Politique de confidentialité de Stupid Fun Games
Date d'entrée en vigueur et de dernière mise à jour :
Version courte : tu peux jouer à tous les jeux sans compte, et dans ce cas on ne collecte rien sur toi, à part de courts journaux techniques. Si tu te connectes, on garde seulement ce dont les classements, les séries, les badges et les amis ont besoin, on ne le vend jamais, et tu peux tout supprimer toi-même avec un gros bouton rouge. La version longue est juste en dessous. On a essayé de la rendre lisible.
Qui sommes-nous (les coupables)
Stupid Fun Games est un site web gratuit de petits jeux pour navigateur, à l'adresse https://stupid-fun-games.com (« Stupid Fun Games », « nous », « on »). C'est nous qui décidons quelles données personnelles sont collectées et pourquoi : nous en sommes donc responsables (le « responsable du traitement », en termes juridiques).
Pour toute question, demande ou réclamation sur la vie privée, écris à privacy@stupid-fun-games.com. Nous répondons dans un délai d'un mois, en général bien plus vite.
Cette politique couvre tout le site web, dans toutes ses langues, ainsi que sa connexion facultative.
Juste jouer : on ne sait rien, et ça nous va très bien
Tu peux jouer à tous les jeux sans compte. Dans ce cas, on ne collecte aucune donnée personnelle (à part les courts journaux techniques décrits plus bas, quand une page demande quelque chose à notre serveur) : pas de pub, pas de mesure d'audience, pas de pixels de suivi, pas de scripts tiers, et nous ne déposons aucun cookie.
Ton navigateur garde quelques informations sur ton propre appareil, dans son stockage local ; elles y restent, sauf si tu te connectes pour enregistrer un score :
- ton meilleur score dans chaque jeu ;
- la langue que tu as choisie ;
- de petits pense-bêtes pendant que tu utilises le site, par exemple une partie terminée qui attend d'être enregistrée si tu te connectes, ou le fait que tu nous as demandé d'arrêter de te le proposer. La plupart sont effacés quand tu fermes l'onglet, et tu peux tous les supprimer dans les réglages de ton navigateur.
Comme tout site web, le nôtre est servi par un hébergeur, Cloudflare. Pour livrer les pages et protéger le site contre les attaques, le réseau de Cloudflare traite les détails techniques de chaque requête, comme ton adresse IP et le type de ton navigateur. Nous ne recevons pas de journaux des pages vues : seulement des statistiques de trafic agrégées (par exemple, les visites par pays), qui ne permettent d'identifier personne, et une trace de chaque requête que Cloudflare bloque comme une attaque. Afficher un classement ou ouvrir la fenêtre de connexion demande quelque chose à notre serveur (les scores, ou la liste des façons de se connecter) : cette requête apparaît donc dans les courts journaux techniques décrits dans la section suivante.
Se connecter : ce que Google, GitHub ou Discord nous disent
La connexion est facultative et n'existe que pour les classements, les séries, les badges et les amis. Tu te connectes avec Google, GitHub ou Discord, donc nous ne voyons ni ne stockons jamais de mot de passe.
À Google, nous demandons uniquement les autorisations (scopes) de connexion de base openid, email et profile. À GitHub, nous demandons read:user et user:email, et à Discord identify et email, qui sont les mêmes autorisations de base. De tout cela, nous gardons exactement les données suivantes, et chacune ne sert qu'à ce qui est décrit :
- Ton identifiant de compte chez le fournisseur (un numéro opaque, comme le « sub » de Google) : pour te reconnaître à ta prochaine connexion.
- Ton adresse e-mail, et le fait que le fournisseur l'a vérifiée ou non : pour distinguer les comptes, pour ouvrir le même compte quand tu te connectes avec un autre fournisseur qui confirme la même adresse vérifiée, et pour que les amis qui connaissent ton adresse puissent t'envoyer une demande d'ami. Nous ne t'envoyons jamais d'e-mail. Une adresse que le fournisseur n'a pas vérifiée est jetée, pas stockée.
- Ton nom (ou ton nom d'utilisateur, si le fournisseur n'a pas de nom) : visible par toi seul, sur ta page de profil. Nous ne l'utilisons pour rien d'autre.
- Le lien vers ta photo de profil : pour qu'elle puisse être ton avatar. Une photo Google t'est proposée comme avatar quand tu choisis ton pseudo (tu peux choisir un de nos dessins absurdes à la place, à ce moment-là ou plus tard) ; une photo GitHub ou Discord n'est utilisée que si tu la choisis toi-même. Nous ne copions pas l'image ; les navigateurs la chargent directement chez le fournisseur.
- La liste des autorisations que tu as accordées (celles ci-dessus), dans le cadre de l'enregistrement de la connexion.
La réponse du fournisseur peut contenir d'autres informations de profil de base (comme ta bio GitHub, ou ta bannière et ta langue Discord). Nous ne les gardons pas. Le fournisseur nous remet aussi des jetons d'accès ; nous les jetons immédiatement, donc nous ne pouvons jamais agir sur ton compte Google, GitHub ou Discord, et nous ne lisons jamais tes contacts, fichiers, e-mails ni quoi que ce soit d'autre là-bas.
Quand ton navigateur parle à notre serveur (pour te connecter, enregistrer un score, charger un classement ou tes amis), Cloudflare garde un court journal technique de la requête : l'adresse demandée (qui peut contenir un pseudo), l'heure, si ça a marché, les en-têtes qu'envoie ton navigateur, comme le type de navigateur et la langue (les cookies sont masqués), les messages d'erreur écrits par notre code, et des informations ajoutées par Cloudflare, comme la localisation approximative et des informations réseau, qui peuvent inclure ton adresse IP. Nous utilisons ces journaux uniquement pour corriger des bugs et bloquer les abus, et ils sont supprimés sous 7 jours au plus. Pour freiner les abus, nous comptons aussi les requêtes par compte et, pour la connexion, par adresse IP : l'IP sert seulement de clé au compteur pendant une minute et nous ne la stockons jamais.
Ce que nous gardons quand tu joues connecté
Une fois connecté, nous stockons aussi ce dont les jeux et les fonctionnalités ont besoin :
- ton pseudo (choisi par toi) et ton avatar (un de nos dessins absurdes, ou ta photo du fournisseur si tu la choisis) ;
- ton meilleur score dans chaque jeu, et quand tu l'as fait, dans les classements du jour, de la semaine et de tous les temps ;
- tes statistiques : combien de parties tu as terminées, ta série quotidienne actuelle et ta meilleure, et le dernier jour où tu as joué ;
- tes badges, et quand tu les as gagnés ;
- tes amis, depuis quand, et les demandes d'ami que tu as envoyées ou reçues. Si tu ajoutes quelqu'un par adresse e-mail, nous ne stockons pas l'adresse : seulement une empreinte brouillée (un hachage à clé), pour la reconnaître si son propriétaire se connecte, et une étiquette masquée du genre j***@g***.com que toi seul vois ;
- le moment où tu as été actif pour la dernière fois (mis à jour toutes les quelques minutes quand le site est ouvert et que tu l'utilises), pour que tes amis voient si tu es en ligne ;
- tes sessions de connexion : un jeton aléatoire, quand elle a commencé et quand elle expire. Nous ne stockons ni ton adresse IP, ni le navigateur ou l'appareil que tu utilises avec ton compte.
Comment nous l'utilisons (et comment nous ne l'utilisons pas)
Nous utilisons les données ci-dessus uniquement pour faire fonctionner le site pour toi : te connecter et te garder connecté, afficher tes scores dans les classements, tenir ta série, attribuer les badges, faire marcher les amis et le statut en ligne, protéger le site (limites de requêtes, lutte contre les abus) et répondre à tes messages.
Nous ne vendons, ne louons ni n'échangeons de données personnelles. Nous ne les utilisons pas pour la publicité, le profilage ou le marketing, nous n'envoyons pas de newsletter (ni aucun e-mail), et nous ne les utilisons pas pour entraîner des modèles d'IA. Il n'y a pas de publicité sur le site aujourd'hui ; si ça change un jour, nous mettrons d'abord cette politique à jour, et les données de ton fournisseur de connexion ne serviront jamais à la publicité.
Si tu te trouves dans l'Espace économique européen, au Royaume-Uni ou dans un pays aux lois similaires : nous traitons les données du compte parce que tu as demandé les fonctionnalités du compte (exécution de notre accord avec toi), et un minimum de données techniques et de sécurité au titre de notre intérêt légitime à faire fonctionner le site et à le protéger.
Données utilisateur Google (le passage sérieux)
L'utilisation et le transfert par Stupid Fun Games des informations reçues des API Google respecteront la Google API Services User Data Policy, y compris les exigences d'utilisation limitée (Limited Use).
En clair : de Google, nous recevons seulement ton identifiant de compte Google, ton adresse e-mail (et si elle est vérifiée), ton nom et le lien de ta photo de profil, grâce aux autorisations openid, email et profile. Nous les utilisons uniquement pour te connecter et te fournir les fonctionnalités décrites sur cette page ; tant que ta photo Google est ton avatar (on te la propose par défaut, et tu peux en changer à tout moment), tout le monde peut la voir à côté de ton pseudo, par exemple dans les classements publics et les listes d'amis. À part ça, nous ne les transférons à personne, sauf à notre hébergeur Cloudflare, qui les stocke pour nous, ou quand la loi l'exige. Nous ne les utilisons pas pour la publicité, nous ne les vendons pas et nous ne les utilisons pas pour entraîner des modèles d'IA. Personne ne les lit, sauf si tu nous le demandes (par exemple pour traiter une de tes demandes), pour des raisons de sécurité comme une enquête sur un abus, ou quand la loi l'exige.
Qui voit quoi
- Tout le monde, même sans compte : ton pseudo, ton avatar, et tes scores et places dans les classements.
- Les joueurs avec qui tu échanges des demandes d'ami : ton pseudo et ton avatar.
- Tes amis : en plus, ta série, combien de parties tu as jouées, tes badges, tes places dans les classements, depuis quand vous êtes amis, et si tu es en ligne (ou quand on t'a vu pour la dernière fois).
- Toi seul : ton adresse e-mail, ton nom, ton compte chez le fournisseur et les étiquettes masquées des demandes par e-mail que tu as envoyées. Ils ne sont jamais montrés à personne d'autre.
Attention : un lien de photo GitHub ou Discord contient ton numéro de compte sur ce service, donc si tu la choisis comme avatar, d'autres pourraient retrouver ton profil là-bas. C'est pour ça que nous ne la choisissons jamais à ta place. Les liens de photo Google, eux, ne trahissent pas ton compte.
Qui nous aide à faire tourner la boutique
Nous ne partageons de données personnelles avec personne, sauf avec ces prestataires, chacun uniquement pour ce qui est décrit ici :
- Cloudflare, Inc. héberge le site web et le code de notre serveur (Cloudflare Workers) et stocke la base de données (Cloudflare D1), pour notre compte et selon ses conditions de traitement des données.
- Google, GitHub et Discord confirment ton identité, seulement si tu choisis de te connecter avec eux, et nous envoient les données listées plus haut. Leurs propres politiques de confidentialité couvrent ce qu'ils font.
- Google Workspace reçoit et conserve les e-mails que tu envoies à notre adresse dédiée à la vie privée.
Quand un joueur utilise sa photo du fournisseur comme avatar, ton navigateur la charge directement chez Google, GitHub ou Discord, qui peuvent voir ton adresse IP, comme pour n'importe quelle image sur le web.
Nous pouvons aussi communiquer des données si la loi l'exige, par exemple pour répondre à une décision de justice valable.
Où voyagent tes données
Cloudflare exploite un réseau mondial, donc tes données peuvent être traitées dans d'autres pays que le tien, y compris aux États-Unis, où les lois sur la protection des données peuvent être différentes. Notre base de données est configurée en Europe de l'Ouest. Quand la loi l'exige, ces transferts sont encadrés par les conditions de traitement des données de Cloudflare, qui incluent les clauses contractuelles types de la Commission européenne.
Combien de temps nous gardons les choses
- Ton compte et tout ce qui y est rattaché : jusqu'à ce que tu le supprimes.
- Classements : ceux du jour sont supprimés environ une semaine après la fin du jour, ceux de la semaine environ 5 semaines après la fin de la semaine ; les scores de tous les temps restent jusqu'à ce que tu supprimes ton compte.
- Sessions de connexion : elles expirent 30 jours après leur dernier renouvellement (au plus une fois par jour pendant que tu utilises le site), ou tout de suite quand tu te déconnectes. Une session expirée est retirée la prochaine fois qu'elle est vérifiée, et dans tous les cas avec ton compte.
- Demandes d'ami : une demande sans réponse n'est plus affichée après 30 jours. L'enregistrement reste jusqu'à la suppression du compte de l'expéditeur ou du destinataire (pour une demande envoyée à une adresse e-mail, jusqu'à la suppression du compte de l'expéditeur).
- Journaux techniques des requêtes (gardés par Cloudflare) : 7 jours au plus.
- Sauvegardes de la base de données (Time Travel de Cloudflare D1, un historique glissant utilisé uniquement pour se remettre d'une catastrophe) : jusqu'à 30 jours.
- Les e-mails que tu nous envoies : le temps nécessaire pour traiter ta demande et garder une trace de ce que nous avons fait.
Tout faire disparaître
Supprime ton compte toi-même, quand tu veux : dans Profil → Zone de danger, il y a un gros bouton rouge. C'est immédiat et irréversible. D'un seul coup, il supprime ton compte et tout ce qui y est rattaché : pseudo, avatar, nom, e-mail, le lien avec ton compte chez le fournisseur, tes scores dans tous les classements, statistiques et série, badges, amitiés (des deux côtés), les demandes d'ami que tu as envoyées et celles reçues par pseudo, ton heure de dernière activité et toutes tes sessions. Mamie sera triste, mais elle s'en remettra.
Tu ne peux plus te connecter (par exemple, tu as perdu ton compte Google, GitHub ou Discord) ? Écris à privacy@stupid-fun-games.com depuis l'adresse e-mail de ton compte et nous le supprimerons à la main.
Emmène-moi à la Zone de dangerLes restes (et combien de temps ils traînent)
- Classements : on efface tout de suite la copie en cache la plus proche de toi, mais une autre, ailleurs dans le monde, peut afficher ton pseudo encore une minute environ, le temps qu'elle expire.
- Autres appareils : un appareil où tu es encore connecté peut avoir l'air connecté jusqu'à 5 minutes de plus. Rien de ce qu'il fait n'est enregistré.
- Sauvegardes : notre base de données garde un historique glissant de 30 jours au plus (Time Travel de Cloudflare D1), juste pour la sauver si un jour elle prend feu. Tes données en sortent au plus tard 30 jours après ton départ.
- Journaux : Cloudflare garde de courts journaux techniques des requêtes envoyées à notre serveur (ce qui a été demandé, quand, si ça a marché, les en-têtes de ton navigateur comme son type et sa langue, cookies masqués, et les messages d'erreur écrits par notre code) pendant 7 jours au plus. Un pseudo peut y apparaître quand il fait partie de l'adresse.
- Les demandes d'ami que quelqu'un a envoyées à ton adresse e-mail : c'est sa boîte d'envoi, pas ton compte, donc on n'y touche pas et personne ne peut savoir que tu es parti. Tes réponses, elles, sont effacées. Chacune reste affichée dans la liste de son expéditeur jusqu'à ce qu'il l'annule ou 30 jours après son dernier envoi, et reste dans sa boîte d'envoi (une empreinte brouillée de l'adresse et une étiquette masquée du genre j***@g***.com, jamais l'adresse elle-même) jusqu'à ce qu'il supprime son propre compte.
Tes droits
Où que tu vives, tu peux nous demander :
- une copie des données personnelles que nous avons sur toi (la plupart sont déjà sur ta page de profil), dans un format courant et lisible par machine si tu préfères ;
- de les corriger (tu peux changer toi-même ton pseudo et ton avatar) ;
- de les supprimer (toi-même, dans la Zone de danger, ou en nous le demandant) ;
- de limiter leur utilisation, ou t'opposer à une utilisation ;
- de tout arrêter : supprime ton compte, et tu peux aussi nous retirer l'accès dans les réglages de ton compte Google, GitHub ou Discord.
Pour exercer l'un de ces droits, écris à privacy@stupid-fun-games.com depuis l'adresse e-mail de ton compte, pour que nous sachions que c'est bien toi. C'est gratuit, et nous répondons dans un délai d'un mois. Si tu te trouves dans l'Espace économique européen ou au Royaume-Uni, tu peux aussi déposer une réclamation auprès de ton autorité de protection des données (en France, la CNIL). Les résidents de Californie ont les droits du CCPA, et ceux du Brésil ceux de la LGPD ; nous ne vendons ni ne partageons d'informations personnelles au sens de ces lois.
La sécurité
Tout passe par HTTPS. Les cookies de connexion sont Secure, HttpOnly (les scripts ne peuvent pas les lire) et SameSite. Nous ne gardons ni mots de passe ni jetons des fournisseurs, les adresses e-mail utilisées pour les demandes d'ami ne sont stockées que sous forme de hachages à clé, la base de données n'est pas accessible depuis Internet (seulement via le code de notre serveur), et seul le propriétaire du site a accès à notre compte Cloudflare. Aucun système n'est parfaitement sûr, mais si une fuite touche un jour tes données, nous te préviendrons, ainsi que les autorités, comme la loi l'exige.
Les enfants
Tout le monde peut jouer sans compte, puisque ça ne collecte rien d'autre que de courts journaux techniques. En revanche, les comptes ne sont pas destinés aux enfants de moins de 13 ans (ou de moins de l'âge du consentement numérique de leur pays, qui va jusqu'à 16 ans dans certaines parties de l'Europe, 15 ans en France), et nous ne collectons pas sciemment leurs données personnelles. Si tu penses qu'un enfant a créé un compte, écris à privacy@stupid-fun-games.com et nous le supprimerons.
Modifications de cette politique
Si nous modifions cette politique, nous mettrons à jour la date en haut de cette page. Si un changement est important (par exemple, un nouveau type de données ou une nouvelle utilisation), nous l'annoncerons sur le site avant qu'il prenne effet.
Contact
Questions, demandes, réclamations ou une bonne blague sur les chaussettes : nous lisons tout, et nous répondons dans un délai d'un mois.
Écris à privacy@stupid-fun-games.com