Politique de confidentialité

Qui est responsable de vos données

La personne qui édite La Besace du JDR, à titre non professionnel (voir les mentions légales). Pour toute question sur vos données, ou pour exercer vos droits, écrivez à contact@besace-jdr.fr.

Qui peut avoir un compte

Il faut avoir 15 ans ou plus pour créer un compte. Les plus jeunes jouent sur le compte d'un parent. Les règles d'usage du service sont dans les conditions d'utilisation.

Ce que nous collectons, et pourquoi

• Votre compte

  Votre adresse e-mail, votre pseudo et votre mot de passe. Le mot de passe n'est jamais gardé tel quel : seule une empreinte est enregistrée, qui ne permet pas de le retrouver. Et la date à laquelle vous avez accepté les conditions d'utilisation, avec la version acceptée. Et l'apparence que vous choisissez dans « Mon compte » : claire, sombre, ou comme votre appareil.

  Pourquoi :

  créer votre compte, vous permettre de vous connecter, vous écrire quand le service en a besoin, garder la preuve de votre acceptation des conditions d'utilisation, et afficher le service dans l'apparence choisie.

  Base légale :

  l'exécution du service que vous demandez en créant un compte.

  Durée :

  tant que votre compte existe. Une inscription dont l'adresse n'a jamais été confirmée peut être effacée au bout de 7 jours.

• La connexion avec Google

  Si vous choisissez de vous connecter avec Google : l'identifiant de votre compte Google, pour le relier au vôtre. Google nous transmet aussi votre adresse e-mail et votre nom. Votre nom ne sert qu'à vous proposer un pseudo : il n'est pas enregistré dans notre base, et ne reste dans un témoin de votre navigateur que le temps de choisir ce pseudo. Votre photo Google n'est jamais reprise.

  Pourquoi :

  vous connecter sans mot de passe propre à ce service.

  Base légale :

  l'exécution du service, à votre demande.

  Durée :

  tant que votre compte est relié à Google. Vous pouvez le délier depuis « Mon compte ».

• Vos images et vos fichiers

  Les avatars de votre compte et de vos personnages, les bannières de campagne, les fiches de personnage en PDF, et les images et fichiers que les MJ ajoutent à leurs campagnes. Une image peut contenir des données personnelles, une vraie photo par exemple : c'est vous qui choisissez ce que vous envoyez.

  Pourquoi :

  les afficher, à vous et aux membres des campagnes concernées.

  Base légale :

  l'exécution du service.

  Durée :

  jusqu'à ce que vous les retiriez, ou que le personnage, la campagne ou le compte qui les porte soit supprimé.

• Ce que vous écrivez

  Vos campagnes, vos personnages, vos notes, vos journaux, et tout ce que vous saisissez dans le service.

  Pourquoi :

  le garder pour vous, et le montrer aux membres des campagnes concernées.

  Base légale :

  l'exécution du service.

  Durée :

  jusqu'à ce que vous le supprimiez, ou que votre compte soit supprimé.

• Les limites d'essais

  Votre adresse IP, parfois avec l'identifiant saisi ou votre compte, à chaque essai d'inscription, de connexion, de mot de passe oublié ou de code d'invitation. Et, sans adresse IP, chaque envoi d'un code de vérification à votre compte, chaque téléchargement de vos données depuis « Mes données », et l'adresse e-mail saisie à l'inscription ou au mot de passe oublié, qui peut être effacée 1 jour après l'essai, comme les autres.

  Pourquoi :

  freiner les robots et les essais répétés.

  Base légale :

  notre intérêt légitime : la sécurité du service et de vos comptes.

  Durée :

  un essai peut être effacé 1 jour après avoir été fait. Il l'est au prochain essai du même genre, le vôtre ou celui de quelqu'un d'autre : sans nouvel essai, il peut rester plus longtemps. Ceux qui portent votre compte sont effacés avec lui.

• Le contrôle des mots de passe fuités

  Quand vous choisissez un mot de passe, nous vérifions qu'il ne figure pas dans des fuites connues, auprès du service Have I Been Pwned. Seuls les 5 premiers caractères d'une empreinte du mot de passe lui sont envoyés (méthode dite du k-anonymat) : jamais le mot de passe, ni son empreinte complète.

  Pourquoi :

  vous éviter un mot de passe déjà connu des pirates.

  Base légale :

  notre intérêt légitime : la sécurité de vos comptes.

  Durée :

  rien n'est gardé, ni chez nous ni chez ce service.

• Les e-mails que nous vous envoyons

  Le lien pour choisir un nouveau mot de passe, le code qui vérifie votre adresse (à l'inscription et quand vous la changez), et les alertes de sécurité : mot de passe changé, compte Google relié, adresse changée. Aucune lettre d'information, aucune publicité.

  Pourquoi :

  faire fonctionner votre compte, et vous prévenir d'un changement que vous n'auriez pas fait.

  Base légale :

  l'exécution du service, et notre intérêt légitime pour les alertes de sécurité.

  Durée :

  nous ne gardons qu'une empreinte des codes et des liens, jamais le code ni le lien lui-même. Un code ne sert que 15 minutes, un lien 30 minutes ; leur empreinte est gardée jusqu'à ce qu'ils servent ou soient remplacés par un nouveau (un lien expiré est aussi effacé à la demande de lien suivante), et au plus tard jusqu'à la suppression de votre compte. Quand vous changez d'adresse, la nouvelle adresse, en attente de vérification, est gardée aussi longtemps que son code.

• Votre session

  Quand vous vous connectez, un identifiant de session, gardé dans un témoin de votre navigateur et dans notre base.

  Pourquoi :

  garder votre session ouverte d'une page à l'autre.

  Base légale :

  l'exécution du service.

  Durée :

  la session prend fin après 7 jours sans activité, et au plus tard 30 jours après la connexion, ou dès que vous vous déconnectez.

Les témoins (cookies) et ce qui reste sur votre appareil

La Besace du JDR ne pose que des témoins techniques, nécessaires au service : aucun témoin publicitaire ni de mesure d'audience. C'est pour ça qu'aucun bandeau ne vous demande votre accord.

• La session, tant qu'elle est ouverte (voir plus haut).
• La connexion avec Google : un témoin le temps de choisir votre compte Google (10 minutes), un autre le temps de choisir votre pseudo (15 minutes), et ceux du protocole de connexion lui-même.
• L'attente de vérification de votre adresse, le temps de saisir le code (1 jour au plus).
• Pendant une partie, la table du MJ garde sur son appareil la liste des cartes posées et leur place : des identifiants, jamais leur contenu. Elle est effacée de l'appareil quand vous vous y déconnectez.
• Le lanceur de dés retient sur l'appareil si la case « Additionner les dés » est cochée : un réglage de l'appareil, sans rien d'autre, qui reste après la déconnexion.

Qui d'autre traite vos données

Quelques prestataires font fonctionner le service pour nous, et ne traitent vos données que pour ça :

• Vercel Inc. : l'hébergement du site, et le stockage des images et des fichiers. Comme tout hébergeur, il tient aussi ses propres journaux techniques, qui peuvent contenir votre adresse IP, selon sa propre politique de confidentialité.
• Neon : la base de données.
• Google : l'envoi des e-mails, et la connexion avec Google si vous la choisissez.
• Have I Been Pwned : le contrôle des mots de passe fuités (voir plus haut).

Certains de ces prestataires sont établis aux États-Unis, et vos données peuvent y être traitées.

Les dons

La page « Soutenir le projet » dit à quoi sert un don ; c'est son bouton « Soutenir sur Ko-fi » qui mène à Ko-fi, un service extérieur, soumis à sa propre politique de confidentialité. La Besace du JDR ne lui transmet rien.

Le don se fait chez Ko-fi, qui passe par PayPal pour le paiement : leurs politiques de confidentialité s'appliquent. Ce que vous laissez chez Ko-fi en donnant (votre nom ou un pseudonyme, un message si vous en écrivez un, le montant) est vu par l'éditrice du service, sans être relié à aucun compte du service.

Si vous le demandez dans votre message, le nom de votre choix figure dans la liste « Merci à » de la page « Soutenir le projet ». Un nom n'y apparaît que sur demande, sous le nom choisi, et en sort sur simple demande.

Vos droits

Vous pouvez à tout moment accéder à vos données, les rectifier, les effacer, demander à les recevoir dans un format réutilisable, vous opposer à un traitement ou en demander la limitation.

• Effacer : depuis « Mon compte », « Supprimer mon compte » efface tout de suite votre compte, vos personnages, les campagnes dont vous êtes MJ et leurs fichiers.
• Rectifier : votre pseudo, votre adresse, votre mot de passe et votre avatar se changent depuis « Mon compte » ; ce que vous écrivez se modifie là où vous l'avez écrit.
• Pour tout le reste, écrivez à contact@besace-jdr.fr. Nous répondons dans un délai d'un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (cnil.fr).

Quand cette politique change

La date en haut de cette page change avec elle.