Togu Dev Team, projet non professionnel et non commercial, est responsable du traitement des données décrites ici. Pour toute question sur leur utilisation ou pour exercer tes droits, écris à [email protected].
Données, finalités, bases légales et durées
-
Classement des votes. Ton pseudo sans tag et ton nombre de votes du mois sont publiés sur le classement, sur la base de notre intérêt légitime à animer la communauté. Tu peux t’y opposer avec l’interrupteur de la page
/voter/. Ces données sont recalculées à partir des votes et supprimées avec ton compte. -
Compte. Ton adresse e-mail, le hachage de ton mot de passe (Argon2id appliqué à un HMAC avec poivre), ton pseudo et ton tag, ta langue et la version des conditions que tu as acceptée servent à gérer ton compte et fournir le jeu. Base légale : exécution du contrat (article 6, paragraphe 1, point b du RGPD). Ces données sont conservées pendant la durée du compte. Un compte en attente est purgé 7 jours après l’expiration de son lien de validation.
-
Sécurité du compte. Le secret TOTP chiffré, les condensats de tes codes de récupération et les clés d’accès (passkeys) servent à protéger l’accès au compte. Base légale : exécution du contrat (article 6, paragraphe 1, point b du RGPD). Ils sont conservés pendant la durée du compte ou du facteur concerné.
-
Sessions et appareils. Ces données servent à t’authentifier. Base légale : exécution du contrat (article 6, paragraphe 1, point b du RGPD). Elles sont conservées jusqu’à l’échéance de la session, puis 30 jours. Le libellé des sessions de launcher est fixé à « Launcher ».
-
Journal d’audit et adresse IP. Ces données servent à la sécurité et à la prévention de la fraude. Base légale : intérêt légitime (article 6, paragraphe 1, point f du RGPD). L’adresse IP est conservée 30 jours ; l’événement est ensuite pseudonymisé et conservé 90 jours.
-
Compteurs de quota. Ces condensats servent à prévenir les abus. Base légale : intérêt légitime (article 6, paragraphe 1, point f du RGPD). Ils sont conservés un jour.
-
Tickets de connexion au jeu. Ils servent à sécuriser la connexion au jeu. Base légale : exécution du contrat (article 6, paragraphe 1, point b du RGPD). Ils sont conservés 30 jours côté service de compte.
-
Codes d’invitation. Un code utilisé reste lié à ton compte comme historique tant que celui-ci existe et est supprimé avec le compte. Un code expiré ou révoqué qui n’a pas été utilisé est purgé après 30 jours.
-
Personnages et état de jeu. Ces données sont conservées par le serveur de jeu, distinct du service de compte, pour fournir le jeu. Base légale : exécution du contrat (article 6, paragraphe 1, point b du RGPD). Pour exporter ces données, écris à [email protected]. Après une demande de suppression du compte, l’effacement des personnages suit dès qu’ils ne sont plus en jeu ; il peut donc attendre leur déconnexion.
-
Journaux du serveur de jeu. Les journaux de trames sont conservés 7 jours et les journaux système 30 jours, pour la sécurité et le fonctionnement du service.
-
Sauvegardes. Les sauvegardes sont chiffrées et conservées jusqu’à 37 jours pour assurer la continuité du service. Base légale : intérêt légitime (article 6, paragraphe 1, point f du RGPD).
Fournisseurs et destinataires
- Cloudflare, Inc. héberge le site, le tunnel de l’API du compte et le stockage R2 utilisé pour le launcher et les sauvegardes chiffrées. Le widget Cloudflare Turnstile est chargé à l’inscription pour détecter les robots. La prévention de l’automatisation repose, pour Togu, sur son intérêt légitime (article 6, paragraphe 1, point f du RGPD). Cloudflare indique également utiliser des informations pour améliorer Turnstile dans sa politique de confidentialité. Le serveur de vérification reçoit l’adresse IP côté serveur ; le service de compte ne conserve pas les signaux Turnstile.
- Oracle America, Inc. (Oracle Cloud Infrastructure) héberge les serveurs du compte et du jeu.
- Resend envoie les e-mails transactionnels et reçoit pour cela leur destinataire, leur sujet et leur contenu.
- Have I Been Pwned reçoit uniquement les 5 premiers caractères hexadécimaux du SHA-1 du mot de passe lors de l’inscription et d’un changement de mot de passe, pour vérifier s’il est compromis. Le mot de passe et le hachage complet ne lui sont jamais envoyés.
Transferts hors de l’Union européenne
Cloudflare, Inc., Oracle America, Inc. et Resend sont certifiés au Data Privacy Framework UE–États-Unis, d’après le registre du programme : Cloudflare y figure sous le numéro de participant 5666 et Resend sous le numéro 8907 ; Oracle décrit son dispositif dans ses conditions relatives au Data Privacy Framework transatlantique. Ces vérifications datent du 26 octobre 2026. Si cette certification ne s’applique pas à un transfert, les clauses contractuelles types de la Commission européenne prévues par les contrats concernés s’appliquent.
Cookies et sessions
Les pages publiques du site ne déposent pas de cookie. Dans l’espace compte, le cookie __Host-session est Secure, HttpOnly et SameSite=Strict ; il dure au maximum 30 jours et expire après 7 jours d’inactivité. Le cookie __Host-mfa, utilisé pendant la validation de la double authentification, expire après 5 minutes. Le widget Turnstile de l’inscription relève de la politique de Cloudflare mentionnée ci-dessus.
Tes droits et tes démarches
Tu peux demander l’accès à tes données, leur rectification, leur effacement, leur portabilité ou t’opposer à un traitement. Depuis l’espace compte, tu peux exporter les données du compte et demander sa suppression. Pour l’export des données de jeu, écris à [email protected]. La purge des données du compte commence environ 24 heures après la demande, au passage horaire suivant ; l’effacement des personnages intervient dès qu’ils ne sont plus en jeu.
Tu peux aussi déposer une réclamation auprès de la CNIL. Les demandes relatives à tes droits reçoivent une réponse dans le délai légal d’un mois. Pour toute demande, tu peux écrire à [email protected].