Politique de confidentialité

Le responsable du traitement de vos données est Ravenlab sp. z o.o., Dębowa 11, 66-120 Kargowa, Pologne, KRS 0001247798, NIP PL9731122188, REGON 545003226, propriétaire et exploitant de la plateforme Buzzin.

Pour toute question relative à vos données, écrivez à contact@playbuzzin.com. Nous n'avons pas désigné de délégué à la protection des données (DPO) : vous nous contactez donc directement.

Cette politique s'applique à toutes les interfaces de Buzzin :

• le site playbuzzin.com (informations, compte, achats),
• l'écran de jeu sur la télé (tv.playbuzzin.com),
• la manette sur téléphone dans le navigateur (m.playbuzzin.com),
• les applications mobiles Buzzin pour iOS et Android.

Elle ne couvre pas les services tiers vers lesquels nous renvoyons (Discord, l'App Store, Google Play, nos profils sur les réseaux sociaux). Ceux-ci sont régis par leurs propres conditions.

Jouer sans compte (par défaut). Aucun compte ni adresse e-mail n'est nécessaire pour jouer. Dans ce cas, nous traitons :

• un identifiant d'appareil : une chaîne aléatoire générée sur votre appareil et stockée sur celui-ci, afin que le jeu reconnaisse le même téléphone après une actualisation,
• votre pseudo, le personnage choisi et votre activité en jeu (réponses, points, dessins) ainsi que le code de la partie : sans eux, le jeu ne peut pas fonctionner,
• des données techniques : adresse IP (qui permet d'en déduire une localisation approximative, généralement le pays et la ville), type d'appareil, système d'exploitation, version de l'application, langue.

Les pseudos, dessins et réponses sont conservés dans la mémoire de la partie et disparaissent avec elle. Ce qui reste en base de données est une trace pseudonymisée d'événements (qu'une personne a joué, avec combien de points, à quel jeu) rattachée à un identifiant d'appareil, et non à votre nom.

Un compte (facultatif, nécessaire pour les achats).

• votre adresse e-mail et votre nom ; si vous vous connectez avec Google, Apple ou Discord, également votre avatar et l'identifiant de votre compte chez ce fournisseur,
• des données de session : adresse IP et informations sur le navigateur, pour maintenir votre connexion et détecter les abus.

Nous ne stockons aucun mot de passe : la connexion se fait avec un code à usage unique envoyé par e-mail ou via votre compte Google, Apple ou Discord.

Paiements.

• le statut et la période de l'abonnement, les identifiants de transaction et de client chez le prestataire de paiement, le montant et la devise.
• Nous ne voyons jamais le numéro de votre carte. Les paiements passent par Stripe et les données de carte lui sont transmises directement.
• Vous pouvez payer par carte, par BLIK (y compris sous forme de paiement BLIK récurrent : vous approuvez un mandat dans l'application de votre banque et pouvez le révoquer à tout moment depuis celle-ci) et par les autres moyens proposés par Stripe.

L'application mobile.

• un jeton de notification push si vous activez les notifications, ainsi que la langue de l'appareil, la plateforme et le fuseau horaire (pour qu'une notification arrive à une heure raisonnable),
• des rapports de plantage et données de diagnostic (Firebase Crashlytics),
• des événements d'utilisation de l'application (Firebase Analytics, notre propre PostHog) et des événements du SDK Meta servant à mesurer les installations issues des publicités,
• sur Android, des informations sur la source d'installation fournies par Google Play ; sur iOS, votre réponse à la demande système d'autorisation de suivi (ATT).

Formulaires et contact.

• une adresse e-mail que vous communiquez volontairement via un formulaire du site,
• le contenu des retours envoyés depuis le formulaire de l'application, accompagné d'un moyen de contact facultatif, de la version de l'application, de la plateforme, de la langue et du dernier code de partie,
• le contenu de vos échanges si vous nous écrivez.

Mesure d'audience et publicité.

• des événements analytiques (arrivée sur le site, clic sur "jouer", lancement d'une partie, achat) associés à un identifiant pseudonyme d'appareil et de session,
• des enregistrements de session sur le site et des cartes de clics dans notre propre instance PostHog auto-hébergée (décrite ci-dessous),
• des cookies et identifiants de clic provenant des liens publicitaires.

• Fourniture du service (parties, salles de jeu, compte, accès aux paquets de questions) : exécution d'un contrat, art. 6, par. 1, point b) du RGPD.
• Paiements et facturation : exécution d'un contrat (b) et respect de nos obligations légales en matière comptable et fiscale (c).
• Notre propre mesure d'audience et les enregistrements de session sur le site : notre intérêt légitime (f) à comprendre le fonctionnement du produit et la provenance des joueurs. Les données sont envoyées sur notre propre infrastructure.
• Pixels publicitaires tiers, mesure des campagnes et remarketing : votre consentement (a), donné via le bandeau. Sans lui, ces scripts ne se chargent jamais.
• Notifications push : votre consentement (a), donné via la demande du système ; vous le retirez dans les réglages de votre téléphone.
• Inscription à la liste de diffusion : votre consentement (a), révocable à tout moment.
• E-mails marketing de Buzzin (nouveaux jeux, paquets, promotions) : votre consentement (a), voir "E-mails marketing" ci-dessous.
• Rapports de plantage, stabilité, sécurité et prévention des abus : intérêt légitime (f).
• Traitement des retours et des demandes : intérêt légitime (f), ou exécution d'un contrat (b) lorsqu'il s'agit d'un achat.
• Constatation, exercice et défense de droits en justice : intérêt légitime (f).

Le retrait du consentement ne compromet pas la licéité du traitement effectué avant ce retrait.

Nous faisons la promotion de Buzzin par des campagnes payantes sur Facebook et Instagram (Meta), Google et YouTube, TikTok et Reddit. Pour savoir quelles publicités valent la peine d'être diffusées, nous en mesurons l'effet :

• Le site intègre les pixels de ces plateformes. Ils se chargent uniquement après que vous avez accepté le bandeau ; avant cela, aucun de ces scripts ne s'exécute. Nous utilisons Google Consent Mode v2 : les signaux de consentement sont donc définis avant qu'une balise n'envoie quoi que ce soit.
• Après votre consentement, nous envoyons aux plateformes des événements de conversion : arrivée sur le site, clic sur "jouer", clic vers une boutique d'applications, début d'un paiement, achat (avec montant et devise) et arrivée sur Discord. Chaque événement porte son propre identifiant afin de ne pas être compté deux fois.
• Si vous vous inscrivez à notre liste de diffusion, une empreinte irréversible (SHA-256) de votre adresse e-mail peut être transmise à TikTok, uniquement pour rapprocher une conversion ; la plateforme ne reçoit jamais l'adresse sous une forme lisible.
• Dans l'application mobile, les installations et les événements sont mesurés par Firebase Analytics et le SDK Meta. Sur iOS, la mesure repose sur SKAdNetwork d'Apple et nous demandons l'autorisation de suivi via la demande ATT ; sans votre autorisation, nous n'utilisons pas l'identifiant publicitaire.
• Sur cette base, les plateformes publicitaires peuvent vous profiler à des fins publicitaires et créer des audiences (par exemple, montrer des publicités à des personnes semblables à nos joueurs). Elles le font en tant que responsables du traitement distincts, selon leurs propres règles.

Ce que nous ne faisons pas : nous ne vendons pas de données, nous n'affichons aucune publicité tierce dans le jeu et nous ne ciblons pas de publicités vers les personnes de moins de 16 ans.

Comment le limiter : n'acceptez pas le bandeau ou effacez les cookies de votre navigateur ; vous pouvez aussi modifier vos paramètres publicitaires directement chez Meta, Google, TikTok et Reddit, et sur votre téléphone via la demande ATT (iOS) ou les réglages de l'identifiant publicitaire (Android).

Sur le site et dans le jeu, nous utilisons :

• Stockage essentiel : bz_consent, qui conserve votre choix dans le bandeau (180 jours), le cookie de session de connexion et le sessionStorage du navigateur, qui évite qu'un même événement soit compté deux fois. Aucun consentement n'est requis.
• Mesure d'audience propriétaire : les événements, statistiques de trafic, cartes de clics et enregistrements de session sont envoyés uniquement sur notre propre infrastructure (PostHog auto-hébergé dans l'UE, notre propre base de données et les statistiques de trafic Umami sur un serveur en Allemagne). Un enregistrement montre les déplacements sur la page et les clics, et les champs de formulaire sont masqués. Cette mesure fonctionne dès votre arrivée sur le site, ce que le bandeau vous indique ; vous pouvez vous y opposer en nous écrivant et nous supprimerons les données.
• Pixels publicitaires tiers (Meta, Google, TikTok, Reddit) : uniquement après que vous avez accepté le bandeau.
• Identifiants de clic ajoutés aux liens des publicités (fbclid, gclid, ttclid, rdt_cid) : ils nous permettent d'attribuer une visite à une campagne précise.

Vous pouvez aussi effacer ou bloquer les cookies dans les paramètres de votre navigateur. Indépendamment du bandeau, vous conservez tous les droits énumérés dans la section "Vos droits", y compris le droit d'opposition et le droit à l'effacement.

Si vous cochez la case sur l'écran des formules ou dans votre espace compte, nous vous envoyons des e-mails de Buzzin sur les nouveaux jeux, paquets de questions et promotions. La case n'est jamais cochée par défaut et votre accord n'est la condition d'aucun achat.

• Base légale : votre consentement, art. 6, par. 1, point a) du RGPD, qui est aussi le consentement exigé par la législation applicable en matière de prospection électronique pour l'envoi d'informations commerciales par e-mail.
• Ce que nous conservons : l'adresse e-mail de votre compte, la date et l'heure, la source (écran des formules ou espace compte) et la langue du consentement, ainsi que la date et l'heure de son retrait.
• Retrait : à tout moment, en décochant la case dans l'espace compte sur playbuzzin.com/unlock ou en écrivant à contact@playbuzzin.com. Le retrait ne compromet pas la licéité des envois effectués auparavant.
• Durée : nous envoyons des e-mails jusqu'à ce que vous retiriez votre consentement. Nous conservons ensuite la trace du consentement et de son retrait à titre de preuve pendant le délai de prescription des actions.

Les codes de connexion, les reçus et les messages relatifs à votre abonnement ne sont pas du marketing et ne dépendent pas de ce consentement.

Nous faisons appel à des prestataires qui traitent des données pour notre compte (sous-traitants) :

• Hostinger : serveurs d'application et base de données, situés à Francfort (Allemagne, UE) ; Hetzner (Allemagne) pour l'environnement de préproduction et les statistiques de trafic.
• Stripe : paiements et abonnements.
• Postmark : codes de connexion, e-mails transactionnels et e-mails marketing (ces derniers uniquement avec votre consentement).
• listmonk : notre liste de diffusion et la planification des e-mails marketing ; un logiciel que nous hébergeons nous-mêmes, sur notre serveur dans l'UE (Hostinger, Francfort).
• Google (Firebase) : notifications push, rapports de plantage et mesure d'audience de l'application mobile.
• PostHog : analyse produit et enregistrements de session ; nous l'hébergeons nous-mêmes, sur une infrastructure dans l'UE.

Responsables du traitement distincts, qui décident de manière autonome : les plateformes publicitaires (Meta, Google, TikTok, Reddit), qui ne reçoivent des données qu'après votre consentement aux pixels, ainsi qu'Apple et Google pour les boutiques d'applications et Discord si vous rejoignez notre serveur.

Nous pouvons communiquer des données lorsque la loi l'exige ou lorsque cela est nécessaire à la constatation ou à la défense de droits en justice. Nous ne vendons pas vos données.

Notre infrastructure principale (serveurs, base de données, analyse produit) se trouve dans l'Union européenne.

Certains prestataires et plateformes publicitaires (Stripe, Postmark, Google, Meta, TikTok, Reddit, Discord, Apple) traitent également des données hors de l'EEE, notamment aux États-Unis. Cela se fait dans le cadre des mécanismes prévus par le RGPD : clauses contractuelles types ou décision d'adéquation (le cadre de protection des données UE-États-Unis, EU-US Data Privacy Framework). Écrivez-nous et nous vous indiquerons le mécanisme applicable à un prestataire donné.

• Compte : tant qu'il existe. Après sa suppression, nous effaçons les données dans un délai de 30 jours, à l'exception de celles que nous devons conserver (les pièces comptables, par exemple).
• Pièces de facturation et factures : 5 ans à compter de la fin de l'année fiscale au cours de laquelle l'obligation fiscale est née.
• Événements analytiques : jusqu'à 24 mois, puis supprimés ou agrégés.
• Enregistrements de session sur le site : jusqu'à 3 mois.
• Journaux techniques et de sécurité : jusqu'à 90 jours.
• Retours envoyés depuis l'application : jusqu'à 24 mois à compter de leur envoi.
• Adresse e-mail inscrite sur la liste : jusqu'au retrait de votre consentement ou à votre désinscription.
• Jeton push : jusqu'à ce que vous désactiviez les notifications ou désinstalliez l'application.
• Preuves de consentement : 3 ans, afin de pouvoir démontrer que le consentement a été donné et dans quelle mesure.
• Consentement aux e-mails marketing : jusqu'à son retrait. Nous conservons ensuite la trace du consentement et de son retrait à titre de preuve pendant le délai de prescription des actions.
• Contenu de jeu (pseudo, dessins, réponses) : supprimé à la fermeture de la partie.

Vous disposez du droit :

• d'accès à vos données et d'en obtenir une copie,
• de rectification des données inexactes,
• d'effacement des données (le "droit à l'oubli"),
• à la limitation du traitement,
• à la portabilité des données,
• d'opposition au traitement fondé sur l'intérêt légitime, y compris la mesure d'audience et les enregistrements de session,
• de retirer votre consentement à tout moment, sans que cela affecte la licéité du traitement effectué auparavant.

Pour exercer l'un de ces droits, écrivez à contact@playbuzzin.com. Nous répondons dans les meilleurs délais et au plus tard dans un délai d'un mois. Nous supprimerons votre compte sur demande envoyée depuis l'adresse à laquelle il est enregistré.

Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle. La nôtre est le Président de l'Office de protection des données personnelles (UODO), ul. Stawki 2, 00-193 Varsovie, Pologne, uodo.gov.pl ; si vous résidez dans un autre pays de l'EEE, vous pouvez introduire une réclamation auprès de l'autorité de votre pays.

Buzzin s'adresse aux personnes âgées de 16 ans et plus. Les joueurs plus jeunes ont besoin de l'autorisation d'un parent ou d'un tuteur légal.

Nous ne ciblons pas de publicités vers les personnes de moins de 16 ans et nous ne créons pas d'audiences de remarketing en pensant à elles. Si nous apprenons que nous détenons des données d'un enfant sans base appropriée, nous les supprimons. Si vous êtes parent ou tuteur légal et souhaitez nous signaler un tel cas, écrivez à contact@playbuzzin.com.

Nous appliquons des mesures techniques et organisationnelles raisonnables : connexions chiffrées (HTTPS), accès restreint aux systèmes, séparation des environnements de production et de préproduction, et connexion sans mot de passe (code à usage unique ou compte Google, Apple ou Discord), ce qui signifie que nous ne stockons jamais votre mot de passe.

Aucune méthode de transmission de données sur Internet n'est sûre à 100 % : nous ne pouvons donc pas promettre une sécurité absolue. Nous faisons tout ce qui est raisonnablement possible pour limiter les risques. Si vous découvrez une vulnérabilité, écrivez à contact@playbuzzin.com.

Nous mettons à jour cette politique au fil de l'évolution de Buzzin, par exemple à l'arrivée d'un nouveau jeu, d'un nouveau prestataire ou d'une nouvelle méthode de mesure. Nous annoncerons les modifications importantes sur le site, et la date de dernière mise à jour figure en haut de ce document.

Des questions sur la confidentialité et vos données ? Écrivez à contact@playbuzzin.com et nous vous répondrons dès que possible.

Responsable du traitement : Ravenlab sp. z o.o., Dębowa 11, 66-120 Kargowa, Pologne. Nous n'avons pas désigné de délégué à la protection des données : pour toute question relative aux données, contactez-nous directement à l'adresse ci-dessus.