Politique de confidentialité

En bref

KRILLION est un jeu de devinettes. Une partie par jour se joue sans rien fournir. Au-delà, il faut un compte, et le compte se limite à une adresse e-mail, plus le nom que Google ou Apple nous transmet si vous passez par eux.

Le site ne revend aucune donnée, n’affiche aucune publicité, ne constitue aucun profil publicitaire et ne suit personne d’un site à l’autre.

• Sans compte : une empreinte à sens unique de votre adresse IP sert à compter vos parties du jour. L’adresse elle-même n’est jamais enregistrée.
• Avec un compte : votre adresse e-mail, le nom transmis par Google ou Apple si vous les utilisez, et le résumé de vos parties terminées.
• Palmarès : le lendemain, vos meilleures trouvailles de la Plongée du jour sont publiées sous un pseudonyme généré, jamais sous votre adresse e-mail, et jamais avec le texte que vous avez tapé.
• Achat : le paiement passe intégralement par Stripe. Aucun numéro de carte ne transite par KRILLION.
• Vos parties, vos statistiques et vos réglages restent dans votre navigateur tant que vous n’avez pas de compte.
• Mesure d’audience : quelques événements techniques, sans cookie et sans identifiant durable, pour voir où le jeu bloque.
• Publicité : aucune, sur aucune page et pour personne. Aucun cookie publicitaire n’est déposé.
• Offre d’essai par e-mail : un compte gratuit qui a joué ses parties du jour peut recevoir, environ une heure plus tard, une offre d’essai de l’abonnement. Jamais plus d’une par semaine ni de trois en tout, chacune porte son lien de désabonnement, et vous pouvez vous y opposer à tout moment.

Qui est responsable de ces traitements

Le responsable du traitement est KRILLION LTD, éditeur du site krillion.to, dont l’identification figure sur la page Contact.

Pour toute question relative à vos données, écrivez à [email protected]. Cette adresse est relevée et sert aussi à exercer vos droits.

Quand vous jouez sans compte

Lancer une partie envoie une requête à notre serveur, et cette requête porte votre adresse IP, comme toute requête sur le web.

Le serveur ne la conserve pas. Il en calcule une empreinte à sens unique (HMAC-SHA256, avec une clé secrète qui ne quitte jamais le serveur) et n’enregistre que cette empreinte, accompagnée de la date du jour et du nombre de parties démarrées. L’empreinte ne permet pas de remonter à l’adresse d’origine et n’est rattachée à aucun compte, aucun nom et aucune adresse e-mail.

À quoi elle sert : appliquer la limite d’une partie gratuite par jour sans compte, et empêcher qu’un même visiteur contourne cette limite en boucle.

Base légale : notre intérêt légitime à proposer un essai gratuit sans le laisser vider par l’automatisation. Aucun profilage n’est réalisé à partir de cette empreinte.

Ce qui reste dans votre navigateur

Tant que vous n’avez pas de compte, le déroulé de vos parties ne part pas sur nos serveurs. Il est écrit dans le stockage local de votre navigateur, sur votre appareil.

• Ces entrées ne sont lisibles que par vous. Aucun tiers n’y accède et elles ne sont envoyées nulle part.
• Vous pouvez les effacer à tout moment en vidant les données du site dans votre navigateur.
• La page Sauvegarde permet d’exporter puis de restaurer vos parties, vos statistiques et votre réglage de son, sans compte et sans passer par nos serveurs.

La partie en cours, le temps d’un onglet

Pendant une partie, l’onglet garde aussi la partie en cours dans son stockage de session, sous la clé echolow:partie_en_cours:v1 : un identifiant de partie tiré au hasard, le mode et le numéro de la partie, les identifiants de ses questions, les manches déjà jugées avec vos réponses, la réponse en cours de saisie et la dernière refusée, l’heure du lancement et l’heure limite de la manche, le fait que vous étiez connecté ou non au lancement, et le jeton de partie remis à ce moment-là.

Elle sert seulement à reprendre la partie si la page se recharge ou si vous changez de langue en cours de route. Elle n’est jamais envoyée telle quelle : seuls le jeton et, quand une manche reprise se termine, la réponse alors en cours de saisie partent au serveur, comme pendant une partie ordinaire.

Un onglet dupliqué en reçoit une copie, mais une seule des deux peut continuer la partie : celle qui a jugé le plus de manches, d’après l’entrée echolow:manches_jugees:v1 du stockage local décrite plus haut.

Elle est remplacée quand vous lancez une autre partie, et effacée quand vous quittez l’écran de résultats par « Revoir l’accueil » ou « Nouvelle partie », quand le serveur refuse le jeton ou quand la partie continue dans un autre onglet. Elle n’est plus reprise quinze minutes après la fin de la partie ni six heures après son lancement, et disparaît à la fermeture de l’onglet, sauf si le navigateur rouvre cet onglet en restaurant votre session.

La mesure d’audience du jeu

Pour savoir où les joueurs décrochent, le site enregistre quelques événements pendant votre visite : l’ouverture d’une page, l’affichage de l’écran d’intro, le lancement d’une partie, un blocage par le quota, une manche répondue ou laissée filer, la fin, l’abandon ou la reprise d’une partie, l’ouverture de la fenêtre de connexion et son issue, l’affichage de l’offre d’accès à vie et son achat, l’ouverture d’un pack, un partage. La liste est fermée : le serveur refuse tout autre nom.

Cette mesure est faite par nous, pour nous, sur notre propre domaine. Aucun outil de mesure d’audience tiers n’est chargé sur le site : ni Google Analytics, ni aucun équivalent. Ces événements partent vers krillion.to et nulle part ailleurs, et ils ne servent qu’à réparer et améliorer le jeu.

Le site ne charge que trois scripts extérieurs : la bibliothèque de paiement Stripe, dès que l’offre payante s’affiche sur le mur de fin des parties gratuites ou sur la page d’essai, et sinon au moment de payer ; le module de connexion Google et celui d’Apple, dès que le bouton de connexion s’affiche. Aucun des trois ne reçoit ces événements.

• Jamais d’adresse e-mail, jamais le texte que vous tapez, jamais votre adresse IP en clair, jamais votre nom.
• Aucun cookie de mesure n’est déposé, et aucun identifiant durable n’est créé pour cette mesure.
• L’empreinte d’adresse IP est calculée sur le serveur à partir de la requête. Votre navigateur ne l’envoie pas et ne la connaît pas.
• L’identifiant d’onglet vit dans le stockage de session : il n’accompagne aucune requête, il ne survit pas à la fermeture de l’onglet et il ne vous relie à aucune autre visite.
• Aucune décision automatisée n’est prise à partir de ces événements, et aucun profil publicitaire n’en sort.

Pourquoi cette mesure ne vous demande pas votre accord

Base légale : notre intérêt légitime à comprendre et à corriger notre propre jeu, au sens de l’article 6.1.f du règlement général sur la protection des données.

Votre consentement n’est pas requis parce que cette mesure reste dans les limites que la CNIL fixe pour exempter la mesure d’audience : elle est strictement limitée à l’analyse du site, elle est mise en œuvre par l’éditeur pour son seul compte, elle ne dépose aucun cookie ni aucun traceur soumis à consentement, elle ne produit que des statistiques agrégées, elle ne vous suit sur aucun autre site, elle n’est recoupée avec aucun autre traitement et ses données ne sont transmises à personne.

Durée de conservation : les événements bruts sont supprimés au-delà de 90 jours. Seuls des comptages, qui ne désignent personne, peuvent être conservés ensuite.

Opposition : vous pouvez vous opposer à cette mesure en écrivant à [email protected]. Si vous avez un compte, les événements qui y sont rattachés sont supprimés. Sans compte, rien dans ces lignes ne permet de vous y retrouver, et c’est voulu.

Quand vous créez un compte

Trois façons d’ouvrir un compte : un lien de connexion envoyé par e-mail, le bouton Google ou le bouton Apple. Aucun mot de passe n’est demandé ni stocké.

• Lien par e-mail : nous traitons votre adresse e-mail, conservée par notre prestataire d’authentification Supabase.
• Connexion Google : Google nous transmet votre adresse e-mail et, lorsque votre compte Google en comporte, votre nom affiché et l’adresse de votre photo de profil. Nous ne demandons rien d’autre et n’accédons à aucun autre élément de votre compte Google.
• Connexion Apple : Apple nous transmet un identifiant propre à KRILLION et une adresse e-mail, la vôtre ou, si vous choisissez de la masquer, une adresse relais créée par Apple qui vous fait suivre nos messages. À la toute première connexion seulement, Apple nous transmet aussi le nom saisi dans sa fenêtre. Nous n’accédons à aucun autre élément de votre compte Apple. Ce nom est gardé avec le compte, ne sert qu’à l’afficher dans votre menu de compte, et disparaît avec lui.
• Adresse masquée : un compte ouvert avec l’adresse relais d’Apple est un compte distinct de celui ouvert avec votre adresse réelle. Il ne retrouve ni l’accès payant ni l’essai pris avec une autre méthode : si vous avez déjà un compte, reconnectez-vous avec la même méthode qu’avant.
• Session : des cookies déposés par Supabase, dont le nom commence par sb-, vous gardent connecté jusqu’à votre déconnexion. Ils sont indispensables au fonctionnement du compte, et leur durée figure sur la page Cookies.
• Historique : à la fin d’une partie, un résumé est enregistré côté serveur (mode, numéro de partie, score, profondeur atteinte, date de fin). Les vingt parties les plus récentes sont celles qui vous sont affichées.
• Quota : un compteur de parties par compte et par jour, du même type que le compteur anonyme.

Le palmarès de la Plongée de la veille

Le lendemain, la page « Les trouvailles d’hier » montre, question par question, quel joueur a donné la meilleure réponse et laquelle. C’est le seul endroit du site où quelque chose que vous avez fait dans une partie devient public.

Ce qui est enregistré, uniquement si vous jouez la Plongée du jour avec un compte : l’identifiant de votre compte, le jour de la Plongée, l’identifiant de la question, le palier obtenu, les points, la forme de la réponse telle qu’elle est écrite dans notre catalogue de questions, et l’heure. Une seule ligne par question et par compte, celle de votre meilleure trouvaille.

Ce qui est publié : un pseudonyme généré et cette forme du catalogue. Rien d’autre.

Base légale : notre intérêt légitime à animer un jeu qui donne rendez-vous chaque jour, au sens de l’article 6.1.f du règlement général sur la protection des données. Aucun profil n’en est tiré et aucune décision automatisée n’en découle.

• Le texte que vous tapez n’est ni enregistré ni publié. Seule la réponse du catalogue que votre saisie a atteinte l’est, et elle est relue dans le catalogue avant tout affichage.
• Une réponse que le jeu ne reconnaît pas n’est pas enregistrée du tout.
• Le pseudonyme, par exemple « Plongeur A7F3C », est calculé à partir de l’identifiant de votre compte en HMAC-SHA256, avec une clé qui reste sur le serveur. Il est stable, il ne permet pas de remonter jusqu’à vous, et il ne contient ni votre adresse e-mail, ni votre nom, ni votre photo.
• Sans compte, rien n’est enregistré pour cette page : le palmarès ne nomme que des comptes.
• La Plongée du jour en cours n’y figure jamais : seules des journées déjà terminées y apparaissent.
• Conservation : 90 jours, puis suppression automatique. Supprimer votre compte efface ces lignes en même temps que le reste.
• Opposition : écrivez à [email protected] pour que vos trouvailles soient retirées de cette page et que vos parties suivantes n’y entrent plus.

Le mode Battle

Le mode Battle réunit plusieurs comptes dans un salon, autour des mêmes sept questions, au même moment. C’est le seul endroit du site où d’autres joueurs voient un nom que vous avez choisi, et votre score en train de bouger.

Le mode est réservé aux comptes : sans compte, il n’est pas jouable et rien n’y est enregistré à votre sujet.

Base légale : l’exécution du service que vous demandez en entrant dans un salon, au sens de l’article 6.1.b du règlement général sur la protection des données. Aucun profil n’en est tiré et aucune décision automatisée n’en découle.

• Ce qui est enregistré pour votre compte : un pseudonyme, un numéro de poisson, et la date de dernière modification. Ni adresse e-mail, ni nom réel, ni photo.
• Ce qui est enregistré pour un salon : l’identifiant de votre compte, le pseudonyme et le poisson choisis à l’entrée, la date d’entrée et celle de votre dernier passage.
• Ce qui est enregistré pour chaque manche : le palier obtenu, les points, et la réponse telle qu’elle est écrite dans notre catalogue de questions. Le texte que vous tapez n’est ni enregistré ni montré aux autres.
• Qui voit quoi : les autres joueurs du même salon, et personne d’autre. Ils voient votre pseudonyme, votre poisson et votre profondeur. Ils ne voient votre réponse qu’une fois la manche terminée, jamais avant. Un salon peut réunir jusqu’à 50 joueurs.
• Le pseudonyme est du texte que vous écrivez et que d’autres lisent. Il est borné en longueur et en caractères autorisés, les adresses et les liens y sont refusés, et il est revérifié au moment de l’afficher : un pseudonyme que le contrôle refuse est remplacé par un code de plongeur anonyme, y compris sur l’image de fin de partie.
• L’image de fin de partie est fabriquée par notre serveur à votre demande. Elle porte les pseudonymes et les profondeurs du salon. Nous ne la publions nulle part et ne la conservons pas : c’est vous qui décidez de l’enregistrer et de la partager.
• Conservation : un salon terminé est supprimé au bout de 7 jours, un salon abandonné en cours de route au bout de trois heures. Supprimer votre compte efface ces lignes en même temps que le reste.
• Opposition : écrivez à [email protected] pour que votre pseudonyme soit remis à sa valeur d’origine et vos salons effacés. Ne pas jouer le mode Battle suffit à ce que rien n’y soit enregistré.

La mesure des réponses

Le jeu compte ce que les joueurs répondent, pour deux raisons : retrouver les bonnes réponses qui manquent à son catalogue, et constater quelles réponses sont réellement courantes au lieu de le décider à la main.

Cette mesure ne vous identifie pas, et ne le permettrait pas : rien de ce qu’elle enregistre ne se rattache à un compte, à une adresse ou à une session.

Base légale : notre intérêt légitime à corriger et à équilibrer le jeu, au sens de l’article 6.1.f du règlement général sur la protection des données. Aucun profil n’en est tiré et aucune décision automatisée n’en découle.

• Quand une réponse n’est pas reconnue, le jeu retient sa forme normalisée, en minuscules, sans accent ni ponctuation, et un compteur. Ni le texte tel que vous l’avez tapé, ni qui l’a tapé.
• Une saisie qui ne ressemble pas à une réponse de jeu, parce qu’elle est trop longue, qu’elle forme une phrase ou qu’elle contient une adresse, est écartée avant tout enregistrement.
• Une forme vue une seule fois n’apparaît nulle part : seul ce qui revient plusieurs fois sert de piste.
• Quand une réponse est reconnue, le jeu compte un joueur distinct de plus sur cette réponse. Le joueur est une empreinte à sens unique (HMAC-SHA256) calculée avec une clé qui reste sur le serveur, et rejouer la même réponse ne compte pas deux fois.
• Conservation : 90 jours, puis suppression automatique.

Le cas particulier du lien de connexion

Un lien reçu par e-mail est très souvent ouvert sur un autre appareil que celui qui l’a demandé. Pour que la connexion aboutisse quand même, le jeton de vérification est déposé sur notre serveur en attendant d’être réclamé par le lien.

Cette ligne contient une empreinte à sens unique de votre adresse e-mail, une empreinte à sens unique de votre adresse IP (jamais les valeurs en clair), le jeton technique et une date d’expiration. Elle vaut une heure au maximum, n’est utilisable qu’une seule fois et est effacée automatiquement.

Les empreintes servent aussi à limiter le nombre de liens demandés par heure, pour une même adresse et depuis un même réseau, afin que personne ne puisse se servir du site pour inonder une boîte aux lettres.

L’e-mail lui-même est acheminé par Resend, notre prestataire d’envoi, depuis une infrastructure située dans l’Union européenne. Il ne contient que le lien de connexion, et jamais de publicité.

Un e-mail de connexion n’est pas une annonce. Les annonces sur le jeu font l’objet d’un envoi distinct, décrit à la section suivante, dont on sort par un lien présent dans chacune.

Les annonces par e-mail

Un compte KRILLION peut recevoir des annonces sur le jeu : un nouveau pack de questions, un mode inédit, un changement qui vaut la peine d’être dit. Ces envois sont rares, ils ne viennent que de nous, et ils sont acheminés par Resend comme les e-mails de connexion.

La liste d’envoi ne contient que des comptes KRILLION dont l’adresse a été confirmée. Elle n’est ni achetée, ni échangée, ni alimentée par un autre site, et une adresse saisie dans l’écran de connexion sans avoir jamais été confirmée n’y entre pas.

Ce qui y est conservé : votre adresse e-mail, la langue dans laquelle vous lisez le site, la date de création du compte, le nombre d’annonces reçues et la date de la dernière. Ces e-mails ne contiennent aucun traceur : ni pixel d’ouverture, ni lien de mesure de clic.

Base légale : notre intérêt légitime à tenir nos propres joueurs au courant de ce que devient le jeu, au sens de l’article 6.1.f du règlement général sur la protection des données. Aucune annonce n’est envoyée pour le compte d’un tiers, et la liste ne quitte jamais KRILLION.

Sortie : chaque annonce porte un lien de désabonnement qui retire votre adresse de la liste en un clic, et la fenêtre Compte du site propose le même arrêt. L’adresse est alors inscrite sur une liste de refus, conservée sans limite de durée, dont l’unique rôle est de garantir que plus rien ne repart vers elle, même si vous ouvrez un nouveau compte plus tard.

Sortir des annonces ne coupe ni les liens de connexion, ni les reçus de paiement : ce ne sont pas des annonces. Un message à [email protected] produit le même effet que le lien, et la suppression de votre compte retire votre adresse de la liste par la même occasion.

L’offre d’essai envoyée après les parties du jour

Quand un compte gratuit a joué ses parties gratuites du jour, KRILLION peut lui envoyer, environ une heure plus tard, un e-mail qui propose l’essai gratuit de l’abonnement annuel. C’est une offre commerciale : son objet le dit, et ses conditions (durée de l’essai, prix ensuite toutes taxes comprises, résiliation) sont écrites dans le message. Elle part entre 8 h et 22 h, à l’heure du fuseau horaire que votre navigateur indique, dans les deux heures qui suivent ce délai d’une heure, et le même jour UTC que les parties. Si ce n’est pas possible (la nuit, ou passé minuit UTC, quand les parties gratuites sont revenues), rien ne part ce jour-là. Si votre navigateur n’indique aucun fuseau horaire, rien ne part non plus.

Qui la reçoit : tout compte dont l’adresse e-mail est confirmée, quels que soient son pays et sa date d’ouverture, inscrit sur la liste d’annonces décrite à la section précédente, qui ne s’y est pas opposé, qui n’a ni abonnement, ni accès à vie, ni essai en cours ou passé, et qui a lui-même joué toutes ses parties gratuites ce jour-là. Tout est vérifié à nouveau juste avant l’envoi. Jamais plus d’un e-mail par semaine, ni plus de trois en tout pour un même compte.

Ce qui est conservé pour cela : l’identifiant du compte, le jour concerné, l’heure à laquelle les parties gratuites ont été épuisées et celle de l’envoi, la langue et la devise de la page à ce moment, le fuseau horaire indiqué par votre navigateur (par exemple « Europe/Paris »), et l’état de l’envoi. Ce fuseau accompagne chaque lancement de partie et chaque entrée dans un salon Battle, mais il n’est gardé que lorsque l’offre est préparée, et il ne sert qu’à choisir l’heure de l’envoi. Le pays de connexion ne sert qu’à choisir la devise : il n’est pas conservé. L’adresse e-mail n’est pas recopiée : elle est lue dans la liste d’annonces au moment de l’envoi.

Mesure : ni pixel d’ouverture, ni lien de mesure propre à chaque destinataire. Le bouton du message mène à la page de l’essai avec un même marqueur pour tout le monde, qui ne désigne personne. Si vous arrivez sur la page de l’essai par ce bouton, la session de paiement que cette page ouvre chez Stripe, dès son affichage quand vous êtes connecté (voir la rubrique sur le paiement), porte la mention de cette provenance, la même pour tous, pour compter les essais que ces e-mails ouvrent. Le prix exact, selon le pays de connexion, s’affiche sur la page de l’essai avant tout paiement.

Base légale : notre intérêt légitime à présenter notre offre à nos propres joueurs, au sens de l’article 6.1.f du règlement général sur la protection des données. Vous pouvez vous opposer à ces envois à tout moment, sans frais et sans avoir à vous justifier (article 21 du même règlement).

Opposition : chaque message porte un lien vers une page où un seul clic vous retire de ces offres comme des annonces, et les messageries qui le permettent affichent aussi leur propre bouton de désabonnement, qui agit immédiatement. La fenêtre Compte du site propose le même arrêt, et un message à [email protected] produit le même effet. Votre adresse rejoint alors la liste de refus décrite à la section précédente, et plus aucune offre ni annonce ne part vers elle. Les liens de connexion et les reçus de paiement continuent d’arriver.

Conservation : la trace d’un envoi parti, ou dont l’issue est restée inconnue (le prestataire n’a pas répondu), est gardée tant que le compte existe, pour tenir les limites d’un par semaine et de trois en tout, et disparaît avec lui. Une ligne qui n’a donné lieu à aucun envoi est effacée au bout de sept jours.

Quand vous achetez l’accès à vie

L’accès à vie coûte 29,90 $US en une seule fois. Le paiement est traité par Stripe, dans un formulaire fourni et servi par Stripe.

Votre numéro de carte, sa date d’expiration et son cryptogramme ne passent jamais par KRILLION et ne nous sont jamais accessibles.

Nous transmettons à Stripe votre adresse e-mail et un identifiant interne de compte, afin que le paiement soit rattaché au bon accès.

Sur le mur de fin des parties gratuites et sur la page d’essai, la session de paiement est préparée chez Stripe dès que l’offre s’affiche, pour que le formulaire de carte s’ouvre sans attente. Si vous êtes connecté, votre adresse e-mail et l’identifiant de votre compte sont donc transmis à Stripe à ce moment-là, avant tout clic. Rien n’est encaissé tant que vous n’avez pas validé le paiement.

Après le paiement, nous conservons de notre côté les identifiants Stripe de la session de paiement, du paiement et du client, le montant, la devise et la date. Aucun numéro de carte n’est conservé. Pour un essai gratuit, seule une empreinte à sens unique de l’empreinte de carte que Stripe nous fournit est gardée, comme décrit à la section suivante.

Base légale : l’exécution du contrat que vous concluez en achetant, puis nos obligations comptables pour la conservation des justificatifs.

L’essai gratuit et votre adresse

L’essai gratuit ne s’accorde qu’une fois par adresse e-mail. Pour le tenir, nous gardons une empreinte à sens unique (HMAC-SHA256, avec une clé qui ne quitte jamais le serveur) de l’adresse de chaque essai accordé, avec les identifiants Stripe de son abonnement. Cette ligne survit à la suppression du compte : c’est son unique rôle, empêcher qu’un essai se reprenne en recréant un compte. Un essai arrêté sans que personne ne l’ait jamais réclamé la libère.

Depuis le jeu, l’essai peut se demander avant d’avoir un compte. L’adresse que vous donnez alors sert à trois choses : vérifier qu’elle n’a jamais eu d’essai, d’abonnement ni d’accès, en la comparant à ce registre, aux achats en attente et aux comptes existants ; être transmise à Stripe, qui l’impose au paiement ; recevoir le code et le lien de connexion, qui créent votre compte à cette adresse. Avant le paiement, KRILLION ne l’enregistre nulle part en clair.

Pour que personne ne se serve de cette vérification pour tester une liste d’adresses, chaque demande laisse une empreinte à sens unique de l’adresse et de l’adresse IP, effacée au bout d’un jour. Ces empreintes servent seulement à limiter le nombre de demandes par heure : par adresse, par réseau et en tout.

Pour mesurer les essais qui reviennent avec une même carte, nous gardons une empreinte à sens unique de l’empreinte de carte que Stripe fournit, avec un compteur : ni numéro de carte, ni adresse, ni compte. Elle est effacée treize mois après le dernier essai ouvert avec cette carte, et ne sert à refuser personne.

Base légale : l’exécution du contrat que vous demandez, et notre intérêt légitime à n’offrir l’essai qu’une fois par personne, au sens de l’article 6.1.f du règlement général sur la protection des données.

Quand vous résiliez ou vous rétractez

Les deux formulaires de sortie demandent un nom, un prénom, une adresse e-mail ou postale, une référence de contrat et une date. Ce n’est pas une collecte de notre initiative : le décret D. 215-2 du code de la consommation en fixe la liste, et l’article L. 221-13 nous impose de pouvoir prouver ce qui a été déclaré.

Aucun compte n’est demandé pour remplir ces formulaires, et aucun n’est créé à cette occasion. Le décret D. 215-1 l’interdit au stade de la notification.

Ces demandes, ainsi que les cases cochées avant un paiement, sont conservées 3 ans, puis effacées. C’est la durée pendant laquelle un litige sur ce contrat peut encore être porté devant un juge : au-delà, la preuve ne protège plus personne.

Base légale : l’exécution du contrat, et le respect d’obligations légales qui pèsent sur nous.

Aucune publicité, aucun cookie publicitaire

KRILLION n’affiche aucune publicité, sur aucune page et pour personne, avec ou sans compte, abonné ou non. Aucun code publicitaire n’est chargé, aucune régie ne reçoit quoi que ce soit, et aucun cookie n’est déposé à des fins publicitaires.

Les pages de contenu du site ont chargé le code de la régie Google AdSense jusqu’au 2 octobre 2026, le temps que Google examine le site. Ce code transmettait à Google votre adresse IP et l’adresse de la page consultée. Il a été retiré : depuis, rien n’est plus demandé aux serveurs de Google pour la publicité. Le soir du 31 août 2026, le code d’une autre régie, Monetag, a aussi été chargé sur les pages du site, puis retiré.

Le jeu se finance par les accès payants, qui restent facultatifs. Si la publicité devait revenir un jour, cette page le dirait avant la première annonce, et non après.

Aucun traceur publicitaire n’étant déposé, aucun consentement publicitaire n’est demandé, dans l’Union européenne comme ailleurs.

• Si la régie Google AdSense, quand elle était en place, ou sa fenêtre de consentement ont déposé des cookies sur krillion.to, ces cookies peuvent encore se trouver dans un navigateur jusqu’à leur expiration, comme ceux que la régie Monetag a pu déposer le 31 août 2026. Le site ne s’en sert pas et ne les renouvelle plus. Les effacer depuis le navigateur ne change rien au jeu.

Qui d’autre reçoit ces données

KRILLION ne vend ni ne loue de données. Les seuls tiers destinataires sont les prestataires indispensables au fonctionnement du site.

Transferts hors de l’Union européenne

Le serveur qui fait tourner le jeu est hébergé en France. La base de données et l’authentification sont hébergées dans l’Union européenne par Supabase, et les e-mails du site partent d’une infrastructure Resend située dans l’Union européenne.

Stripe, Cloudflare et Google sont en revanche des sociétés établies aux États-Unis. Une partie des traitements a donc lieu hors de l’Union européenne.

Ces transferts sont encadrés par le cadre de protection des données entre l’Union européenne et les États-Unis auquel ces sociétés ont adhéré, et, selon les cas, par des clauses contractuelles types de la Commission européenne.

La connexion avec Apple relève, pour l’Union européenne, d’Apple Distribution International Ltd., établie en Irlande. Selon la politique de confidentialité d’Apple, les transferts qu’Apple opère hors de l’Union européenne, notamment vers Apple Inc. aux États-Unis, reposent sur des clauses contractuelles types de la Commission européenne.

Combien de temps ces données sont conservées

Fiche de registre : la mesure d’audience

Le RGPD demande de tenir un registre des traitements. Voici la fiche de la mesure d’audience, publiée telle quelle pour que vous puissiez la lire sans avoir à la demander.

Vos droits et comment les exercer

Le règlement général sur la protection des données vous ouvre des droits sur les données qui vous concernent.

• Accès : obtenir une copie des données que nous détenons sur vous.
• Rectification : faire corriger une donnée inexacte.
• Effacement : faire supprimer votre compte et ce qui y est rattaché.
• Portabilité : recevoir vos données dans un format lisible par une machine.
• Opposition : vous opposer à un traitement fondé sur notre intérêt légitime.
• Limitation : demander le gel d’un traitement le temps d’une contestation.

En pratique

Écrivez à [email protected], depuis l’adresse de votre compte ou en indiquant l’adresse concernée. Nous répondons sous un mois.

Suppression du compte : le jeu ne propose pas encore de bouton dédié. Une demande à cette adresse suffit. Supprimer le compte efface aussi, automatiquement, l’historique de parties, les compteurs rattachés au compte et le droit d’accès associé.

Opposition à la mesure d’audience : la même adresse suffit. Vous n’avez rien à justifier.

Si notre réponse ne vous convient pas, vous pouvez saisir la Commission nationale de l’informatique et des libertés : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Âge des joueurs

KRILLION ne s’adresse pas aux enfants, ne leur est pas destiné et ne cherche pas à les attirer. Nous ne collectons pas sciemment de données concernant des personnes de moins de quinze ans, et le site n’affiche de publicité à personne.

Si vous pensez qu’un enfant nous a transmis des données, écrivez à [email protected] : elles seront supprimées.

Sécurité

Le site n’est servi qu’en HTTPS, toute requête en clair étant redirigée, et il demande aux navigateurs de ne plus jamais l’appeler autrement pendant un an.

Les adresses IP et les adresses e-mail utilisées pour compter les parties et limiter les envois ne sont enregistrées que sous forme d’empreintes à sens unique, calculées avec une clé qui reste sur le serveur.

Les tables qui contiennent vos données ne sont accessibles à aucun client navigateur : seul le serveur y accède, par des fonctions dédiées qui vérifient à chaque appel à qui appartient la ligne demandée.

• Le site refuse d’être affiché dans un cadre sur un autre site, ce qui coupe une méthode classique de détournement de clic.
• Le type de contenu annoncé par le serveur ne peut pas être réinterprété par le navigateur.
• L’adresse de provenance n’est transmise aux sites tiers que de façon réduite.
• L’accès à la caméra, au micro et à la position est refusé pour toute la page.

Changements de cette page

La date de dernière révision figure en haut de cette page. Si un changement touche à ce que nous collectons, à la finalité d’un traitement ou à ses destinataires, il sera signalé sur le site et non glissé discrètement dans le texte.

Résilier ou renoncer au contrat

La résiliation d’un abonnement et la renonciation à un achat se font en ligne, gratuitement et sans compte.

• Résilier ton contrat
• Renoncer au contrat ici