La confidentialité chez Farandole

Farandole est un jeu pour les familles et les groupes : un adulte prépare des tâches, des équipes jouent en ville, et les photos arrivent sur une carte privée. Les offices de tourisme, les musées, les cafés, les magasins et d'autres organisations peuvent aussi publier des aventures, que toute personne qui a l'app peut trouver dans Aventures près de chez vous. Cette page dit ce que cela demande de vous, où cela va, et comment le faire disparaître.

Qui est responsable

Andreas Mavrocordatos, Luxembourg. Écrivez à contact@farandole.app pour toute question sur cette page.

Ce que nous gardons, et pourquoi

Chaque téléphone garde sa propre copie d'une aventure. Nos serveurs font passer les photos et les réponses entre les téléphones, et suppriment l'aventure selon le calendrier de la section Combien de temps.

Une identité silencieuse pour chaque téléphone, pour que ses réponses et ses photos arrivent dans la bonne aventure. Elle ne contient ni nom, ni e-mail, ni numéro de téléphone.
Votre adresse e-mail et votre façon de vous connecter, si vous vous connectez : avec Apple, Google ou un code que nous vous envoyons par e-mail. Les meneurs se connectent au moment de former les équipes ; l'adulte qui a le téléphone d'une équipe peut le faire, pour garder un historique. Elle sert à vous connecter et, pour les organisations, à ce qu'un collègue puisse vous inviter. Avec Apple, vous pouvez masquer votre e-mail : nous recevons alors d'Apple une adresse qui vous transfère les messages. Nous ne demandons pas votre nom à Apple. Google envoie votre nom et votre photo à chaque connexion ; nous ne les utilisons ni ne les affichons jamais, et nous les retirons de nos serveurs en moins d'un jour. Si vous vous connectez avec Apple, nous gardons une clé d'Apple, sous clé, uniquement pour retirer Farandole de votre identifiant Apple quand vous supprimez vos données.
Votre historique, si vous êtes connecté : quand une aventure quitte nos serveurs, une ligne courte à son sujet pour chaque personne connectée qui l'a menée ou jouée : son titre et sa ville, le jour où elle s'est terminée, le nom et l'animal de votre équipe, et la place de votre équipe avec ses points (par exemple « 2e sur 4, 85 points »). Pas de photos, pas de réponses, rien sur les autres équipes. Les joueurs gardent leur ligne même quand le meneur supprime l'aventure ou ses données.
Les notifications, si vous les activez : l'adresse de notification du téléphone (un jeton push), s'il s'agit d'un iPhone ou d'un téléphone Android, la version de l'app, sa langue et son fuseau horaire, les aventures de ce téléphone qui veulent des nouvelles, s'il veut les changements de classement, et quand vous avez dit oui. Une trace de chaque notification envoyée, et des téléphones qui l'ont reçue.
Ce que les adultes tapent : le nom par lequel les joueurs vous appellent, les noms des équipes, les prénoms des joueurs si vous les ajoutez, le titre de l'aventure et ses tâches.
Quand l'aventure s'ouvre et se termine, si le meneur fixe des horaires. Le fuseau horaire du téléphone du meneur, et de celui de chaque équipe, pour que chaque téléphone affiche les horaires à sa propre heure ; seul le meneur voit les fuseaux horaires des équipes.
Pour le meneur seulement : quand le téléphone de chaque équipe s'est connecté pour la dernière fois, et combien de ses réponses il gardait encore à ce moment-là, pour que le meneur sache ce qui peut encore arriver après la fin.
Le jeu lui-même : les réponses, les photos (y compris les photos bonus des questions), les jugements et les scores, et si le meneur partage la carte finale (Photos, ci-dessous) et quand il l'a décidé.
Qu'un adulte a la charge de chaque téléphone : le meneur le confirme sur l'écran Avant de commencer, et l'adulte de chaque équipe coche une case chaque fois qu'un téléphone rejoint l'aventure. Nous notons quand chaque téléphone l'a confirmé, avec cette aventure.
L'endroit où une photo a été prise ou une réponse envoyée. Le téléphone lit sa position une seule fois, quand une photo est prise dans l'app ou qu'une équipe envoie une réponse, pour planter un drapeau sur la carte privée du groupe. Pour une réponse, il ne demande jamais : il lit la position seulement si la localisation est déjà activée pour Farandole. Jamais en arrière-plan, jamais en direct.
Pour une photo choisie dans l'album du téléphone, le téléphone ne lit jamais sa propre position. Il lit le lieu et l'heure enregistrés dans les données cachées de la photo, sur le téléphone, même si la localisation est désactivée pour Farandole. Si la photo a été prise pendant l'aventure, son lieu et son heure sont envoyés comme son drapeau. Son heure est envoyée dans tous les cas, une fois, pour que nos serveurs vérifient quand elle a été prise ; pour une photo qui n'a pas été prise pendant l'aventure, ils ne gardent que le résultat (prise avant, ou inconnu), jamais l'heure. Le meneur voit « De l'album », ou « Prise avant l'aventure ».
Les lieux qu'un meneur épingle, s'il le fait : où l'aventure commence et où sont ses tâches. Le meneur déplace la carte jusqu'à l'endroit, colle ses coordonnées ou touche Utiliser l'endroit où je suis, qui lit la position du téléphone une fois. Ils font partie de l'aventure, donc ils vont là où elle va : vers les téléphones des équipes à travers nos serveurs, dans un fichier d'aventure que le meneur partage, et dans l'aventure publiée d'une organisation, dont le départ apparaît sur la carte d'Aventures près de chez vous une fois qu'elle est listée. Un lieu épinglé peut être le domicile de quelqu'un : épinglez plutôt un lieu public.
Aventures près de chez vous : pour afficher la liste, le téléphone demande à nos serveurs toutes les aventures listées, ou celles d'une ville. Il ne demande jamais ce qui est près du téléphone, et nous ne gardons aucune trace de ce que vous avez regardé ou cherché, à part les journaux des serveurs ci-dessous. Près de moi trie la liste sur le téléphone (ci-dessous).
Les téléchargements : quand ce téléphone enregistre ou lance l'aventure d'une organisation, une marque avec l'identité silencieuse de ce téléphone, l'aventure et le jour, pour que chaque téléphone ne compte qu'une fois dans les téléchargements de l'aventure. L'enregistrer à nouveau, rejoindre l'aventure d'un meneur comme équipe, et les propres membres de l'organisation ne comptent pas.
Votre j'aime, si vous en donnez un : l'aventure, votre identité et le jour. Seuls un meneur, ou un joueur avec un pass Farandole, dont le groupe a joué l'aventure jusqu'au bout peuvent l'aimer. Pour le prouver, nos serveurs donnent au téléphone un ticket de j'aime une fois que l'aventure arrive à la révélation ; le téléphone le garde, et nos serveurs le vérifient quand vous aimez, sans le conserver. Tout le monde voit combien de j'aime une aventure a ; personne ne voit qui les a donnés. Si nous retirons des j'aime qui n'étaient pas sincères (achetés, ou donnés par des scripts), nous notons de quel compte venait le j'aime retiré pour cette aventure, pour qu'il ne puisse pas être redonné.
Un signalement sur une aventure, si vous en envoyez un : l'aventure et sa version, la raison que vous choisissez, votre message si vous en écrivez un, votre nom et votre e-mail si vous voulez une réponse (seulement après Avant de commencer, donc seul un adulte les donne), si vous avez coché que le signalement est exact et complet, quand nous avons confirmé l'avoir reçu, l'identité de ce téléphone, et si vous aviez joué l'aventure ou étiez connecté, ce qui nous dit quel poids lui donner. Masquer les aventures d'une organisation envoie un signalement avec la raison « masquée » et rien d'autre. L'organisation n'apprend jamais qui a signalé.
Pour éviter que quelqu'un nous inonde de signalements : un code brouillé fait à partir du réseau d'où vient un signalement (son adresse IP, ou pour une adresse IPv6 la première moitié, qui reste la même pour un foyer ou un téléphone), avec le nombre de signalements de la journée. Jamais l'adresse elle-même.
Pour les organisations, et les décisions que nous prenons sur leurs aventures : voir Organisations, ci-dessous.
Si vous avez un pass Farandole : d'où il vient (un achat dans une boutique, ou offert par nous), quand il commence et finit, s'il se renouvelle, et un problème de paiement que la boutique signale. Le pass n'est pas encore en vente. Pendant la bêta, garder est gratuit et les seuls pass sont ceux que nous donnons à la main.
Une fois le pass en vente, les messages que la boutique envoie à son sujet par RevenueCat : leurs identifiants et ceux des identités qu'ils citent, le type de message, le produit, la boutique, les dates et, quand la boutique en donne une, la raison pour laquelle un pass a été annulé ou a pris fin. Jamais le prix ni votre pays.
Ce que vous nous envoyez. Un e-mail Signaler un problème contient ce que vous écrivez, plus la version de l'app, le système et le modèle du téléphone, les 8 premiers caractères de l'identité de ce téléphone et la dernière erreur de synchronisation. Le formulaire de farandole.app/fr/contact transmet le sujet que vous choisissez, votre adresse e-mail, votre nom si vous le donnez, votre message, et la page de notre site d'où vous venez. Les retours par TestFlight peuvent contenir des captures d'écran et des rapports de plantage, et vous pouvez écrire dans le groupe WhatsApp de la bêta.
Les journaux des serveurs : nos serveurs notent chaque requête avec son adresse IP, et chaque connexion, pour que Farandole fonctionne et reste sûr.

Nous utilisons cela uniquement pour faire tourner les aventures que vous lancez ou rejoignez, pour montrer les aventures des organisations dans Aventures près de chez vous et garder cette liste sûre, pour garder celles que vous nous demandez de garder, pour garder votre historique si vous vous connectez, pour envoyer les notifications que vous activez, et pour réparer ce qui ne va pas. La base légale dépend de la personne à qui appartiennent les données :

Pour les adultes qui utilisent l'app : fournir le jeu que vous avez demandé, et le pass si vous en avez un.
Pour les enfants d'une équipe, et toute autre personne nommée ou visible sur une photo : notre intérêt légitime, et celui de l'adulte qui a organisé la journée, à faire tourner le jeu qu'il a demandé. Cela reste dans le groupe et est supprimé de nos serveurs selon le calendrier ci-dessous. Les réponses et les points de chaque équipe, que les autres équipes de la même aventure voient une fois que le meneur a partagé les photos, font partie de ce jeu. La carte finale aussi, si le meneur la partage : elle montre aux autres équipes de la même aventure où les drapeaux ont été plantés, jamais où se trouve quelqu'un.
Pour une aventure gardée, qui contient les photos et les réponses de chaque équipe : l'intérêt légitime du meneur, et le nôtre, à garder la journée qu'il nous a demandé de garder. Nous avons mis par écrit comment nous avons mis cela en balance avec les intérêts des joueurs ; demandez-le-nous. Toute équipe peut faire retirer ses propres photos et réponses (Vos droits, ci-dessous).
Pour les messages que vous nous envoyez, la vérification du formulaire de contact, les journaux des serveurs et les messages de la boutique sur un pass : notre intérêt légitime à faire fonctionner Farandole en toute sécurité, à vous répondre, et à bien gérer un pass.
Pour votre historique : fournir la fonction que vous avez choisie en vous connectant. Pour le titre et la ville du meneur dans les lignes des joueurs : notre intérêt légitime à permettre aux joueurs de garder une trace de leur propre partie. Nous avons mis par écrit comment nous avons mis cela en balance avec les intérêts du meneur ; demandez-le-nous. Un meneur peut nous demander de les retirer (Vos droits, ci-dessous).
Pour les notifications : votre consentement, donné sur chaque téléphone quand vous les activez. Désactivez-les à tout moment dans Réglages ou dans les réglages du téléphone.
Pour Aventures près de chez vous et votre j'aime : fournir la fonction que vous avez choisie.
Pour les marques de téléchargement, et les codes réseau brouillés qui limitent les signalements : notre intérêt légitime à des chiffres fiables et à empêcher les abus.
Pour les signalements, les exposés des motifs que nous donnons aux organisations, et notre trace de ce que nous avons décidé : notre obligation légale au titre du règlement européen sur les services numériques (DSA), et notre intérêt légitime à garder la liste sûre et à pouvoir montrer ce que nous avons décidé et pourquoi. Pour une suspension, et la note sur la façon dont nous avons vérifié une organisation : ce même intérêt légitime. Nous avons mis par écrit comment nous avons mis ces intérêts en balance avec les vôtres ; demandez-le-nous.
Pour les informations d'une organisation, ses membres et ses invitations : fournir le service que l'organisation a demandé.

La position demande aussi votre accord dans la demande d'autorisation du téléphone. En dehors d'une photo, d'une réponse et d'un lieu épinglé, le téléphone ne la lit que pendant que Farandole est ouvert à l'écran : quand vous touchez Près de moi dans Aventures près de chez vous, une fois et de façon approximative, pour trier les aventures par distance ; quand vous touchez Montrer où je suis, pour mettre un point sur votre propre carte ; et, pendant qu'une aventure d'équipe est ouverte, toutes les quelques secondes, pour dire à l'équipe quand elle est proche d'une tâche que le meneur a montrée sur la carte. Cette position reste dans la mémoire du téléphone : elle n'est jamais enregistrée, jamais envoyée à nous, aux organisations, au meneur ni aux autres équipes, et la lecture s'arrête quand Farandole se ferme ou passe en arrière-plan. Personne ne voit où se trouve une autre équipe en ce moment : les autres équipes voient seulement où et quand a été prise une photo que le meneur a partagée et, si le meneur partage la carte finale, où les drapeaux ont été plantés. Vous pouvez désactiver la localisation pour Farandole à tout moment dans les réglages du téléphone ; les photos et les réponses marchent toujours, sans drapeau sur la carte (une photo de l'album reçoit quand même son drapeau là où elle a été prise, si c'était pendant l'aventure), Aventures près de chez vous marche en tapant une ville, et le reste du jeu marche de la même façon. Les cartes viennent de notre serveur de cartes pour la zone que vous regardez (Où c'est conservé). Itinéraire vers le départ ouvre Plans d'Apple ou Google Maps avec le point de départ, selon leurs propres conditions. La page d'une aventure renvoie vers le site web de son organisation, ou vers sa page Facebook ou Instagram ; cela ouvre le site, selon ses propres conditions. Pas de publicité, pas d'outils de pistage ou d'analyse, pas de profils, pas de vente, rien de votre groupe publié nulle part, et aucune notification sur autre chose que vos aventures.

Photos

Les photos sont prises dans l'app ou choisies dans l'album du téléphone, sauf si le meneur demande que chaque photo soit prise dans l'app. Avant qu'une photo quitte le téléphone, elle est réencodée, ce qui retire les données cachées que les appareils photo ajoutent (lieu, heure, appareil). Pour une photo de l'album, le téléphone lit d'abord son lieu et son heure dans ces données (L'endroit où une photo a été prise, ci-dessus). Une photo est vue par l'équipe qui l'a prise et par l'adulte qui mène l'aventure. Les autres équipes ne la voient que si le meneur la partage après la révélation, et elles voient alors aussi où et quand elle a été prise, sous forme de drapeau sur leur carte, même sans la carte finale. L'app dit qui voit la photo sur chaque tâche photo, avant qu'elle soit envoyée, et rejoindre une aventure veut dire que l'équipe l'accepte. Le meneur partage les photos une par une, et décoche toute photo que quelqu'un préfère garder privée. Une photo qu'une équipe a gardée « Juste pour » le meneur, dans une version de l'app qui avait encore cet interrupteur, reste entre l'équipe et le meneur : elle n'est jamais partagée. Les photos vont dans l'app Photos de votre téléphone seulement quand vous le demandez, ou quand vous activez « Enregistrer aussi mes photos dans Photos quand je les prends ». Après le partage, Partager votre résultat fait sur le téléphone une image avec l'aventure, le nom de l'équipe, son animal, sa place et ses points et, seulement si vous les ajoutez, une des photos partagées de votre équipe, le podium, ou une petite carte avec les propres drapeaux de votre équipe. C'est une nouvelle image sans données cachées, elle va seulement là où vous l'envoyez, et rien de nouveau n'arrive sur nos serveurs.

Les scores et les réponses : si le meneur affiche le classement pendant l'aventure, chaque équipe voit le nom, les points et la place de chaque équipe. Une fois que le meneur arrive au podium ou publie le classement final, chaque téléphone du groupe voit les scores finaux. Une fois que le meneur a partagé les photos, chaque équipe de l'aventure voit aussi les réponses et les points de chaque équipe, tâche par tâche (Question par question) : ce que chaque équipe a répondu, les points qu'elle a reçus et comment, et la bonne réponse quand l'app la vérifie. C'est toujours le cas après le partage, et cela ne montre jamais où étaient les équipes : seule la carte finale le fait. Une réponse ou une photo gardée « Juste pour » le meneur ne montre que ses points. Avant le partage, une équipe ne voit jamais les photos ou les réponses d'une autre équipe.

La carte finale : à la fin, le meneur peut activer « Partager la carte finale avec chaque équipe ». Elle est désactivée tant que le meneur ne l'active pas, et les équipes ne la voient qu'une fois les photos partagées. Le téléphone de chaque équipe montre alors une carte avec les drapeaux de chaque équipe, et pour chaque drapeau le nom de l'équipe, la tâche, où et quand le drapeau a été planté, la réponse de l'équipe, et la photo si le meneur l'a partagée. Une photo ou une réponse gardée « Juste pour » le meneur ne montre que son drapeau et sa tâche, et une réponse envoyée sans localisation ne plante pas de drapeau, donc elle n'est pas sur la carte. Seuls le meneur et les équipes de cette aventure la voient : pas une équipe retirée, jamais une organisation ni quelqu'un hors du groupe. Les drapeaux sont là où les photos ont été prises et les réponses envoyées (la photo bonus d'une question partage le drapeau de sa réponse), jamais là où se trouve quelqu'un maintenant. Si le meneur la désactive, elle disparaît des téléphones des équipes à leur prochaine connexion.

Si le meneur retire une équipe, ses photos et ses réponses sont tout de suite cachées à tout le monde. Elles sont supprimées de nos serveurs quand le meneur partage les photos, ou quand l'aventure est supprimée, selon ce qui arrive en premier. Le téléphone de l'équipe garde sa copie.

Enfants

Les enfants n'ont jamais de compte, ne se connectent jamais et ne tapent jamais d'e-mail. Mener une aventure est réservé aux adultes, et le téléphone de chaque équipe doit être entre les mains d'un adulte : l'adulte d'une équipe le confirme chaque fois que ce téléphone rejoint l'aventure, et à nouveau avant de s'y connecter. Utilisez des prénoms ou des surnoms pour les joueurs ; ils sont facultatifs. Aventures près de chez vous ne s'ouvre qu'après Avant de commencer, où un adulte confirme qu'il en est un, et seuls un meneur ou un joueur avec un pass peuvent aimer une aventure.

Les notifications vont au téléphone de l'adulte qui a la charge d'une équipe, seulement si cet adulte les active, et ne contiennent jamais de photos, de réponses ni les noms des autres équipes.

Combien de temps

Une aventure, en entier (son titre et ses tâches, le nom du meneur, les équipes et les prénoms des joueurs, les réponses et les photos avec leurs drapeaux, les jugements et les scores) : supprimée de nos serveurs 30 jours après la dernière chose qui s'y passe, ou après son ouverture ou sa fin prévue, selon ce qui est le plus tard. Cela veut dire tout ce qui s'y passe, comme sa création, son ouverture, sa fin ou une modification, une équipe qui la rejoint, une réponse ou une photo, un jugement, la révélation ou un partage. La regarder ne compte pas. La suppression se fait pendant la nuit qui suit les 30 jours, et l'app montre le dernier jour.
Une photo envoyée après la fin, ou après le partage, que nos serveurs ont refusée : son fichier part dans les 7 jours après la fin.
Une aventure gardée, avec les photos et les réponses de chaque équipe : reste sur nos serveurs tant que le pass Farandole de son meneur est actif. Pendant la bêta, garder est gratuit pour tout meneur qui se connecte, et nous vous préviendrons au moins 30 jours avant que cela change. Quand le pass prend fin, ou quand la garde gratuite prend fin pour un meneur sans pass, l'aventure est supprimée 30 jours plus tard, sauf si le pass est renouvelé ou acheté d'ici là. Si le meneur arrête de la garder, les 30 jours recommencent à partir de ce moment.
Ce qu'un meneur supprime (Tout supprimer maintenant sur une aventure, ou Réglages, Supprimer mes données) : supprimé dès que le téléphone atteint nos serveurs, les fichiers photo la nuit même, sauf une ligne courte pour chaque joueur connecté (Votre historique).
L'identité silencieuse de ce téléphone : supprimée après 90 jours sans usage, une fois qu'elle ne mène ni ne joue plus aucune aventure sur nos serveurs, n'appartient à aucune organisation et n'a pas de pass. Une identité avec un compte (Apple, Google ou e-mail), et son e-mail, restent jusqu'à ce que vous supprimiez vos données, ou jusqu'à 3 ans sans usage ; nous vous écrivons 30 jours avant. Sans compte, personne ne peut retrouver l'identité une fois l'app supprimée.
Votre historique : jusqu'à ce que vous retiriez une ligne (Réglages, Votre historique) ou supprimiez vos données, ou que votre compte parte après 3 ans sans usage.
L'adresse de notification d'un téléphone : jusqu'à ce que les notifications soient désactivées sur ce téléphone ou que vous supprimiez vos données, ou 90 jours sans que l'app soit ouverte. Elle part aussi quand Apple ou Google nous dit qu'elle ne marche plus. Quand vous vous déconnectez, le téléphone ne reçoit plus les nouvelles de votre compte et garde son accord pour les aventures qui y sont encore. Les traces des notifications envoyées : 7 jours.
La clé d'Apple : jusqu'à ce que vous supprimiez vos données ; elle sert alors une fois, puis elle est supprimée.
Un pass Farandole : la fiche reste tant que le pass dure, et 60 jours après sa fin. Les messages de la boutique sur un pass, une fois en vente : 90 jours.
Les traces de suppression : quand nous supprimons une aventure, une équipe ou une identité, nous gardons son identifiant, la date et la raison, jamais ce qu'elle contenait. La trace d'une aventure reste, pour qu'aucun téléphone ne puisse remettre une aventure supprimée sur nos serveurs. La trace d'une équipe ou d'une identité part après 30 jours.
Une organisation : jusqu'à ce qu'elle nous demande de la supprimer, ou que nous la supprimions selon les conditions pour les organisations. Le compte et l'e-mail d'un membre partent quand cette personne supprime ses données, et l'adresse de contact de l'organisation part quand la personne à qui elle appartient supprime les siennes. Ses chiffres restent avec elle : les groupes qui ont commencé et fini chaque aventure, ses téléchargements et ses j'aime, par mois. Un chiffre ne dit rien sur personne, alors il reste après le départ des personnes comptées.
Une invitation à rejoindre une organisation : jusqu'à ce qu'elle soit acceptée ou refusée, ou 14 jours. Elle part aussi quand la personne à qui elle a été envoyée supprime ses données.
La façon dont nous avons vérifié une organisation : tant que l'organisation existe. Le code de vérification : jusqu'à ce qu'il soit utilisé, ou 14 jours.
Une marque de téléchargement : 24 mois, ou jusqu'au départ de l'identité. Après 24 mois, le même téléphone peut compter à nouveau.
Un j'aime : jusqu'à ce que vous le repreniez, ou que votre identité parte. Le nombre de j'aime reste. Un j'aime que nous avons retiré comme non sincère : la note qu'il a été retiré reste jusqu'au départ du compte ou de l'aventure.
Un signalement : 12 mois après que nous l'avons traité. Le nom et l'e-mail qu'il contient partent plus tôt si vous supprimez vos données. Les codes réseau brouillés : 2 jours.
Les exposés des motifs, et notre trace des décisions que nous avons prises : tant que l'aventure ou l'organisation existe, et 12 mois après sa disparition.
Une suspension : jusqu'à 2 ans, jusqu'à ce que nous la levions, ou jusqu'à la suppression du compte.
Les e-mails entre nous et une organisation au sujet de sa vérification ou d'une décision, et nos réponses aux personnes qui ont signalé une aventure : aussi longtemps que la trace de cette décision.
Les messages que vous nous envoyez, par e-mail, par le formulaire de farandole.app ou par TestFlight : supprimés une fois le problème traité, dans un délai d'un an au plus. Les messages du groupe WhatsApp y restent jusqu'à ce qu'ils soient supprimés dans WhatsApp.
Les journaux des serveurs, y compris la trace de chaque connexion : 7 jours.
Nos sauvegardes : la base de données est sauvegardée chaque jour et chaque sauvegarde est gardée 7 jours. Les fichiers photo ne sont jamais dans nos sauvegardes. Si nous en restaurons une un jour, tout ce qui a été supprimé depuis est supprimé à nouveau, et chaque décision prise depuis, comme le retrait d'une aventure, est prise à nouveau, avant que Farandole ne reprenne.

Sur vos téléphones

Chaque téléphone garde sa propre copie de chaque aventure qu'il a jouée, jusqu'à ce que vous la supprimiez sur ce téléphone. Elle reste sur le téléphone après que nos serveurs ont supprimé l'aventure.
La sauvegarde de votre téléphone (iCloud, ou la sauvegarde Google sur Android) et le passage à un nouveau téléphone peuvent emporter les aventures et les photos de Farandole. La connexion ne voyage jamais avec elles : sur le nouveau téléphone, connectez-vous à nouveau, de la même façon qu'avant, et vos aventures se reconnectent. Votre accord pour les notifications ne voyage pas non plus : le nouveau téléphone le redemande.
Le fichier de sauvegarde (Réglages, Sauvegarder toutes mes aventures) contient chaque aventure que vous avez menée ou jouée sur ce téléphone, photos comprises (pas les copies de travail d'une organisation). Sur le téléphone d'un meneur, cela veut dire les photos et les réponses de chaque équipe, y compris les photos qui n'ont pas été partagées avec les autres équipes. C'est votre propre copie : nous ne la voyons jamais, et vous choisissez où l'enregistrer.
Le carnet que vous téléchargez contient une aventure, et il est à vous.
La carte finale, si le meneur la partage : le téléphone de chaque équipe la garde avec sa copie de l'aventure, avec les photos partagées dessus. Elle part quand le meneur la désactive et que le téléphone se connecte ensuite, quand l'équipe est retirée, ou quand l'aventure est supprimée du téléphone. Les carnets et les fichiers de sauvegarde n'y reprennent pas les réponses des autres équipes.
Question par question : une fois les photos partagées, le téléphone de chaque équipe garde les réponses et les points de chaque équipe avec sa copie de l'aventure, même après que l'aventure a quitté nos serveurs. Ils partent quand l'équipe est retirée, ou quand l'aventure est supprimée du téléphone. Les carnets et les fichiers de sauvegarde ne les reprennent pas.
Les cartes hors ligne : quand vous enregistrez, lancez, rejoignez ou ouvrez une aventure, le téléphone télécharge la carte de sa zone depuis notre serveur de cartes, pour que la carte marche sans réseau. Seule la carte descend ; rien sur vous ne monte avec elle. Une carte part quand sa copie enregistrée est supprimée, ou 30 jours après la fermeture de son aventure. Réglages, Cartes hors ligne, Tout supprimer les supprime toutes, ainsi que les morceaux de carte gardés des endroits déjà regardés.
Aventures près de chez vous : le téléphone garde la dernière liste qu'il a reçue, pour l'afficher sans réseau, et la dernière ville que vous avez tapée. Jamais votre position. Il garde aussi vos tickets de j'aime et si vous avez aimé chaque aventure, les aventures qu'il a déjà comptées comme téléchargées, et les organisations que vous avez masquées (Réglages, Organisations masquées, les montre à nouveau).
Supprimer mes données vide ce téléphone, cartes hors ligne, j'aime et organisations masquées compris. Cela ne peut pas atteindre une sauvegarde du téléphone, un fichier de sauvegarde ou un carnet que vous avez enregistré ailleurs ; supprimez-les vous-même.

Où c'est conservé

Sur les serveurs de Supabase à Francfort, en Allemagne, dans l'Union européenne, dans le cadre d'un contrat de traitement des données. Certains des services qu'utilise Farandole sont gérés par des entreprises aux États-Unis. Quand l'une d'elles peut accéder à des données personnelles, le transfert est couvert par les clauses contractuelles types de l'UE ou par le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) :

Supabase fait tourner nos serveurs ; les données elles-mêmes restent à Francfort.
Resend envoie par e-mail les codes de connexion, et les e-mails que nous écrivons depuis contact@farandole.app, depuis sa région européenne en Irlande.
Cloudflare sert farandole.app. Par Cloudflare Email Routing, il fait suivre les e-mails envoyés à contact@farandole.app, et chaque message du formulaire de farandole.app/fr/contact, vers la boîte où nous les lisons, chez Google (Gmail). farandole.app lui-même ne garde rien du formulaire et n'en tient aucun journal. De la même façon, il nous transmet une courte note de nos serveurs quand quelque chose nous attend dans Aventures près de chez vous : des codes d'aventures, des noms courts d'organisations et des chiffres, jamais le message d'un signalement ni l'adresse de qui que ce soit.
Cloudflare gère aussi notre serveur de cartes, tiles.farandole.app. Le téléphone lui demande les morceaux de carte qu'il affiche, et la carte hors ligne de la zone d'une aventure, ce qui révèle l'adresse IP du téléphone et la zone. Nous ne gardons aucun journal de ces requêtes.
Cloudflare Turnstile vérifie qu'une personne écrit, sur le formulaire de contact seulement. Pour cela, il traite votre adresse IP, le User-Agent de votre navigateur, l'empreinte de la connexion sécurisée (TLS) du navigateur, et le site qui a demandé ; notre site envoie aussi à Cloudflare votre adresse IP avec le résultat, pour le confirmer. Cloudflare le fait pour nous et, en tant que responsable du traitement lui-même, utilise les mêmes signaux pour améliorer la façon dont Turnstile distingue les personnes des robots ; il indique qu'ils ne servent pas à identifier, profiler ou cibler qui que ce soit. Turnstile tourne dans son propre cadre chez Cloudflare et peut y garder quelques données pour la vérification ; farandole.app ne pose aucun cookie. L'avenant de confidentialité de Turnstile de Cloudflare (cloudflare.com/turnstile-privacy-policy) donne les détails.
RevenueCat, une fois le pass Farandole en vente dans l'app : il gère pour nous les achats dans les boutiques. Il gardera l'identifiant de votre compte (avant que vous vous connectiez, un identifiant à lui), vos achats de pass et le pays du compte de votre boutique. Rien ne va chez RevenueCat aujourd'hui.
Apple et Google, une fois le pass en vente : ils encaissent le paiement dans l'App Store ou Google Play, selon leurs propres conditions et en tant que responsables du traitement eux-mêmes.
Expo (États-Unis, certifié selon le EU-US Data Privacy Framework) garde l'adresse de notification du téléphone et transmet chaque notification à Apple (iPhone) ou à Google Firebase Cloud Messaging (Android), qui la livrent. Expo ne garde le texte que le temps de le livrer. Sur Android, Firebase donne aussi à l'app un identifiant d'installation pour cela, seulement une fois que vous activez les notifications.
Apple et Google, quand vous vous connectez avec eux, selon leurs propres conditions et en tant que responsables du traitement eux-mêmes.
Apple gère TestFlight, qui transporte la bêta iPhone ainsi que ses retours et rapports de plantage ; Expo construit l'app et héberge le téléchargement Android ; WhatsApp transporte le groupe de la bêta. Ces trois-là selon leurs propres conditions.

Plus tard, l'app arrivera par l'App Store et Google Play, selon leurs propres conditions.

Vos droits

Selon le RGPD, vous pouvez voir, corriger, emporter ou supprimer ce que nous gardons sur vous, nous demander de limiter son usage le temps qu'une question soit réglée, et vous opposer à son usage.

Voir et emporter : le carnet contient une aventure, et le fichier de sauvegarde chaque aventure que vous avez menée ou jouée sur ce téléphone, photos comprises.
Supprimer : Réglages, Supprimer mes données supprime de nos serveurs votre compte, ou l'identité de ce téléphone si vous ne vous êtes jamais connecté, chaque aventure que vous menez et leurs photos, la fiche de votre pass, et l'adresse de contact d'une organisation si c'est la vôtre, puis vide le téléphone. Il faut du Wi-Fi ou du réseau et, sur un téléphone qui était connecté, vous connecter à nouveau ; sans cela, rien n'est supprimé et l'app vous le dit. Les fichiers photo partent la nuit même ; nos sauvegardes expirent dans les 7 jours. Une aventure que vous avez seulement rejointe reste chez son meneur jusqu'à ce que nos serveurs la suppriment.
Supprimer mes données supprime aussi votre historique et l'adresse de notification de chacun de vos téléphones et, si vous vous êtes connecté avec Apple, retire Farandole de la liste Se connecter avec Apple de votre identifiant Apple (l'app peut demander à Apple de confirmer une fois). Sans l'app, utilisez farandole.app/fr/delete-account : nous écrivons à l'adresse avec laquelle vous vous êtes connecté pour vérifier que c'est bien vous, puis nous supprimons.
Supprimer mes données supprime aussi vos j'aime, vos marques de téléchargement, le nom et l'e-mail dans tout signalement que vous avez envoyé, et les invitations à votre e-mail. Le nombre de j'aime et de téléchargements reste, parce qu'un chiffre ne dit rien sur personne.
Un j'aime : reprenez-le à tout moment avec le même bouton.
Votre historique : retirez une ligne, ou toutes, dans Réglages, Votre historique. Un meneur peut nous demander de retirer le titre et la ville de son aventure des lignes d'historique des joueurs : écrivez à contact@farandole.app.
Les notifications : désactivez-les dans Réglages, Notifications sur ce téléphone, et l'adresse de notification du téléphone part de nos serveurs tout de suite, ou dès que le téléphone a du Wi-Fi ou du réseau. Désactivées dans les réglages du téléphone, le téléphone n'en montre aucune, et l'adresse part à la prochaine ouverture de Farandole.
Un pass acheté dans une boutique continue de se renouveler jusqu'à ce que vous l'annuliez là-bas, même après Supprimer mes données ; l'app affiche Gérer le pass. Quand vous supprimez vos données, nous demandons aussi à RevenueCat de supprimer sa fiche à votre sujet.
Votre équipe dans une aventure gardée : écrivez à contact@farandole.app et nous en retirons les photos et les réponses de votre équipe, dans un délai d'un mois.
Tout le reste : écrivez à contact@farandole.app. Nous répondons dans un délai d'un mois.

Vous pouvez aussi porter plainte auprès de l'autorité luxembourgeoise de protection des données, la CNPD (Commission nationale pour la protection des données, cnpd.public.lu), ou auprès de l'autorité du pays où vous vivez.

Organisations

Les offices de tourisme, les villes, les musées, les cafés, les bars, les magasins et les autres organisateurs qui publient des aventures apparaissent sous leur propre nom. Pour une organisation, nous gardons :

son nom, son type, sa ville et son pays, et son site web si elle en ajoute un (une page Facebook ou Instagram compte), en précisant lequel des trois c'est ;
le compte et l'adresse e-mail de chaque personne qui en fait partie, et si elle est propriétaire ou éditrice ;
son adresse de contact : l'e-mail de la personne qui l'a créée, pour que nous puissions joindre l'organisation, par exemple au sujet de sa vérification ou d'une décision sur l'une de ses aventures. Les membres de l'organisation peuvent la voir ;
une invitation à un collègue : l'adresse e-mail à laquelle elle est partie, le rôle, qui l'a envoyée et quand. Le collègue la voit dans l'app une fois connecté avec cette adresse. Nous ne disons jamais à la personne propriétaire si cette adresse utilise déjà Farandole ;
quand une personne propriétaire a accepté les conditions pour les organisations, et quelle version ;
sa vérification : quand elle l'a demandée, quand nous l'avons vérifiée, et une courte note sur la façon dont nous avons vérifié, en rôles seulement (« a parlé à la personne propriétaire »), jamais en noms. Le code que nous envoyons est gardé brouillé, pendant 14 jours et cinq essais ;
pour chaque aventure : chaque version qu'elle a publiée, si elle est activée pour Aventures près de chez vous, sa réponse sur l'alcool, les tâches qui demandent un achat, les mots que notre vérification a trouvés dans chaque version, et chaque décision que nous avons prise, avec son exposé des motifs ;
une suspension : quand et pourquoi, et, pour le compte de chaque membre, une note qui l'empêche de créer ou de rejoindre une organisation pendant 2 ans au plus.

Le nom, le type, la ville, le site web et la mention Vérifié accompagnent l'aventure sur chaque téléphone qui ouvre son code ou la trouve dans Aventures près de chez vous. Une aventure listée montre aussi son départ sur la carte, sa zone, sa ville et son pays, ses téléchargements et ses j'aime, et si une étape sert de l'alcool ou si une tâche demande un achat.

Les organisations ne voient jamais les parties jouées, les équipes, aucune photo ni réponse, ni qui a enregistré, aimé ou signalé leurs aventures. Elles ne voient que des chiffres : pour chaque aventure, ses téléchargements et ses j'aime, combien de groupes l'ont commencée et finie, et combien ont commencé chaque version. Nous gardons ces chiffres par mois.

Changements

Si cette page change d'une façon qui compte, nous le dirons dans l'app et sur farandole.app avant que le changement s'applique.