Politique de confidentialité de RunMyGame

RunMyGame compte les points de vos parties de jeux de société et de cartes. Jouer ne demande ni compte, ni connexion : sans compte, vos parties, vos joueurs et vos réglages restent sur votre appareil.

1. En bref

Sans compte ni partage en direct, aucune de vos données de jeu ne quitte votre téléphone. Les seules informations que nous recevons sont alors les événements d'usage décrits au point 4 : ils nous disent quels jeux sont joués, jamais par qui, jamais avec qui, jamais où. Le compte est facultatif ; ce qu'il conserve, si vous en créez un, est décrit au point 9.

La version gratuite affiche des bannières publicitaires de Google AdMob, décrites au point 10. Premium n'en affiche aucune ; son achat passe par Google Play et RevenueCat (point 12).

Partager une partie en direct fait transiter son déroulé par nos serveurs, le temps de la session seulement (point 11).

2. Qui est responsable de ces données

Responsable de traitement : Gaëtan Gouhier, entrepreneur individuel (EI), SIREN 820549798, SIRET 82054979800040, TVA intracommunautaire FR90820549798, 1469 rue de Las Sorbes, 34070 Montpellier, France. Nom commercial : GGO Labs.

Contact : contact@ggolabs.com. Il n'y a pas de délégué à la protection des données : la structure n'y est pas tenue.

3. Ce qui reste sur votre appareil

Tout ce que vous saisissez : vos parties et leur déroulé, les noms et avatars des joueurs que vous enregistrez, vos réglages, votre historique et vos statistiques personnelles. Ces données sont stockées dans une base locale, protégée par le chiffrement du système d'exploitation de votre appareil.

Sans compte ni partage en direct, elles ne nous sont jamais transmises et nous n'avons aucun moyen d'y accéder ; désinstaller l'application les supprime définitivement. Avec un compte, nos serveurs en conservent aussi une copie : le point 9 dit exactement laquelle. Une partie partagée en direct passe par nos serveurs le temps de la session : voir le point 11.

4. Les événements d'usage

Pour savoir quels jeux méritent d'être ajoutés ou améliorés, l'application nous envoie des événements d'usage pseudonymes. Ce ne sont pas encore des statistiques : l'agrégation a lieu chez nous, après réception. Ils ne contiennent ni le contenu de vos parties, ni les noms de vos joueurs, ni vos scores.

Ce que contient un événement

Les dix types d'événements : ouverture de l'application ; partie créée, terminée ou abandonnée ; championnat créé ; table enregistrée ; recherche sans résultat dans le catalogue ; session de partage ouverte par le marqueur ; session rejointe par un invité ; jeu proposé. Les deux événements du partage ne contiennent rien d'autre que leur type : ni le jeu, ni le rôle, ni le nombre d'invités.

L'identifiant d'installation

Il est tiré au hasard par l'application, conservé sur votre appareil, et sa valeur nous est transmise avec chaque événement — c'est ce qui nous permet de savoir que dix parties viennent de la même installation. C'est précisément pour cela que ces données sont dites pseudonymes et non anonymes.

Ce que nous nous engageons à ne jamais faire avec :

• Il n'est jamais relié à un compte, à votre identité, ni à une adresse e-mail.
• Ce n'est jamais l'identifiant publicitaire de votre appareil, ni un identifiant partagé avec une autre application.
• Il ne sert qu'à cette mesure : ni ciblage, ni profilage, ni support client.
• Il est renouvelé au bout de 13 mois, et vous pouvez le réinitialiser quand vous voulez.

Il compte des installations, pas des personnes. Deux téléphones dans un foyer font deux installations ; deux joueurs sur le même appareil n'en font qu'une. Nous ne savons pas combien de personnes utilisent RunMyGame, et nous ne cherchons pas à le savoir.

Aucun texte libre n'est envoyé automatiquement

Quand une recherche dans le catalogue ne donne rien, nous en recevons le simple décompte — pas le mot que vous avez tapé. Sous « Aucun jeu ne correspond », le bouton Proposer ce jeu nous envoie le terme tel que vous l'avez cherché, limité à 80 caractères : seulement si vous appuyez vous-même dessus, et c'est le seul texte libre de toute la mesure d'usage. Un message vous laisse 5 secondes pour annuler ; un même terme ne part qu'une fois par appareil. Le terme part avec vos statistiques d'usage, avec le même identifiant d'installation, et s'efface avec elles. Le bouton n'apparaît pas quand la mesure d'usage est coupée. N'y tapez rien d'autre qu'un nom de jeu.

Comment refuser

Dans les réglages, la section Statistiques d'usage porte trois commandes : l'interrupteur Partager des statistiques d'usage, qui coupe la mesure ; Réinitialiser mon identifiant statistique ; et Supprimer mes statistiques, qui demande l'effacement sur nos serveurs des événements déjà envoyés, et pas seulement sur votre appareil. Si l'appareil est hors ligne au moment de la demande, elle est enregistrée et part dès le retour du réseau. Les envois sont groupés, au plus une fois par jour, et attendent le réseau : l'application reste pleinement utilisable hors ligne.

5. Récapitulatif des traitements

Aucune donnée n'est vendue ni louée. Hors de nos propres serveurs et de la connexion au compte par Apple ou Google, seules la publicité de la version gratuite (Google et ses partenaires) et l'achat de Premium (Google et RevenueCat) transmettent des données, et jamais de données de jeu. Aucun SDK d'analytique tiers n'est intégré à l'application ; le seul SDK publicitaire est celui de Google, avec son module de consentement, et le seul SDK de paiement celui de RevenueCat.

6. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Voici, honnêtement, ce que nous pouvons faire pour chacun.

• Tant que votre appareil détient l'identifiant courant, l'application peut demander la suppression des événements qui y sont attachés. C'est ce que fait le bouton « Supprimer mes statistiques » : il demande l'effacement sur nos serveurs, puis vide ce qui attendait encore d'être envoyé sur votre appareil.
• Après renouvellement, réinitialisation ou perte de cet identifiant, plus rien n'est rattachable à vous. Nous ne conservons aucune table de correspondance entre identifiants successifs : en tenir une pour pouvoir répondre à une demande reviendrait à créer exactement le lien que ce dispositif évite.
• Sans compte, vos données de jeu ne sont pas concernées : elles n'ont jamais quitté votre appareil, vous les supprimez en désinstallant l'application. Une partie partagée en direct s'efface d'elle-même de nos serveurs après la session (point 11).

Nous ne connaissons donc aucune identité civile associée à ces données. Ce n'est pas une façon d'échapper à nos obligations : c'est une conséquence directe de la manière dont ce service est construit, et le RGPD n'exige pas que nous collections des données supplémentaires dans le seul but de pouvoir vous identifier.

Le compte, s'il existe, a ses propres commandes : l'export de vos données et la suppression du compte sont décrits au point 9.

Le consentement publicitaire se retire à tout moment depuis Réglages → Confidentialité → Choix publicitaires (point 10).

Pour exercer un droit ou poser une question : contact@ggolabs.com. Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la CNIL.

7. Public cible et mineurs

RunMyGame est un utilitaire généraliste destiné aux adultes. Il n'est ni conçu, ni présenté, ni commercialisé pour les enfants ou les adolescents. Un mineur peut néanmoins l'utiliser occasionnellement autour d'une table. L'application ne lui demande pas sa date de naissance et ne cherche pas à déterminer son âge. Les annonces de la version gratuite sont non personnalisées et de classement « tout public » (G).

8. Hébergement

L'interface d'enregistrement des événements et leur stockage, ainsi que le serveur et la base de données du compte et du partage en direct (api-runmygame.ggolabs.com), sont déployés en France, chez Microsoft Azure (région France Centre). Le présent site est servi par Azure Static Web Apps, dont la distribution est mondiale.

Comme pour toute requête sur Internet, nos serveurs voient l'adresse IP de votre appareil à la réception, mais elle n'est pas enregistrée dans la base de mesure d'usage et aucun pays n'en est déduit. Le serveur du partage s'en sert seulement pour limiter les tentatives répétées de saisie d'un code, sous une forme brouillée, gardée en mémoire et jamais écrite. Comme tout service en ligne, notre hébergeur tient ses propres journaux techniques, avec leur cycle de vie propre, que nous ne contrôlons pas ; nous ne les exploitons pas à des fins statistiques.

9. Le compte

Le compte est facultatif : jouer n'en demande pas. Cette section dit ce qu'il conserve dès qu'une personne en crée un.

À quoi il sert

• retrouver vos parties, vos joueurs et vos réglages sur vos autres appareils ;
• recevoir les parties qu'un marqueur a jouées avec vous, quand vous acceptez qu'il associe l'un de ses joueurs à votre compte.

Comment il se crée

En un geste, avec Apple ou Google, sans mot de passe. Notre serveur vérifie le jeton signé que vous remet Apple ou Google, puis ouvre sa propre session : aucun fournisseur d'identité tiers n'intervient.

Ce qu'il conserve

• un identifiant tiré au hasard, qui est le nôtre ;
• l'adresse email que vous transmet Apple ou Google — l'adresse relais d'Apple si vous avez choisi de masquer la vôtre —, jamais montrée aux autres joueurs ;
• votre pseudo public et votre avatar, choisi parmi des dessins fournis par l'application (aucune photo) ;
• vos données de jeu synchronisées : parties terminées et leurs instantanés, joueurs connus, préférences, statut premium ;
• l'identifiant technique de l'appareil qui a écrit chaque objet synchronisé ;
• les associations que vous acceptez : quel marqueur, quel joueur, et quand.

Qui voit quoi

Votre pseudo et votre avatar sont visibles des autres joueurs. Votre adresse email ne l'est jamais.

Où

Chez Microsoft Azure, en France (région France Centre) : voir le point 8.

Combien de temps

Tant que le compte existe. À sa suppression, ses données sont effacées immédiatement de la base, et des copies de sauvegarde sous 30 jours. Votre pseudo reste dans les parties déjà jouées par les autres joueurs, qui sont les leurs. Les traces des associations sont gardées sous une forme qui ne vous désigne plus. Les parties enregistrées sur votre appareil y restent.

Vos droits propres au compte

• Export : dans l'application, Profil › Compte › Mes données, puis Exporter mes données. Vous obtenez un fichier JSON lisible avec tout ce que le compte conserve.
• Suppression : sur le même écran, Supprimer mon compte ; ou depuis la page https://ggolabs.com/runmygame/delete-account/ ; ou par un email à contact@ggolabs.com.

Séparé de la mesure d'usage

Le compte est un système entièrement séparé de la mesure d'usage : deux stockages distincts, deux mécanismes de suppression distincts. Créer un compte ne rattache jamais, rétroactivement ou non, les événements d'usage à votre identité.

10. La publicité

La version gratuite de RunMyGame affiche des bannières publicitaires fournies par la régie Google AdMob (Google Ireland Limited). Elles apparaissent dans le catalogue, l'historique, les réglages et l'écran spectateur, jamais sur l'accueil ni pendant la saisie des scores.

Ce que reçoit Google

Pour afficher une annonce, le SDK Google Mobile Ads intégré à l'application transmet à Google l'adresse IP de votre appareil, dont Google déduit une position approximative, vos interactions avec les annonces, des données de diagnostic et un identifiant d'appareil (« app set ID »). Il ne reçoit jamais l'identifiant publicitaire de votre appareil, retiré de l'application, et aucune donnée de jeu : ni score, ni nom de joueur, ni partie.

À quoi servent ces données

Elles servent à diffuser et mesurer les annonces, et à prévenir la fraude. Dans cette version, les annonces sont non personnalisées et de classement « tout public » (G). Si de la publicité personnalisée est proposée ultérieurement, elle ne sera activée dans les régions où le consentement est requis qu'après un choix explicite et révocable ; la simple utilisation de l'application ne vaudra pas consentement.

Votre consentement

Dans l'Espace économique européen, au Royaume-Uni et en Suisse, le formulaire de consentement de Google s'affiche au lancement de l'application, avant toute annonce, et vous laisse accepter, refuser ou gérer les options. Un refus donne des annonces limitées et ne retire aucune fonction de l'application. Certains partenaires invoquent l'intérêt légitime : la gestion des options permet de vous y opposer.

Vous pouvez retirer ou modifier votre choix à tout moment depuis Réglages → Confidentialité → Choix publicitaires.

Les partenaires de Google

Les partenaires publicitaires présentés par le formulaire de consentement sont listés sur la page Partenaires publicitaires. L'usage que Google fait de ces données est décrit sur la page Comment Google utilise les informations des sites ou applications qui utilisent ses services.

Premium

Avec Premium, l'application n'affiche aucune annonce et n'échange rien avec la régie publicitaire. L'achat de Premium lui-même est décrit au point 12.

11. Le partage de partie en direct

Le partage est facultatif et ne demande pas de compte. C'est le seul cas où des données de jeu quittent l'appareil sans compte : cette section dit lesquelles, et pour combien de temps.

À quoi il sert

Le joueur qui tient la feuille de score, le marqueur, ouvre une session ; les autres joueurs et des spectateurs la rejoignent avec un code court, un QR code ou un lien, et suivent la partie en direct sur leur propre téléphone.

Ce qui transite par nos serveurs

• le déroulé de la partie tel que l'enregistre le téléphone du marqueur : jeu et variante, noms et avatars des joueurs, scores saisis, corrections et annulations, avec l'heure de chaque saisie et l'identifiant technique de l'appareil qui l'a écrite ;
• l'état calculé de la partie : scores et classement du moment ;
• pour chaque invité : le nom qu'il choisit en rejoignant (son pseudo par défaut), son rôle, joueur ou spectateur, et l'identifiant technique de son appareil.

Rejoindre une session ne transmet ni votre compte, ni votre adresse email. Les échanges passent par une connexion chiffrée.

Qui voit quoi

Toute personne munie du code ou du lien de la session la rejoint sans validation préalable, et voit les noms et les scores de tous les joueurs, ainsi que le nom des autres invités. Ne partagez donc le code qu'avec les personnes autour de la table. Le code court n'est valable que 30 minutes, et le marqueur en génère un nouveau en un geste ; il peut aussi retirer un invité à tout moment. À la fin de la partie, l'appareil d'un invité peut en garder une copie dans son historique local.

Où

Chez Microsoft Azure, en France (région France Centre) : voir le point 8.

Combien de temps

La session se ferme d'elle-même après 6 heures sans nouvel événement, et au plus tard 24 heures après son ouverture. Nos serveurs effacent ensuite automatiquement ses données, au plus tard 24 heures après leur dernière écriture. La partie reste sur le téléphone du marqueur, qui en garde le journal complet.

La mesure d'usage

Ouvrir une session et en rejoindre une produisent chacun un événement d'usage (point 4), qui ne contient que son type : ni le jeu, ni le rôle, ni le nombre d'invités, ni aucune donnée de la partie.

12. L'achat de Premium

Premium s'achète une fois, à vie, dans l'application, par Google Play. Nous confions la vérification de l'achat à RevenueCat (RevenueCat, Inc., établie aux États-Unis), notre sous-traitant.

Qui fait quoi

• Google encaisse le paiement : pour les achats faits dans l'Espace économique européen, Google est le marchand officiel et applique ses propres conditions de paiement, de remboursement et de rétractation. Nous ne voyons jamais votre moyen de paiement.
• RevenueCat reçoit de Google Play l'achat de Premium et nous dit si Premium est acquis, pour l'activer et le restaurer.

Ce que reçoit RevenueCat

Les informations de l'achat (produit, date, transaction) et un identifiant tiré par son propre SDK. L'application ne lui transmet ni votre compte RunMyGame, ni votre adresse email, ni l'identifiant de la mesure d'usage, et aucune donnée de jeu. Comme pour toute requête sur Internet, RevenueCat voit l'adresse IP de votre appareil.

Le SDK de RevenueCat n'est chargé qu'au moment où vous achetez ou restaurez Premium, jamais au démarrage : tant que vous n'appuyez ni sur Acheter ni sur Restaurer mes achats, l'application ne l'appelle pas.

Ce que nous conservons

Le seul statut premium, sur votre appareil, et dans votre compte si vous en avez un (point 9). L'usage que Google et RevenueCat font de ces données, y compris hors de l'Union européenne, est décrit dans leurs politiques : règles de confidentialité de Google et politique de RevenueCat.

13. Ce qui n'existe pas encore

Rapports de plantage et mesures de performance : l'application n'embarque aucun outil de ce type et ne nous envoie rien quand elle se ferme brutalement. Cette politique sera mise à jour avant leur activation, et aucune donnée supplémentaire n'est collectée d'ici là.

14. Modifications

Toute modification de cette politique sera publiée sur cette page, avec sa date. Les changements qui élargissent la collecte seront annoncés dans l'application.