La presente politique decrit la maniere dont Kreomnis traite les donnees a caractere personnel des utilisateurs du jeu Kreomnis Sumo, conformement au Reglement general sur la protection des donnees (RGPD, UE 2016/679) et a la loi « Informatique et Libertes ».

En resume : Kreomnis Sumo se joue sans compte. Le jeu fonctionne principalement avec du stockage local de votre navigateur. Le classement classe (Elo) et la progression conservent des donnees minimales cote serveur (identifiant anonyme, pseudo, points) dans une base Neon, Inc. hebergee en Union europeenne.

Une connexion via Google est proposee en option : elle sert uniquement a retrouver votre progression sur un autre appareil. Elle reste facultative, et nous ne voyons jamais votre mot de passe Google (l'authentification se fait directement chez Google via le protocole OAuth 2.0).

Responsable du traitement

Le responsable du traitement est Guillaume Denneulin, Dirigeant de Kreomnis.
Contact : denneulinguillaume@kreomnis.com.

Aucun delegue a la protection des donnees (DPO) n'a ete designe : cette designation n'est pas obligatoire au sens de l'article 37 du RGPD pour notre activite (pas de suivi a grande echelle ni de traitement de donnees sensibles a grande echelle). Pour toute question relative a vos donnees, le responsable du traitement repond directement a denneulinguillaume@kreomnis.com.

Donnees collectees et finalites

Nous appliquons strictement le principe de minimisation : seules les donnees necessaires au bon fonctionnement du jeu et a la fonctionnalite de classement sont collectees.

1. Donnees stockees localement dans votre navigateur (localStorage)

Donnees : identifiant joueur anonyme genere automatiquement (UUID), pseudonyme que vous choisissez, dernier code de salon rejoint, type de blob selectionne, blobs achetes, monnaie virtuelle (Kreomnis), historique de vos parties, preferences (mode classe/casual, nombre de joueurs, format equipes), score Elo en cache.
Finalite : faire fonctionner le jeu (votre identite persistante entre parties, retrouver vos achats et votre progression, afficher votre historique).
Base legale : interet legitime - ces donnees sont strictement necessaires au service et ne sont jamais envoyees a un serveur tiers a votre insu.
Duree : conservees dans votre navigateur tant que vous ne les supprimez pas (vider le stockage local efface tout). Aucune sauvegarde cote serveur de ces donnees.

2. Donnees du classement classe et de progression (base Neon Postgres)

Lorsque vous jouez une partie en mode classe (ranked), une copie minimale de votre profil est enregistree dans notre base de donnees Neon, Inc. (Postgres, region Union europeenne) pour faire fonctionner le classement Elo public. Si vous etes connecte (cf. point 4), votre progression de jeu y est egalement sauvegardee.

Donnees : identifiant joueur anonyme (UUID), pseudonyme que vous avez choisi, total de points Elo, nombre de victoires/defaites, date de derniere partie jouee ; et, si vous etes connecte, votre monnaie virtuelle, vos blobs debloques et votre historique de parties (synchronises depuis votre navigateur).
Finalite : calculer le classement Elo agrege et l'afficher publiquement (top 20 sur la page d'accueil) ; permettre de retrouver sa progression d'un appareil a l'autre.
Base legale : interet legitime a fournir le classement aux joueurs qui choisissent le mode classe (le mode casual ne transmet rien au serveur) ; pour la progression synchronisee, execution du service que vous demandez en vous connectant.
Duree : 3 ans apres la derniere partie classee jouee. Vous pouvez demander suppression immediate (cf. « Vos droits » ci-dessous).

3. Donnees techniques de connexion au serveur de jeu

Donnees : adresse IP (utilisee transitoirement pour acheminer les paquets WebSocket), informations techniques minimales (user-agent simplifie pour diagnostic).
Finalite : assurer la connexion temps reel au serveur de jeu, prevenir les abus (rate-limiting).
Base legale : interet legitime (article 32 RGPD - securite et bon fonctionnement du service).
Duree : traite en memoire uniquement pendant la duree de la connexion WebSocket. Les logs eventuels sont anonymises et conserves au maximum 7 jours par notre sous-traitant.

4. Donnees de compte (connexion Google optionnelle)

Si - et seulement si - vous choisissez de vous connecter via le bouton « Se connecter avec Google », nous traitons un minimum d'informations issues de votre compte Google pour creer votre compte de jeu et le relier a votre progression.

Donnees : identifiant Google stable (claim « sub »), adresse e-mail, nom d'affichage et photo de profil Google, ainsi que l'identifiant de jeu (UUID) auquel votre compte est rattache. Nous ne demandons aucune autre information (pas d'acces a vos contacts, agenda, fichiers, etc.). Nous ne voyons jamais votre mot de passe Google.
Finalite : vous authentifier, retrouver votre profil et votre progression sur n'importe quel appareil, maintenir votre session connectee.
Base legale : votre consentement (vous declenchez vous-meme la connexion) et l'execution du service de synchronisation que vous demandez.
Duree : 3 ans apres la derniere connexion au compte (suppression immediate sur demande). Les sessions de connexion (cookie) expirent automatiquement apres 30 jours (duree de validite d'une session de connexion).
Cookies : la connexion utilise un cookie de session strictement necessaire (et un cookie transitoire pendant le flux OAuth). Detail dans notre politique de stockage local & cookies.

5. Avis, suggestions et votes (espace communautaire)

Si vous etes connecte, vous pouvez publier un avis, proposer une suggestion d'amelioration et voter pour les suggestions des autres joueurs. Ces contributions sont publiques : elles s'affichent sur la page d'accueil avec le pseudonyme associe a votre compte.

Donnees : le contenu que vous redigez (texte de l'avis ou de la suggestion), le pseudonyme affiche (votre pseudo de jeu), la date de publication, et le decompte de vos votes - le tout rattache a l'identifiant de votre compte.
Finalite : recueillir votre retour pour ameliorer le jeu, et permettre a la communaute de hierarchiser les suggestions par vote (la suggestion la plus votee est developpee en priorite).
Base legale : votre consentement - vous redigez et publiez volontairement ces contenus. Vous restez libre de ne rien publier.
Caractere public : ne publiez aucune donnee personnelle ou sensible dans le texte (les avis sont visibles de tous). Les contenus sont nettoyes automatiquement (retrait du balisage et des caracteres invisibles) avant affichage.
Duree : conserves tant que vous ne supprimez pas votre compte. La suppression de compte (cf. « Vos droits ») efface immediatement vos avis, vos suggestions et vos votes.

6. Avatar personnalise (image dans le sumo)

Si vous etes connecte, vous pouvez televerser une image affichee dans le cercle de votre sumo. Cette image est publique : les autres joueurs la voient pendant les parties.

Donnees : l'image (re-encodee par nos soins en PNG, sans metadonnee), rattachee a l'identifiant de votre compte, et un identifiant d'image public servant a l'affichage.
Finalite : personnalisation et reconnaissance rapide de votre personnage en jeu.
Base legale : votre consentement - vous choisissez et publiez volontairement cette image, apres acceptation des regles (pas de contenu illegal, pornographique, haineux, harcelant, etc.).
Securite : aucune donnee du fichier d'origine n'est conservee ; seuls des pixels re-encodes sont stockes, servis avec un type fige interdisant toute execution.
Duree : conservee tant que vous ne la supprimez pas ou ne supprimez pas votre compte. Vous pouvez la retirer a tout moment depuis votre page de profil ; la suppression de compte l'efface aussi.

Destinataires des donnees

Vos donnees ne sont ni vendues ni cedees a des tiers a des fins commerciales. Elles peuvent etre traitees techniquement par les sous-traitants suivants :

Vercel Inc. - hebergement de la partie publique du site (Next.js, assets statiques).
Cloudflare, Inc. (via PartyKit) - hebergement du serveur de jeu temps reel.
Neon, Inc. - base de donnees Postgres (region Union europeenne) stockant le classement classe, les comptes et la progression synchronisee.
Google Ireland Limited - fournisseur d'authentification pour la connexion optionnelle « Se connecter avec Google » (OAuth 2.0).

Transferts hors Union europeenne

Nos sous-traitants techniques (Vercel, Cloudflare) sont des societes ayant leur siege aux Etats-Unis et operent un reseau mondial de datacenters. Lorsque vos donnees techniques transitent par des serveurs situes en dehors de l'Union europeenne, ces transferts sont encadres par les clauses contractuelles types adoptees par la Commission europeenne et, le cas echeant, les mesures supplementaires de chiffrement et de minimisation des donnees mises en oeuvre par ces prestataires.

De meme, si vous utilisez la connexion optionnelle « Se connecter avec Google », l'authentification et les donnees de compte associees (identifiant Google, e-mail, nom, photo) sont traitees par Google LLC, societe etablie aux Etats-Unis.

Cloudflare et Google sont par ailleurs certifies au titre du « Data Privacy Framework » UE-Etats-Unis, qui encadre ces transferts.

Vos droits

Conformement au RGPD, vous disposez des droits suivants sur vos donnees :

droit d'acces a vos donnees ;
droit de rectification (notamment de votre pseudonyme) ;
droit a l'effacement (« droit a l'oubli ») ;
droit a la limitation du traitement ;
droit d'opposition ;
droit a la portabilite de vos donnees ;
droit de definir des directives post-mortem.

Pour exercer ces droits sur les donnees stockees dans votre navigateur : videz simplement le stockage local de votre navigateur pour le domaine https://kreomnissumo.com - tout est efface immediatement, sans intervention de notre part.

Pour exercer ces droits sur les donnees du classement classe (identifiant + pseudonyme + points Elo conserves cote serveur), contactez denneulinguillaume@kreomnis.com en precisant votre identifiant joueur (visible dans la console de votre navigateur, cle kreomnis_uid). Nous repondons dans un delai d'un mois.

Pour les donnees de compte (connexion Google), tout est en libre-service depuis votre page de profil :

Portabilite : le bouton « Telecharger mes donnees » exporte l'ensemble de vos donnees au format JSON (article 20 RGPD).
Effacement : le bouton « Supprimer mon compte » efface definitivement et immediatement votre compte, vos sessions, votre progression synchronisee, votre ligne de classement, vos avis, suggestions et votes, ainsi que votre avatar personnalise.
Opposition : vous pouvez simplement vous deconnecter a tout moment pour revenir au mode invite.

Vous pouvez aussi nous ecrire a denneulinguillaume@kreomnis.com depuis l'adresse e-mail de votre compte Google si vous preferez.

Reclamation aupres de la CNIL

Si vous estimez, apres nous avoir contactes, que vos droits ne sont pas respectes, vous pouvez introduire une reclamation aupres de la Commission nationale de l'informatique et des libertes : www.cnil.fr - 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Securite

Nous mettons en oeuvre les mesures techniques et organisationnelles appropriees pour proteger vos donnees : HTTPS et WSS chiffres de bout en bout, en-tetes de securite HTTP (CSP, HSTS), sanitisation des entrees cote serveur, separation stricte des donnees de jeu (sandbox par salon), absence de cookie tiers ou publicitaire. La connexion se fait via Google OAuth : nous ne stockons aucun mot de passe. Les cookies de session sont HttpOnly, Secure et SameSite=Lax, et seul un condense (hash) du jeton de session est conserve en base.

Pour signaler une vulnerabilite, voir /.well-known/security.txt.

Politique de confidentialite