Politique de confidentialité

1Données de compte

• Pseudo, emoji et thème d'interface, pour identifier et personnaliser le compte.
• Mot de passe : il n'est jamais conservé en clair ; seule une empreinte cryptographique non réversible est stockée.
• Genre, facultatif : il sert uniquement à adapter certains accords et à sélectionner les questions pertinentes. « Je préfère ne pas préciser » reste disponible.
• Langue de l’application : le français ou l’anglais choisi par le joueur est conservé dans les préférences de son compte.
• Adresse e-mail de récupération, facultative mais recommandée : elle sert à vérifier l'adresse, récupérer le compte et, si l'utilisateur le choisit, recevoir les notifications L'Îlot.
• Code de secours, si cette méthode est choisie : seul son hash est conservé sur le serveur.

2Données du jeu

Pour permettre les traversées et veillées, L'Îlot conserve notamment l'appartenance à un îlot, les réponses et prédictions, scores, kiffs, envies, questions personnelles, choix de cartes, informations de progression et historique de jeu. Les contenus intimes tels que réponses, prédictions, kiffs et envies sont chiffrés au repos sur le serveur.

Les Talismans personnels sont attribués à partir de compteurs calculés sur l'historique du joueur : prédictions exactes, veillées remportées et jours distincts d'utilisation. Ce calcul ne crée pas de copie supplémentaire des réponses. Le registre de récompenses conserve uniquement le palier atteint, le type de Talisman, le joueur, la grotte de destination et l'indication qu'un palier avait déjà été atteint avant l'introduction de cette fonction. Cette dernière information sert uniquement à expliquer les récompenses rétroactives lors de la première connexion et à éviter les doubles attributions.

Analyse des veillées

Après une veillée terminée, L’Îlot peut produire une courte phrase bilingue avec le service Mistral configuré. Les questions jouées, leurs réponses et prédictions, les compteurs par thème et un historique limité des résultats des deux mêmes joueurs sont transmis sous les alias [A] et [B]. Les identifiants de compte ne sont pas envoyés ; les pseudos reconnus, adresses e-mail et liens sont retirés des textes. Les textes libres peuvent toutefois contenir d’autres informations personnelles. Les envies, kiffs et photos ne sont pas envoyés. Les questions et réponses ne sont pas dupliquées dans la table d’analyse ; la phrase produite est chiffrée au repos et conservée avec la veillée. Le traitement des anciennes veillées utilise seulement l’historique qui les précédait. Les observations portent sur les choix et prédictions du jeu et n’évaluent pas la relation.

3Photos et localisation

Si l'utilisateur ajoute des photos, L'Îlot conserve l'original, une version d'affichage et une vignette dans un stockage privé hors du répertoire Web public. L'accès passe par une vérification de session et d'appartenance à l'îlot.

Lorsqu'une photo contient des coordonnées GPS EXIF, L'Îlot peut les conserver afin d'afficher les souvenirs sur une carte. Les coordonnées exactes sont chiffrées dans la base. Pour obtenir un nom de lieu, le serveur peut transmettre les coordonnées à Nominatim / OpenStreetMap. L'affichage de la carte charge également des tuiles OpenStreetMap, ce qui transmet au service cartographique les informations techniques habituelles d'une requête Web, notamment l'adresse IP.

Pendant l’inscription, une langue est d’abord proposée d’après le pays éventuellement fourni par l’infrastructure d’hébergement ou, à défaut, d’après la langue de l’appareil. Si l’utilisateur choisit d’affiner cette proposition avec sa position, les coordonnées sont transmises une seule fois par le serveur à Nominatim / OpenStreetMap afin d’obtenir le code du pays. Elles ne sont pas enregistrées par L’Îlot et le joueur peut toujours choisir une autre langue.

4Notifications et e-mails

Les notifications Push sont facultatives. Si elles sont activées, L'Îlot conserve les informations techniques d'abonnement fournies par le navigateur et utilise le service Push associé au navigateur ou au système.

Le bouton « Envoyer un coup de conque » utilise un indicateur technique de présence récente afin d'afficher une fenêtre uniquement si le binôme utilise déjà l'application. Cet indicateur contient seulement le compte, l'îlot et l'heure du dernier signal actif ; il est supprimé après au plus 24 heures. La notification système ne contient aucune question ni réponse.

Les e-mails de vérification, récupération et notifications activées par l'utilisateur sont envoyés via un compte Gmail dédié. L'adresse du destinataire et le contenu du message transitent donc par l'infrastructure de messagerie de Google. Les e-mails de jeu ne contiennent pas les réponses privées de l'utilisateur.

5Sauvegarde cloud facultative

Un utilisateur peut choisir de sauvegarder ses photos vers son propre espace WebDAV ou Nextcloud. Dans ce cas, l'adresse du serveur, l'identifiant et la configuration nécessaire sont enregistrés. Le secret WebDAV est chiffré au repos. Les données transférées sont envoyées vers le fournisseur choisi par l'utilisateur.

6Achats et abonnements

Les formules, abonnements et packs sont achetés dans l'application Android L'Îlot, par Google Play. Le paiement est entièrement traité par Google : L'Îlot ne reçoit et ne conserve ni numéro de carte, ni moyen de paiement, ni adresse de facturation, ni adresse e-mail du compte Google.

Pour attribuer les droits achetés à l'îlot, le serveur vérifie chaque achat auprès de Google Play et conserve, pour chaque achat : le produit, son état (acheté, actif, résilié, remboursé, expiré…), les dates d'achat et d'échéance, l'îlot concerné, la personne qui a acheté et un identifiant d'achat fourni par Google Play (le « jeton d'achat »), chiffré au repos, nécessaire pour interroger Google lors d'un renouvellement ou d'un remboursement. Google Play transmet aussi au serveur des notifications techniques (renouvellement, résiliation, remboursement) qui ne contiennent pas de donnée personnelle.

Les droits achetés appartiennent à l'îlot : ils profitent aux deux membres. Un abonnement se gère et se résilie dans Google Play ; supprimer son compte L'Îlot ne le résilie pas.

Lorsqu'un compte est supprimé, l'enregistrement d'achat est dissocié de la personne. Il peut rester dans l'historique de l'îlot du binôme et, s'il ne reste plus aucun membre, être conservé sans lien avec un îlot ni une personne, afin que les droits encore valables puissent être honorés et que l'acheteur puisse les retrouver avec « Restaurer mes achats ». Vous pouvez demander l'effacement de cet enregistrement à mes.ilots@gmail.com ; les obligations liées au paiement lui-même restent régies par Google Play.

7Données techniques de sécurité

L'Îlot utilise des données techniques nécessaires à la sécurité et au fonctionnement : session, limitation des tentatives de connexion, état des notifications et journaux techniques minimaux. La limitation des tentatives ne conserve pas l'adresse IP brute : elle utilise une empreinte du contexte technique.

Pendant un débat, l'utilisateur peut lancer ou accepter un appel audio. Le micro n'est activé qu'après cette action explicite. Le son est transmis directement entre les deux appareils au moyen de WebRTC : L'Îlot ne l'enregistre pas, ne le transcrit pas et ne le conserve pas. Le serveur garde temporairement, sous forme chiffrée, les informations techniques nécessaires à la mise en relation, puis les efface lorsque l'appel se termine. Le service STUN de Google peut recevoir les informations réseau usuelles, notamment l'adresse IP, uniquement pour permettre aux deux appareils d'établir la connexion.

8Administration et partage des données

Pour exploiter le service, assister les utilisateurs et vérifier que les fonctions principales sont correctement configurées, le compte administrateur peut consulter des métadonnées limitées : pseudos, noms d'îlots et de traversées, état du binôme, dates et paramètres généraux d'une traversée, ainsi que des compteurs d'usage (par exemple nombre de veillées, photos ou questions personnelles). Le tableau d'administration n'affiche pas le contenu des réponses, prédictions, kiffs, envies, questions personnelles, récompenses à deux ni le détail des veillées des autres îlots.

La personne qui exploite le serveur dispose cependant d'un accès technique privilégié à son système et à ses sauvegardes. Elle pourrait donc accéder aux fichiers photo, qui ne sont pas chiffrés individuellement, ainsi qu'aux métadonnées non chiffrées. Elle contrôle également la clé dont l'application a besoin pour déchiffrer les contenus sensibles autorisés. Le chiffrement au repos protège notamment une copie isolée de la base si la clé est conservée séparément ; il ne constitue pas un chiffrement de bout en bout contre l'exploitant du serveur. Les mots de passe font exception : ils sont hachés de manière non réversible et ne peuvent pas être relus, même par l'exploitant, qui peut seulement les réinitialiser.

L'Îlot ne vend pas les données personnelles et ne les utilise pas pour de la publicité ciblée. Des données sont transmises uniquement lorsque cela est nécessaire au service ou choisi par l'utilisateur : Gmail pour les e-mails, les fournisseurs de Web Push, OpenStreetMap/Nominatim pour la carte et la géolocalisation, Google Play pour les achats et la vérification des achats, et le fournisseur WebDAV/Nextcloud choisi pour une sauvegarde facultative. Un partage vers WhatsApp ou une autre application n'a lieu que lorsque l'utilisateur déclenche lui-même cette action.

9Conservation et suppression

Les données principales sont conservées tant que le compte existe ou aussi longtemps qu'elles sont nécessaires au fonctionnement de l'îlot partagé. Les codes temporaires de vérification expirent automatiquement. Lorsqu'un compte est supprimé, les données personnelles directement rattachées à ce compte sont supprimées ou anonymisées ; certains éléments strictement partagés peuvent rester dans l'historique du partenaire sans conserver les contenus personnels supprimés. Les enregistrements d'achat suivent la règle décrite à la section 6.

La suppression peut être demandée directement depuis le profil ou depuis la page publique Supprimer mon compte.

10Sécurité

Le service est accessible en HTTPS. Les mots de passe sont hachés, les secrets cloud et les contenus intimes sont chiffrés au repos, les photos sont stockées hors du Webroot et les actions sensibles utilisent des protections de session et anti-CSRF. Aucune mesure technique ne supprime totalement le risque ; les protections sont régulièrement revues.

11Vos choix et demandes

Le profil permet de modifier les informations de compte, la langue de l’application, l'e-mail de récupération, le genre et les préférences de notification. Pour toute question relative à la confidentialité ou à l'exercice des droits applicables, écrivez à mes.ilots@gmail.com.