Politique de confidentialité

En une minute

Qache est un jeu, pas un réseau social. Il ne demande ni nom, ni prénom, ni numéro de téléphone. Un pseudo et une date de naissance, jamais montrée aux autres joueurs, suffisent ; l'adresse e-mail n'est demandée qu'à partir de 15 ans.

Nous ne vendons rien à personne, nous n'affichons aucune publicité, nous ne posons aucun traceur publicitaire, et nous n'entraînons aucun modèle sur ce que tu déposes.

Ta position n'est jamais enregistrée sans un geste de ta part : c'est toi qui choisis de garder la position d'un coffre, pour toi uniquement (par défaut) ou pour tes amis. Seule la personne qui met un coffre sur la carte en fixe la position, visible des joueurs de son univers (et de ses amis et superviseurs).

Tu peux supprimer ton compte quand tu veux depuis l'application (sauf pendant l'examen d'un signalement qui te vise : après la décision de l'équipe). Tout ce qui t'appartient est effacé ; seuls restent, sans ton pseudo ni lien avec ton compte, les objets déjà déposés chez d'autres ou déjà pris par d'autres.

Qui est responsable de ces données

Le responsable de traitement est Clevertech, SAS, 17 route du Mûrier 38610 Gières.

Pour toute question sur tes données : rgpd@clevertech-it.fr, ou la page « Contact » de ce site.

Délégué à la protection des données (référent pour tes données personnelles) : joignable à rgpd@clevertech-it.fr.

Les données que nous traitons

Chacune sert une fonction du jeu ou une demande que tu as faite. Rien n'est collecté « au cas où ».

• Ton compte : pseudo, nom affiché, âge déclaré (conservé sous forme d'année de naissance, et date de naissance si tu la déclares : elle est demandée à l'inscription, et un compte plus ancien, créé avec un âge seul, peut l'ajouter dans « Mon compte »), date d'acceptation de la charte, avatar, rôle (joueur, sentinelle, administrateur), dates de création et de connexion.
• Ton adresse e-mail et ton mot de passe (stocké sous forme chiffrée irréversible), à partir de 15 ans seulement. Avant, le compte est anonyme et lié au téléphone.
• Le code de récupération du compte : pour un compte d'enfant sans adresse e-mail, l'adulte qui le supervise peut générer un code qui permet de retrouver le compte sur un autre téléphone. Il est stocké haché, jamais en clair, et n'est valable que 24 heures.
• Tes coffres : nom, indice, règles d'ouverture (horaires, code secret — jamais montré aux visiteurs —, durée de vie, une fois par personne, premier arrivé, coffre mystère), statut, la clé de scan imprimée dans son QR code, et le contenu déposé (textes, photos, fichiers, bons) avec le pseudo de qui l'a déposé. Une charade : sa question, lue par les visiteurs, et une empreinte de sa réponse (la réponse elle-même n'est pas gardée). Un coffre ciblé : le compte à qui il est destiné, un ami (ou ton enfant, ton superviseur), prévenu sans le lieu ; pour un enfant ciblé, ses superviseurs sont prévenus aussi.
• Ton sac : les objets pris dans des coffres, avec le coffre d'origine.
• Le journal des scans et des prises : quel compte, quel coffre, quand. Il sert aux quotas (« une prise par jour »), aux récompenses (« premier scan du jour »), à vérifier qu'un coffre a bien été scanné avant d'y prendre, d'y déposer ou de le signaler, et aux statistiques de la personne qui a créé le coffre (nombre de scans et de prises).
• Tes crédits et ton expérience : un journal des gains et des dépenses de crédits, tes points et ton niveau, et des compteurs anti-abus (points d'expérience gagnés par jour et par action, bonus tirés par jour et par coffre).
• Le journal des dons entre amis : qui a donné à qui, et quand, pour limiter les abus.
• Tes découvertes : les points de découverte (ce qui a été découvert, quand), ta ligue et ton groupe de la semaine, ta place au classement (dans ton groupe pour la semaine, dans ton univers pour le mois et depuis toujours), tes places sur le podium, et les récompenses de palier et de podium, en attente ou récupérées.
• Les positions que tu enregistres : la position d'un coffre que tu as choisi de garder, pour toi uniquement ou partagée avec tes amis, et la position d'un coffre que tu as choisi de mettre sur la carte, et le point d'un coffre géolocalisé (là où tu es quand tu génères son QR code, avec le rayon choisi), qui n'est montré à personne d'autre que toi. L'application demande la permission de localisation à ce moment-là, et seulement là, ainsi qu'à l'ouverture d'un coffre géolocalisé : ta position est alors envoyée pour vérifier que tu es assez près, sans être enregistrée (un essai trop loin est seulement noté, comme les autres essais ratés, pour qu'on ne retrouve pas le point par essais). Un coffre géolocalisé ne se pose pas dans une zone protégée d'un enfant. Avant 15 ans (univers enfants), aucune position n'est demandée ni enregistrée tant qu'un superviseur n'a pas été accepté : son accord vaut consentement du titulaire de l'autorité parentale. Ensuite, un partage ou un coffre à mettre sur la carte reste en attente tant que le superviseur ne l'a pas validé, et l'adulte qui supervise voit et peut retirer toutes les positions gardées. Si le compte de l'enfant présente des signaux de surveillance (au moins 3 points, par exemple un seul appareil pour l'enfant et son superviseur et tout ouvert dès le premier jour), une sentinelle vérifie aussi le lieu et le coffre avant qu'il n'apparaisse sur la carte des enfants, en général dans la journée. Un compte dont les échanges sont en pause n'a plus de coffre sur la carte, jusqu'à la fin de la pause.
• Pour afficher la carte, l'application envoie au serveur un centre arrondi à environ un kilomètre, jamais ta position exacte : celle-ci reste sur ton téléphone pour te situer, et n'est pas enregistrée.
• QR trouvés : quand tu scannes un QR qui n'est pas un coffre de l'app, l'application envoie la position connue de ton téléphone, pour savoir dans quelle zone d'environ 250 m tu es (une récompense par zone et par semaine, contre la fraude — intérêt légitime). Si tu en reçois une, seule cette zone approximative est enregistrée, 30 jours au plus, jamais ta position exacte ; sans récompense ni découverte, rien n'est enregistré. Si tu es la première personne à agir sur un QR jamais trouvé dans ce quartier (adultes et enfants confondus), le quartier t'est attribué, avec sa zone approximative : cette découverte est gardée tant que ton compte existe ; contre la fraude, une découverte ne compte qu'avec une vraie position, deux minutes au moins après la précédente et sans déplacement impossible depuis ta dernière position connue. Qui scanne un QR dans ce quartier voit qu'il est déjà découvert, à partir du lendemain (pas l'heure de ton passage) ; par défaut, sans ton pseudo : l'affichage du quartier ne dit pas si un enfant ou un adulte est passé par là. La date ne se lit qu'après avoir soi-même reçu une récompense dans ce quartier. Tu peux choisir, quartier par quartier, d'y montrer ton pseudo, et changer d'avis à tout moment depuis la carte (« Mes quartiers »). La même règle vaut partout où tu laisses quelque chose : par défaut, les autres ne voient ni qui a posé tes coffres (fiche du coffre, carte, page publique), ni qui a trouvé un QR (« Trouvé le … ») ; tu peux choisir de montrer ton pseudo (dans ton profil), et il se voit alors de tous. Pour un enfant : ses proches (ses superviseurs et ses amis validés) voient toujours son pseudo ; le montrer aux autres, enfants comme adultes, demande l'accord de son superviseur, sauf choix contraire de ce superviseur, qui est alors prévenu ; le masquer est immédiat ; son superviseur voit la carte de ses quartiers et peut aussi changer ces choix (l'enfant en est prévenu). Même montré, rien n'indique à un adulte qui n'est pas de ses proches que c'est un enfant. Un coffre d'enfant réservé aux enfants s'ouvre aussi pour ses proches ; scanné par un autre adulte, il répond comme un coffre réservé à une autre personne. L'application ne demande pas la permission de localisation pour un QR trouvé : elle se sert de la position seulement si tu l'as déjà autorisée.
• Zones protégées : le superviseur d'un enfant peut poser jusqu'à trois zones (maison, école…) : un nom, un repère et un rayon de 100 à 300 m. Elles ne sont visibles que des superviseurs de l'enfant (l'enfant n'en voit que les noms) et sont effacées avec le compte ou à la fin de la dernière supervision. Pour un enfant qui en a, l'application envoie la position de l'enfant au moment d'un scan, pour savoir si c'est dans une zone ; cette position n'est pas enregistrée. Dans une zone, ce que l'enfant scanne n'est jamais partagé ni mis sur la carte, et ses superviseurs sont informés de chaque coffre scanné, avec qui l'a créé.
• Ton réseau : tes amis, tes invitations, les comptes que tu as bloqués, et tes messages avec tes amis.
• Tes avis : les avis affichés dans l'application (demandes, décisions, dons, amitiés, récompenses, signalements…).
• Signalements : ce que tu signales (coffre, objet, joueur, motif, détails, et les derniers messages de la conversation quand tu signales depuis une conversation) et ce qui te concerne, ainsi que les décisions des sentinelles (journal de modération).
• Supervision : le lien entre un compte d'enfant et son superviseur, le code de supervision et les essais de ce code, les réglages posés par le superviseur et leur journal. Les demandes faites au superviseur : prendre un objet (lequel, dans quel coffre, combien, la réponse), voir une photo, un fichier ou un texte. Quand l'adulte qui supervise ouvre le compte de l'enfant sur son propre téléphone, ou valide une demande en personne sur celui de l'enfant avec son mot de passe : qui, quel enfant, quoi, quand ; et les essais ratés de ce mot de passe.
• Dépôts et messages retenus pour coordonnées : un dépôt d'un enfant, ou un message écrit par un enfant ou adressé à un enfant, qui contient des coordonnées est gardé à part, retenu jusqu'à l'accord du superviseur de l'enfant ; sans réponse sous 14 jours, il est rendu à la personne qui l'a envoyé ou déposé, avec un avis.
• Tes notifications : ta préférence pour les e-mails, le jeton du lien de désinscription, et la file des e-mails et notifications à envoyer (destinataire, titre, état). Si tu autorises les notifications sur ton téléphone : son jeton de notification, rattaché à ta session.
• Sur ce site : rien tant que tu ne remplis pas le formulaire de contact (nom, adresse e-mail, message). Contre les envois automatiques, ton adresse IP sert, en mémoire seulement et une heure au plus, à vérifier que le formulaire vient bien de toi et à limiter le nombre de messages ; une empreinte du message (pas le texte) est gardée 24 heures pour écarter les doublons. Le back-office des sentinelles pose un cookie de session, nécessaire à la connexion.

Pourquoi, et sur quelle base légale

Chaque traitement a une finalité et une base légale nommées.

• Faire fonctionner le jeu : comptes, coffres, sac, crédits, amis, messages — exécution du contrat que constituent les conditions générales d'utilisation.
• Sécuriser le service : confirmation de l'adresse e-mail, sessions, journal des scans et prises, clé de scan des coffres, limitation des abus (essais de code de supervision : 5 par heure et 20 par jour au plus ; plafonds de dons, d'expérience et de bonus) — exécution du contrat et intérêt légitime à la sécurité.
• Protéger les enfants de la diffusion de leurs coordonnées : les messages d'un échange avec un enfant supervisé, les textes (légendes comprises) déposés dans un coffre ou lus par un enfant, le nom et l'indice des coffres d'un enfant, les pseudos et noms affichés, et le texte des photos et fichiers déposés (lu à l'envoi par reconnaissance de caractères pour une image, directement pour un PDF ou un texte) sont analysés automatiquement, sur nos serveurs, pour y repérer un numéro de téléphone, une adresse e-mail, une adresse postale ou un compte de réseau social. S'il y en a : la personne qui écrit est d'abord avertie ; un message envoyé ou un dépôt fait quand même est retenu jusqu'à l'accord du superviseur de l'enfant ; sans réponse sous 14 jours, il est rendu, avec un avis ; un texte ou une image d'une autre personne reste masqué pour l'enfant jusqu'à cet accord ; un pseudo, ou le nom d'un coffre d'enfant, est refusé. De 15 à 17 ans, l'application avertit seulement avant d'envoyer ou de déposer des coordonnées : rien n'est retenu. Un fichier qui ne peut pas être lu (image animée, PDF scanné) compte comme « impossible à vérifier » : pour un enfant, il passe aussi par son superviseur. Rien d'autre n'est cherché ; du texte lu, seul le fait qu'il contienne des coordonnées est gardé, avec le fichier — obligation de protection des mineurs.
• Repérer les comptes suspects (un adulte qui se ferait passer pour un enfant) : l'adresse IP et le type d'appareil des sessions, les dates de création des comptes de l'enfant et de son superviseur, les réglages posés par le superviseur, le rythme des accords donnés, le nombre d'invitations et de destinataires de messages d'un enfant, le nombre de photos d'autres enfants (hors amis) qu'il voit ou prend, les signalements. Ces signaux ne décident de rien seuls : au-delà d'un seuil, les invitations et messages de l'enfant sont mis en pause jusqu'à l'examen d'une personne de l'équipe — intérêt légitime et obligation de protection des mineurs.
• Protéger les coffres : les essais ratés d'ouverture (mauvais code ou charade, hors horaire, trop loin d'un coffre géolocalisé) sont notés, sans ta position. Au 5e mauvais code en une heure, la personne est bloquée une heure sur ce coffre, et un avis part au propriétaire du coffre (et, pour un enfant, à ses superviseurs) ; au-delà de 30 mauvais codes en une heure, tous comptes confondus, le coffre ne s'essaie plus pendant une heure (sauf pour qui l'a déjà ouvert) ; au 10e essai trop loin en une heure, la personne ne peut plus essayer pendant une heure ; un essai hors horaire est seulement noté. De même, au 5e essai raté en une heure du mot de passe d'un superviseur sur le téléphone d'un enfant, l'adulte concerné reçoit un avis — intérêt légitime.
• Protéger les mineurs : supervision obligatoire avant 15 ans, réglages du superviseur, modes sociaux, photos et fichiers des 15-17 ans floutés pour les adultes qui ne les connaissent pas, pas d'achat — obligation légale de recueillir l'accord du titulaire de l'autorité parentale pour un enfant de moins de 15 ans (article 45 de la loi Informatique et Libertés) et intérêt légitime à la protection des enfants.
• Modérer : traiter les signalements, suspendre, sceller, avertir, informer le superviseur — intérêt légitime, et obligation légale de retirer les contenus manifestement illicites.
• Afficher une carte : requêtes de fond de carte vers MapTiler — intérêt légitime à fournir la fonction, avec ta permission de localisation pour te situer.
• Te prévenir hors de l'application — un e-mail par avis (validation attendue par un superviseur, signalement, décision, don, amitié, récompense à récupérer, changement de ligue) aux comptes à l'adresse confirmée : intérêt légitime, avec un lien de désinscription dans chaque message et un réglage dans « Mon compte ». Et une notification push par avis, si tu les autorises sur ton téléphone : elle passe par Firebase Cloud Messaging (Google). Pour un compte d'enfant, ou quand l'avis contient des coordonnées, son texte est neutre (« Un avis t'attend »), sans pseudo ni contenu ; pour un adulte, elle reprend le titre et le texte de l'avis (qui peuvent citer un pseudo, un coffre ou un objet). Tu retires l'autorisation quand tu veux, dans les réglages du téléphone : l'application retire alors le jeton du téléphone à sa prochaine ouverture ; te déconnecter coupe aussi les notifications de ce téléphone.
• Répondre à un message envoyé par le formulaire de contact — ton consentement, donné en l'envoyant.

Combien de temps

Tant que ton compte existe, tes données existent. Ensuite :

• Compte, sac, crédits, amis, messages, coffres créés et leur contenu : effacés à la suppression du compte. Les objets que tu as déjà déposés dans les coffres d'autres personnes y restent, sans ton pseudo ; les objets déjà pris restent dans le sac de qui les a pris, sans lien avec ton compte.
• Objet jeté de ton sac (seules tes propres créations se jettent) ou retiré par l'équipe de modération : gardé 30 jours dans une corbeille que seule cette équipe voit, pour pouvoir le rendre ou examiner un signalement, puis supprimé avec son fichier. Plus longtemps seulement si un signalement ouvert te concerne, jusqu'à sa décision. Supprimé tout de suite avec le compte.
• Journal des scans et des prises : douze mois, puis anonymisé (le compte n'y figure plus) ; anonymisé immédiatement à la suppression du compte.
• Découvertes et récompenses : effacées à la suppression du compte. Les podiums passés restent, sans lien avec ton compte.
• Compte banni : l'adresse e-mail peut être conservée dans une liste d'adresses interdites d'inscription, le temps nécessaire à la protection du service ; elle en est retirée sur demande justifiée.
• Signalements résolus : douze mois après la décision, pour pouvoir constater une récidive, puis supprimés. Journal de modération des sentinelles et journal des réglages de supervision : douze mois. Ce qui concerne un contenu manifestement illicite peut être conservé plus longtemps si la loi l'exige.
• Sessions de connexion (avec leur adresse IP et leur type d'appareil) : 90 jours sans usage, ou immédiatement si tu te déconnectes.
• Essais ratés d'ouverture d'un coffre : trois mois.
• Passages d'un superviseur sur le compte d'un enfant et accords donnés en personne : douze mois.
• Essais ratés du mot de passe d'un superviseur sur le téléphone d'un enfant : un jour.
• Compteurs anti-abus : journal des dons entre amis, trente jours ; essais de code de supervision, un jour ; plafonds d'expérience et tirages de bonus, sept jours.
• Dépôts et messages retenus pour coordonnées : jusqu'à la réponse du superviseur, au plus 14 jours ; sans réponse, rendus à la personne qui les a envoyés ou déposés.
• Code de récupération du compte : valable 24 heures.
• Jeton de notification d'un téléphone : jusqu'à la déconnexion, ou la fin de la session qui l'a enregistré.
• Codes de confirmation par e-mail : valables 10 minutes, effacés à leur expiration.
• Inscription abandonnée (compte anonyme créé sans que le profil soit terminé) : un jour.
• Messages du formulaire de contact : le temps d'y répondre, au plus douze mois.
• File des e-mails et notifications : trente jours, qu'ils soient partis, écartés ou en échec, puis supprimée.
• Sauvegardes : une par jour, chiffrées (restic) avant de quitter nos serveurs, gardées chez l'hébergeur des sauvegardes (voir « Nos sous-traitants et prestataires ») selon une rotation de 14 sauvegardes quotidiennes, 4 hebdomadaires et 12 mensuelles, soit jusqu'à douze mois ; les 14 dernières copies de la base restent aussi sur nos serveurs. Une donnée effacée du service disparaît des sauvegardes au plus tard à la fin de cette rotation.

Qui y a accès

Le contenu d'un coffre est visible par toute personne qui le scanne : c'est le jeu. Exceptions : les photos et les fichiers d'un enfant n'apparaissent, floutés, qu'aux adultes qui ne sont ni ses superviseurs ni ses amis, et ceux des 15-17 ans sont floutés de la même façon pour les adultes qui ne les connaissent pas ; un enfant ne voit les photos et fichiers des inconnus, ni leurs textes et légendes, qu'avec l'accord de son superviseur. Ce que tu déposes est lié à ton compte (pour la modération) ; les autres joueurs ne voient ni qui l'a déposé, ni ton adresse e-mail, ni ton âge. Tes amis voient ton pseudo, ton avatar, ton niveau et les positions que tu partages avec eux. La position d'un coffre mis sur la carte est visible des joueurs de son univers ; le pseudo de la personne qui l'a créé n'y apparaît que si elle a choisi de le montrer. Le classement des découvertes montre aux joueurs de ton groupe de la semaine, et de ton univers pour le mois et depuis toujours, ton pseudo, ton avatar et ton score (« Anonyme » à la place de ton pseudo si tu as coupé les interactions sociales). Le pseudo d'un enfant est toujours visible de ses proches (ses superviseurs, ses amis validés) et des superviseurs de ses amis (ou de qui veut le devenir) ; sur ses coffres, ses QR trouvés et ses quartiers, il n'est montré aux autres qu'avec l'accord de son superviseur, et alors à tous, sans dire que c'est un enfant ; un superviseur voit aussi le pseudo des adultes en contact avec l'enfant supervisé, signalés comme adultes. Quand un enfant demande à voir la photo d'un autre enfant inconnu, son superviseur la voit pour décider. Ton superviseur voit ton sac, tes amis, tes coffres (textes, photos et fichiers compris), tes conversations avec tes amis et toutes les positions que tu gardes, privées comprises. Un bandeau le rappelle dans chaque conversation, de ton côté comme de celui de ton ami. Ce que tu déposes dans le coffre d'un autre enfant est vu aussi par les superviseurs de cet enfant, photos comprises.

Les sentinelles ne voient que le contenu des coffres signalés, suspendus ou scellés, ou à vérifier avant la carte des enfants, et les messages joints à un signalement fait depuis une conversation (les 20 derniers des 30 derniers jours) ; elles traitent les signalements de coffres et de joueurs, le temps de décider. Pour un coffre signalé, elles voient aussi qui l'a scanné, y a pris un objet ou a échoué à l'ouvrir (le pseudo, signalé quand la personne le masque aux joueurs ; et l'heure), jusqu'à 90 jours après la décision, pour juger d'un abus. La liste des comptes (pseudo, âge, adresse e-mail, supervision, rôle), leur activité, leur sac, la liste des comptes à surveiller et la recherche de coffres sont réservées aux administrateurs, pour nommer les sentinelles, protéger les enfants et traiter les demandes. Sentinelles et administrateurs se connectent avec une double authentification (code d'une application sur leur téléphone) : sans elle, leur rôle ne donne accès à rien.

En interne, l'accès aux serveurs est réservé à l'exploitation technique. L'outil de suivi de l'éditeur (hébergé par lui) reçoit chaque jour des chiffres agrégés, sans aucune identité (nombre de comptes, de coffres, de scans…) ; à la demande d'un administrateur, il affiche la liste des comptes adultes (pseudo ou nom affiché, adresse e-mail, dates de création et de dernière connexion), sans la conserver. Rien d'un compte d'enfant ni d'adolescent n'y figure. Aucune donnée n'est vendue, louée, échangée ou transmise à un annonceur.

Nos sous-traitants et prestataires

Quatre, et rien d'autre.

• L'hébergeur (Nuxit - Magic Online, France) : serveurs, base de données, fichiers déposés dans les coffres, et le serveur d'envoi des e-mails du service (codes de confirmation, avis) — un SMTP privé, chez le même hébergeur. Union européenne.
• L'hébergeur des sauvegardes (stockage objet S3 en France, dès la mise en service des sauvegardes externes) : il conserve les copies de la base et des fichiers déposés, chiffrées avant de quitter nos serveurs (restic) ; il ne peut pas les lire. Union européenne.
• Le fournisseur de fond de carte (MapTiler AG, Suisse) : il reçoit les requêtes de tuiles quand tu ouvres la carte, c'est-à-dire ton adresse IP et la zone affichée, jamais ton compte. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne.
• Google (Firebase Cloud Messaging, Google Ireland Ltd) : si tu autorises les notifications, il les achemine jusqu'à ton téléphone. Il reçoit le jeton de l'appareil et le texte de la notification : pour un compte d'enfant, pour un avis de supervision (qui parle d'un enfant), ou dès qu'un avis contient des coordonnées, un texte neutre, « Un avis t'attend », sans pseudo ni contenu ; sinon le titre et le texte de l'avis, qui peuvent citer un pseudo, un coffre ou un objet. Jamais ton e-mail, ni le contenu de tes coffres. Ses serveurs peuvent être hors de l'Union européenne, notamment aux États-Unis : transferts encadrés par le cadre de protection des données UE–États-Unis et les clauses contractuelles types de la Commission.

Cookies et mesure d'audience

L'application ne pose aucun cookie : elle garde un jeton de session dans le stockage sécurisé du téléphone. Ce site ne pose aucun cookie de mesure d'audience ni de publicité ; seul le back-office des sentinelles pose un cookie de session, indispensable à la connexion. Aucun bandeau n'est donc nécessaire.

Tes droits

Tu peux demander l'accès à tes données, leur rectification, leur effacement, leur portabilité, la limitation de leur traitement, et t'opposer à un traitement fondé sur notre intérêt légitime. Pour un mineur, les titulaires de l'autorité parentale peuvent exercer ces droits en son nom ; le superviseur peut agir directement dans son application.

Écris à rgpd@clevertech-it.fr depuis l'adresse de ton compte, ou depuis l'application (« Mon compte »). Nous répondons sous un mois. Si tu estimes que tes droits ne sont pas respectés, tu peux saisir la CNIL (cnil.fr).