KITSU1. Responsable du traitement
Le responsable du traitement est [À COMPLÉTER : nom et prénom de l’éditeur, ou raison sociale], [À COMPLÉTER : adresse postale]. Contact pour toute question sur vos données : [À COMPLÉTER : e-mail de contact]. Nous n’avons pas désigné de délégué à la protection des données.
2. Les données que nous traitons
Votre compte Discord
Vous vous connectez avec Discord, en n’autorisant que la lecture de votre profil (autorisation « identify »). Nous recevons et gardons : votre identifiant Discord, votre nom d’affichage, votre avatar (son adresse sur les serveurs de Discord), la date de création de votre compte Discord (déduite de l’identifiant) et le fait que vous affichiez ou non le tag du serveur Discord KITSU. Nous conservons aussi les jetons d’accès Discord fournis à la connexion, pour revérifier ce tag. Nous ne recevons ni votre mot de passe, ni votre adresse e-mail, ni vos amis ou vos serveurs Discord.
Votre profil et votre partie
Pseudo et #identifiant, biographie, avatar éventuellement envoyé, vitrine, objets cosmétiques et succès ; sauvegarde de la partie (collection, progression, Gemmes, quêtes, réglages enregistrés comme la langue) ; classements, combats d’arène (équipes et résultats), tournois et saisons ; échanges, annonces du marché, livraisons ; tirages rares annoncés dans le fil public.
Vos échanges avec les autres joueurs
Liste d’amis, messages privés, guilde (rôle, discussion, logo), messages du chat global et cartes jointes, traductions de messages demandées.
Vos achats
Offre achetée, montant, devise, statut (payé, remboursé, contesté…), dates, et identifiants techniques Stripe (session de paiement, paiement, client, abonnement, factures). Nous ne recevons jamais vos données de carte bancaire. Stripe collecte sur sa page de paiement les données nécessaires au paiement (carte, e-mail, pays, données de prévention de la fraude…), selon sa propre politique de confidentialité.
Données techniques et de sécurité
- Votre adresse IP : utilisée en mémoire pour limiter les abus (nombre de requêtes) ; enregistrée uniquement sous forme chiffrée par hachage (HMAC-SHA256 avec une clé secrète), avec les dates de première et dernière connexion, pour lutter contre la fraude au parrainage et les comptes multiples.
- Votre jeton de session (connexion) et la date de votre dernière activité.
- Les signaux anti-triche : clics simulés refusés par le navigateur, fins de combat plus rapides qu’un humain, heures des combats terminés, état de la vérification « Je ne suis pas un robot ».
- Les journaux techniques du serveur.
Parrainage
Votre code de parrainage, le lien parrain-filleul, son statut et l’adresse IP chiffrée par hachage au moment de l’inscription.
Notifications
Si vous les activez sur un appareil : l’adresse fournie par le service de notification de votre navigateur, ses clés de chiffrement, la langue de l’appareil et les dates d’envoi.
Chat vocal
Pendant un combat d’arène, le serveur relaie seulement les informations de connexion entre les deux navigateurs (dont vos adresses IP), sans rien enregistrer. Le son ne passe jamais par nos serveurs.
3. Pourquoi : finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Créer et gérer votre compte, faire fonctionner le jeu, la sauvegarde, les classements, les fonctions sociales (amis, messages, guildes, chat, échanges, marché, arène, vocal) | Exécution du contrat (CGU) |
| Vérifier le tag du serveur Discord KITSU (récompense du Pass) | Exécution du contrat |
| Vendre et livrer les achats, gérer l’abonnement, les remboursements et contestations | Exécution du contrat |
| Conserver les pièces comptables | Obligation légale |
| Traduire un message du chat quand un joueur le demande | Exécution du contrat (pour le joueur qui demande) et intérêt légitime à un chat multilingue (pour l’auteur du message) |
| Sécurité, limitation des abus, lutte contre la triche, les bots et la fraude au parrainage | Intérêt légitime (protéger le service et l’équité du jeu) |
| Modération, traitement des signalements, défense de nos droits | Intérêt légitime et obligations légales |
| Envoyer des notifications push | Consentement (que vous pouvez retirer à tout moment) |
Nous ne vendons pas vos données, ne faisons pas de publicité ciblée et n’utilisons pas d’outil de mesure d’audience.
4. Combien de temps : durées de conservation
- Compte, profil, sauvegarde, amis, messages privés, guilde, échanges, marché, historique de jeu : tant que votre compte existe, puis supprimés avec lui. Compte inactif : [À COMPLÉTER : durée d’inactivité après laquelle un compte est supprimé (aucune suppression automatique aujourd’hui)].
- Chat global : les 2 000 derniers messages de chaque salon ; les plus anciens et leurs traductions sont effacés automatiquement (vérification toutes les heures). Après la suppression d’un compte, ses messages encore présents s’affichent sous « Joueur supprimé » jusqu’à leur effacement ; sur demande, nous les effaçons aussitôt.
- Session : jusqu’à votre déconnexion.
- Jetons Discord : tant que le compte existe ; effacés dès que Discord les refuse.
- Anti-triche : heures des combats, 8 jours ; signalements, 60 jours ; état de la vérification, tant que le compte existe.
- Adresses IP chiffrées et parrainage : tant que le compte existe.
- Notifications : jusqu’à leur désactivation, ou jusqu’à ce que le service de notification indique que l’abonnement n’est plus valable (8 appareils au plus par compte).
- Achats : l’historique est gardé tant que le compte existe ; les pièces comptables sont conservées 10 ans (article L123-22 du Code de commerce), notamment chez Stripe.
- Fil des tirages rares : les 500 plus récents.
- Journaux techniques du serveur : [À COMPLÉTER : durée de conservation des journaux techniques du serveur (nginx, système)].
- Chat vocal : rien n’est conservé.
5. Avec qui : destinataires et sous-traitants
- Les autres joueurs voient votre profil public (pseudo, avatar, biographie, vitrine, guilde, statistiques, présence en ligne) et les contenus que vous publiez.
- Notre équipe (administrateurs), pour le support, la modération et la sécurité.
- Hébergeur : [À COMPLÉTER : hébergeur (raison sociale)] — héberge le serveur et la base de données.
- Discord (Discord Inc., États-Unis) — connexion au jeu ; avatars affichés depuis ses serveurs.
- Stripe (Stripe Payments Europe, Ltd., Irlande, et sociétés de son groupe) — paiements. Pour certaines finalités (prévention de la fraude, obligations légales), Stripe agit comme responsable de traitement distinct.
- DeepL (DeepL SE, Allemagne) — traduction : quand un joueur clique sur « Traduire » ou active la traduction automatique du chat, le texte du message (sans le pseudo de son auteur) est envoyé à DeepL. Offre utilisée : [À COMPLÉTER : offre DeepL utilisée : API Pro (textes non conservés) ou API Free].
- Google (Google LLC / Google Ireland) — polices d’écriture chargées depuis fonts.googleapis.com et fonts.gstatic.com, et serveurs de connexion (« STUN ») du chat vocal : votre navigateur les contacte directement, ce qui leur transmet votre adresse IP et des informations techniques sur votre navigateur.
- Cloudflare (Cloudflare Inc., États-Unis) — uniquement si la vérification « Je ne suis pas un robot » vous est demandée et utilise Cloudflare Turnstile.
- AniList et Fandom — une partie des images des cartes est chargée depuis leurs serveurs (s4.anilist.co, static.wikia.nocookie.net), qui reçoivent alors votre adresse IP.
- Services de notification de votre navigateur (Google, Mozilla, Apple, Microsoft…) — acheminent les notifications si vous les activez ; leur contenu est chiffré.
- Autorités — sur demande légale.
6. Transferts hors de l’Union européenne
Certains de ces prestataires sont établis hors de l’Union européenne, notamment aux États-Unis (Discord, Google, Cloudflare, Fandom, une partie du groupe Stripe). Ces transferts reposent sur la décision d’adéquation de la Commission européenne du 10 juillet 2023 (« EU-U.S. Data Privacy Framework ») pour les entreprises qui y adhèrent, ou à défaut sur les clauses contractuelles types adoptées par la Commission européenne.
7. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité, et d’opposition aux traitements fondés sur notre intérêt légitime. Vous pouvez retirer votre consentement aux notifications à tout moment (Paramètres du jeu ou réglages du navigateur). Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.
Pour exercer ces droits, écrivez à [À COMPLÉTER : e-mail de contact] ou à [À COMPLÉTER : adresse postale]. Pour éviter qu’un tiers se fasse passer pour vous, nous pourrons vous demander de confirmer la demande depuis votre compte. Nous répondons dans un délai d’un mois (prolongeable de deux mois pour une demande complexe).
8. Réclamation auprès de la CNIL
Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr, ou à l’autorité de protection des données de votre pays de résidence.
9. Sécurité
Nous protégeons vos données : connexions chiffrées (HTTPS), aucun mot de passe stocké (connexion par Discord), jetons de session aléatoires, protection de la connexion contre la falsification de requêtes, adresses IP enregistrées seulement sous forme hachée, données de carte bancaire traitées uniquement par Stripe, accès d’administration réservé à quelques comptes. Aucun système n’étant infaillible, nous vous informerons, ainsi que la CNIL, en cas de violation de données présentant un risque, comme la loi le prévoit.
10. Mineurs
Le jeu est accessible dès 13 ans (voir les CGU). En France, un mineur de moins de 15 ans ne peut consentir seul aux traitements fondés sur le consentement (notifications push) : l’accord de ses parents est alors nécessaire. Les parents peuvent exercer les droits de leur enfant et demander la suppression de son compte à [À COMPLÉTER : e-mail de contact].
11. Décisions automatisées
Les contrôles anti-triche sont automatiques : ils peuvent bloquer temporairement certaines actions jusqu’à une vérification « Je ne suis pas un robot ». Aucune décision produisant des effets juridiques ou vous affectant de manière significative (comme un bannissement) n’est prise sur le seul fondement d’un traitement automatisé ; vous pouvez demander l’intervention d’une personne et contester la décision.
13. Modifications
Nous pouvons mettre à jour cette politique, par exemple si le jeu évolue ou si nous changeons de prestataire. La date de dernière mise à jour figure en haut de la page ; en cas de changement important, nous vous en informerons dans le jeu.