La présente politique décrit la manière dont Kreomnis traite les données à caractère personnel des utilisateurs du jeu Kreomnis Sumo, conformément au Règlement général sur la protection des données (RGPD, UE 2016/679) et à la loi « Informatique et Libertés ».

En résumé : Kreomnis Sumo se joue sans compte. Le jeu fonctionne principalement avec du stockage local de votre navigateur. Le classement classé (Elo) et la progression conservent des données minimales côté serveur (identifiant anonyme, pseudo, points) dans une base Neon, Inc. hébergée en Union européenne.

Une connexion avec un compte Kreomnis est proposée en option : elle sert uniquement à retrouver votre progression sur un autre appareil. Elle reste facultative, et le jeu ne voit jamais votre mot de passe ni votre clé d'accès (l'authentification se fait sur Kreomnis Auth (service opéré par Kreomnis), via le protocole OpenID Connect).

Responsable du traitement

Le responsable du traitement est Guillaume Denneulin, Dirigeant de Kreomnis.
Contact : Thibaut@kreomnis.com.

Aucun délégué à la protection des données (DPO) n'a été désigné : cette désignation n'est pas obligatoire au sens de l'article 37 du RGPD pour notre activité (pas de suivi à grande échelle ni de traitement de données sensibles à grande échelle). Pour toute question relative à vos données, le responsable du traitement répond directement à Thibaut@kreomnis.com.

Données collectées et finalités

Nous appliquons strictement le principe de minimisation : seules les données nécessaires au bon fonctionnement du jeu et à la fonctionnalité de classement sont collectées.

1. Données stockées localement dans votre navigateur (localStorage)

Données : identifiant joueur anonyme généré automatiquement (UUID), pseudonyme que vous choisissez, dernier code de salon rejoint, rikishi sélectionné, rikishi achetés, monnaie virtuelle gagnée en jouant (Pièces), historique de vos parties, préférences (mode classé ou casual, nombre de joueurs, format équipes), score Elo en cache.
Finalité : faire fonctionner le jeu (votre identité persistante entre parties, retrouver vos achats et votre progression, afficher votre historique).
Base légale : intérêt légitime. Ces données sont strictement nécessaires au service et ne sont jamais envoyées à un serveur tiers à votre insu.
Durée : conservées dans votre navigateur tant que vous ne les supprimez pas (vider le stockage local efface tout). Aucune sauvegarde côté serveur de ces données.

2. Données du classement classé et de progression (base Neon, Inc.)

Lorsque vous jouez une partie en mode classé (ranked), une copie minimale de votre profil est enregistrée dans notre base de données Neon, Inc. (Postgres, région Union européenne) pour faire fonctionner le classement Elo public. Si vous êtes connecté (voir le point 4), votre progression de jeu y est également sauvegardée.

Données : identifiant joueur anonyme (UUID), pseudonyme que vous avez choisi, total de points Elo, nombre de victoires et de défaites, date de dernière partie jouée. Et, si vous êtes connecté, votre monnaie virtuelle, vos rikishi débloqués et votre historique de parties (synchronisés depuis votre navigateur).
Finalité : calculer le classement Elo agrégé et l'afficher publiquement (top 20 sur la page d'accueil), et permettre de retrouver sa progression d'un appareil à l'autre.
Base légale : intérêt légitime à fournir le classement aux joueurs qui choisissent le mode classé (le mode casual ne transmet rien au serveur). Pour la progression synchronisée, exécution du service que vous demandez en vous connectant.
Durée : 3 ans après la dernière partie classée jouée. Vous pouvez demander suppression immédiate (voir « Vos droits » ci-dessous).

3. Données techniques de connexion au serveur de jeu

Données : adresse IP (utilisée transitoirement pour acheminer les paquets WebSocket), informations techniques minimales (user-agent simplifié pour diagnostic).
Finalité : assurer la connexion temps réel au serveur de jeu, prévenir les abus (limitation du débit de requêtes).
Base légale : intérêt légitime (article 32 RGPD, sécurité et bon fonctionnement du service).
Durée : traitée en mémoire uniquement pendant la durée de la connexion WebSocket. Les journaux éventuels sont anonymisés et conservés au maximum 7 jours par notre sous-traitant.

4. Données de compte (connexion Kreomnis optionnelle)

Si, et seulement si, vous choisissez de vous connecter via le bouton « Se connecter avec Kreomnis », nous traitons un minimum d'informations issues de votre compte Kreomnis pour créer votre compte de jeu et le relier à votre progression.

Données : identifiant stable propre à ce jeu (claim « sub ») et, si vous utilisez les amis Kreomnis, votre identifiant de compte Kreomnis, commun aux jeux Kreomnis (voir le point 5), nom d'utilisateur et photo de profil, ainsi que l'identifiant de jeu (UUID) auquel votre compte est rattaché. Aucune adresse e-mail n'est transmise au jeu. Nous ne demandons aucune autre information. Votre photo de profil est une adresse que vous choisissez dans votre compte Kreomnis Auth : notre serveur en télécharge une copie à la connexion et l'affiche depuis notre propre domaine, si bien que ni votre navigateur ni celui des autres joueurs ne contactent le site qui l'héberge. La copie est remplacée quand vous changez d'image et supprimée avec votre compte. Nous ne voyons jamais votre mot de passe ni votre clé d'accès.
Finalité : vous authentifier, retrouver votre profil et votre progression sur n'importe quel appareil, maintenir votre session connectée.
Base légale : votre consentement (vous déclenchez vous-même la connexion) et l'exécution du service de synchronisation que vous demandez.
Durée : 3 ans après la dernière connexion au compte, avec suppression immédiate sur demande. Les sessions de connexion (cookie) expirent automatiquement après 30 jours, la durée de validité d'une session de connexion.
Cookies : la connexion utilise un cookie de session strictement nécessaire, et un cookie transitoire pendant le flux OAuth. Le détail est dans notre politique de stockage local et cookies.

5. Amis Kreomnis et présence

Si vous êtes connecté avec Kreomnis Auth, Kreomnis Sumo affiche vos amis Kreomnis. Ce sont ceux de votre compte Kreomnis Auth : les mêmes dans tous les jeux Kreomnis et dans l'onglet Amis de Kreomnis Auth. Depuis Kreomnis Sumo, vous pouvez ajouter un ami par son pseudo, répondre aux demandes et aux invitations, inviter un ami dans votre partie ou le rejoindre dans la sienne.

Données : votre identifiant de compte Kreomnis, le même dans tous les jeux Kreomnis, à la différence de l'identifiant propre à Kreomnis Sumo ; votre pseudo et votre image de profil, et ceux de vos amis, lus dans Kreomnis Auth à chaque affichage (le panneau n'en garde pas de copie) ; votre présence : en ligne, absent ou en jeu, le jeu Kreomnis et l'activité (menu, partie, salon), et le fait qu'un ami puisse vous rejoindre ; vos réglages Invisible et Partager mon jeu ; les jetons qui permettent à Kreomnis Sumo de lire vos amis dans Kreomnis Auth, chiffrés sur nos serveurs et jamais envoyés à votre navigateur.
Propre à Kreomnis Sumo : le code du salon privé où vous vous trouvez, pour qu'un ami puisse vous y rejoindre (gardé trois minutes au plus, et lisible seulement par un ami qui vous voit rejoignable) ; et, à la fin d'une partie, la liste des joueurs connectés qui y ont participé, avec leur pseudo de jeu, pour vous proposer « Ajouter en ami » (gardée deux heures). Le pseudo Kreomnis d'un adversaire n'est jamais envoyé à votre navigateur.
Finalité : voir vos amis et les rejoindre d'un jeu Kreomnis à l'autre.
Base légale : l'exécution du service que vous utilisez en vous connectant [à confirmer par le juriste]. Vous pouvez vous opposer à la diffusion de votre présence à tout moment, depuis le panneau Amis : Invisible, vos amis vous voient hors ligne ; Partager mon jeu désactivé, ils vous voient en ligne, sans le jeu.
Qui voit quoi : seuls vos amis acceptés voient votre présence, votre jeu et votre image. Une personne dont la demande d'ami est en attente ne voit que votre pseudo. Votre liste d'amis n'est visible de personne d'autre. Une invitation que vous envoyez indique toujours de quel jeu elle vient. Les serveurs des jeux Kreomnis et le service de présence de Kreomnis traitent ces données pour faire fonctionner le panneau ; ils sont hébergés par Vercel et Neon, Inc., en Europe.
Images de vos amis : Kreomnis Sumo ne les affiche pas. L'image de profil d'un ami est une adresse qu'il a choisie dans Kreomnis Auth, et notre politique de sécurité interdit à votre navigateur de contacter un site tiers : le panneau montre ses initiales à la place.
Durées : votre présence disparaît deux minutes après que vous avez quitté le jeu, et elle est effacée de nos serveurs dans l'heure qui suit ; aucun historique n'est conservé. Vos réglages sont gardés jusqu'à la suppression de votre compte. Les jetons sont supprimés à la déconnexion et ne durent pas plus de 30 jours. Vos amitiés, demandes et invitations sont conservées par Kreomnis Auth, selon sa propre politique de confidentialité.
Effacement : supprimer votre compte Kreomnis Sumo efface votre présence et vos réglages, communs à tous les jeux Kreomnis (ils vous seront de nouveau proposés dans les autres jeux), et révoque l'accès de Kreomnis Sumo à vos amis. Vos amitiés restent dans votre compte Kreomnis Auth, où vous pouvez les gérer, les exporter ou supprimer le compte.
Ce que nous ne faisons pas : aucun registre de vos amitiés, aucun historique de présence, aucun profilage, aucune publicité.

6. Avis, suggestions et votes (espace communautaire)

Si vous êtes connecté, vous pouvez publier un avis, proposer une suggestion d'amélioration et voter pour les suggestions des autres joueurs. Ces contributions sont publiques : elles s'affichent sur la page d'accueil avec le pseudonyme associé à votre compte.

Données : le contenu que vous rédigez (texte de l'avis ou de la suggestion), le pseudonyme affiché (votre pseudo de jeu), la date de publication, et le décompte de vos votes. Le tout est rattaché à l'identifiant de votre compte.
Finalité : recueillir votre retour pour améliorer le jeu, et permettre à la communauté de hiérarchiser les suggestions par vote (la suggestion la plus votée est développée en priorité).
Base légale : votre consentement. Vous rédigez et publiez volontairement ces contenus, et vous restez libre de ne rien publier.
Caractère public : ne publiez aucune donnée personnelle ou sensible dans le texte, les avis étant visibles de tous. Les contenus sont nettoyés automatiquement (retrait du balisage et des caractères invisibles) avant affichage.
Durée : conservés tant que vous ne supprimez pas votre compte. La suppression de compte (voir « Vos droits ») efface immédiatement vos avis, vos suggestions et vos votes.

7. Avatar personnalisé (image dans le rikishi)

Si vous êtes connecté, vous pouvez téléverser une image affichée dans le cercle de votre rikishi. Cette image est publique : les autres joueurs la voient pendant les parties.

Données : l'image (réencodée par nos soins en PNG, sans métadonnée), rattachée à l'identifiant de votre compte, et un identifiant d'image public servant à l'affichage.
Finalité : personnalisation et reconnaissance rapide de votre personnage en jeu.
Base légale : votre consentement. Vous choisissez et publiez volontairement cette image, après acceptation des règles (pas de contenu illégal, pornographique, haineux ou harcelant).
Sécurité : aucune donnée du fichier d'origine n'est conservée. Seuls des pixels réencodés sont stockés, servis avec un type figé interdisant toute exécution.
Durée : conservée tant que vous ne la supprimez pas ou ne supprimez pas votre compte. Vous pouvez la retirer à tout moment depuis votre page de profil, et la suppression de compte l'efface aussi.

8. Mesure d'audience (Kreomnis Indexation)

Outil : Kreomnis Indexation, l'outil de statistiques de Kreomnis, éditeur du jeu. Il ne dépose aucun cookie, n'écrit rien dans votre navigateur (ni cookie ni stockage local) et ne relie pas vos visites d'un site à l'autre.
Données : l'adresse de la page vue (sans ses paramètres, sauf les paramètres de campagne utm_* et ref), le site d'où vous venez, la largeur de l'écran, la langue du navigateur, le temps passé et la part de la page parcourue, des mesures de performance (temps de chargement, stabilité de l'affichage), le nombre d'erreurs techniques, et les liens externes ou téléchargements cliqués, et le type de partie lancée depuis l'accueil (rapide, contre des bots, salon, simulation, nombre de joueurs). Votre adresse IP est reçue techniquement par le serveur de mesure. Les pages de partie (/play/…, dont l'adresse contient le code du salon) ne sont pas mesurées.
Robots : les robots (moteurs de recherche, outils d'exploration) sont comptés par notre serveur, avec l'adresse de la page, leur identifiant de navigateur et leur adresse IP.
Finalité : connaître la fréquentation du site et la qualité de son affichage, uniquement sous forme de statistiques. Aucun profil, aucune publicité, aucune cession.
Base légale : notre intérêt légitime à mesurer l'audience de notre service, dans le cadre de l'exemption de consentement prévue par la CNIL pour les outils de mesure d'audience strictement limités à cet usage.
Durée : 25 mois au plus, puis effacement.
Opposition : activez « Do Not Track » ou « Global Privacy Control » dans votre navigateur. Le script de mesure le détecte et n'envoie alors plus rien.

9. Modération

Données : les actions de modération qui visent votre compte (suspension et levée de suspension, correction de votre monnaie ou de votre inventaire, retrait d'un avatar, pseudo remis par défaut, suppression d'un avis, rattachement de compte), avec leur motif, leur date et l'administrateur qui les a faites.
Finalité : faire respecter les règles du jeu et garder la trace des décisions prises.
Base légale : notre intérêt légitime à assurer un jeu loyal et sûr.
Durée : jusqu'à la suppression de votre compte. Si votre compte est suspendu au moment de sa suppression, ces actions et l'identifiant de votre compte Kreomnis propre à ce jeu (claim « sub ») sont conservés sans limite de durée, pour empêcher le contournement de la suspension : une nouvelle connexion avec le même compte Kreomnis retrouve la suspension. La levée de la suspension efface cette conservation.

Destinataires des données

Vos données ne sont ni vendues ni cédées à des tiers à des fins commerciales. Elles peuvent être traitées techniquement par les sous-traitants suivants :

Vercel Inc. : hébergement de la partie publique du site (Next.js, ressources statiques).
ANCELADE SAS (Private Heberg) : hébergement du serveur de jeu temps réel.
Neon, Inc. : base de données Postgres (région Union européenne) stockant le classement classé, les comptes et la progression synchronisée.
Kreomnis Auth (service opéré par Kreomnis) : service d'authentification pour la connexion optionnelle « Se connecter avec Kreomnis » (OpenID Connect). Il est opéré par l'éditeur du jeu lui-même, ce n'est pas un sous-traitant tiers.
Service de présence Kreomnis : indique à vos amis acceptés si vous êtes en ligne et dans quel jeu (voir « Amis Kreomnis et présence »). Opéré par Kreomnis, hébergé par Vercel et Neon, Inc., en Europe.
Kreomnis Indexation : mesure d'audience sans cookie (voir « Mesure d'audience »). Opéré par Kreomnis, ce n'est pas un sous-traitant tiers ; le service est hébergé par Vercel.

Transferts hors Union européenne

Notre hébergeur applicatif, Vercel, est une société ayant son siège aux États-Unis et opère un réseau mondial de centres de données. Le serveur de jeu, lui, est hébergé par ANCELADE SAS (Private Heberg), société établie en France. Lorsque vos données techniques transitent par des serveurs situés en dehors de l'Union européenne, ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, le cas échéant, par les mesures supplémentaires de chiffrement et de minimisation des données mises en œuvre par ces prestataires.

La connexion optionnelle « Se connecter avec Kreomnis » est assurée par Kreomnis Auth (service opéré par Kreomnis), un service opéré par l'éditeur du jeu : les données de compte associées (identifiant, nom d'utilisateur, photo) ne sont transmises à aucun tiers à ce titre.

Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

droit d'accès à vos données,
droit de rectification (notamment de votre pseudonyme),
droit à l'effacement (« droit à l'oubli »),
droit à la limitation du traitement,
droit d'opposition,
droit à la portabilité de vos données,
droit de définir des directives post-mortem.

Pour exercer ces droits sur les données stockées dans votre navigateur, videz simplement le stockage local de votre navigateur pour le domaine https://kreomnissumo.com. Tout est effacé immédiatement, sans intervention de notre part.

Pour exercer ces droits sur les données du classement classé (identifiant, pseudonyme et points Elo conservés côté serveur), contactez Thibaut@kreomnis.com en précisant votre identifiant joueur (visible dans la console de votre navigateur, clé kreomnis_uid). Nous répondons dans un délai d'un mois.

Pour les données de compte (connexion Kreomnis), tout est en libre-service depuis votre page de profil :

Portabilité : le bouton « Télécharger mes données » exporte l'ensemble de vos données au format JSON (article 20 RGPD), dont votre identifiant de compte Kreomnis et ce que Kreomnis Sumo garde pour les amis (salon en cours, parties terminées des deux dernières heures). Vos amitiés s'exportent depuis Kreomnis Auth.
Effacement : le bouton « Supprimer mon compte » efface définitivement et immédiatement votre compte, vos sessions, votre progression synchronisée, vos lignes de classement de toutes les saisons, votre historique de parties, votre inventaire, vos quêtes, les niveaux et configurations de vos blobs, vos avis, vos suggestions et les votes qu'ils ont reçus, vos votes, votre avatar personnalisé, la copie de votre photo de profil Kreomnis Auth, votre présence et vos réglages d'amis, communs aux jeux Kreomnis, et l'accès de Kreomnis Sumo à vos amis Kreomnis. Vos amitiés restent dans votre compte Kreomnis Auth. Les actions de modération qui vous ont visé sont effacées elles aussi, sauf si votre compte est suspendu à ce moment-là (voir le point 9, « Modération »). Une suppression faite par un administrateur laisse une trace de la suppression elle-même, sans votre pseudonyme. Un compte suspendu ne peut plus se connecter : écrivez alors à Thibaut@kreomnis.com, la suppression est faite par nos soins.
Opposition : vous pouvez simplement vous déconnecter à tout moment pour revenir au mode invité. Dans le panneau Amis, le réglage Invisible cache votre présence, et Partager mon jeu cache le jeu auquel vous jouez.

Vous pouvez aussi nous écrire à Thibaut@kreomnis.com en indiquant le nom d'utilisateur de votre compte Kreomnis si vous préférez.

Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés : www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données : HTTPS et WSS chiffrés de bout en bout, en-têtes de sécurité HTTP (CSP, HSTS), assainissement des entrées côté serveur, séparation stricte des données de jeu (un espace isolé par salon), absence de cookie tiers ou publicitaire. La connexion se fait via Kreomnis Auth (OpenID Connect), donc nous ne stockons aucun mot de passe. Les cookies de session sont HttpOnly, Secure et SameSite=Lax, et seul un condensé (hash) du jeton de session est conservé en base.

Pour signaler une vulnérabilité, voir /.well-known/security.txt.

Politique de confidentialité