Confidentialité — Open Hearts

En bref

Le jeu en solo reste sur votre appareil Vos parties contre les bots sont conservées sur l'appareil sur lequel vous jouez, et ne sont envoyées nulle part. Votre nom et votre image aussi, jusqu'à ce que vous vous abonniez : notre service les conserve alors aussi avec votre compte, pour que tous ses appareils affichent les mêmes. Une copie de chaque image que choisit votre compte est conservée à part, pour traiter les signalements, jusqu'à un an après qu'elle a cessé d'être celle de votre compte.
Le jeu en direct est public, et c'est voulu Pour jouer avec d'autres, votre nom, votre image, le numéro de votre compte, vos coups et vos résultats passent par notre relais, où quiconque les demande peut les lire. Les salles, les images et les coups d'une partie y sont conservés un jour ; les résultats sont conservés pour les classements.
Un compte, mais ni e-mail ni mot de passe Rien n'est vendu, loué ni utilisé pour la publicité, et rien ne vous suit d'un site à l'autre. Le jeu sur le web signale ses erreurs et ses temps de chargement à New Relic, comme décrit plus bas ; ce site et les applications pour téléphone ne signalent rien. S'abonner crée un compte : un nombre aléatoire que notre service vous donne, sous lequel jouent vos appareils. Il n'y a pas de mot de passe, et nous ne conservons aucune adresse e-mail.
Le paiement, c'est l'affaire de Stripe Sur le web, un abonnement s'achète auprès de Link, société affiliée à Stripe, qui a votre adresse e-mail, votre carte et votre adresse de facturation. Nous gardons une note indiquant le compte qu'il paie et les appareils de ce compte. Nous ne voyons jamais votre numéro de carte.

Qui nous sommes

Cette politique décrit ce qu'Open Hearts fait des données. Elle ne fait pas partie des conditions, et couvre ce qu'elles couvrent ; « nous » désigne ceux qu'elles désignent. Le code est public : tout ce qui figure sur cette page peut donc être comparé à ce que l'application fait réellement.

Sur votre appareil

L'application conserve ce qui suit sur l'appareil sur lequel vous jouez — dans le stockage du navigateur pour play.openhearts.game, ou dans le stockage propre de l'application sur un téléphone :

Une clé que votre appareil crée lui-même. C'est un long nombre aléatoire, avec une moitié publique et une moitié secrète. La moitié publique représente cet appareil à une table en direct ; si vous avez un abonnement, votre licence la relie à votre compte. La moitié secrète ne quitte jamais l'appareil.
Votre nom et votre apparence : une icône et une couleur, ou une image à vous. L'image est réduite à 192 sur 192 pixels sur votre appareil, et seule cette petite copie est conservée. La photo d'origine n'est ni stockée ni envoyée. Si vous vous abonnez, notre service en conserve une copie avec votre compte, comme expliqué plus bas.
Vos trente dernières parties contre les bots, que votre profil comptabilise. Elles ne quittent l'appareil que si vous touchez Copier le relevé.
Votre rythme de jeu, vos options de partie, la langue que vous avez choisie, si vous avez ouvert Apprendre à jouer, la dernière fois que l'application pour téléphone a demandé une note à sa boutique, la dernière fois que vous avez quitté une partie en direct avant la fin, votre licence et le numéro de votre compte si vous avez un abonnement, les joueurs dont vous avez choisi de masquer l'image et ceux que vous avez bloqués, et les avis de modification des conditions ou de cette politique que vous avez fermés.
La partie en direct en cours, tant que vous y êtes : la table, les noms, icônes et couleurs avec lesquels elle a commencé, et les secrets avec lesquels votre appareil a distribué vos cartes, pour qu'une page rechargée en cours de partie puisse reprendre sa place. Tout cela est effacé quand la partie se termine ou que vous la quittez. Si l'application se ferme en cours de partie, c'est effacé à sa prochaine ouverture, sauf si elle a lieu dans les deux minutes : vous reprenez alors votre place.

Pour tout supprimer, effacez les données de play.openhearts.game dans votre navigateur (et celles d'openhearts.game, où un navigateur qui jouait avant que le jeu ne passe à play.openhearts.game garde sa copie antérieure), ou supprimez l'application. Cela supprime aussi votre clé : l'appareil revient alors comme un nouveau joueur, jusqu'à ce qu'un code de secours ou votre connexion le ramène dans votre compte.

Jouer seul

Une partie contre les bots se joue entièrement sur votre appareil. Rien la concernant n'est envoyé nulle part.

Les applications pour téléphone font au démarrage la même chose que le jeu sur le web : elles demandent à notre service les réglages actuels du jeu, ce qui ne dit rien de vous, et font la vérification de licence décrite plus bas. Le jeu en direct y fonctionne comme décrit plus bas. Elles n'utilisent ni New Relic ni les serveurs de polices de Google. Après une partie que vous gagnez, elles peuvent demander à l'App Store ou à Google Play d'afficher sa propre invite pour noter l'application, au plus une fois tous les quatre mois. Son affichage dépend de la boutique, et ce que vous y choisissez va à la boutique, selon sa propre politique de confidentialité ; l'application ne sait ni l'un ni l'autre.

Ouvrir le jeu sur le web

Cloudflare héberge ce site et le jeu, et voit donc chaque requête de votre navigateur : votre adresse IP, votre navigateur et l'adresse demandée. Nous n'ajoutons aucune journalisation de notre côté.
Les serveurs de polices de Google, parfois. Le jeu embarque sa propre police, mais quand il doit afficher un caractère qu'elle ne contient pas — un emoji, une flèche, ou un nom écrit dans une écriture comme le chinois ou l'arabe — la boîte à outils avec laquelle il est conçu télécharge la police manquante depuis fonts.gstatic.com. Dans ce cas, Google reçoit votre adresse IP et apprend que vous visitez ce site.
Une vérification de licence. À chaque démarrage, le jeu envoie la clé publique de votre appareil à notre service pour demander si elle a un abonnement. Si c'est le cas, le service note aussi que cet appareil est celui que votre compte utilise maintenant, depuis quand, et à quelle table en direct il se trouve, s'il est à une table ; cette note est remplacée la prochaine fois que l'un de vos appareils ouvre le jeu. Si ce n'est pas le cas, rien n'est conservé.
Votre page de profil demande les résultats des parties à notre relais pour afficher votre classement. Elle ne publie rien sur vous.
New Relic nous signale quand le jeu plante ou est lent pour vous sur play.openhearts.game. La page du jeu lui envoie les erreurs rencontrées, son temps de chargement, les adresses des appels qu'elle fait à notre service (sans ce qui suit un « ? »), ainsi que votre navigateur, votre type d'appareil et votre localisation approximative. Votre adresse IP sert à cette localisation et est effacée dans la journée. Il ne dépose aucun cookie, n'enregistre ni l'écran ni la session, et ne lit rien de ce que vous tapez. Selon les avis de confidentialité de New Relic.

Jeu en direct

Ce que tout le monde peut voir

Une partie en direct se joue via notre relais, relay.openhearts.game, un serveur qui transmet les messages entre les applications et tient les coups de chaque table en direct dans leur ordre. Il est ouvert : quiconque lui demande une salle, une table ou les résultats peut lire ce qu'il y transporte, et une partie en est conservée. En jeu en direct :

Conservé, et lisible par quiconque le demande : votre nom, votre icône et votre couleur, le numéro de votre compte, et la clé publique de votre appareil avec la licence qui relie les deux, chaque fois que vous prenez place à une table ; votre image, si vous en avez choisi une ; et le résultat de chaque partie en direct que vous jouez, classée ou non — la table, le compte, la clé, la licence et le score final de chaque place, et qui est parti. Les classements appartiennent aux comptes et sont calculés à partir de ces résultats par qui veut s'en donner la peine, et c'est tout l'intérêt : personne n'a à nous croire sur parole pour un classement. Les noms, icônes, clés, numéros de compte et images sont conservés un jour ; les résultats, aussi longtemps que les classements.
Conservé, et lisible par tout abonné qui a l'adresse de la partie : chaque partie en direct, coup par coup — le compte et la clé de chaque place, la licence qui les relie, le nom sous lequel elle a joué, chaque carte jouée, chaque carte distribuée et passée une fois sa donne terminée, quand la connexion de chaque joueur à la table s'est coupée et rouverte, et les signatures qui le prouvent. Notre relais conserve les coups à mesure qu'ils sont joués, jusqu'à un jour après le dernier coup de la partie. L'appareil d'un joueur envoie la partie entière à notre service à la fin, et elle est conservée définitivement, pour qu'on puisse la consulter et la vérifier ensuite, depuis l'appareil qu'utilise le compte d'un abonné. Son adresse est un long code aléatoire que personne ne peut deviner ; elle est partagée par quiconque la partage.
Transmis mais non conservé : pendant que vous attendez une partie, votre nom, votre classement, votre icône et votre couleur, et le nombre de secondes que vous prenez d'habitude pour jouer une carte, toutes les deux secondes environ ; et tant que l'application est ouverte, le fait que votre appareil est en ligne ou à une table, avec le numéro de votre compte et une note de courte durée de notre service indiquant que c'est l'appareil qu'utilise votre compte. Le relais les transmet à qui écoute à ce moment-là et ne garde rien — mais quiconque écoute pourrait les enregistrer. Les réactions que vous envoyez à une table (👍 Joli et les autres) sont transmises de la même façon, à la table et à qui la regarde, et ne sont pas conservées.
Transmis, tant que quelqu'un regarde : une partie en direct peut être regardée pendant qu'elle se joue par tout abonné qui a son adresse. Tant que quelqu'un regarde, l'appareil d'un des joueurs envoie, après chaque coup, ce que toute la table peut déjà voir — les noms, les scores, les cartes jouées jusque-là dans cette donne et à qui c'est le tour — et jamais une main encore en jeu. Le relais le transmet et ne garde rien. Si vous regardez, c'est sous la clé et la licence de votre propre appareil : l'appareil du joueur qui répond voit donc le numéro de votre compte ; il ne répond à personne dont le compte joue à cette table.

Une table entre amis n'est privée qu'en un sens : des inconnus ne peuvent pas s'y asseoir. Ce qu'elle publie est aussi public que pour n'importe quelle autre table.

Où cela va

Uniquement à notre relais, qui tourne sur Cloudflare. Chaque message est signé par l'appareil qui l'a envoyé, si bien que quiconque en garde une copie peut prouver qu'il est authentique ; nous ne pouvons pas supprimer une copie faite par quelqu'un d'autre.

Ce que seule votre table voit

Les cartes sont distribuées entre les places de la table de sorte que la main de chaque joueur ne puisse être lue que par lui seul. Notre serveur joue chaque place de bot, il connaît donc les cartes des bots : à une table d'un joueur et trois bots, ce sont toutes les cartes sauf celles du joueur, il pourrait donc en déduire la main du joueur, et nous ne le faisons pas. Ouvrir la main d'un joueur exige la moitié de notre serveur et celle d'un autre joueur ensemble ; la moitié de notre serveur seule n'est rien. La main d'un joueur qui part en cours de donne est ouverte pour le reste de cette donne, afin que la table puisse finir. Chaque coup passe par notre relais.

Votre appareil ne se connecte qu'à notre relais, si bien que les autres appareils de votre table ne connaissent jamais votre adresse IP — ni les autres joueurs, ni notre serveur qui joue les bots. Cloudflare, qui fait tourner le relais, voit votre adresse IP, comme tout serveur auquel vous vous connectez.

Si personne d'autre n'attend et que vous choisissez d'attendre une personne, notre service nous envoie un e-mail indiquant que quelqu'un attend : le groupe, l'heure, et les premiers caractères de la clé de votre appareil et de votre abonnement — jamais votre nom ni votre adresse e-mail. L'un de nous viendra peut-être jouer.

Si vous signalez un joueur, notre service nous envoie votre signalement par e-mail : ce que vous avez choisi et écrit, la table, le nom et l'image que vous avez vus, le numéro de votre compte et celui du compte signalé, et les premiers caractères de la clé de votre appareil. Le joueur n'en est pas averti. Nous gardons un signalement aussi longtemps qu'il nous faut pour le traiter, et notre service note pendant un jour que vous l'avez envoyé, pour que le même signalement ne nous parvienne qu'une fois.

Le jeu en direct est un abonnement. Sur le web, il s'achète auprès de Link (Sold through Link, LLC), société affiliée à Stripe, sur la page de Stripe : elle demande votre adresse e-mail, votre carte et votre adresse de facturation, d'après laquelle sont calculées les taxes là où vous vivez, selon la politique de confidentialité de Stripe.

S'abonner crée un compte : un nombre aléatoire, pas votre nom ni votre e-mail. Nous donnons à Stripe la clé publique de votre appareil pour que le paiement puisse lui être associé. En retour, notre service garde un court relevé : le compte que l'abonnement paie, les clés d'appareil qui sont dans le compte et quand chacune a été ajoutée, celle qui est utilisée en ce moment, et jusqu'à quelles dates court l'abonnement. Il conserve aussi le profil de votre compte — le nom, l'icône, la couleur et l'image que vous avez choisis — pour que tous les appareils du compte affichent les mêmes, et qu'une modification sur l'un atteigne les autres. Dans Stripe, nous voyons votre adresse e-mail, votre nom, votre adresse de facturation, la marque de votre carte, ses quatre derniers chiffres, ainsi que vos paiements et leurs taxes.

Nous pourrions donc relier l'adresse e-mail d'un abonné à son compte, et ainsi aux noms et aux résultats publiés par ses appareils. Nous ne publions pas ce lien, et nous ne l'utilisons que pour gérer votre abonnement.

Si vous ajoutez un autre appareil à votre compte, notre service garde une trace du code à usage unique que vous avez créé, et des appareils qui l'ont créé et utilisé. Tout appareil du compte peut voir les clés des autres, celui qui est utilisé, et les retirer. Votre compte joue sur un appareil à la fois : ouvrir le jeu sur l'un en fait celui qui est utilisé, et le précédent cesse de jouer en direct jusqu'à ce que vous le repreniez.

Un compte a aussi cinq codes de secours, conservés par notre service avec le compte et affichés sur ses appareils, avec une note indiquant lesquels ont servi. Si vous avez pris un abonnement sur le web, nous écrivons à l'adresse avec laquelle vous avez payé dans ces cas seulement : au moment de l'abonnement, avec ce que vous avez acheté, comment il se renouvelle, comment le résilier et les codes ; de nouveau avec les codes, chaque fois qu'un appareil du compte nous le demande ; avant qu'un changement de prix s'applique à votre abonnement ; et quand les conditions ou cette politique changent d'une façon qui compte pour les abonnés, pour vous dire ce qui a changé. Pour cela, nous lisons l'adresse dans Stripe à ce moment-là et la transmettons à Cloudflare, qui envoie l'e-mail pour nous ; nous ne conservons pas l'adresse, seulement une note des modifications annoncées à votre abonnement, et de leur date. Link vous écrit aussi elle-même au sujet de vos paiements, par exemple les reçus et un rappel avant chaque renouvellement, selon la politique de confidentialité de Stripe.

Si vous vous connectez avec Apple ou Google, nous gardons une forme brouillée du numéro qu'ils donnent à votre connexion — ni votre nom ni votre e-mail — reliée à votre compte, pour qu'une connexion faite de la même façon sur un autre appareil l'amène dans le compte. Votre appareil garde seulement lequel des deux vous avez utilisé. La connexion elle-même est faite par Apple ou Google, selon sa propre politique de confidentialité ; sur le web, son code de connexion n'est chargé que tant qu'un bouton de connexion est à l'écran.

Quand un abonnement est acheté, notre service nous envoie un e-mail indiquant la boutique où il a été acheté, ses premiers caractères et les dates auxquelles il court, pour garder un œil sur le service tant qu'il est petit — jamais votre nom ni votre adresse e-mail.

Signaler un problème

Le menu a une page « Signaler un problème ». Rien n'y est envoyé avant que vous n'appuyiez sur Envoyer, et tout ce qui serait envoyé est d'abord affiché sur la page : ce que vous écrivez, la version du jeu que vous avez, le type d'appareil, la langue de l'application et la taille de l'écran — et, pour une partie contre les bots, le relevé de cette partie, seulement si vous cochez la case prévue. Envoyer ouvre un nouveau ticket sur notre page GitHub publique, déjà rempli. Tout le monde peut lire les tickets GitHub : n'y mettez rien de privé.

Ce que nous ne faisons pas

Pas de pub, et rien de vendu ni de partagé à des fins publicitaires.
Pas d'identifiant publicitaire, et rien qui vous suive d'une application à l'autre ou d'un site à l'autre.
Pas de cookies sur nos pages. Stripe dépose les siens, sur son propre site, quand vous achetez.
Pas de localisation, pas de contacts, pas de micro. L'appareil photo seulement pendant que vous scannez un code pour ajouter un appareil ; l'image reste sur l'appareil.
Aucune adresse e-mail conservée par nous, pas de mot de passe, et pas de compte sauf si vous vous abonnez. Nous ne vous écrivons qu'au sujet d'un abonnement, comme indiqué ci-dessus : rien d'autre, et aucune publicité.
Pas de chat.

Durée de conservation

Sur votre appareil : jusqu'à ce que vous les supprimiez.
Sur notre relais : présence et attente d'une partie : non conservées. Les coups d'une partie en direct : jusqu'à un jour après le dernier. Salles, placements et images : un jour. Résultats des parties : aussi longtemps que les classements en sont calculés. Le relais ne transmet que l'image qu'un compte a en ce moment.
Parties en direct terminées : définitivement, dans le stockage de Cloudflare. Si vous nous demandez de supprimer les données de votre compte, votre nom est retiré des parties auxquelles vous avez joué ; les coups restent, pour les autres joueurs.
Relevés de compte et d'abonnement de notre service, profil de votre compte compris : tant que l'abonnement court, puis jusqu'à ce que vous supprimiez votre compte ou nous demandiez de les supprimer. Un profil modifié remplace le précédent. La note indiquant l'appareil utilisé est remplacée chaque fois qu'un autre de vos appareils ouvre le jeu. Si nous suspendons votre compte du jeu en direct, ou retirons son nom ou son image, comme les conditions le permettent, notre service conserve aussi une note indiquant qu'il est suspendu et depuis quand, ainsi que le nom ou l'image retirés, pour que l'un comme l'autre puisse être annulé. Chacun est conservé jusqu'à son annulation, ou jusqu'à la suppression des relevés de votre compte.
Les images que choisit votre compte : chacune est vérifiée au moment où elle est choisie. Project Arachnid, du Centre canadien de protection de l'enfance, compare une empreinte de celle-ci à des images connues d'abus sexuels et d'autres abus sur des enfants, sans que l'image elle-même ne lui soit jamais envoyée. Si nous ne pouvons pas utiliser Project Arachnid, PhotoDNA de Microsoft le fait à sa place : il compare une empreinte de l'image à des images connues d'abus sexuels sur des enfants, sans que l'image ne lui soit jamais envoyée non plus. Un programme exécuté par Cloudflare l'examine, et masque celle qui semble montrer de la nudité ou un contenu sexuel, de la violence ou un symbole de haine. Nous conservons à part une copie de chaque image, avec ce que le programme en a conclu, quel service l'a comparée à des images connues et quand, pour la regarder et traiter un signalement ; une fois qu'elle n'est plus l'image de votre compte, personne d'autre ne la voit. La copie est conservée jusqu'à un an après que l'image a cessé d'être celle de votre compte — quand vous la remplacez, que nous la retirons ou que votre compte est supprimé — puis supprimée.
Stripe et Link : aussi longtemps que l'exigent la politique de Stripe et la loi sur les relevés de paiement et les documents fiscaux.
Cloudflare, Google, le Centre canadien de protection de l'enfance et Microsoft : selon leurs propres politiques.
New Relic : les erreurs et les temps de chargement, huit jours.
Le journal propre de notre relais : sept jours, dans les Workers Logs de Cloudflare. En plus de comptages et de durées qui ne nomment personne, il note pour quel compte des codes de secours ont été envoyés par e-mail, ou n'ont pas pu l'être ; les images de quel compte ont été laissées à vérifier au prochain passage, chacune par son nom de fichier, un code fait à partir de l'image ; et le code d'une image trop simple pour être comparée ou qui correspond aux images de test d'un vérificateur.
Ce que la loi nous oblige à signaler : si quelque chose publié via Open Hearts doit être signalé aux autorités, comme la loi des États-Unis l'exige pour les contenus d'abus sexuels sur mineurs, nous conservons ce que nous avons signalé et les données du compte aussi longtemps que la loi l'exige, un an au moins, même si vous nous demandez de les supprimer, et nous les supprimons une fois ce délai écoulé.

Vos choix

Jouez seul, et rien sur vous ne quitte votre appareil.
Jouez en direct sous un nom qui n'est pas votre vrai nom, et sans image.
Changez votre nom ou votre image quand vous voulez ; si vous avez un abonnement, la modification atteint tous les appareils de votre compte. Ce qui a déjà été publié reste où il est.
Supprimez votre compte dans l'application (comment), ou demandez-nous de le supprimer, ou de vous envoyer une copie de ce que notre service conserve sur votre compte, son profil et ses appareils. Une fois le compte supprimé, votre nom est retiré des parties terminées auxquelles vous avez joué, et les résultats que vos appareils ont publiés restent sur notre relais, pour les classements, sans votre nom : chacun mentionne toujours le numéro de votre compte et la clé publique de votre appareil. Les copies des images qu'a choisies votre compte sont supprimées un an après. Si vous avez pris l'abonnement sur le web, les relevés de paiement de Stripe gardent toujours votre adresse e-mail avec la clé publique de votre appareil, que ces résultats mentionnent, aussi longtemps que Stripe les conserve.

Là où la loi sur la protection des données vous donne des droits — accéder à ce qui est détenu sur vous, le rectifier ou le supprimer, vous y opposer, ou porter plainte auprès de votre autorité de protection des données —, vous les avez ici aussi.

Enfants

Open Hearts n'est pas conçu pour les enfants de moins de 13 ans, et les conditions ne les laissent pas jouer en direct, puisque cela montre un nom et une image à des inconnus. Si vous pensez qu'un enfant a publié quelque chose par ce biais, dites-le-nous et nous ferons notre possible pour le supprimer.

Sur un téléphone, avant que vous jouiez en direct ou achetiez le jeu en direct dans l'app, l'app demande à l'App Store ou à Google Play si vous avez 13 ans ou plus ; Google Play indique aussi si un parent ou un tuteur a approuvé les derniers changements de l'app, ou s'il faut confirmer votre âge. Qu'une boutique puisse répondre, et qu'elle vous le demande d'abord, dépend de la boutique. L'app n'utilise la réponse que pour décider si le jeu en direct vous est ouvert, puis l'oublie : elle n'est pas gardée sur votre appareil, et n'est jamais envoyée ni à nous ni à personne d'autre.

Modifications

Si ce que l'application fait des données change, cette page change avec, et la date en haut est mise à jour. Une modification qui compte pour les abonnés leur est annoncée par e-mail et dans l'application, comme le prévoient les conditions. Son historique, et celui du code, est sur GitHub.

Contact

Pour une demande liée à la confidentialité — une copie de ce que notre service conserve sur votre compte, ou sa suppression — ou pour toute autre question sur cette page, écrivez à help@openhearts.game, ou par courrier à l'adresse indiquée dans les conditions. Pour que nous puissions retrouver ce qui vous concerne, indiquez-nous le nom sous lequel vous jouez et, si vous avez pris l'abonnement sur le web, l'adresse e-mail avec laquelle vous avez payé.