Confidentialité

Sans compte

Les joueurs, soirées, parties, manches, envies, collection et réglages sont enregistrés dans le stockage de votre navigateur ou de l’application, sur l’appareil. Ils ne sont envoyés à aucun serveur. Ils disparaissent si vous effacez les données du site ou désinstallez l’application ; l’export des Réglages permet d’en garder une copie.

Quatre exceptions, et seulement si vous les demandez : la partie que vous invitez d’autres personnes à suivre, la ludothèque que vous partagez par un code, la question que vous posez sur la règle pendant une partie, et le jeu dont vous voulez être prévenu quand sa fiche est prête (voir ci-dessous).

Mesure d’audience

Pour savoir quelles fiches de règles sont lues, Marquoir utilise Umami, installé sur son propre serveur. Il ne dépose aucun cookie et ne suit personne d’un site à l’autre. Il enregistre la page consultée et son titre, le site d’où vous venez, le type d’appareil, le système, le navigateur, la taille de l’écran, la langue, et le pays, la région et la ville déduits de la connexion ; l’adresse IP n’est pas conservée. Il compte aussi quelques gestes, pour savoir ce qui sert — une partie lancée, un outil ouvert, une dictée, un récap partagé, une carte enregistrée ou partagée (son modèle et son format), la visite guidée suivie ou passée — avec le jeu concerné, jamais un prénom, un score ni ce que vous tapez. Il note aussi, arrondis, le temps que met la page à s’afficher et à réagir quand vous la touchez, et combien son contenu se décale sous vos yeux, pour savoir si Marquoir reste rapide. Si votre navigateur demande à ne pas être suivi, Umami n’est pas chargé : rien de tout cela n’est mesuré.

Pour les auteurs qui tiennent leur page sur Marquoir, le serveur compte aussi, jour par jour, les vues de leur page et des fiches de leurs jeux, et les clics sur leurs liens « Où le trouver ». Ces comptes sont anonymes et agrégés — ni adresse IP, ni cookie, ni identifiant —, et rien n’est compté si votre navigateur demande à ne pas être suivi. Ils sont transmis aux auteurs concernés.

Pour la page « Ce qui monte », le serveur compte de la même façon, jour par jour et par jeu, les lectures de chaque fiche, en plus des points de Découvrir et des parties des comptes. Ces comptes sont anonymes et agrégés, effacés après soixante jours, et rien n’est compté si votre navigateur demande à ne pas être suivi.

Avec un compte (facultatif)

Un compte sert à retrouver vos parties sur vos autres appareils. Il enregistre :

• votre nom, votre adresse e-mail et votre pseudo ;
• votre mot de passe, sous une forme hachée qui ne permet pas de le relire ;
• vos joueurs (prénom et couleur), soirées, parties, manches, collection, envies, prêts (avec le nom de l’emprunteur), soirées prévues (avec leur lieu), jeux et feuilles maison, et préférences, pour les synchroniser ;
• pour chaque session de connexion, l’adresse IP et le navigateur utilisés ; une session expire au bout de 90 jours.

Votre adresse e-mail n’est montrée à personne. Les autres utilisateurs ne voient que votre pseudo, quand ils vous invitent à une table.

Ce que vous choisissez de partager

• Invitation par pseudo : une fois l’invitation acceptée, le compte invité voit les parties auxquelles il a participé.
• Suivi en direct : le lien de suivi d’une partie montre ses prénoms et ses scores à quiconque l’ouvre. Il est secret et vous pouvez le couper à tout moment. Qui l’ouvre peut y annoncer son score de la manche : ce nombre est gardé en mémoire par le serveur trente minutes au plus, le temps que la table le reprenne.
• Rejoindre une table : si vous scannez le QR code d’une table et tapez votre prénom ou pseudo, il est envoyé au serveur, qui le garde en mémoire une heure au plus, le temps que la table vous assoie ; il figure ensuite parmi les prénoms de la partie partagée, effacés avec elle. Il n’est rattaché ni à un compte ni à votre adresse IP. Si vous portez une couleur de prénom, un cadre, un emblème ou un titre choisi dans Personnaliser, ils accompagnent votre prénom et sont gardés de la même façon, pour que la table vous affiche comme vous vous voyez ; seule la couleur du prénom figure ensuite dans la partie partagée, effacée avec elle. Rien de tout cela ne part si « Montrer niveaux et récompenses » est éteint.
• Signaler une erreur : votre message et le jeu concerné sont envoyés, rattachés à votre compte si vous êtes connecté.
• Proposer un jeu : le nom du jeu, le lien et le message que vous saisissez sont envoyés par e-mail au responsable de Marquoir et conservés sur le serveur. Votre adresse e-mail, facultative, ne sert qu’à vous répondre.
• Dicter une manche : quand vous appuyez sur « Dicter la manche », ce que vous dites est transcrit par le service de reconnaissance vocale de votre navigateur (Google, sur Chrome et dans l’application Android). Marquoir ne reçoit que le texte, sur l’appareil, et n’enregistre pas le son.
• Liste d’envies partagée : si vous créez un lien de partage (compte requis), le prénom ou pseudo, l’occasion, le message et les notes que vous saisissez sont enregistrés avec votre compte. Quiconque ouvre ce lien secret voit ces textes et vos envies, sauf les jeux que vous avez déjà ; il n’est pas indexé, et vous pouvez le remplacer ou le couper à tout moment. Un visiteur qui réserve un jeu peut laisser un prénom, facultatif, montré aux autres visiteurs mais jamais à vous ; son navigateur garde une clé pour annuler. Aucune adresse IP n’est enregistrée avec la réservation.
• Découvrir : « j’aime » ou « je passe » ajoute un point au compteur du jeu, sans aucun lien avec vous.
• Noter un jeu : avec un compte, votre note de 1 à 5 est enregistrée et rattachée à votre compte, pour n’en compter qu’une par personne. Elle n’est montrée à personne : la fiche n’affiche que la moyenne et le nombre de notes.
• Feuilles de la communauté : avec un compte, la feuille de score que vous proposez, avec les textes que vous y avez saisis, est enregistrée avec votre compte et relue avant d’être publiée. Publiée, chacun peut la copier, sans savoir qui l’a proposée. Votre pouce, levé ou baissé, est rattaché à votre compte pour n’en compter qu’un par personne ; seuls les totaux sont montrés.
• Tournoi partagé : si vous partagez un tournoi (compte requis), une copie en est envoyée au serveur et mise à jour à chaque changement : le nom du tournoi et du jeu, les noms des inscrits, les tables, les scores, le classement et, si vous l’avez choisi, l’habillage du club — nom, couleur, logo et partenaire. Quiconque a le lien de suivi la voit. Qui a le code de cinq caractères peut envoyer les scores de sa table : ils sont gardés jusqu’à ce que vous les validiez ou les refusiez. « Couper » efface la copie et ces scores.
• Proposer un code-barres : avec un compte, le code d’une boîte inconnue et le jeu que vous lui associez — ou le nom, l’éditeur et l’année lus sur la boîte — sont enregistrés avec votre compte, en attendant d’être relus. Une proposition refusée est effacée ; un code retenu sert ensuite à tous, sans que votre nom soit montré.
• Signaler une boutique : le type d’erreur et le commentaire facultatif sont envoyés sans compte ni adresse IP, et gardés pour tenir l’annuaire à jour.
• Boîte à suggestions : le texte que vous écrivez (avec la note de « Donner mon avis », si vous en donnez une) et la page d’où vous venez sont envoyés sans compte, ni adresse IP, ni adresse e-mail. Un texte portant un lien, une adresse e-mail ou un numéro de téléphone est refusé.
• Trouver une boutique : la ville ou le code postal que vous cherchez part au serveur, qui le transmet au géocodeur de l’IGN (voir plus bas). Si vous touchez « Autour de moi », votre position, arrondie à une centaine de mètres, est envoyée au serveur pour trouver les boutiques proches. Elle n’est enregistrée nulle part, mais elle voyage dans l’adresse de la demande : comme toute adresse demandée au site, elle peut donc figurer dans les journaux techniques du serveur. La ville choisie, elle, reste sur l’appareil.
• Compter les visiteurs : quand la mesure d’audience est active, votre adresse IP est transformée sur notre serveur en une empreinte qui change chaque jour. Seule cette empreinte est enregistrée, jamais l’adresse : elle sert à savoir combien de personnes différentes sont venues dans la journée, et elle est effacée au bout de trente-cinq jours.

Enfants

Dans l’application, Marquoir demande l’année de naissance au premier lancement. Seule la tranche d’âge est retenue, sur l’appareil ; l’année ne l’est pas.

Pour une personne de moins de 13 ans, rien de personnel ne quitte l’appareil : ni compte, ni synchronisation, ni invitation, ni lien de suivi, ni table à rejoindre, ni signalement, ni proposition de jeu, ni dictée, ni position, ni mesure d’audience, ni le fichier d’un import. Le scanner n’y reconnaît que les boîtes déjà connues de l’appareil : aucun code n’est envoyé. Le serveur ne reçoit que ce qu’il faut pour répondre : les pages demandées, le texte tapé dans la recherche des jeux, les « j’aime » ou « je passe » de Découvrir et les « Je veux ses règles », simples compteurs par jeu, et, si l’on rejoint un tournoi avec son code, les scores de sa table. Les quelques jeux dont le sujet ne concerne pas les enfants — jeux d’argent, jeu à boire, humour destiné aux adultes — ne sont pas proposés.

Ce que Marquoir ne fait pas

Pas de publicité, pas de revente, pas de partage de vos données avec des tiers : les auteurs ne reçoivent que les comptes anonymes décrits plus haut. Les données sont hébergées en France, sur le serveur de Marquoir. L’application Android n’accède pas à vos contacts. Votre position n’est demandée que si vous touchez « Autour de moi » pour trouver une boutique : arrondie à une centaine de mètres, elle sert à cette recherche et n’est pas conservée, hors des journaux techniques du serveur. La caméra ne sert qu’à lire le code-barres d’une boîte ou le QR code d’une table, sur l’appareil : aucune image n’est envoyée, seulement le code lu. L’import depuis une autre appli (MyLudo, BoardGameGeek, un tableur) lit les fichiers sur l’appareil : seuls les codes-barres des boîtes sont envoyés, pour les reconnaître, et ils ne sont pas conservés, hors des journaux techniques du serveur. Importer par son pseudo BoardGameGeek transmet ce pseudo à BoardGameGeek par le serveur de Marquoir, qui ne garde la réponse que quelques minutes, en mémoire. Un code-barres inconnu est gardé, sans lien avec vous, pour choisir les prochains jeux à ajouter. Le micro ne sert qu’à dicter une manche, quand vous le demandez.

Pour l’acheminer et le protéger des attaques, le trafic du site passe par le réseau de Cloudflare, qui voit passer, comme tout intermédiaire réseau, l’adresse IP et la page demandée. Cloudflare adhère au cadre de protection des données entre l’Union européenne et les États-Unis (Data Privacy Framework).

La carte de l’annuaire des boutiques est dessinée avec les tuiles d’OpenFreeMap (tiles.openfreemap.org), que votre navigateur lui demande directement : ce service reçoit donc votre adresse IP et la zone de carte affichée. La recherche d’une ville ou d’un code postal passe, elle, par le serveur de Marquoir : le géocodeur public de l’IGN (la Géoplateforme) ne reçoit que le texte cherché, jamais votre adresse IP.

Liens affiliés

Un lien « Où l’acheter » mène à une boutique partenaire et porte un code affilié dans son adresse : il dit à la boutique que vous venez de Marquoir, rien de plus. Marquoir ne lui transmet rien vous concernant ; ce qui se passe ensuite sur son site relève de sa propre politique de confidentialité. Ces liens ne s’affichent jamais dans le profil enfant.

Durées de conservation

• Données sur l’appareil : jusqu’à ce que vous les effaciez.
• Compte et données synchronisées : jusqu’à la suppression du compte.
• Sessions de connexion : 90 jours au plus.
• Notes des jeux : jusqu’à ce que vous retiriez la note, ou à la suppression du compte.
• Liste d’envies partagée et réservations : jusqu’à ce que vous effaciez les réservations, ou à la suppression du compte. Un lien coupé ne mène plus à rien, aussitôt.
• Parties partagées sans compte : sept jours après leur dernière mise à jour, ou jusqu’à ce que vous coupiez le lien.
• Ludothèques partagées par un code : six mois après leur dernière mise à jour, ou jusqu’à ce que vous arrêtiez le partage ou supprimiez votre compte.
• Signalements d’erreur : conservés pour corriger les règles ; à la suppression du compte, ils perdent leur auteur.
• Signalements de boutique : conservés pour tenir l’annuaire à jour, sans rien qui vous désigne.
• Feuilles proposées à la communauté : jusqu’à la suppression du compte. Votes : jusqu’à ce que vous retiriez le vôtre, ou à la suppression du compte.
• Tournois partagés : jusqu’à ce que vous coupiez le lien, ou à la suppression du compte. Scores envoyés par les tables : jusqu’à ce que l’organisateur les valide ou les refuse.
• Propositions de codes-barres : jusqu’à leur relecture ; un code associé à un jeu garde la trace du compte qui l’a proposé.
• Propositions de jeux : conservées pour suivre les ajouts ; l’adresse e-mail éventuelle est effacée dès que la proposition est traitée.
• Notification « La fiche est prête » : effacée dès l’envoi, dès « Ne plus me prévenir », ou au plus tard six mois après la demande.
• Soirées ouvertes : adresse effacée le lendemain de la soirée, soirée et demandes trente jours après, signalements traités un an (détail plus haut).
• Suggestions : un an après l’envoi.
• Fiche de joueur publique : jusqu’à ce que vous éteigniez la page ; son adresse et la date de la dernière publication, jusqu’à la suppression du compte.
• Mesure d’audience (Umami) : 13 mois.
• Journaux techniques du serveur (adresse IP, page demandée, position envoyée par « Autour de moi ») : 6 mois, pour sa sécurité.

Vos droits

Vous pouvez accéder à vos données, les corriger, les exporter (Réglages → Exporter) et les effacer. Pour toute question ou demande : [email protected]. Vous pouvez aussi adresser une réclamation à la CNIL (cnil.fr).