Politique de confidentialité

Préambule

Cette politique explique comment BlueDungeonCraft (« nous », l’éditeur du site et de l’application Roll in One) traite les données personnelles des personnes qui utilisent ses services. Pour toute question, écrivez à [email protected].

Responsable de traitement. Celui qui décide de ces traitements et en répond est MONSIEUR AUDREN JEREZ, joignable à [email protected]. Son identité complète — statut, SIRET, adresse — figure sur la page « Mentions légales », accessible depuis le pied de page.

1. Données collectées

Nous ne collectons que ce dont le service a besoin pour fonctionner :

• Compte et identité. Si vous vous connectez avec Google : votre adresse e-mail, votre nom d’affichage et votre identifiant Google. Si vous vous connectez par lien envoyé par e-mail : votre adresse e-mail seule.
• Profil, facultatif. Un pseudonyme et une image de profil, si vous choisissez d’en déposer.
• Achats et droits. Les contenus que vous possédez, vos commandes et leur date, ainsi que les éléments comptables de chaque commande : montant, devise, taxe retenue et pays de facturation (le détail figure en section 3).
• Adresse IP. Conservée de façon transitoire, à seule fin de limiter les abus (limitation du nombre de requêtes).
• Appareil, à l’activation d’une clé de licence. Un identifiant d’appareil haché — une empreinte à sens unique, dont on ne peut pas remonter à l’appareil — et, si l’application en transmet un, le nom qu’elle donne à cette machine. Ils servent à rattacher la clé à l’appareil qui l’a activée et à limiter le partage non autorisé ; ils ne servent à rien d’autre, et ne permettent pas de vous reconnaître ailleurs.
• Mesure d’audience. À chaque page vue : l’adresse de la page et son titre, la page d’où vous venez, la langue de votre navigateur et la taille de votre écran ; votre pays en est déduit à partir de votre adresse IP. S’y ajoutent quelques gestes mesurés — un clic sur un bouton de téléchargement, une inscription à la liste d’attente, l’impression d’une carte ou d’une planche, un filtre appliqué dans un index — et, pour les recherches dans les index, le mot cherché lui-même, mis en minuscules et tronqué à soixante signes. Rien de tout cela n’est rapproché de votre compte (voir la section 6).
• Cookies de connexion. Deux, tous deux strictement nécessaires : un cookie de passage pendant le trajet vers votre fournisseur d’identité, et celui de votre session ensuite (voir la section 6).

Aucun traceur publicitaire n’est déposé, aucun profilage n’est réalisé, et vos données ne sont ni vendues ni louées.

2. Finalités et bases légales

Ces données servent à :

• vous authentifier et maintenir votre session ;
• vous donner accès, sur tous vos appareils, aux contenus que vous possédez ;
• vous envoyer les e-mails nécessaires au service (lien de connexion, confirmation qu’un pack est disponible sur votre compte) ;
• assurer la sécurité du service et prévenir les abus ;
• permettre le paiement de vos achats et le rattachement du pack à votre compte.

Au sens du RGPD, les bases légales sont l’exécution du contrat (compte, accès aux contenus possédés, paiements), l’intérêt légitime (sécurité et prévention des abus, mesure d’audience agrégée, rattachement d’une clé de licence à l’appareil qui l’active) et le consentement (lettre d’information, si vous vous y êtes inscrit).

3. Prestataires

Certaines données sont traitées par des tiers. La plupart le font pour notre compte, et pour les seules finalités ci-dessus. Stripe fait exception, pour une raison expliquée juste après cette liste :

• Google — connexion à votre compte, si vous choisissez cette méthode.
• Cloudflare — hébergement du site, base de données et stockage des fichiers.
• Vercel — hébergement de l’instance de mesure d’audience que nous exploitons nous-mêmes (voir la section 6).
• Resend — envoi de nos e-mails de service : le lien de connexion, et la confirmation qu’un pack est disponible sur votre compte. Pas le reçu d’achat, qui vient de Stripe.
• Stripe — paiement et facturation des achats, en qualité de vendeur officiel (« merchant of record ») : voir le paragraphe qui suit la liste. Nous ne recevons ni ne conservons jamais de numéro de carte bancaire : ces données vont directement à Stripe et ne transitent pas par nos serveurs.
• MailerLite — envoi de la lettre d’information, uniquement si vous vous y êtes inscrit.

Ces prestataires traitent les données selon leur propre politique de confidentialité, dans le cadre de leur contrat avec nous.

Le cas particulier de Stripe. La vente de nos packs payants est portée par Stripe en tant que vendeur officiel (« merchant of record ») : c’est lui qui vous vend le pack, encaisse le paiement et établit la facturation. Il ne se contente donc pas d’exécuter un paiement pour notre compte — il traite les données de paiement et de facturation pour son propre compte, et il en répond lui-même, selon sa propre politique de confidentialité. Cela couvre notamment vos coordonnées de paiement, l’adresse de facturation que vous lui donnez et les éléments dont il a besoin pour calculer les taxes applicables.

De notre côté, nous ne gardons de cet achat que ce qu’il faut pour vous en donner l’accès et tenir notre comptabilité : le fait qu’une commande a eu lieu, sa date, le pack concerné, le montant et la devise réglés, la taxe retenue par Stripe et son taux, le pays de facturation qu’il nous transmet, et les références du paiement chez lui. En cas de remboursement, nous en gardons de même le montant, la date, le motif et l’état.

Nous n’avons ni votre numéro de carte, ni votre adresse de facturation complète : de cette adresse, Stripe ne nous transmet que le pays, parce que c’est lui qui détermine la taxe applicable.

Transferts hors de l’Union européenne. Une partie de ces prestataires — Google, Cloudflare, Stripe, Resend et Vercel — sont établis aux États-Unis, et les données qui leur sont confiées y sont donc transférées. Ces transferts s’appuient sur le cadre de protection des données UE–États-Unis (« EU-US Data Privacy Framework »), auquel ces sociétés sont certifiées, complété par les clauses contractuelles types de la Commission européenne que prévoient leurs contrats de sous-traitance.

MailerLite, lui, est établi dans l’Union européenne, en Lituanie : la lettre d’information ne quitte pas l’Union.

4. Conservation

Les données de votre compte sont conservées tant que ce compte existe.

La suppression d’un compte prend la forme d’une anonymisation : les données personnelles (adresses e-mail, nom, pseudonyme, image de profil, identifiants externes, adresse d’envoi d’une clé d’activation rattachée à votre compte) sont effacées et la connexion est définitivement désactivée. Les commandes, elles, sont conservées pour satisfaire aux obligations comptables et fiscales — le paragraphe suivant dit précisément sous quelle forme, et ce qui subsiste.

Ce que la fermeture n’efface pas, et pourquoi. Vos commandes restent : le fait qu’un paiement a eu lieu, sa date, son montant, la taxe retenue, le pays de facturation et les références du paiement chez Stripe. Le droit à l’effacement ne couvre pas ces pièces-là — une obligation comptable et fiscale impose de les garder dix ans. De notre côté, elles ne sont plus rattachées à un compte qui désigne quelqu’un ; mais il faut être exact : une référence de paiement reste une poignée vers Stripe, qui connaît l’acheteur, lui. Dire ces commandes « anonymes » sans réserve serait donc inexact. Elles passent en archivage intermédiaire : elles ne servent plus au fonctionnement du service, et leur accès est restreint à ce qui l’exige — la comptabilité, un contrôle, une réclamation.

La lettre d’information ne se ferme pas avec le compte. Les deux sont tenus séparément : l’inscription à l’annonce de sortie ne connaît aucun compte, et fermer le vôtre ne vous en désinscrit donc pas. Le lien de désinscription au bas de chaque message est fait pour cela.

Un délai avant l’effacement définitif. Notre hébergeur garde des points de restauration de la base pendant une trentaine de jours, de quoi la remettre en état après une panne ou une fausse manœuvre. Pendant ce délai, ce qu’une fermeture de compte a effacé subsiste donc dans ces sauvegardes, avant d’en disparaître à son tour. Nous ne nous en servons pas pour rétablir un compte fermé : c’est un filet technique, pas une corbeille.

Les liens de connexion et les codes d’appairage expirent en quelques minutes. Les journaux techniques, qui peuvent contenir une adresse IP, sont conservés pour une durée limitée puis effacés.

5. Vos droits

Conformément au RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité de vos données et d’opposition au traitement.

Vous pouvez supprimer votre compte vous-même depuis votre page de compte, à tout moment et sans avoir à le demander. Vous pouvez de même y exporter vos données : un fichier JSON, lisible par un programme comme par vous, qui répond à la fois au droit d’accès et à la portabilité. Pour exercer les autres droits, écrivez à [email protected].

Si une réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), l’autorité de contrôle française.

6. Cookies et mesure d’audience

Le site dépose deux cookies, et uniquement autour de la connexion. Le premier accompagne le trajet vers votre fournisseur d’identité et expire au bout de dix minutes ; le second est celui de votre session, posé une fois que vous êtes connecté. Tous deux sont strictement nécessaires au service que vous avez demandé : aucun consentement n’est requis pour ce type de cookie, et aucune bannière ne vous est donc présentée. Tant que vous ne vous connectez pas, le site ne dépose aucun cookie.

Les pages publiques mesurent leur audience, et il faut le dire précisément plutôt que de s’abriter derrière « aucun traceur tiers ». L’outil s’appelle Umami ; nous l’hébergeons nous-mêmes plutôt que de confier cette mesure à une régie publicitaire. Il ne dépose aucun cookie, ne vous suit pas d’un site à l’autre, et la mesure est limitée à notre seul domaine.

Il faut distinguer deux choses. L’instance reçoit une ligne par page vue — c’est ce qu’est une mesure d’audience, et prétendre le contraire serait se vanter d’une discrétion qu’on n’a pas. Ce que nous en lisons, en revanche, ce sont des totaux : nombre de pages vues, pages les plus consultées, provenances, pays, et le décompte de chaque geste mesuré, sur quelques dizaines de lignes par période. Nous n’ouvrons jamais le détail visiteur par visiteur, et rien n’y est rapproché de votre compte.

Aucun consentement n’est requis pour une mesure de cette nature, et aucune bannière ne vous est donc présentée. Les pages d’administration, elles, ne sont pas mesurées du tout.

7. Sécurité

Aucun mot de passe n’existe sur ce service. La connexion se fait par Google ou par un lien envoyé à votre adresse e-mail, à usage unique et de courte durée. Les sessions enregistrées par l’application de bureau sont chiffrées au repos sur votre poste.

Ce choix a une conséquence qu’il faut connaître : qui accède à votre boîte de réception accède à votre compte. Protégez votre messagerie au moins autant que ce compte.

8. Enfants

Ce service n’est pas destiné aux personnes de moins de 15 ans, et nous ne collectons pas sciemment leurs données. Si vous constatez qu’un compte a été créé par un enfant, écrivez-nous : il sera supprimé.

9. Modifications

Cette politique peut évoluer. La date indiquée en tête de page est celle de la dernière version, et tout changement substantiel vous sera signalé par les moyens habituels du service.

10. Contact

Pour toute question relative à cette politique ou à vos données personnelles : [email protected].