de limitation des tentatives d'authentification : quarante-huit heures.
• Messages privés : jusqu'à leur suppression par l'utilisateur ou jusqu'à la suppression de l'un des comptes concernés.
• Salons et invitations : trente jours à compter de la fin de la partie.
• Signalements : un an à compter de leur traitement, porté à trois ans lorsqu'ils ont donné lieu à une mesure.
• Mesures de bon fonctionnement : trois mois.

Article 8. Suppression du compte

La suppression du compte s'effectue depuis l'espace personnel, sans formalité préalable. Elle est immédiate et irréversible.

Sont supprimées : l'adresse électronique, le pseudonyme, l'avatar, les identités auprès des fournisseurs tiers, les sessions, les parties, les réponses, les scores, les classements, les relations et les messages privés.

Sont susceptibles de subsister, dissociées de toute donnée identifiante : les contributions éditoriales et leur historique, les signalements émis, ainsi que certaines entrées de palmarès. Ces éléments ne permettent plus l'identification de la personne concernée.

Article 9. Sécurité

Conformément à l'article 32 du RGPD, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées, notamment le chiffrement des communications, l'authentification sans conservation de mot de passe, la signature cryptographique des jetons de session, la limitation des tentatives d'authentification et la restriction des accès aux personnes habilitées.

Article 10. Traceurs

Seuls sont déposés les traceurs strictement nécessaires à la fourniture du service demandé par l'utilisateur, exemptés du recueil du consentement. Aucun traceur publicitaire n'est déposé, aucun outil de mesure d'audience tiers n'est mis en œuvre, et aucun de ces traceurs n'est transmis à un tiers ni rapproché de données issues d'autres sites.

• Un cookie de session, déposé à la connexion, d'une durée maximale de douze mois. Il identifie le compte connecté. Pendant une connexion par un fournisseur tiers, un témoin technique de quelques minutes protège l'échange, puis disparaît.
• Un cookie de visite, déposé lorsque la page du défi du jour ou celle d'un salon est ouverte sans compte, d'une durée maximale de douze mois. Au défi du jour, il permet de retrouver la grille en cours et la série, et d'empêcher qu'une même grille soit jouée deux fois. Dans un salon, il est associé au pseudonyme choisi pour y entrer : ce pseudonyme et les messages écrits dans la conversation du salon sont visibles des autres participants, et ils disparaissent avec le salon. Le cookie lui-même ne contient qu'un identifiant technique signé, sans donnée d'identité.
• Un cookie de provenance, déposé uniquement lorsque le lien d'arrivée porte une étiquette de canal, d'une durée maximale de douze mois. Il sert à la mesure d'audience interne du site, à savoir connaître le canal par lequel les visiteurs arrivent, sans recoupement ni profilage.
• Un cookie de parrainage, déposé uniquement lorsque le lien d'arrivée a été partagé par un joueur, d'une durée maximale de douze mois. Il ne contient que le pseudonyme public du partageur, sert à proposer son amitié à la création du compte, et est supprimé à ce moment-là.
• Un cookie d'invitation, déposé uniquement lorsqu'un lien d'invitation est ouvert, d'une durée maximale de deux heures. Il ne contient que le code de l'invitation, appliqué au compte à la connexion, et est supprimé à ce moment-là.

Le navigateur conserve par ailleurs, en stockage local, des marques de lecture et des réglages propres à l'appareil : la marque de lecture du journal des nouveautés, les animations d'entrée déjà jouées dans la journée, le statut de présence choisi, les réglages de salon et les favoris enregistrés, ainsi que des préférences d'affichage et de son. Ces informations ne contiennent aucune donnée d'identité et ne sont transmises à aucun tiers.

Article 11. Décision automatisée

Aucune décision produisant des effets juridiques ou affectant de manière significative la personne concernée n'est prise sur le seul fondement d'un traitement automatisé au sens de l'article 22 du RGPD. Aucun profilage n'est mis en œuvre.

Article 12. Droits des personnes concernées

La personne concernée dispose des droits d'accès (article 15), de rectification (article 16), d'effacement (article 17), à la limitation du traitement (article 18), à la portabilité (article 20) et d'opposition (article 21) du RGPD.

Ces droits s'exercent à l'adresse circusquiz@gmail.com. Il est répondu dans le délai d'un mois prévu à l'article 12 du RGPD, prorogeable de deux mois en raison de la complexité de la demande. Le droit à l'effacement peut par ailleurs être exercé directement au moyen de la suppression du compte.

Conformément à l'article 85 de la loi n° 78-17 du 6 janvier 1978, la personne concernée peut définir des directives relatives au sort de ses données après son décès.

Toute personne peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (cnil.fr).

Article 13. Modification de la présente politique

La présente politique peut être modifiée. La version applicable est celle publiée sur cette page à la date de la consultation. Toute modification substantielle est portée à la connaissance des personnes concernées.