Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est KYKS, société par actions simplifiée unipersonnelle (SASU), immatriculée au Registre du commerce et des sociétés de Paris sous le numéro 929 633 162, dont le siège social est situé au 14 rue Bausset, 75015 Paris. Pour toute question relative à vos données, contactez-nous à hello@kyks.io.

2. Données que nous traitons

• Compte : au premier lancement, un compte anonyme technique propre à ce téléphone est créé — aucune adresse e-mail, aucun mot de passe. Si vous choisissez de le lier depuis votre profil avec Continuer avec Apple (iPhone), notre service d'authentification enregistre l'identifiant fourni par Apple, l'adresse e-mail que vous acceptez de partager (votre adresse réelle ou l'adresse relais privée d'Apple) et votre nom si vous le partagez. Avec Continuer avec Google (iPhone et Android), il enregistre l'identifiant, l'adresse e-mail, le nom et l'adresse de la photo de profil de votre compte Google. L'application affiche cette adresse e-mail (ou, à défaut, ce nom) sur votre profil pour indiquer le compte lié et ne s'en sert que pour retrouver votre profil sur un autre téléphone ; votre prénom de jeu reste celui que vous saisissez dans l'application.
• Profil : le prénom que vous choisissez (12 caractères au plus), la couleur de votre aiguille, vos compteurs (parties jouées, victoires, cibles à 4 points) et la langue choisie dans l'application, synchronisés avec votre compte pour les retrouver sur un autre téléphone. Le prénom est libre : si vous y saisissez votre vrai prénom, il devient une donnée personnelle et est traité comme telle.
• Parties en ligne : les salons que vous créez ou rejoignez (code, hôte, mode, langue, packs de cartes, chrono, option « Après minuit »), votre prénom, votre couleur et votre équipe dans le salon, votre présence (connecté ou non, dernière activité) et, pour chaque manche, la carte, la cible, l'indice saisi par le Tilteur (40 caractères au plus), les aiguilles posées et les points. Il n'y a pas de discussion libre entre joueurs.
• Achats : les droits débloqués par vos achats (packs, Tilto Pass) et leur date de mise à jour, enregistrés par notre serveur. Le paiement est traité par Apple sur iPhone et par Google Play sur Android — nous n'avons jamais accès à vos données bancaires, à votre nom ni à votre adresse de facturation.
• Notifications : le jeton de notification de votre téléphone et la langue de l'application, uniquement si les notifications sont autorisées sur votre téléphone (l'application le demande en entrant dans un salon en ligne ; sur Android 12 et versions antérieures, le système les autorise par défaut) et que le réglage Profil → Notifications est activé.
• Diagnostic : dans les versions publiées, en cas de plantage ou d'erreur inattendue, un rapport technique (trace d'exécution, modèle et version du système, version de l'application et un identifiant d'installation aléatoire propre à Crashlytics) est envoyé à Google Firebase Crashlytics pour que nous puissions corriger le bug. Ces rapports ne contiennent ni l'identifiant de votre compte, ni votre prénom, ni votre adresse e-mail, ni contenu de partie.
• Caméra : uniquement pour scanner le QR code d'un salon, lorsque vous choisissez « Scanner un QR code ». L'image est analysée sur votre téléphone ; elle n'est ni enregistrée ni transmise.
• Réglages locaux : préférences de sons et de vibrations, dernier chrono choisi, confirmation de majorité et interrupteur du pack « Après minuit » et, en mode 1 téléphone, les prénoms de la dernière table et la partie en cours — stockés sur votre appareil uniquement et jamais transmis.

Tilto n'embarque aucun SDK publicitaire, de mesure d'audience ni de pistage et n'accède pas à l'identifiant publicitaire de votre téléphone ; son seul outil de diagnostic est le rapport de plantage décrit ci-dessus. Nous ne collectons ni votre position, ni vos contacts, ni vos photos, ni votre micro. En mode 1 téléphone, les prénoms des joueurs de la table ne quittent jamais l'appareil.

3. Finalités et bases légales

• Faire fonctionner le jeu en ligne (salons, manches, scores, revanche) : votre compte, votre prénom et vos données de partie — exécution du contrat de service.
• Conserver et synchroniser votre profil (prénom, couleur, compteurs) : exécution du contrat de service.
• Retrouver votre profil sur un autre téléphone : Continuer avec Apple ou Continuer avec Google, à votre initiative — exécution du contrat de service.
• Achats intégrés et Tilto Pass : vos droits d'achat et les événements que RevenueCat nous transmet — exécution du contrat et obligations légales (preuve d'achat, remboursements, comptabilité).
• Notifications de partie (début de partie, à toi de tilter, à vous de deviner, fin de partie) : votre jeton de notification — votre consentement, donné via la permission du système et révocable à tout moment dans les réglages du téléphone ou dans Profil → Notifications. Leur texte ne contient jamais la cible ni l'indice.
• Scan du QR code : votre consentement, donné via la permission caméra du système. Vous pouvez toujours saisir le code à la main.
• Sécurité et fair-play (logique de jeu côté serveur, cible gardée secrète jusqu'à la révélation, limites de tentatives contre les abus, webhooks d'achat authentifiés, journaux techniques) : notre intérêt légitime à garder les parties honnêtes et le service fiable.
• Stabilité de l'application (rapports de plantage) : notre intérêt légitime à trouver et corriger les bugs.

4. Visibilité entre joueurs

Dans un salon en ligne, les autres membres voient votre prénom, la couleur de votre aiguille, votre équipe, si vous êtes connecté, les scores et, quand vous êtes le Tilteur, votre indice. La cible n'est visible que du seul Tilteur jusqu'à la révélation de la manche, et les aiguilles posées ne sont dévoilées au salon qu'à ce moment-là. Vos compteurs de profil et l'adresse e-mail de votre compte ne sont jamais montrés aux autres joueurs. En mode 1 téléphone, tout reste sur l'appareil.

5. Achats intégrés

Tilto inclut gratuitement le pack Classique (200 cartes). Les packs Apéro, Culture pop, Famille et Après minuit s'achètent à l'unité ; le Tilto Pass débloque tous les packs, actuels et à venir, en paiement unique. Le paiement est entièrement géré par Apple (App Store) sur iPhone et par Google Play (Google Play Billing) sur Android, selon leurs propres conditions : nous ne voyons jamais votre moyen de paiement ni votre identité. RevenueCat reçoit d'Apple et de Google Play les reçus de transaction, les vérifie et prévient notre serveur, qui enregistre les droits actifs de votre compte. Votre identifiant RevenueCat est l'identifiant de votre compte. Les achats restent liés à votre compte Apple ou Google et se récupèrent avec « Restaurer les achats ». Les remboursements relèvent d'Apple ou de Google Play, selon leurs propres conditions, pas de nous.

6. Hébergement et sous-traitants

Nous faisons appel à des prestataires techniques strictement nécessaires :

• Google Firebase — authentification, base de données et logique serveur. Nos fonctions serveur s'exécutent en région europe-west1 (Belgique) et la base de données est hébergée dans la multi-région eur3 (Union européenne). L'authentification, qui détient votre identifiant Apple ou Google et votre e-mail (et, pour Google, le nom et l'adresse de la photo de profil de votre compte Google) si vous liez votre compte, est un service Google mondial.
• Google Firebase Cloud Messaging — acheminement des notifications de partie vers le service de notification d'Apple (iOS) et vers Android : Google voit votre jeton de notification et le texte de chaque notification.
• Google Firebase Crashlytics — rapports de plantage et d'erreur (trace d'exécution, appareil et système, version de l'application, identifiant d'installation), conservés 90 jours.
• Apple — Se connecter avec Apple (si vous liez votre compte), traitement des achats intégrés et remise des notifications sur iOS.
• Google — Google Sign-In (Continuer avec Google, si vous liez votre compte) et traitement des achats intégrés sur Android via Google Play (Google Play Billing).
• RevenueCat — gestion technique des achats intégrés (jamais de données bancaires), limitée à l'identifiant de votre compte et à votre historique d'achats. Le SDK RevenueCat peut par ailleurs collecter des identifiants d'appareil selon sa propre politique de confidentialité.

Google, Apple et RevenueCat sont établis aux États-Unis. Ces transferts hors Union européenne reposent sur les clauses contractuelles types de la Commission européenne (art. 46 RGPD) intégrées à leurs conditions de traitement des données (Google Cloud Data Processing Addendum, Apple Developer Program License Agreement, RevenueCat Data Processing Addendum).

Aucune donnée n'est vendue, partagée à des fins publicitaires ni transmise à qui que ce soit d'autre.

7. Durée de conservation

• Compte, profil et droits d'achat : tant que votre compte existe, c'est-à-dire jusqu'à ce que vous le supprimiez depuis l'application ou nous le demandiez (voir la section 10).
• Salons en ligne : un salon encore en attente 24 heures après sa création est fermé, et une partie sans activité depuis 6 heures est interrompue ; leurs joueurs en sont alors retirés. Les salons terminés ou fermés sont effacés automatiquement 30 jours après leur dernière activité, avec leurs manches, leurs cibles, leurs indices et leurs aiguilles. D'ici là, un salon terminé garde les prénoms et les scores de ses joueurs pour l'écran de fin et la revanche.
• Historique d'achats chez RevenueCat : tant que votre compte existe ; il est supprimé avec lui (la suppression est relancée automatiquement si RevenueCat est momentanément indisponible). Les pièces comptables sont conservées pendant la durée légale, sous une forme qui ne vous identifie plus.
• Jeton de notification : jusqu'à ce que vous désactiviez les notifications dans votre Profil ou qu'il soit signalé comme invalide lors d'un envoi, et au plus tard jusqu'à la suppression de votre compte.
• Rapports de plantage : 90 jours chez Google Firebase Crashlytics.
• Réglages locaux : sur votre appareil jusqu'à la désinstallation de l'application ou la suppression de votre compte.

8. Sécurité

Les échanges sont chiffrés (HTTPS). Toutes les actions de jeu (cartes, cible, indice, aiguilles, scores) passent par notre serveur, qui les valide : l'application ne peut écrire directement que son propre profil et sa présence dans un salon. Les règles d'accès de la base réservent la cible au seul Tilteur jusqu'à la révélation, chaque salon à ses membres et chaque profil à son propriétaire. Les achats sont vérifiés par RevenueCat et par notre serveur avant tout déblocage. Votre session est stockée dans le trousseau sécurisé de votre téléphone sur iPhone, et dans l'espace privé de l'application, inaccessible aux autres applications, sur Android.

9. Public concerné

Tilto s'adresse aux personnes de 13 ans et plus. Le pack « Après minuit », aux cartes suggestives, est réservé aux adultes : l'application demande de confirmer avoir 18 ans ou plus avant de l'acheter ou, avec le Tilto Pass, à sa première activation, et ses cartes n'entrent dans une partie que si l'hôte les active pour le salon (désactivées par défaut). Au-delà de cette confirmation, l'application ne vérifie pas votre âge : nous nous appuyons sur les classifications des stores et sur le bon sens des joueurs et des parents. Nous ne collectons aucune donnée spécifique aux enfants au-delà de ce qui est décrit sur cette page.

10. Vos droits et suppression du compte

Conformément au RGPD, vous disposez des droits suivants :

• Accès, rectification et effacement de vos données.
• Portabilité, limitation et opposition au traitement.
• Retrait de votre consentement à tout moment pour les notifications et la caméra, dans les réglages de votre téléphone (et, pour les notifications, dans Profil → Notifications).

Pour supprimer votre compte, ouvrez l'application, touchez votre avatar en haut à droite de l'accueil (Profil), puis, en bas de l'écran, Supprimer mon compte et Confirmer la suppression. L'effet est immédiat : votre compte d'authentification, votre profil, vos droits d'achat enregistrés chez nous, vos jetons de notification et votre historique chez RevenueCat sont effacés, les données de l'application sur votre téléphone aussi, et l'application repart avec un nouveau profil anonyme. Si votre compte est lié à Apple (iPhone), l'application révoque aussi l'accès accordé à Tilto via Se connecter avec Apple (après vous avoir demandé de confirmer avec Apple) ; s'il est lié à Google, elle vous déconnecte de Google dans l'application. La suppression est refusée tant que vous êtes dans une partie en ligne en cours : quittez-la d'abord. Si vous n'avez plus accès à l'application, écrivez-nous à hello@kyks.io depuis l'adresse liée à votre compte, avec pour objet « Tilto — suppression de compte » : nous supprimons le compte sous 30 jours et vous le confirmons par retour. Vous pouvez aussi, de votre côté : désinstaller l'application (ce qui efface les réglages et les données qu'elle stocke), révoquer « Se connecter avec Apple » pour Tilto dans les réglages de votre identifiant Apple et retirer l'accès de Tilto dans les paramètres de votre compte Google. Détails sur la page Suppression de compte.

Pour exercer l'un de ces droits, écrivez-nous à hello@kyks.io. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

11. Évolutions

Si Tilto évolue d'une manière qui change les données que nous traitons, cette politique et les étiquettes de confidentialité des stores seront mises à jour avant la sortie de cette version, et l'application demandera votre consentement là où la loi l'exige. La date en haut de cette page indique la dernière révision.

12. Contact

Pour toute question sur cette politique ou sur vos données, écrivez à KYKS à hello@kyks.io ou par courrier au 14 rue Bausset, 75015 Paris.