Politique de confidentialité

Kwoji est une plateforme de jeux entre collègues. Elle est conçue pour collecter le minimum : pas de mot de passe, pas de traceur publicitaire, pas de revente de données. Cette politique décrit ce que nous traitons, pourquoi, combien de temps, et vos droits.

Responsable du traitement

Kwoji, 47 rue Vivienne, 75002 Paris, France — contact : [email protected].

Données que nous traitons

Données	Origine	Finalité	Base légale
Adresse e-mail, nom affiché, photo de profil	Fournis par vous (ou par Google si vous vous connectez avec Google)	Créer et gérer votre compte, vous connecter sans mot de passe (lien magique)	Exécution du contrat (CGU)
Appartenance à une organisation, rôle, appartenance à des clubs	Générées par votre usage	Rattacher votre profil à votre organisation et à vos clubs	Exécution du contrat
Résultats de parties, scores, badges, classements	Générées par le jeu	Historique, badges et classements de l'organisation	Exécution du contrat
Photos partagées dans Kwoji Photo	Fournies par vous, le temps d'une partie	Faire deviner leur propriétaire pendant la partie	Exécution du contrat
Secrets écrits dans Kwoji Secret	Fournis par vous	Le jeu lui-même — ils restent anonymes tant qu'ils ne sont pas découverts	Exécution du contrat
Coordonnées de facturation de l'organisation (raison sociale, adresse, numéro de TVA, e-mail de facturation)	Fournies par le propriétaire de l'organisation au moment de la souscription	Encaisser l'abonnement et établir les factures	Exécution du contrat (CGV) et obligation légale (conservation des factures)
Adresse e-mail d'une personne invitée à rejoindre une organisation	Saisie par un administrateur de cette organisation — c'est la seule donnée que nous recevons sur quelqu'un qui n'a pas encore de compte	Lui envoyer une invitation nominative, une seule fois, et ne pas la solliciter deux fois. Aucune relance automatique, aucun usage commercial	Intérêt légitime
Connexion à Google Agenda et parties planifiées (compte Google lié, jeu, créneau, collègues conviés, lien Meet) ; au moment où une partie se prépare, des créneaux « occupé / libre » anonymes, jamais conservés	Connexion autorisée par le planificateur ; rendez-vous composé par lui à partir des membres actifs de son organisation	Créer et administrer, dans son propre agenda Google, un événement de partie avec visioconférence Meet et invitations, et proposer un créneau qui convienne à tout le monde	Exécution du contrat ; consentement révocable pour la connexion Google
Mesure d'audience et d'usage pseudonyme (pages vues, sorties de page et objectifs produit)	Cloudflare Web Analytics et, lorsqu'il est activé, PostHog en mode sans cookie	Savoir si la plateforme est utilisée et comprendre les étapes d'activation et de rétention	Intérêt légitime
Rapports d'erreurs techniques (message d'erreur, page concernée, navigateur)	Générés automatiquement quand la plateforme rencontre un bug	Détecter et corriger les pannes	Intérêt légitime
Vos réponses au baromètre Kwoji Pulse (une note par semaine : humeur de 1 à 5, ou eNPS de 0 à 10)	Fournies par vous quand vous répondez à la carte Pulse	Mesurer l'ambiance de l'organisation en tendance strictement agrégée : jamais de lecture individuelle, aucun résultat sous 5 réponses	Intérêt légitime
Contenu de vos échanges avec le support, votre e-mail et votre nom	Fournis par vous lorsque vous ouvrez le chat d'assistance	Vous répondre et suivre votre demande d'assistance	Intérêt légitime

Ce que voient vos collègues

Kwoji est un produit d'équipe : votre profil (nom affiché, photo, adresse e-mail), vos résultats, badges et classements sont visibles des autres membres actifs de votre organisation — et d'eux seuls. Rien n'est public, rien n'est partagé entre organisations.

Les photos de Kwoji Photo sont servies depuis une adresse non devinable, visible uniquement des joueurs de la partie, et supprimées en fin de partie. Les secrets de Kwoji Secret ne sont jamais enregistrés dans notre base de données : ils vivent dans la mémoire de la partie et sont effacés automatiquement à sa clôture (au plus tard 7 jours après la dernière activité).

Une partie planifiée n'est visible dans Kwoji que de son hôte et des collègues conviés. Google adresse l'invitation aux personnes sélectionnées ; les autres membres de l'organisation n'accèdent pas au rendez-vous.

Les réponses au baromètre Kwoji Pulse sont l'exception inverse : personne ne voit une réponse individuelle. Ni vos collègues, ni les administrateurs, ni Kwoji dans ses écrans. Seules des tendances agrégées s'affichent, et uniquement à partir de 5 réponses. Le dispositif est décrit en détail sur la page Comment Kwoji Pulse protège l'anonymat, et vos propres réponses vous sont restituées par l'export de vos données.

Durées de conservation

Données	Durée
Compte, profil, résultats, badges	Tant que le compte existe ; suppression immédiate et totale à la suppression du compte
Photos Kwoji Photo	Le temps de la partie ; supprimées à sa fin, purge de sécurité sous 7 jours
Secrets Kwoji Secret	Jusqu'à la fermeture de la partie par son hôte ; 7 jours au plus en cas d'abandon
Réponses au baromètre Kwoji Pulse	6 mois, puis suppression automatique ; rien n'est conservé à côté, les tendances affichées sont recalculées depuis les réponses encore présentes
Départ d'une organisation	Si vous quittez vous-même l'organisation, votre appartenance, vos résultats et votre progression personnelle dans cette organisation sont supprimés ; vos badges, attachés à votre compte, sont conservés jusqu'à la suppression de celui-ci. Si l'organisation retire définitivement un membre désactivé, son appartenance et sa progression personnelle sont supprimées, mais ses résultats déjà enregistrés restent sous une forme anonymisée afin de préserver les statistiques collectives.
Invitations par e-mail (adresse invitée, dates d'envoi)	180 jours, puis suppression automatique — et retrait possible à tout moment par l'administration de l'organisation
Journal de la mascotte de votre organisation	180 jours, puis suppression automatique
Vos désabonnements aux e-mails non transactionnels	Tant que votre compte existe ; nous les conservons précisément pour continuer de les respecter
Connexion à Google Agenda (jeton d'autorisation, adresse Gmail)	Jusqu'à votre déconnexion de Google Agenda ou la suppression de votre compte ; le jeton n'est jamais inclus dans votre export de données
Parties planifiées et liste des conviés	7 jours après la fin du créneau ; 24 heures après une annulation. Le nettoyage est effectué à la planification suivante de l'organisation
Factures et coordonnées de facturation	10 ans à compter de la clôture de l'exercice — obligation comptable
Mesure d'audience et objectifs produit PostHog	Pendant la durée du compte analytique Kwoji chez PostHog ; suppression anticipée possible sur demande
Conversations avec le support (Crisp)	Conservées chez notre prestataire le temps de traiter et de suivre vos demandes

E-mails que nous vous envoyons

L'essentiel de nos e-mails répond à une action : vous demandez un lien de connexion, votre organisation vous invite, votre abonnement change. Trois font exception, et nous les signalons ici parce que personne ne les a demandés.

Le récap hebdomadaire est un résumé de la semaine de votre organisation (nombre de parties, jeux les plus joués, records battus), envoyé le lundi matin. Il ne part que si un administrateur de votre organisation l'a activé — l'option est désactivée par défaut — et il ne vend rien.

Vous pouvez vous y opposer à tout moment, et cette décision vous appartient : ni votre employeur ni votre administrateur ne peuvent la poser ou la lever à votre place. Trois chemins équivalents — la bascule « Récap hebdomadaire » dans votre profil, le lien de désabonnement présent dans chaque message (il fonctionne sans même vous connecter), ou le bouton « Se désabonner » que votre logiciel de messagerie affiche lui-même. L'effet est immédiat.

La question eNPS de Kwoji Pulse part une fois par trimestre, si votre organisation a activé Pulse (désactivé par défaut). Une question, un bouton, aucune pression : ne pas répondre est aussi une option, sans conséquence. Vous pouvez vous en désabonner à tout moment par le lien présent dans chaque message ou par le bouton de votre logiciel de messagerie ; c'est un consentement distinct de celui du récap hebdomadaire, chacun se pose et se lève séparément.

Les annonces de nouveautés Kwoji sont des messages ponctuels sur les évolutions importantes du produit. Chaque message contient son propre lien de désabonnement. Ce choix est distinct de ceux du récap et de Pulse. Par précaution, Kwoji n'envoie toutefois aucune annonce à une personne qui s'est déjà opposée à l'une de ces trois catégories d'e-mails non transactionnels.

Chaque message part à votre seule adresse : les adresses de vos collègues n'y figurent jamais.

Les invitations à une partie planifiée ne sont pas des e-mails Kwoji : Google les envoie depuis l'agenda de l'hôte aux seuls collègues qu'il a sélectionnés.

Sous-traitants

Nous ne vendons ni ne louons aucune donnée. Nos sous-traitants techniques :

Supabase, Inc. — base de données, authentification, stockage des images (région : Irlande (Union européenne)).
Cloudflare, Inc. — hébergement du site, serveur de jeu temps réel et mesure d'audience sans cookie.
Resend, Inc. : envoi de nos e-mails : messages liés à l'abonnement, invitations envoyées par votre organisation, récap hebdomadaire, questions eNPS de Kwoji Pulse et annonces de nouveautés.
Stripe Payments Europe, Ltd. (Dublin, Irlande) — paiement et facturation des abonnements. Le numéro de carte est saisi chez Stripe et ne nous parvient jamais ; nous lui transmettons l'e-mail de facturation, la raison sociale, l'adresse et le numéro de TVA de l'organisation.
Google LLC — si vous choisissez la connexion « Continuer avec Google » : Google nous transmet votre e-mail, votre nom et votre photo de profil.
Google Ireland Limited — si vous branchez volontairement Google Agenda pour planifier une partie : Kwoji lui transmet le titre, le créneau et les adresses des collègues sélectionnés (500 au maximum). Google crée le lien Meet et envoie les invitations et rappels. Pour proposer un créneau commun, Kwoji lit uniquement des intervalles anonymes « occupé / libre », jamais le titre, les participants, le lieu ou le contenu d'un rendez-vous. Ces intervalles ne sont pas conservés et vous pouvez déconnecter l'agenda à tout moment.
Functional Software, Inc. (Sentry) — détection des erreurs techniques. Les rapports d'erreur sont hébergés dans l'Union européenne et ne contiennent ni identité, ni adresse IP, ni contenu de jeu — uniquement des données techniques (message d'erreur, page, navigateur).
PostHog, Inc. — mesure d'audience et d'usage en mode sans cookie, lorsqu'elle est activée. Kwoji ne lui transmet aucun nom, e-mail, identifiant de compte ou d'organisation, code de salle, score ou contenu de jeu. Les données sont hébergées dans l'Union européenne (Francfort) et l'adresse IP n'est pas conservée ; les transferts éventuels sont encadrés par son accord de traitement des données.
Crisp IM SAS (Nantes, France) — chat de support client, lorsqu'il est activé. Si vous ouvrez une conversation, Crisp traite le contenu de vos messages, votre e-mail et votre nom, ainsi que des données techniques de connexion. Les données sont hébergées dans l'Union européenne (Amsterdam et Francfort), sans transfert hors UE.

Certains de ces prestataires sont des sociétés américaines : les transferts sont encadrés par leurs accords de traitement de données (clauses contractuelles types de la Commission européenne et, le cas échéant, certification au Data Privacy Framework).

Données utilisateur Google

Cette section décrit précisément le sort des données que Kwoji reçoit des API Google, lorsque vous choisissez « Continuer avec Google » ou que vous connectez Google Agenda.

Ce que nous recevons. Via la connexion Google : votre adresse e-mail, votre nom et votre photo de profil. Via la connexion Google Agenda (autorisations « calendar.events », en écriture d'événements uniquement, et « calendar.freebusy », en lecture de disponibilité uniquement) : un jeton d'autorisation OAuth, l'adresse e-mail du compte Google connecté et, au moment où un organisateur prépare une partie, des créneaux « occupé / libre » anonymes servant à proposer un horaire commun. Kwoji ne lit jamais le contenu de votre agenda : ni le titre, ni les participants, ni le lieu d'aucun rendez-vous, ni vos e-mails. Ces créneaux ne sont pas conservés : ils servent au calcul de la proposition, puis sont oubliés.

Partage, transfert et divulgation. Nous ne partageons, ne transférons et ne divulguons les données utilisateur Google à personne, à trois exceptions près :

nos hébergeurs techniques listés à la section « Sous-traitants » (Supabase, Inc. et Cloudflare, Inc.), qui stockent et traitent ces données pour notre compte et sous contrat, sans droit de les utiliser pour eux-mêmes ;
si la loi nous y oblige (réquisition judiciaire ou obligation légale) ;
avec votre consentement explicite, dans tout autre cas qui serait un jour proposé.

Nous ne vendons jamais ces données, nous ne les transmettons à aucune régie publicitaire ni courtier en données, nous ne les utilisons pas pour de la publicité, et nous ne les utilisons pas pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique.

L'utilisation par Kwoji des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences d'« utilisation limitée » (Limited Use).

Protection des données sensibles. Le jeton d'autorisation Google est la donnée la plus sensible que nous détenons : qui le possède peut écrire dans votre agenda. Il est protégé par des mécanismes dédiés :

chiffrement en transit : toutes les communications (navigateur, serveurs, API Google) passent exclusivement par HTTPS/TLS ;
chiffrement au repos : la base de données qui le stocke est chiffrée ;
cloisonnement strict : le jeton vit dans un schéma privé de la base, inaccessible depuis l'application et depuis toute API publique ; seul notre serveur de facturation, détenteur d'une clé de service, peut le lire. Il ne transite jamais vers un navigateur et n'est jamais inclus dans votre export de données ;
contrôle d'accès : le flux de connexion OAuth est protégé par un état signé cryptographiquement et à durée limitée, qui empêche qu'un tiers rattache son agenda à votre compte ;
révocation : déconnecter Google Agenda depuis votre profil, ou supprimer votre compte, supprime le jeton immédiatement ; vous pouvez aussi révoquer l'accès de Kwoji à tout moment depuis les paramètres de sécurité de votre compte Google.

Cookies et stockage local

Kwoji n'utilise aucun cookie de suivi ni traceur publicitaire, et n'affiche donc pas de bandeau de consentement. Le navigateur conserve uniquement des informations strictement nécessaires au fonctionnement, dans le stockage local :

votre session de connexion (jeton d'authentification) ;
des clés techniques kwoji-* : invitation en attente, lien de partie, salon en cours ;
lorsque le chat de support est activé, un identifiant technique déposé par Crisp pour garder la continuité de votre conversation d'assistance — un stockage fonctionnel, jamais un traceur publicitaire.

La mesure d'audience (Cloudflare Web Analytics et PostHog lorsqu'il est activé) fonctionne sans cookie de suivi. PostHog fonctionne en mode sans cookie : il ne dépose aucun cookie ni stockage local et ne crée aucun profil de personne. Il utilise des signaux techniques tels que l'adresse IP, le navigateur et le domaine pour produire côté serveur un identifiant pseudonyme dont le sel change chaque jour ; il ne relie donc pas un même navigateur d'un jour à l'autre ni entre les domaines. Les URL contenant un fragment, un paramètre libre ou un secret d'invitation, de partie ou d'authentification ne lui sont pas envoyées ; seuls les choix fermés de langue et de mode inscription/connexion sont admis. Les objectifs Kwoji ne contiennent aucune donnée d'identité.

Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition. La plupart s'exercent directement dans la plateforme :

Rectification — nom affiché et photo de profil modifiables à tout moment depuis votre profil ;
Effacement — le bouton « Supprimer mon compte » de votre profil supprime immédiatement et définitivement toutes vos données ; « Quitter l'organisation » efface vos données au sein de cette organisation ;
Accès et portabilité — le bouton « Télécharger mes données » de votre profil produit une copie complète de vos données au format JSON, immédiatement.

Pour toute autre demande : [email protected]. Vous pouvez également adresser une réclamation à la CNIL (cnil.fr).