Qui est responsable
Le responsable du traitement de tes données est Polaria, société par actions simplifiée au capital de 5 000 €, RCS Brest 804 695 377, dont le siège est 2 rue Albert Rolland, 29200 Brest, représentée par son président, Cyril de Sousa Cardoso.
Contact : contact@polaria.ai, ou par courrier à l’adresse ci-dessus. Polaria a désigné un délégué à la protection des données, Victor Jourdren : tu peux lui écrire à cette même adresse, en précisant « à l’attention du délégué à la protection des données ».
Les données
Sans compte
Rien ne nous parvient. Ta progression (quêtes, personnage, tutoriel, notions découvertes, tampons) est gardée dans la mémoire de ton navigateur, sur ton appareil seulement. Comme pour tout site, l’hébergeur, Vercel, reçoit techniquement ton adresse IP et les informations habituelles de ton navigateur pour t’envoyer les pages et protéger le site contre les attaques.
Sur la page Mon compte, si la vérification anti-robot est activée
Pour freiner les inscriptions automatisées, la page Mon compte peut faire appel au service Turnstile de Cloudflare. Quand cette vérification est activée, ton navigateur charge le programme de Cloudflare (challenges.cloudflare.com) sur cette page seulement, et seulement quand s’y affiche le formulaire pour recevoir un code : jamais si tu es déjà connecté. Ce programme reçoit ton adresse IP, l’identification de ton navigateur et des signaux techniques sur ta connexion, pour vérifier que tu n’es pas un robot avant l’envoi d’un code. Les autres pages du site n’y font jamais appel.
Si tu crées un compte
| Donnée | À quoi elle sert | Obligatoire ? |
|---|---|---|
| Ton adresse e-mail | T’envoyer ton code de connexion et t’identifier | Oui |
| L’identifiant technique du compte, les dates de création et de dernière connexion, et le jour de ta dernière activité | Faire fonctionner le compte, appliquer la durée de conservation | Automatique |
| La date à laquelle tu as accepté les conditions d’utilisation, et leur version ; on ne les accepte qu’en confirmant avoir 15 ans ou l’accord d’un parent | Garder la preuve de ton accord | Automatique |
| Ta progression : quêtes (état, étape, objets trouvés, quête suivie), allure de ton personnage, tutoriel, notions découvertes, tampons et niveau de lecture du cours | La retrouver sur tous tes appareils | Automatique quand tu es connecté |
| Les étapes validées, la façon de les valider (à l’écran ou sur place) et leur date et heure ; l’heure d’une validation sur place est gardée sans les minutes ; pour que la synchronisation marche, la base note aussi l’heure exacte de chaque mise à jour de ta progression | Garder ta progression et distinguer les deux façons de jouer | Automatique quand tu es connecté |
| « Préviens-moi quand une nouvelle ville arrive », et la date de ce choix | T’écrire quand une nouvelle ville ouvre, et garder la preuve de ton accord | Non : case à cocher |
| La commune que tu aimerais voir dans le jeu | Choisir les prochaines villes | Non : champ libre |
| Les codes de connexion à usage unique | Te connecter sans mot de passe | Automatique ; un code ne sert qu’une fois et expire au bout d’une heure au plus |
| Les données techniques de connexion : adresse IP, type de navigateur, date et heure des requêtes, journal de sécurité des connexions | Sécurité, lutte contre les abus et le déni de service | Automatique |
Ce que nous ne demandons jamais
Ni mot de passe, ni nom, ni date de naissance, ni téléphone, ni photo, ni moyen de paiement, ni ta position.
Pourquoi, et sur quelle base
Le règlement général sur la protection des données (RGPD) impose à chaque usage une base légale. Les voici :
| Ce que nous faisons | Base légale (article 6 du RGPD) |
|---|---|
| Créer et gérer ton compte, te connecter par code | L’exécution des conditions d’utilisation que tu acceptes (contrat, 6.1.b) |
| Sauvegarder et synchroniser ta progression | Contrat (6.1.b) |
| Enregistrer qu’une étape a été validée sur place, en mode terrain, le jour et l’heure sans les minutes | Ton consentement (6.1.a), donné en activant le mode terrain ; tu peux jouer sans |
| T’écrire quand une nouvelle ville arrive | Ton consentement (6.1.a), que tu peux retirer à tout moment |
| Si tu te désinscris par le lien d’un e-mail d’annonce, garder ton adresse dans la liste des désinscrits de Brevo, pour ne plus t’écrire | Respecter ton retrait, comme le RGPD l’impose (obligation légale, 6.1.c) |
| Recueillir la commune que tu proposes | Ton consentement (6.1.a) |
| Faire vivre le service : tenir la liste des inscrits, répondre à tes demandes, compter les comptes et les communes demandées | L’intérêt légitime de Polaria à faire fonctionner et évoluer un service gratuit (6.1.f) |
| Sécuriser le site, prévenir la fraude, les inscriptions automatisées (dont la vérification anti-robot, si elle est activée) et le déni de service | Intérêt légitime (6.1.f) |
| Répondre aux autorités et respecter nos obligations | Obligation légale (6.1.c) |
Aucune décision automatisée, aucun profilage, aucun usage publicitaire. Tes données ne servent pas à entraîner de modèle d’intelligence artificielle.
Combien de temps
| Données | Durée de conservation |
|---|---|
| Compte et progression | Tant que tu utilises ton compte. Au bout de 3 ans sans aucune connexion ni activité, ils sont supprimés automatiquement. |
| Après une suppression, par toi ou automatique | Effacement immédiat de la base. Les copies de sauvegarde techniques, quand elles existent, disparaissent par rotation, au plus tard 30 jours après. |
| Inscription jamais confirmée (code demandé mais jamais saisi) | Supprimée automatiquement au bout de 30 jours |
| Codes de connexion | Une heure au plus, et un seul usage |
| Préférence « nouvelles villes », commune proposée | Jusqu’à ce que tu les retires, ou avec le compte |
| Liste d’envoi d’une annonce de ville (les adresses des inscrits qui ont demandé à être prévenus), confiée à Brevo | Le temps de l’envoi : supprimée de Brevo dans les 30 jours qui le suivent. Chaque e-mail d’annonce contient un lien pour ne plus être prévenu. |
| Si tu te désinscris par le lien d’un e-mail d’annonce : ton adresse, seule, dans la liste des désinscrits de Brevo | Brevo la garde pour ne plus t’écrire d’annonce, même après la suppression de la liste d’envoi, et même si tu supprimes ensuite ton compte. Ton choix est aussi reporté dans ton compte, où « nouvelles villes » est décoché, avant la suppression de la liste d’envoi. Pour en sortir, recoche « nouvelles villes » dans ton compte, à partir du lendemain de ta désinscription : ce nouveau choix vaut demande, et ton adresse est débloquée chez Brevo avant l’annonce suivante. Tu peux aussi nous écrire. |
| Journaux techniques (hébergeur, base de données, envoi des e-mails) | Quelques jours en général, et un an au plus quand la réglementation sur les données de connexion l’impose |
| Signaux de la vérification anti-robot, si elle est activée | Traités le temps de la vérification ; Cloudflare en garde une partie pour améliorer sa détection des robots, selon sa propre politique |
| Échanges sur l’exercice de tes droits | Le temps de te répondre, puis un an pour garder la trace de la réponse |
| Ce que ton appareil garde | Jusqu’à ce que tu l’effaces (voir plus bas) |
Qui y a accès
- Chez Polaria, seulement l’administrateur du site, Cyril de Sousa Cardoso, et les personnes qu’il habilite expressément, depuis un espace administrateur protégé. Ils y voient la liste des inscrits : adresse, dates au jour près, préférence « nouvelles villes », commune proposée, et un résumé chiffré de la progression calculé par la base (quêtes accomplies et en cours, notions, tampons, étapes validées sur place). Ils ne lisent pas le détail de ta progression. Ils peuvent tirer de cette liste un fichier pour leurs besoins de gestion, par exemple écrire aux seuls inscrits qui ont demandé à être prévenus d’une nouvelle ville ; ce fichier reste chez Polaria et ne sort que vers Brevo, le temps de cet envoi ; seules les adresses qui s’en désinscrivent restent chez Brevo, pour ne plus recevoir d’annonce (voir combien de temps).
- Nos sous-traitants, chacun pour sa tâche et selon nos instructions, liés à Polaria par un contrat conforme à l’article 28 du RGPD :
- Supabase, pour la base de données et la connexion ;
- Brevo, pour l’envoi des e-mails ;
- Vercel, pour l’hébergement du site ;
- Cloudflare, pour la vérification anti-robot de la page Mon compte, seulement si elle est activée. Cloudflare utilise aussi ces signaux pour son propre compte, afin d’améliorer sa détection des robots : pour cet usage, c’est sa propre politique de confidentialité qui s’applique.
- Les autorités, seulement si la loi nous y oblige.
- Personne d’autre : aucune donnée n’est vendue, louée ni cédée.
Hors de l’Union européenne
- Supabase. Tes données de compte sont stockées dans l’Union européenne, dans la région choisie pour la base (Paris, eu-west-3) ; ton navigateur ne parle qu’à cette base, à l’adresse bltfpasafbswmazexnmf.supabase.co. Supabase Pte. Ltd. est établie à Singapour : son personnel peut y accéder depuis l’extérieur de l’Union pour l’exploitation et l’assistance. Ces accès sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914).
- Vercel. Vercel Inc. est établie aux États-Unis. Elle adhère au cadre de protection des données UE-États-Unis (Data Privacy Framework), reconnu par la Commission européenne le 10 juillet 2023, et applique aussi les clauses contractuelles types.
- Brevo. Brevo SAS est une société française. Si l’un de ses propres prestataires intervient hors de l’Union, ce transfert est encadré par les clauses contractuelles types ou par le Data Privacy Framework.
- Cloudflare, seulement si la vérification anti-robot est activée. Cloudflare, Inc. est établie aux États-Unis et adhère au Data Privacy Framework ; son réseau de serveurs est mondial.
Tu peux obtenir une copie de ces garanties en nous écrivant.
Tes droits
- Accès et portabilité : depuis Mon compte, le bouton « Télécharger mes données » te donne ton profil et toute ta progression dans un fichier lisible (JSON). Pour le reste, par exemple les journaux techniques, écris-nous.
- Effacement : depuis Mon compte, le bouton « Supprimer mon compte » efface aussitôt de la base ton compte et ta progression ; les copies de sauvegarde techniques disparaissent d’elles-mêmes sous 30 jours. La progression gardée dans ton navigateur n’est effacée que si tu coches « Effacer aussi la progression de cet appareil » ; sinon elle y reste, sans compte, et n’entre dans un compte que si tu le demandes : si un compte se connecte ensuite sur cet appareil, elle est mise de côté, et la page Mon compte propose de la reprendre ou de l’effacer.
- Rectification : pour corriger une donnée inexacte, par exemple ton adresse e-mail, écris-nous.
- Retrait du consentement : décoche « nouvelles villes » (ou suis le lien prévu dans l’e-mail d’annonce : Brevo garde alors ton adresse, seule, pour ne plus t’écrire, et ton choix est reporté dans ton compte), efface la commune proposée ou quitte le mode terrain quand tu veux ; ce qui a été fait avant reste valable.
- Opposition et limitation : tu peux t’opposer à un usage fondé sur notre intérêt légitime, ou demander qu’on gèle tes données le temps de vérifier une contestation.
- Directives après ton décès : tu peux nous dire ce que tu souhaites que deviennent tes données (article 85 de la loi Informatique et Libertés).
Pour un droit qui n’a pas de bouton, écris à contact@polaria.ai ou à Polaria, 2 rue Albert Rolland, 29200 Brest. Nous répondons dans un délai d’un mois au plus. Nous ne demandons une preuve d’identité qu’en cas de doute raisonnable, et seulement ce qui est nécessaire.
Sans compte, tout est sur ton appareil et tu l’effaces toi-même : voir plus bas.
Réclamation auprès de la CNIL
Si tu estimes que tes droits ne sont pas respectés, tu peux saisir la Commission nationale de l’informatique et des libertés (CNIL) : en ligne sur cnil.fr/fr/plaintes, ou par courrier à CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Tu peux aussi nous écrire d’abord : c’est souvent plus rapide.
Moins de 15 ans
Le jeu et le cours sont ouverts à tous, sans compte. Pour créer un compte :
- à partir de 15 ans, tu peux le faire seul ;
- avant 15 ans, il faut l’accord d’un parent, ou de la personne qui exerce l’autorité parentale, donné avec toi (article 45 de la loi Informatique et Libertés).
Un parent peut à tout moment nous demander de supprimer le compte de son enfant. Si nous apprenons qu’un compte a été créé par un enfant de moins de 15 ans sans cet accord, nous le supprimons. Le mode terrain se joue dehors : pour les plus jeunes, toujours avec un adulte.
Géolocalisation
Le mode terrain est facultatif. Tu l’actives toi-même, après un avertissement de sécurité, puis ton navigateur te demande l’autorisation d’utiliser ta position. Tu peux refuser : tout le jeu reste jouable à l’écran.
- Sur ton téléphone seulement. Ta position est calculée par ton téléphone (GPS, Wi-Fi, réseau mobile) et traitée uniquement sur l’appareil : elle sert à placer ton personnage sur la carte et à vérifier que tu es à une trentaine de mètres d’un lieu de quête, davantage pour les grands lieux comme le stade. Elle reste dans la mémoire vive du jeu le temps du mode terrain et s’efface quand tu reviens à l’écran : elle n’est jamais enregistrée, et jamais envoyée à Polaria ni à ses sous-traitants.
- Seul le résultat est gardé : « telle étape validée sur place, tel jour, à telle heure », l’heure sans les minutes. Il rejoint ta progression sur l’appareil et, si tu es connecté, ton compte en ligne ; il indique donc que tu étais près de ce lieu dans cette heure-là. Tu le retrouves dans ton export, et il disparaît avec ton compte.
- Ce que la base note en plus : pour que la synchronisation marche, la base note aussi l’heure exacte de chaque mise à jour de ta progression ; si tu es connecté, elle suit donc de quelques secondes une validation sur place. Dans l’espace administrateur, l’administrateur ne voit que le jour de ta dernière activité.
- Pour arrêter : quitte le mode terrain dans le jeu, ou retire l’autorisation de localisation dans les réglages de ton navigateur.
La localisation est fournie par le système de ton téléphone (Apple, Google ou un autre fabricant), selon ses propres règles, sur lesquelles Polaria n’a pas la main.
Ce que ton appareil garde
Le site n’utilise aucun cookie publicitaire, aucun traceur de mesure d’audience, aucun bouton de réseau social. Il garde seulement, dans la mémoire de ton navigateur (stockage local et cache de l’application), ce qui sert au jeu et au cours que tu utilises. Ces informations restent sur ton appareil ; seule ta progression est envoyée à notre base, et seulement si tu es connecté, pour la retrouver sur tes autres appareils (dernière colonne du tableau).
Ce stockage est strictement nécessaire au service que tu demandes : il est donc dispensé de consentement (article 82 de la loi Informatique et Libertés et lignes directrices de la CNIL sur les cookies et autres traceurs). C’est pourquoi aucun bandeau de cookies ne s’affiche. Si une mesure d’audience était un jour ajoutée, cette page serait mise à jour avant et, si la loi l’exige, ton accord te serait demandé.
| Élément | Ce qu’il garde | Envoyé à la base ? |
|---|---|---|
brest-quetes-v1 | Tes quêtes : état, étape, objets trouvés, quête suivie, et les étapes validées à l’écran ou sur place, avec leur heure (sans les minutes pour une étape validée sur place) | Si tu es connecté |
brest-heros-v1 | L’allure de ton personnage | Si tu es connecté |
brest-tuto-v1 | Où tu en es du tutoriel de Soazig | Si tu es connecté |
quartiers-libres-cours-v1 | Les notions découvertes, les tampons du carnet, ton niveau de lecture | Si tu es connecté |
ql-terrain-v1 | Le mode terrain sur cet appareil : la version de l’avertissement de sécurité que tu y as lu et sa date, jamais ta position. Il reste sur l’appareil : l’avertissement se lit sur chaque appareil | Non |
brest-son | Son coupé ou non | Non |
brest-conduite | Ta façon de conduire dans le jeu (relative ou à cap) | Non |
ql-dpr | Sur écran tactile : la finesse d’affichage qui garde le jeu fluide sur cet appareil | Non |
ql-session-v1 | Si tu as un compte : les jetons qui te gardent connecté (renouvelés tant que tu l’es), l’identifiant de ton compte et ton adresse ; effacés à la déconnexion | Présentés à chaque échange, pour prouver que c’est toi |
ql-connexion-attendue-v1 | Le temps d’une connexion : l’adresse saisie, l’heure de la demande et tes choix du formulaire ; effacé dès que tu es connecté. Si tu ne vas pas au bout, il ne sert plus au bout d’une heure et s’efface à ta prochaine visite d’une page du site, ou à l’heure dite si une page du site est restée ouverte | Tes choix, une fois connecté |
ql-synchro-v1 | Pour la synchronisation : l’identifiant du compte, une copie de la dernière version de ta progression lue dans ton compte, une empreinte de ce qui a été envoyé et les dates des changements ; après une déconnexion, de quoi reconnaître ce qui venait du compte précédent ; sur un appareil partagé, la progression d’un autre compte qui ne l’avait pas encore rejoint, mise de côté jusqu’à sa prochaine connexion ici ; après la suppression d’un compte, la progression restée sans compte sur cet appareil, mise de côté jusqu’à ce que tu choisisses, sur la page Mon compte, de la reprendre dans ton compte ou de l’effacer | Non |
ql-invites-v1 | Les invitations à créer un compte que tu as refermées, et quand : elles se taisent un mois | Non |
| Cache de l’application | Pour que le jeu marche hors ligne : une copie des pages, des scripts, de la carte et des images, remplacée à chaque nouvelle version, et des sons déjà écoutés, gardés d’une version à l’autre dans une limite de taille | Non |
Si le site subit une attaque, l’hébergeur peut afficher une vérification de sécurité qui dépose un cookie technique, lui aussi strictement nécessaire à la protection du site. De même, la vérification anti-robot de la page Mon compte, si elle est activée, peut garder dans ton navigateur ce dont Cloudflare a strictement besoin pour la faire.
Ce que ce navigateur garde, ici et maintenant
Tu peux voir et effacer ce que Quartiers Libres a gardé sur cet appareil. Si tu es connecté, ta progression est d’abord envoyée à ton compte, puis tu es déconnecté ; si l’envoi échoue, rien n’est effacé. Une progression mise de côté, pour un autre compte ou restée sans compte après la suppression d’un compte, n’est effacée que si tu le confirmes. Cela ne supprime pas ton compte : pour cela, va dans Mon compte. Le cache de l’application, qui ne contient que des fichiers publics du site et rien sur toi, n’est pas touché : il s’efface avec les données du site, dans les réglages de ton navigateur.
Sécurité
- Le site est servi uniquement en HTTPS, avec des en-têtes de sécurité stricts.
- Pas de mot de passe à voler : la connexion se fait par un code à usage unique, ou un lien, envoyé à ton adresse, et la base refuse toute session ouverte autrement.
- Dans la base, des règles d’accès ligne par ligne font que chaque compte ne peut lire et modifier que ses propres données ; seuls les administrateurs désignés voient la liste des inscrits, avec un résumé chiffré de la progression, jamais son détail.
- Aucune clé secrète n’est présente dans le site, et l’envoi de codes comme le nombre de requêtes sont limités pour freiner les abus.
- Si une violation de données présentant un risque pour toi survenait, nous la signalerions à la CNIL et, si le risque est élevé, nous te préviendrions (articles 33 et 34 du RGPD).
Modifications
Cette politique évoluera avec le site, par exemple quand une nouvelle ville ou une nouvelle fonction arrivera. La date de mise à jour figure en haut de page. En cas de changement important, nous te prévenons sur le site et, si tu as un compte, par e-mail.
Voir aussi les mentions légales et les conditions d’utilisation.