Confidentialité — Open Hearts

En bref

Le jeu en solo reste sur votre appareil Votre nom, votre image et vos parties contre les bots sont conservés sur l'appareil sur lequel vous jouez, et ne sont envoyés nulle part.
Le jeu en direct est public, et c'est voulu Pour jouer avec d'autres, votre nom, votre image, le numéro de votre compte et vos résultats passent par notre relais, où quiconque les demande peut les lire. Les salles et les images sont conservées un jour ; les résultats sont conservés pour les classements.
Un compte, mais ni e-mail ni mot de passe Rien n'est vendu, loué ni utilisé pour la publicité. Il n'y a aucun traceur dans l'application ni sur ce site. S'abonner crée un compte : un nombre aléatoire que notre service vous donne, sous lequel jouent vos appareils. Il n'y a pas de mot de passe, et nous ne conservons aucune adresse e-mail.
Le paiement, c'est l'affaire de Stripe Sur le web, un abonnement s'achète via Stripe, qui a votre adresse e-mail et votre carte. Nous gardons une note indiquant le compte qu'il paie et les appareils de ce compte. Nous ne voyons jamais votre numéro de carte.

Qui nous sommes

Cette politique fait partie des conditions et couvre ce qu'elles couvrent ; « nous » désigne ceux qu'elles désignent. Le code est public : tout ce qui figure sur cette page peut donc être comparé à ce que l'application fait réellement.

Sur votre appareil

L'application conserve ce qui suit sur l'appareil sur lequel vous jouez — dans le stockage du navigateur pour play.openhearts.game, ou dans le stockage propre de l'application sur un téléphone :

Une clé que votre appareil crée lui-même. C'est un long nombre aléatoire, avec une moitié publique et une moitié secrète. La moitié publique représente cet appareil à une table en direct ; si vous êtes abonné, votre licence la relie à votre compte. La moitié secrète ne quitte jamais l'appareil.
Votre nom et votre apparence : une icône et une couleur, ou une image à vous. L'image est réduite à 64 sur 64 pixels sur votre appareil, et seule cette petite copie est conservée. La photo d'origine n'est ni stockée ni envoyée.
Vos trente dernières parties contre les bots, que votre profil comptabilise. Elles ne quittent l'appareil que si vous touchez Copier le relevé.
Votre rythme de jeu, vos options de partie, la langue que vous avez choisie, votre licence et le numéro de votre compte si vous êtes abonné, et les joueurs dont vous avez choisi de masquer l'image.
La partie en direct en cours, tant que vous y êtes : la table, chaque coup et chaque vote que votre appareil y a signés, et les secrets avec lesquels il a distribué vos cartes, pour qu'une page rechargée en cours de partie puisse reprendre sa place. Tout cela est effacé quand la partie se termine ou que vous la quittez, ou deux minutes après votre dernier passage.

Pour tout supprimer, effacez les données de play.openhearts.game dans votre navigateur (et celles d'openhearts.game, où un navigateur qui jouait avant que le jeu ne passe à play.openhearts.game garde sa copie antérieure), ou supprimez l'application. Cela supprime aussi votre clé : l'appareil revient alors comme un nouveau joueur, jusqu'à ce qu'un code de secours ou votre connexion le ramène dans votre compte.

Jouer seul

Une partie contre les bots se joue entièrement sur votre appareil. Rien la concernant n'est envoyé nulle part.

Les applications pour téléphone font au démarrage la même chose que le jeu sur le web : elles demandent à notre service les réglages actuels du jeu, ce qui ne dit rien de vous, et font la vérification de licence décrite plus bas. Le jeu en direct y fonctionne comme décrit plus bas. Elles n'utilisent ni New Relic ni les serveurs de polices de Google.

Ouvrir le jeu sur le web

Cloudflare héberge ce site et le jeu, et voit donc chaque requête de votre navigateur : votre adresse IP, votre navigateur et l'adresse demandée. Nous n'ajoutons aucune journalisation de notre côté.
Les serveurs de polices de Google, parfois. Le jeu embarque sa propre police, mais quand il doit afficher un caractère qu'elle ne contient pas — un emoji, une flèche, ou un nom écrit dans une écriture comme le chinois ou l'arabe — la boîte à outils avec laquelle il est conçu télécharge la police manquante depuis fonts.gstatic.com. Dans ce cas, Google reçoit votre adresse IP et apprend que vous visitez ce site.
Une vérification de licence. À chaque démarrage, le jeu envoie la clé publique de votre appareil à notre service pour demander si elle a un abonnement. Si c'est le cas, le service note aussi que cet appareil est celui que votre compte utilise maintenant, depuis quand, et à quelle table en direct il se trouve, s'il est à une table ; cette note est remplacée la prochaine fois que l'un de vos appareils ouvre le jeu. Si ce n'est pas le cas, rien n'est conservé.
Votre page de profil demande les résultats des parties à notre relais pour afficher votre classement. Elle ne publie rien sur vous.
New Relic nous signale quand le jeu plante ou est lent pour vous sur le web, à openhearts.game. La page du jeu lui envoie les erreurs rencontrées, son temps de chargement, les adresses des appels qu'elle fait à notre service (sans ce qui suit un « ? »), ainsi que votre navigateur, votre type d'appareil et votre localisation approximative. Votre adresse IP sert à cette localisation et est effacée dans la journée. Il ne dépose aucun cookie, n'enregistre ni l'écran ni la session, et ne lit rien de ce que vous tapez. Selon les avis de confidentialité de New Relic.

Jeu en direct

Ce que tout le monde peut voir

Une partie en direct se joue entre appareils, via notre relais, relay.openhearts.game, un serveur qui transmet les messages entre les applications. Il est ouvert : quiconque lui demande une salle, une table ou les résultats peut lire ce qu'il y transporte, et une partie en est conservée. En jeu en direct :

Conservé, et lisible par quiconque le demande : votre nom, votre icône et votre couleur, le numéro de votre compte, et la clé publique de votre appareil avec la licence qui relie les deux, chaque fois que vous êtes placé à une table ; votre image, si vous en avez choisi une ; et le résultat de chaque partie en direct que vous jouez, classée ou non — la table, le compte, la clé, la licence et le score final de chaque place, et qui est parti. Les classements appartiennent aux comptes et sont calculés à partir de ces résultats par qui veut s'en donner la peine, et c'est tout l'intérêt : personne n'a à nous croire sur parole pour un classement. Les noms, icônes, clés, numéros de compte et images sont conservés un jour ; les résultats, aussi longtemps que les classements.
Conservé, et lisible par tout abonné qui a l'adresse de la partie : l'intégralité de chaque partie en direct une fois terminée — le compte et la clé de chaque place, la licence qui les relie, le nom sous lequel elle a joué, chaque carte distribuée, passée et jouée, et les signatures qui le prouvent. L'appareil d'un joueur l'envoie à notre service à la fin de la partie, et elle est conservée définitivement, pour qu'on puisse la consulter et la vérifier ensuite, depuis l'appareil qu'utilise le compte d'un abonné. Son adresse est un long code aléatoire que personne ne peut deviner ; elle est partagée par quiconque la partage.
Transmis mais non conservé : pendant que vous attendez une partie, votre nom, votre classement, votre icône et votre couleur, et le nombre de secondes que vous prenez d'habitude pour jouer une carte, toutes les deux secondes environ ; et tant que l'application est ouverte, le fait que votre appareil est en ligne ou à une table, avec le numéro de votre compte et une note de courte durée de notre service indiquant que c'est l'appareil qu'utilise votre compte. Le relais les transmet à qui écoute à ce moment-là et ne garde rien — mais quiconque écoute pourrait les enregistrer.
Transmis, tant que quelqu'un regarde : une partie en direct peut être regardée pendant qu'elle se joue par tout abonné qui a son adresse. Tant que quelqu'un regarde, l'appareil d'un des joueurs envoie, après chaque coup, ce que toute la table peut déjà voir — les noms, les scores, les cartes jouées jusque-là dans cette donne et à qui c'est le tour — et jamais une main encore en jeu. Le relais le transmet et ne garde rien. Si vous regardez, c'est sous la clé et la licence de votre propre appareil : l'appareil du joueur qui répond voit donc le numéro de votre compte ; il ne répond à personne dont le compte joue à cette table.

Une table entre amis n'est privée qu'en un sens : des inconnus ne peuvent pas s'y asseoir. Ce qu'elle publie est aussi public que pour n'importe quelle autre table.

Où cela va

Uniquement à notre relais, qui tourne sur Cloudflare. Chaque message est signé par l'appareil qui l'a envoyé, si bien que quiconque en garde une copie peut prouver qu'il est authentique ; nous ne pouvons pas supprimer une copie faite par quelqu'un d'autre.

Ce que seule votre table voit

Les cartes sont distribuées entre les appareils de la table de sorte que la main de chaque joueur ne puisse être lue que par lui seul, et aucun de nos serveurs ne voit jamais une main. Les coups passent d'appareil à appareil.

Ces connexions passent toutes par le service de relais de Cloudflare (TURN), si bien que les autres appareils de votre table ne connaissent jamais votre adresse IP — ni les autres joueurs, ni les jurés : les applications d'autres joueurs, tirées au hasard, qui aident à arbitrer une table et jouent à la place des bots. Cloudflare voit votre adresse IP, comme tout serveur auquel vous vous connectez, et transmet le trafic chiffré, sans pouvoir le lire.

S'abonner crée un compte : un nombre aléatoire, pas votre nom ni votre e-mail. Nous donnons à Stripe la clé publique de votre appareil pour que le paiement puisse lui être associé. En retour, notre service garde un court relevé : le compte que l'abonnement paie, les clés d'appareil qui sont dans le compte et quand chacune a été ajoutée, celle qui est utilisée en ce moment, et jusqu'à quelles dates court l'abonnement. Dans Stripe, nous voyons votre adresse e-mail, votre nom, votre pays, la marque de votre carte, ses quatre derniers chiffres et vos paiements.

Nous pourrions donc relier l'adresse e-mail d'un abonné à son compte, et ainsi aux noms et aux résultats publiés par ses appareils. Nous ne publions pas ce lien, et nous ne l'utilisons que pour gérer votre abonnement.

Si vous ajoutez un autre appareil à votre compte, notre service garde une trace du code à usage unique que vous avez créé, et des appareils qui l'ont créé et utilisé. Tout appareil du compte peut voir les clés des autres, celui qui est utilisé, et les retirer. Votre compte joue sur un appareil à la fois : ouvrir le jeu sur l'un en fait celui qui est utilisé, et le précédent cesse de jouer en direct jusqu'à ce que vous le repreniez.

Un compte a aussi cinq codes de secours, conservés par notre service avec le compte et affichés sur ses appareils, avec une note indiquant lesquels ont servi. Si vous vous êtes abonné sur le web, nous les envoyons à l'adresse e-mail avec laquelle vous avez payé au moment de l'abonnement, puis chaque fois qu'un appareil du compte nous le demande. Pour cela, nous lisons l'adresse dans Stripe à ce moment-là et la transmettons à Cloudflare, qui envoie l'e-mail pour nous ; nous ne conservons pas l'adresse.

Si vous vous connectez avec Apple ou Google, nous gardons une forme brouillée du numéro qu'ils donnent à votre connexion — ni votre nom ni votre e-mail — reliée à votre compte, pour qu'une connexion faite de la même façon sur un autre appareil l'amène dans le compte. Votre appareil garde seulement lequel des deux vous avez utilisé. La connexion elle-même est faite par Apple ou Google, selon sa propre politique de confidentialité ; sur le web, son code de connexion n'est chargé que tant qu'un bouton de connexion est à l'écran.

Signaler un problème

Le menu a une page « Signaler un problème ». Rien n'y est envoyé avant que vous n'appuyiez sur Envoyer, et tout ce qui serait envoyé est d'abord affiché sur la page : ce que vous écrivez, la version du jeu que vous avez, le type d'appareil, la langue de l'application et la taille de l'écran — et, pour une partie contre les bots, le relevé de cette partie, seulement si vous cochez la case prévue. Envoyer ouvre un nouveau ticket sur notre page GitHub publique, déjà rempli. Tout le monde peut lire les tickets GitHub : n'y mettez rien de privé.

Ce que nous ne faisons pas

Pas de pub, et rien de vendu ni de partagé à des fins publicitaires.
Pas d'identifiant publicitaire, et rien qui vous suive d'une application à l'autre ou d'un site à l'autre.
Pas de cookies sur nos pages. Stripe dépose les siens, sur son propre site, quand vous achetez.
Pas de localisation, pas de contacts, pas de micro. L'appareil photo seulement pendant que vous scannez un code pour ajouter un appareil ; l'image reste sur l'appareil.
Aucune adresse e-mail conservée par nous, pas de mot de passe, et pas de compte sauf si vous vous abonnez. Un e-mail n'est envoyé que pour les codes de secours, comme indiqué ci-dessus.
Pas de chat.

Durée de conservation

Sur votre appareil : jusqu'à ce que vous les supprimiez.
Sur notre relais : coups, présence et attente d'une partie : non conservés. Salles, placements et images : un jour. Résultats des parties : aussi longtemps que les classements en sont calculés.
Parties en direct terminées : définitivement, dans le stockage de Cloudflare, sauf si vous nous demandez d'en supprimer une à laquelle vous avez joué.
Relevés de compte et d'abonnement de notre service : tant que l'abonnement court, puis jusqu'à ce que vous nous demandiez de les supprimer. La note indiquant l'appareil utilisé est remplacée chaque fois qu'un autre de vos appareils ouvre le jeu.
Stripe : aussi longtemps que l'exigent la politique de Stripe et la loi sur les relevés de paiement.
Cloudflare et Google : selon leurs propres politiques.
New Relic : les erreurs et les temps de chargement, huit jours.

Vos choix

Jouez seul, et rien sur vous ne quitte votre appareil.
Jouez en direct sous un nom qui n'est pas votre vrai nom, et sans image.
Changez votre nom ou votre image quand vous voulez. Ce qui a déjà été publié reste où il est.
Demandez-nous une copie de ce que notre service conserve sur votre compte et ses appareils, ou demandez-nous de le supprimer, y compris les résultats que ses appareils ont publiés sur notre relais.

Là où la loi sur la protection des données vous donne des droits — accéder à ce qui est détenu sur vous, le rectifier ou le supprimer, vous y opposer, ou porter plainte auprès de votre autorité de protection des données —, vous les avez ici aussi.

Enfants

Open Hearts n'est pas conçu pour les enfants de moins de 13 ans, et ils ne devraient pas jouer en direct, puisque cela montre un nom et une image à des inconnus. Si vous pensez qu'un enfant a publié quelque chose par ce biais, dites-le-nous et nous ferons notre possible pour le supprimer.

Modifications

Si ce que l'application fait des données change, cette page change avec, et la date en haut est mise à jour. Son historique, et celui du code, est sur GitHub.

Contact

Pour une demande liée à la confidentialité — une copie de ce que notre service conserve sur votre compte, ou sa suppression — ou pour toute autre question sur cette page, écrivez à help@openhearts.game, ou par courrier à l'adresse indiquée dans les conditions. Pour que nous puissions retrouver ce qui vous concerne, indiquez-nous le nom sous lequel vous jouez et, si vous vous êtes abonné sur le web, l'adresse e-mail avec laquelle vous avez payé.