Confidentialité

L’essentiel

• Vous pouvez jouer sans compte. Votre progression reste alors dans votre navigateur et rien ne nous est envoyé.
• Le compte est facultatif. Il sert à débloquer les forces réservées aux inscrits, à retrouver votre partie sur un autre appareil et à acheter des grilles.
• Le paiement passe par Stripe. Vos coordonnées bancaires sont saisies chez Stripe et ne transitent jamais par nos serveurs.
• Aucune publicité, aucune mesure d’audience, aucun pixel de réseau social, aucune revente de données.
• Seuls des cookies indispensables sont posés, et uniquement quand vous vous connectez.

Responsable du traitement

ALPHAOSCAR, Société à responsabilité limitée (SARL) au capital de 1 €, RCS Paris 910 288 299, 6 rue d’Armaillé, 75017 Paris, France. Contact pour toute question relative à vos données : [email protected].

Sans compte : ce qui reste sur votre appareil

Le jeu enregistre dans le stockage local du navigateur (localStorage, clé gigamots:boutique:v1) :

• les lettres saisies et les mots trouvés dans chaque grille, le temps de jeu et les jours joués ;
• vos réglages : ambiance, clair ou sombre, taille du texte, animations, mode de jeu, clavier ;
• votre niveau, votre série de jours de jeu et l’encre accumulée ;
• le prénom que vous choisissez d’indiquer dans une salle, et les salles que vous avez ouvertes.

Tant que vous n’êtes pas connecté, ces informations ne quittent pas votre navigateur. Ce stockage est nécessaire au service que vous demandez (retrouver votre partie) et ne sert à aucun suivi.

Avec un compte : ce que nous enregistrons

• Votre adresse e-mail, vérifiée par un code à usage unique. Nous conservons seulement une empreinte chiffrée de ce code, pendant 10 minutes au plus.
• Si vous vous connectez avec Google, Apple ou Facebook (quand ces boutons sont proposés) : l’identifiant technique que ce service nous transmet, votre adresse e-mail, et votre nom et votre photo de profil s’il les fournit. Nous ne recevons jamais votre mot de passe.
• Vos passkeys, si vous en créez : seulement leur clé publique. Rien de biométrique ne nous est envoyé ; l’empreinte ou le visage restent sur votre appareil.
• Vos sessions de connexion : une empreinte de l’identifiant de session, sa date et le type de navigateur utilisé.
• Votre progression : le contenu du stockage local décrit ci-dessus, synchronisé pour être retrouvé sur vos autres appareils.
• Vos achats : les grilles et offres achetées, avec la référence de la transaction chez Stripe.
• Des données de sécurité : pour limiter les abus (tentatives de connexion répétées), des compteurs temporaires associés à votre adresse IP ou à votre compte.

Salles famille

Un joueur qui a acheté une grille ou l’accès illimité peut ouvrir une salle et inviter jusqu’à trois personnes, avec ou sans compte, à remplir la même grille. Pour faire vivre la salle, nous enregistrons :

• le prénom que chaque joueur choisit et la couleur qui lui est attribuée ;
• un identifiant aléatoire créé par le navigateur de chaque joueur, pour qu’il retrouve sa place et sa couleur en revenant ;
• les lettres posées dans la grille partagée et la position du curseur de chacun ;
• l’organisateur, la grille et les dates d’ouverture et de dernière partie.

Ces données sont visibles des autres joueurs de la salle et de personne d’autre. Elles sont effacées quand l’organisateur ferme la salle, quand il n’a plus d’achat en cours, ou après 90 jours sans partie.

Pourquoi, et sur quelle base

• Créer et gérer votre compte, synchroniser votre partie, vous donner accès aux grilles achetées : exécution du contrat que vous concluez en créant un compte ou en achetant une grille (article 6.1.b du RGPD).
• Sécuriser le site et prévenir la fraude : notre intérêt légitime à protéger le service et ses joueurs (article 6.1.f).
• Faire fonctionner une salle famille : exécution du contrat conclu par l’organisateur, et notre intérêt légitime à offrir le jeu à plusieurs à ses invités (articles 6.1.b et 6.1.f du RGPD).
• Conserver les justificatifs de vente : obligation légale comptable (article 6.1.c).

Cookies

Le site ne pose aucun cookie tant que vous ne vous connectez pas. À la connexion, il utilise uniquement des cookies strictement nécessaires, qui ne demandent pas votre consentement :

• __Host-mcl_s : maintient votre session ouverte, 90 jours renouvelés à chaque visite ;
• __Host-mcl_wa : sécurise la création ou l’utilisation d’une passkey, 5 minutes ;
• __Host-mcl_oauth : sécurise la connexion par Google, Apple ou Facebook, 10 minutes ;
• __Host-mcl_link : relie un nouveau moyen de connexion à un compte existant, 15 minutes.

Destinataires

Vos données ne sont ni vendues ni louées. Elles sont accessibles à l’éditeur et aux seuls prestataires qui en ont besoin pour faire fonctionner le service :

• Cloudflare, Inc. : hébergement du site, de la base de données des comptes et des salles famille. Données concernées : toutes les données de compte et de salle décrites ci-dessus, adresse IP. Localisation : États-Unis et centres de données dans le monde.
• Stripe Payments Europe, Ltd. : paiement en ligne, prévention de la fraude. Données concernées : adresse e-mail, identifiant de compte, offre achetée ; vos coordonnées bancaires sont saisies chez Stripe et ne transitent jamais par nos serveurs. Localisation : Irlande, avec des transferts vers Stripe, Inc. aux États-Unis.

Stripe agit aussi en tant que responsable de traitement indépendant pour ses propres obligations (lutte contre la fraude, réglementation financière) ; sa politique de confidentialité est consultable sur stripe.com/fr/privacy. Si vous choisissez de vous connecter avec Google, Apple ou Facebook, ce service sait que vous utilisez Mots croisés en ligne, selon sa propre politique de confidentialité.

Les pages elles-mêmes ne chargent aucun service tiers : polices, scripts et images sont servis par le site.

Transferts hors de l’Union européenne

Cloudflare, Inc. est établie aux États-Unis. Les transferts de données qui en découlent sont encadrés par les articles 44 à 49 du RGPD : certification de Cloudflare au Data Privacy Framework UE–États-Unis et clauses contractuelles types adoptées par la Commission européenne.

Les transferts de Stripe vers les États-Unis sont encadrés de la même manière : certification au Data Privacy Framework et clauses contractuelles types.

Durées de conservation

• Compte, progression et passkeys : tant que votre compte existe. Ils sont effacés dans un délai d’un mois après votre demande de suppression.
• Sessions : 90 jours après votre dernière visite, ou jusqu’à votre déconnexion.
• Codes de connexion : 10 minutes au plus.
• Compteurs de sécurité : 2 jours au plus.
• Salles famille : jusqu’à leur fermeture par l’organisateur, la fin de son achat, ou 90 jours sans partie.
• Justificatifs d’achat : 10 ans, durée imposée par le Code de commerce (article L123-22).
• Journaux techniques de l’hébergeur : selon la politique de Cloudflare.

Mineurs

Les grilles Junior se jouent sans compte. La création d’un compte est réservée aux personnes de 15 ans et plus : en dessous, c’est à un parent de créer le compte et de faire les achats.

Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données, ainsi que du droit de définir des directives sur leur sort après votre décès. Pour supprimer votre compte ou exercer ces droits, écrivez à [email protected] depuis l’adresse liée à votre compte ; nous répondons dans un délai d’un mois.

Sans compte, vous pouvez recommencer le Prologue depuis la page Profil, ou tout effacer en supprimant les données de ce site dans les réglages de votre navigateur.

Vous pouvez aussi adresser une réclamation à la CNIL (www.cnil.fr).