Brouillon : ce texte n'est pas encore définitif. Les passages surlignés attendent une information.

Politique de confidentialité de Gobly

Dernière mise à jour : [À COMPLÉTER : date de publication]

Gobly est une application compagnon pour le jeu de rôle sur table, pensée pour jouer autour d'une même table. Elle fonctionne sur iPhone et iPad, Android, navigateur web et ordinateur (Windows, macOS). Cette politique explique quelles données nous traitons, pourquoi, combien de temps, avec qui, et comment exercer vos droits.

1. Qui est responsable de vos données

Le responsable de traitement est Dashspace SASU, [À COMPLÉTER : forme exacte, capital], immatriculée sous le numéro [À COMPLÉTER : SIREN / RCS], dont le siège est situé [À COMPLÉTER : adresse].

Contact pour toute question sur vos données : [À COMPLÉTER : adresse email dédiée, par exemple confidentialite@gobly.app]. Délégué à la protection des données : [À COMPLÉTER : DPO désigné ou mention « pas de DPO désigné, écrivez à l'adresse ci-dessus »].

2. Les données que nous traitons

2.1 Votre compte

Vous pouvez entrer dans Gobly de deux façons.

• Avec Apple ou Google. Nous recevons du fournisseur un identifiant de compte et, selon ce que le fournisseur transmet et ce que vous acceptez de partager, votre adresse email (avec Apple, il peut s'agir d'une adresse relais masquée) et votre nom. Aucun mot de passe n'est créé ni conservé par Gobly : il n'existe pas de connexion par email et mot de passe.
• En invité, sans compte Apple ni Google. Vous choisissez seulement un pseudo (40 caractères au plus). Le compte invité est attaché à l'appareil : si vous vous déconnectez ou désinstallez l'app sans avoir relié Apple ou Google, vous ne pourrez plus y revenir. Vous pouvez à tout moment relier Apple ou Google à un compte invité, sans perdre vos données.

Dans les deux cas, nous conservons un nom affiché (80 caractères au plus), que vous pouvez modifier, et la date de création du compte. Le service d'authentification enregistre aussi des données techniques de connexion (dates de connexion et de rafraîchissement de session, [À COMPLÉTER : vérifier si l'adresse IP et l'agent utilisateur sont journalisés par Supabase Auth et pour combien de temps]).

Avant d'entrer en invité, un contrôle anti-robots (CAPTCHA Cloudflare Turnstile) peut vous être présenté. [À COMPLÉTER : le CAPTCHA n'est pas encore activé ; retirer ce paragraphe s'il ne l'est pas à la mise en ligne.]

2.2 Ce que vous créez et jouez

• Campagnes : nom, lieu et couleur choisis, réglages de la table, état de la partie (scène, combat en cours…), statut (active ou archivée).
• Participation : les campagnes dont vous êtes membre et votre rôle (meneur de jeu « MJ » ou joueur).
• Personnages et fiches : nom du personnage et contenu de la fiche (caractéristiques, progression, ressources, états), selon le système de jeu choisi. Un personnage vous appartient et peut vous suivre d'une campagne à l'autre.
• Journal de partie : jets de dés et autres événements de la table (horodatés, avec leur auteur), y compris les messages secrets envoyés par le MJ à un joueur.
• Séances : dates d'ouverture et de clôture des séances de jeu.
• Invitations : codes d'invitation créés par le MJ (valables 7 jours, révocables).
• Préparation du MJ : séances préparées, scènes (titre, texte à lire, adversaires, lumières, ambiance).
• Fichiers audio importés par le MJ : le fichier lui-même (25 Mo au plus par fichier, 200 Mo au total par compte), son nom et sa taille.
• Packs et modules : les systèmes de jeu que vous créez ou importez (règles, données, scripts), leurs versions, et les liens de partage que vous créez ; la liste des comptes qui ont ouvert un de vos liens de partage.
• Séance zéro : le cadre de la campagne publié par le MJ (ton, thèmes, attentes, outils de sécurité de la table, une note).
• Lignes et voiles : les sujets que vous ne voulez pas voir en jeu (lignes) ou seulement hors champ (voiles), choisis dans une liste ou écrits librement (200 caractères au plus). Voir section 2.7.
• Objets connectés : nom, type et réglages techniques de vos objets (par exemple l'adresse sur votre réseau local d'un ruban de lumières WLED, ou l'identifiant Bluetooth d'un dé Pixels), les règles que vous leur donnez, et votre accord pour qu'un MJ les commande dans une campagne.

2.3 Abonnement

Si vous souscrivez l'abonnement MJ, nous recevons de notre prestataire de gestion des abonnements (RevenueCat) le statut de votre abonnement : formule, actif ou terminé, date d'échéance, date du dernier changement. Nous ne recevons jamais vos coordonnées bancaires : le paiement est traité par l'App Store d'Apple, Google Play ou, sur le web et l'ordinateur, par [À COMPLÉTER : prestataire de paiement web — RevenueCat Web Billing adossé à Stripe, à confirmer].

2.4 Sécurité et prévention des abus

Nous comptons, par compte et par heure, les codes d'invitation erronés saisis (au-delà de 10 par heure, la saisie est bloquée), afin d'empêcher qu'on devine les codes des tables.

2.5 Rapports d'erreurs

[À COMPLÉTER : garder cette section seulement si Sentry est activé à la mise en ligne.] Lorsque l'app rencontre une erreur, un rapport technique est envoyé à notre outil de suivi des erreurs (Sentry) : type et message de l'erreur, pile d'appels, version de l'app, modèle d'appareil et système, navigateur sur le web. Nous avons configuré cet outil pour ne pas envoyer : votre identité, vos fiches ou données de jeu, les adresses des pages visitées (qui contiennent les codes d'invitation), l'historique de navigation dans l'app, ni de capture d'écran.

2.6 Données gardées sur votre appareil

Pour fonctionner hors ligne, l'app garde sur votre appareil une copie de vos données de jeu (7 jours au plus), les écritures en attente d'envoi, votre session de connexion et quelques préférences (par exemple la coupure du son des objets). Cette copie est effacée à la déconnexion.

2.7 Lignes et voiles, carte X : des données sensibles, réduites au minimum

Les lignes et voiles peuvent révéler des informations sur votre santé (une phobie, un traumatisme) ou votre vie sexuelle : ce sont des données sensibles au sens de l'article 9 du RGPD. Nous les réduisons au minimum :

• vous choisissez d'abord dans une liste de sujets courants ; le texte libre est facultatif, et l'app vous prévient qu'il peut vous faire reconnaître ;
• anonymat à la table : le contenu est lu par les membres de la campagne (c'est le contrat de la table), mais personne à la table ne voit qui l'a posé, ni les autres joueurs, ni le MJ, que ce soit dans l'app ou en interrogeant directement nos serveurs ; votre compte n'est conservé avec la ligne que pour vous permettre de retirer les vôtres et de les effacer avec votre compte ;
• aucun autre usage : ni analyse, ni statistique, ni partage hors de la table ;
• effacement : par vous à tout moment, et automatiquement quand vous quittez la campagne, quand elle est supprimée ou quand vous supprimez votre compte.

La carte X (un bouton pendant la partie pour demander qu'on change de cap) n'est jamais enregistrée : elle est seulement transmise, en direct, au MJ de la table. L'app du MJ n'affiche pas votre nom ; techniquement, le message qui la porte contient l'identifiant de votre compte, comme tout message de la table : l'anonymat tient à l'affichage, pas au chiffrement.

[À COMPLÉTER : un juriste doit valider la base légale de ce traitement de données sensibles. Proposition : le consentement explicite de la personne (art. 9.2.a), recueilli au geste même de poser une ligne ou un voile, toujours facultatif et retirable en retirant la ligne ; ou les données manifestement rendues publiques par la personne auprès de sa table (art. 9.2.e), moins sûr. Dire aussi si une mention doit apparaître dans l'app au moment de poser.]

2.8 Ce que nous ne faisons pas

• Pas de publicité, pas de revente ni de location de données.
• Pas d'outil de mesure d'audience ni de traceur publicitaire dans l'app. [À COMPLÉTER : à confirmer pour le site gobly.app et la page web, et si un outil d'audience est ajouté plus tard.]
• Pas de géolocalisation.
• L'appareil photo ne sert qu'à scanner le QR code d'une invitation (aucune image n'est enregistrée ni envoyée) et, si le MJ le choisit, à photographier une carte papier : la photo est redressée sur son appareil, et seule la carte qu'il importe est envoyée, comme une image de carte choisie dans ses fichiers. Le micro n'est pas utilisé. [À VALIDER par Quentin.]

3. Bluetooth et réseau local

• Dés Pixels (Bluetooth) : l'app se connecte directement au dé. Le résultat d'un jet est ensuite traité comme un jet ordinaire : il est envoyé à nos serveurs pour apparaître dans le journal de la partie. L'identifiant Bluetooth du dé est enregistré dans ses réglages, sur nos serveurs, pour que vous le retrouviez sur vos appareils.
• Lumières WLED (réseau local) : les commandes partent directement de votre appareil vers l'objet, sur votre réseau local ; elles ne passent pas par nos serveurs. L'adresse locale de l'objet est enregistrée dans ses réglages, sur nos serveurs. Le MJ d'une campagne ne voit jamais ces réglages : seulement le nom et le type des objets que vous lui avez explicitement confiés.
• Tables à proximité (Bluetooth) : quand l'écran est ouvert, le téléphone du MJ annonce en Bluetooth le code court de sa table ; celui du joueur écoute les annonces alentour. Aucune position, aucun identifiant d'appareil n'est envoyé à nos serveurs : seul le code entendu est envoyé, pour afficher le nom de la table, son illustration et le nom de son MJ avant que vous la rejoigniez. Ces annonces sont audibles par tout appareil Bluetooth à proximité. L'annonce et l'écoute ne fonctionnent que lorsque l'app est ouverte à l'écran.

4. Qui voit quoi dans une campagne

• Le MJ voit et peut modifier toutes les fiches de sa campagne, voit tout le journal de la campagne (y compris les jets personnels des joueurs) et la liste des membres.
• Un joueur voit sa propre fiche, les événements publics de la table et les siens, le nom affiché des autres membres. Il ne voit pas la fiche des autres joueurs ni la préparation du MJ (scènes, adversaires, fichiers audio).
• Les membres d'une même campagne voient le nom affiché les uns des autres, et qui est connecté à la table pendant la partie.
• Le cadre de la séance zéro et les lignes et voiles de la table sont lus par tous les membres ; l'auteur d'une ligne ou d'un voile n'est montré à personne, pas même au MJ (section 2.7).
• Un pack partagé par lien devient lisible par toute personne qui ouvre ce lien.

En rejoignant une campagne, vous acceptez que son MJ voie votre fiche et vos jets dans cette campagne. Le MJ est une personne comme vous : il n'agit pas pour le compte de Dashspace.

5. Pourquoi et sur quelle base

6. Combien de temps

7. Avec qui nous partageons vos données

Nous ne vendons aucune donnée. Nous faisons appel aux prestataires suivants, qui agissent pour notre compte (sous-traitants) ou, pour les magasins d'applications et les fournisseurs de connexion, comme responsables de leurs propres traitements :

8. Transferts hors de l'Union européenne

Certains prestataires sont établis aux États-Unis ou peuvent y accéder aux données (Supabase, RevenueCat, Cloudflare, Sentry, Apple, Google). Ces transferts sont encadrés par [À COMPLÉTER : vérifier pour chaque prestataire l'adhésion au Data Privacy Framework UE–États-Unis et/ou la signature de clauses contractuelles types de la Commission européenne, et signer les accords de sous-traitance (DPA) correspondants]. Vous pouvez obtenir une copie de ces garanties en nous écrivant.

9. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition (pour les traitements fondés sur l'intérêt légitime) et de portabilité de vos données, ainsi que du droit de définir des directives sur leur sort après votre décès.

• Modifier votre nom affiché : dans l'écran Compte de l'app.
• Supprimer votre compte : dans l'écran Compte de l'app. La suppression est immédiate et définitive et emporte tout ce qui appartient au compte. Seule exception : un pack ou un module que vous avez créé et qui sert dans la campagne ou le pack de quelqu'un d'autre est conservé pour ne pas casser sa table, détaché de votre compte (il n'a plus d'auteur, ne se modifie et ne se partage plus, ses liens de partage sont révoqués). L'abonnement souscrit dans un magasin d'applications doit être résilié séparément dans ce magasin. Sans l'app, voir la page Supprimer son compte.
• Pour tout autre droit (copie de vos données, opposition…) : écrivez à [À COMPLÉTER : adresse email]. Nous répondons dans un délai d'un mois. [À COMPLÉTER : un export de ses données dans l'app n'existe pas ; préciser le format de la copie fournie.]

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (www.cnil.fr).

10. Mineurs

Gobly est réservé aux personnes de 15 ans et plus (en France, l'âge à partir duquel un mineur consent seul au traitement de ses données pour un service en ligne). À l'entrée, vous déclarez avoir 15 ans ou plus : nous ne demandons ni ne conservons votre date de naissance, et ne gardons pas trace de cette déclaration. Si vous pensez qu'une personne de moins de 15 ans utilise Gobly, écrivez-nous : nous supprimerons le compte. [À FAIRE RELIRE : capacité d'un mineur de 15 à 17 ans à accepter les CGU sur le fondement du contrat ; suffisance d'une simple déclaration d'âge.]

11. Sécurité

Les données sont chiffrées en transit. L'accès à la base est contrôlé ligne par ligne : chaque compte n'accède qu'à ce qui lui revient (section 4). Les scripts contenus dans les packs ne peuvent que calculer : ils n'ont accès ni au réseau, ni aux fichiers, ni à votre compte. [À COMPLÉTER : chiffrement au repos chez Supabase, à confirmer.]

12. Modifications

Nous pouvons modifier cette politique. En cas de changement important, nous vous en informerons dans l'app avant son entrée en vigueur.