La présente politique décrit la manière dont Kreomnis traite les données à caractère personnel des utilisateurs du jeu Kreomnis Sumo, conformément au Règlement général sur la protection des données (RGPD, UE 2016/679) et à la loi « Informatique et Libertés ».

En résumé : Kreomnis Sumo se joue sans compte. Le jeu fonctionne principalement avec du stockage local de votre navigateur. Le classement classé (Elo) et la progression conservent des données minimales côté serveur (identifiant anonyme, pseudo, points) dans une base Neon, Inc. hébergée en Union européenne.

Une connexion avec un compte Kreomnis est proposée en option : elle sert uniquement à retrouver votre progression sur un autre appareil. Elle reste facultative, et le jeu ne voit jamais votre mot de passe ni votre clé d'accès (l'authentification se fait sur Kreomnis Auth (service opéré par Kreomnis), via le protocole OpenID Connect).

Responsable du traitement

Le responsable du traitement est Guillaume Denneulin, Dirigeant de Kreomnis.
Contact : Thibaut@kreomnis.com.

Aucun délégué à la protection des données (DPO) n'a été désigné : cette désignation n'est pas obligatoire au sens de l'article 37 du RGPD pour notre activité (pas de suivi à grande échelle ni de traitement de données sensibles à grande échelle). Pour toute question relative à vos données, le responsable du traitement répond directement à Thibaut@kreomnis.com.

Données collectées et finalités

Nous appliquons strictement le principe de minimisation : seules les données nécessaires au bon fonctionnement du jeu et à la fonctionnalité de classement sont collectées.

1. Données stockées localement dans votre navigateur (localStorage)

Données : identifiant joueur anonyme généré automatiquement (UUID), pseudonyme que vous choisissez, dernier code de salon rejoint, rikishi sélectionné, rikishi achetés, monnaie virtuelle (Kreomnis), historique de vos parties, préférences (mode classé ou casual, nombre de joueurs, format équipes), score Elo en cache.
Finalité : faire fonctionner le jeu (votre identité persistante entre parties, retrouver vos achats et votre progression, afficher votre historique).
Base légale : intérêt légitime. Ces données sont strictement nécessaires au service et ne sont jamais envoyées à un serveur tiers à votre insu.
Durée : conservées dans votre navigateur tant que vous ne les supprimez pas (vider le stockage local efface tout). Aucune sauvegarde côté serveur de ces données.

2. Données du classement classé et de progression (base Neon, Inc.)

Lorsque vous jouez une partie en mode classé (ranked), une copie minimale de votre profil est enregistrée dans notre base de données Neon, Inc. (Postgres, région Union européenne) pour faire fonctionner le classement Elo public. Si vous êtes connecté (voir le point 4), votre progression de jeu y est également sauvegardée.

Données : identifiant joueur anonyme (UUID), pseudonyme que vous avez choisi, total de points Elo, nombre de victoires et de défaites, date de dernière partie jouée. Et, si vous êtes connecté, votre monnaie virtuelle, vos rikishi débloqués et votre historique de parties (synchronisés depuis votre navigateur).
Finalité : calculer le classement Elo agrégé et l'afficher publiquement (top 20 sur la page d'accueil), et permettre de retrouver sa progression d'un appareil à l'autre.
Base légale : intérêt légitime à fournir le classement aux joueurs qui choisissent le mode classé (le mode casual ne transmet rien au serveur). Pour la progression synchronisée, exécution du service que vous demandez en vous connectant.
Durée : 3 ans après la dernière partie classée jouée. Vous pouvez demander suppression immédiate (voir « Vos droits » ci-dessous).

3. Données techniques de connexion au serveur de jeu

Données : adresse IP (utilisée transitoirement pour acheminer les paquets WebSocket), informations techniques minimales (user-agent simplifié pour diagnostic).
Finalité : assurer la connexion temps réel au serveur de jeu, prévenir les abus (limitation du débit de requêtes).
Base légale : intérêt légitime (article 32 RGPD, sécurité et bon fonctionnement du service).
Durée : traitée en mémoire uniquement pendant la durée de la connexion WebSocket. Les journaux éventuels sont anonymisés et conservés au maximum 7 jours par notre sous-traitant.

4. Données de compte (connexion Kreomnis optionnelle)

Si, et seulement si, vous choisissez de vous connecter via le bouton « Se connecter avec Kreomnis », nous traitons un minimum d'informations issues de votre compte Kreomnis pour créer votre compte de jeu et le relier à votre progression.

Données : identifiant stable propre à ce jeu (claim « sub »), nom d'utilisateur et photo de profil, ainsi que l'identifiant de jeu (UUID) auquel votre compte est rattaché. Aucune adresse e-mail n'est transmise au jeu. Nous ne demandons aucune autre information. Votre photo de profil est une adresse que vous choisissez dans votre compte Kreomnis Auth : notre serveur en télécharge une copie à la connexion et l'affiche depuis notre propre domaine, si bien que ni votre navigateur ni celui des autres joueurs ne contactent le site qui l'héberge. La copie est remplacée quand vous changez d'image et supprimée avec votre compte. Nous ne voyons jamais votre mot de passe ni votre clé d'accès.
Finalité : vous authentifier, retrouver votre profil et votre progression sur n'importe quel appareil, maintenir votre session connectée.
Base légale : votre consentement (vous déclenchez vous-même la connexion) et l'exécution du service de synchronisation que vous demandez.
Durée : 3 ans après la dernière connexion au compte, avec suppression immédiate sur demande. Les sessions de connexion (cookie) expirent automatiquement après 30 jours, la durée de validité d'une session de connexion.
Cookies : la connexion utilise un cookie de session strictement nécessaire, et un cookie transitoire pendant le flux OAuth. Le détail est dans notre politique de stockage local et cookies.

5. Avis, suggestions et votes (espace communautaire)

Si vous êtes connecté, vous pouvez publier un avis, proposer une suggestion d'amélioration et voter pour les suggestions des autres joueurs. Ces contributions sont publiques : elles s'affichent sur la page d'accueil avec le pseudonyme associé à votre compte.

Données : le contenu que vous rédigez (texte de l'avis ou de la suggestion), le pseudonyme affiché (votre pseudo de jeu), la date de publication, et le décompte de vos votes. Le tout est rattaché à l'identifiant de votre compte.
Finalité : recueillir votre retour pour améliorer le jeu, et permettre à la communauté de hiérarchiser les suggestions par vote (la suggestion la plus votée est développée en priorité).
Base légale : votre consentement. Vous rédigez et publiez volontairement ces contenus, et vous restez libre de ne rien publier.
Caractère public : ne publiez aucune donnée personnelle ou sensible dans le texte, les avis étant visibles de tous. Les contenus sont nettoyés automatiquement (retrait du balisage et des caractères invisibles) avant affichage.
Durée : conservés tant que vous ne supprimez pas votre compte. La suppression de compte (voir « Vos droits ») efface immédiatement vos avis, vos suggestions et vos votes.

6. Avatar personnalisé (image dans le rikishi)

Si vous êtes connecté, vous pouvez téléverser une image affichée dans le cercle de votre rikishi. Cette image est publique : les autres joueurs la voient pendant les parties.

Données : l'image (réencodée par nos soins en PNG, sans métadonnée), rattachée à l'identifiant de votre compte, et un identifiant d'image public servant à l'affichage.
Finalité : personnalisation et reconnaissance rapide de votre personnage en jeu.
Base légale : votre consentement. Vous choisissez et publiez volontairement cette image, après acceptation des règles (pas de contenu illégal, pornographique, haineux ou harcelant).
Sécurité : aucune donnée du fichier d'origine n'est conservée. Seuls des pixels réencodés sont stockés, servis avec un type figé interdisant toute exécution.
Durée : conservée tant que vous ne la supprimez pas ou ne supprimez pas votre compte. Vous pouvez la retirer à tout moment depuis votre page de profil, et la suppression de compte l'efface aussi.

Destinataires des données

Vos données ne sont ni vendues ni cédées à des tiers à des fins commerciales. Elles peuvent être traitées techniquement par les sous-traitants suivants :

Vercel Inc. : hébergement de la partie publique du site (Next.js, ressources statiques).
ANCELADE SAS (Private Heberg) : hébergement du serveur de jeu temps réel.
Neon, Inc. : base de données Postgres (région Union européenne) stockant le classement classé, les comptes et la progression synchronisée.
Kreomnis Auth (service opéré par Kreomnis) : service d'authentification pour la connexion optionnelle « Se connecter avec Kreomnis » (OpenID Connect). Il est opéré par l'éditeur du jeu lui-même, ce n'est pas un sous-traitant tiers.

Transferts hors Union européenne

Notre hébergeur applicatif, Vercel, est une société ayant son siège aux États-Unis et opère un réseau mondial de centres de données. Le serveur de jeu, lui, est hébergé par ANCELADE SAS (Private Heberg), société établie en France. Lorsque vos données techniques transitent par des serveurs situés en dehors de l'Union européenne, ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, le cas échéant, par les mesures supplémentaires de chiffrement et de minimisation des données mises en œuvre par ces prestataires.

La connexion optionnelle « Se connecter avec Kreomnis » est assurée par Kreomnis Auth (service opéré par Kreomnis), un service opéré par l'éditeur du jeu : les données de compte associées (identifiant, nom d'utilisateur, photo) ne sont transmises à aucun tiers à ce titre.

Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

droit d'accès à vos données,
droit de rectification (notamment de votre pseudonyme),
droit à l'effacement (« droit à l'oubli »),
droit à la limitation du traitement,
droit d'opposition,
droit à la portabilité de vos données,
droit de définir des directives post-mortem.

Pour exercer ces droits sur les données stockées dans votre navigateur, videz simplement le stockage local de votre navigateur pour le domaine https://kreomnissumo.com. Tout est effacé immédiatement, sans intervention de notre part.

Pour exercer ces droits sur les données du classement classé (identifiant, pseudonyme et points Elo conservés côté serveur), contactez Thibaut@kreomnis.com en précisant votre identifiant joueur (visible dans la console de votre navigateur, clé kreomnis_uid). Nous répondons dans un délai d'un mois.

Pour les données de compte (connexion Kreomnis), tout est en libre-service depuis votre page de profil :

Portabilité : le bouton « Télécharger mes données » exporte l'ensemble de vos données au format JSON (article 20 RGPD).
Effacement : le bouton « Supprimer mon compte » efface définitivement et immédiatement votre compte, vos sessions, votre progression synchronisée, vos lignes de classement de toutes les saisons, votre historique de parties, votre inventaire, vos quêtes, les niveaux et configurations de vos blobs, vos avis, vos suggestions et les votes qu'ils ont reçus, vos votes, votre avatar personnalisé et la copie de votre photo de profil Kreomnis Auth. Seules les actions de modération qui vous ont visé (action, motif, date) sont conservées, sans votre pseudonyme ni votre identifiant de jeu, pour garder la trace de la modération. Un compte suspendu ne peut plus se connecter : écrivez alors à Thibaut@kreomnis.com, la suppression est faite par nos soins.
Opposition : vous pouvez simplement vous déconnecter à tout moment pour revenir au mode invité.

Vous pouvez aussi nous écrire à Thibaut@kreomnis.com en indiquant le nom d'utilisateur de votre compte Kreomnis si vous préférez.

Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés : www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données : HTTPS et WSS chiffrés de bout en bout, en-têtes de sécurité HTTP (CSP, HSTS), assainissement des entrées côté serveur, séparation stricte des données de jeu (un espace isolé par salon), absence de cookie tiers ou publicitaire. La connexion se fait via Kreomnis Auth (OpenID Connect), donc nous ne stockons aucun mot de passe. Les cookies de session sont HttpOnly, Secure et SameSite=Lax, et seul un condensé (hash) du jeton de session est conservé en base.

Pour signaler une vulnérabilité, voir /.well-known/security.txt.

Politique de confidentialité