1. Responsable du traitement

EXOGROUPE, EURL située à 83170 Brignoles, France, RCS Draguignan 841 086 846, est responsable des traitements décrits ci-dessous. Pour toute question ou demande relative à vos données : hello@toplings.com.

2. Données qui restent sur votre ordinateur (Mac ou PC Windows)

Toplings existe en version macOS et en version Windows. Cette politique couvre les deux, ainsi que l’extension navigateur facultative décrite au § 2.1. Sauf mention contraire, tout ce qui suit vaut à l’identique sur les deux systèmes.

Le fonctionnement visuel de Toplings repose principalement sur des traitements locaux. Les données suivantes restent sur votre appareil et ne sont pas envoyées aux serveurs Toplings :

• les préférences, réglages, état d’onboarding et choix d’interface ;
• les compteurs de progression du jeu, dont les accessoires portés et les aménagements de prairie, ainsi que le motif et la date connue des déblocages d’espèces sur cet appareil ; cet historique de déblocage reste conservé lorsque vous videz les notifications. Si vous liez un compte, ces compteurs et la liste des espèces que vous avez débloquées en jouant lui sont transmis (§ 4) ; le motif et la date des déblocages restent sur cet appareil ;
• les statistiques locales de chaque Topling (contribution aux gains d’or, nombre de courriers envoyés, date de début du suivi et affinités) ; les compteurs d’or et de courriers commencent à l’activation de ce suivi sur l’appareil, sans reconstituer le passé, et sont effacés à la libération du Topling ou à la remise à zéro des données de jeu ;
• sur Mac, les photos de famille et leurs vignettes conservées dans l’album local : les originaux contiennent uniquement les créatures du jeu sur fond transparent, sans les pixels de vos fenêtres ni du fond d’écran. Vous pouvez choisir un décor illustré, télécharger le résultat ou supprimer une photo depuis l’album ; les photos et leurs choix de décor ne sont pas synchronisés avec votre compte ;
• la géométrie, la position et l’ordre des fenêtres, utilisés en mémoire pour placer les créatures ;
• les événements de calendrier éventuellement consultés pour les rappels ;
• pour le mode Focus, le nom de l’application au premier plan et, lorsque ce mode est activé, le domaine de l’onglet actif du navigateur — qui ne peut venir que de l’extension navigateur, sur les deux systèmes, comme décrit juste après.

Toplings ne lit ni les titres ni le contenu de vos fenêtres. Le nom de l’application au premier plan vient du système — sur macOS le nom affiché de l’application, sur Windows le nom du fichier exécutable — et jamais du titre de la fenêtre. L’application n’utilise ni l’enregistrement d’écran, ni le microphone, ni les API d’accessibilité (l’API d’accessibilité de macOS, UI Automation sous Windows) pour son fonctionnement principal.

D’où vient le domaine de l’onglet : de l’extension navigateur, et de rien d’autre. Sur macOS comme sur Windows, le domaine ne peut venir que de l’extension navigateur facultative (§ 2.1), que vous installez vous-même ; tant qu’elle n’est pas installée, le mode Focus ne connaît que le nom de l’application au premier plan. L’application ne lit jamais elle-même l’onglet d’un navigateur : elle n’exécute aucun script, n’envoie aucune commande à un navigateur, et ne demande aucune autorisation d’Automatisation.

Safari n’a pas d’extension Toplings : sur Safari, le mode Focus ne détecte aucun site et s’en tient au nom de l’application au premier plan. Si votre dossier Bibliothèque ▸ Application Scripts ▸ com.toplings.mac contient des fichiers de script, ils ne sont jamais exécutés ; ce sont des fichiers texte inertes, que l’application ne supprime pas d’elle-même et que vous pouvez effacer à la main.

Où ces données sont rangées, et ce qu’une désinstallation laisse. Sur macOS, les préférences et les fichiers de l’application vivent dans les emplacements habituels du système, et le jeton d’appareil dans le Trousseau ; une désinstallation peut laisser des éléments dans le Trousseau ou dans Application Support. Sur Windows, les préférences et le jeton d’appareil chiffré par DPAPI — le mécanisme de chiffrement de Windows, qui lie le secret à votre session : un autre compte de la même machine ne peut pas le lire — sont rangés dans la clef de registre de l’application, et les fichiers (lettres, sprites, cache d’affichage) dans le dossier %LOCALAPPDATA%\Toplings ; une désinstallation peut les laisser en place. Dans les deux cas, pour un effacement complet, utilisez d’abord les commandes de suppression ou de réinitialisation de Toplings, ou supprimez ces données avec les outils du système.

2.1. L’extension navigateur « Toplings Focus »

Le mode Focus peut s’étendre au navigateur au moyen d’une extension facultative, que vous installez vous-même et qui fonctionne sur les navigateurs de la famille Chrome (Chrome, Edge, Brave, Arc, Vivaldi, Opera) et sur Firefox. Elle sert à une seule chose : dire à l’application Toplings installée sur la même machine sur quel site vous êtes, pour que vos créatures viennent vous rappeler à l’ordre dans la page. En retour, l’application lui renvoie le temps passé dans la journée sur vos sites distrayants et le budget de chacun, pour que l’icône de l’extension puisse l’afficher ; ces chiffres restent eux aussi sur la machine. Elle est indispensable à la détection des sites, sur macOS comme sur Windows : sans elle, le mode Focus s’en tient au nom de l’application au premier plan (§ 2). Elle n’existe pas pour Safari.

Ce qu’elle transmet. Uniquement le domaine de l’onglet actif — par exemple example.com, en minuscules et sans « www. ». Rien d’autre.

À qui, et par quel chemin. À l’application Toplings de votre propre ordinateur, par un canal strictement local : soit le mécanisme de messagerie native du navigateur, soit une connexion à 127.0.0.1, c’est-à-dire votre machine elle-même. Aucune donnée de l’extension ne part sur le réseau, et rien n’arrive aux serveurs Toplings. L’extension ne fonctionne que si l’application tourne avec le mode Focus activé ; sinon, le domaine n’est envoyé nulle part.

Ce qu’elle ne fait pas, et c’est la partie qui compte : elle ne lit pas l’URL complète, ni le titre des pages, ni leur contenu, ni les champs de formulaire, ni les mots de passe ; elle ne consulte pas votre historique de navigation ; elle ne conserve aucune donnée, ni dans le navigateur ni ailleurs — le domaine est transmis puis oublié ; elle ne contient aucune télémétrie, aucun traceur, aucune publicité ; elle ne communique avec aucun serveur, ni le nôtre ni celui d’un tiers.

Les permissions demandées à l’installation (accès aux onglets, accès aux sites, messagerie native) servent exactement à cela : lire le domaine de l’onglet actif et parler à l’application locale. Désinstaller l’extension suffit à faire cesser ce traitement ; désactiver le mode Focus dans l’application le suspend.

Notifications dans l’application. La cloche garde localement les demandes d’amitié, les messages reçus et les annonces de Toplings. Vous pouvez les marquer comme lues ou effacer cet historique. Les annonces peuvent viser tous les joueurs ou votre compte ; leur texte et leur cible éventuelle sont conservés sur le serveur jusqu’à expiration (30 jours maximum, puis purge dans les six heures). Leur état de lecture reste sur votre appareil et n’est pas envoyé au serveur.

3. Données du service Amis

Si vous utilisez les fonctions Amis, nous traitons :

• un identifiant aléatoire, un jeton d’authentification, un code ami, votre pseudo et l’espèce ambassadrice choisie ;
• les demandes et relations d’amitié, listes de blocage, réactions et statuts de livraison ;
• les courtes lettres et, si cette option est activée, les images JPEG que vous choisissez d’envoyer, leur destinataire et leurs dates de création, livraison et expiration ;
• les signalements : catégorie, commentaire facultatif, copie du contenu signalé, verdict de modération et historique des décisions prises ;
• le code ami de la personne qui vous a fait connaître Toplings, si vous choisissez de le saisir : nous conservons uniquement l’identifiant du profil correspondant, afin de compter combien de personnes sont venues avec un code donné. Ce champ est facultatif, ne peut être renseigné qu’une seule fois et ne crée aucune relation d’amitié.

Ces données servent à créer votre profil, mettre en relation les amis choisis, acheminer les messages, appliquer les blocages, traiter les signalements, prévenir les abus et sécuriser le Service. Un signalement masque immédiatement la lettre sur votre appareil et peut entraîner le blocage de l’expéditeur. Leur traitement est nécessaire à l’exécution du Service demandé ; la prévention de la fraude, la modération et la sécurité reposent aussi sur notre intérêt légitime.

4. Compte facultatif et synchronisation

Les cartes de prairie et les gestes en attente sont d’abord enregistrés sur votre appareil. La carte active et la position de caméra restent propres à cet appareil. Les images communes du jeu ne sont pas copiées dans votre sauvegarde de prairie. Lorsque vous liez un compte, les cartes locales sont ajoutées à sa collection, avec une copie locale conservée pour permettre la reprise de l’import.

Vous pouvez utiliser un compte principal facultatif afin de synchroniser plusieurs appareils. Nous traitons alors votre adresse e-mail, les dates de connexion, les liaisons entre appareils et identifiants, ainsi que les données que vous choisissez de synchroniser :

• prairies aménageables : identifiants et noms des cartes, parcelles acquises, sols modifiés, exemplaires de bâtiments et décors, leurs placements et dimensions, positions de repos personnalisées des Toplings, ainsi que les identifiants d’origine, révisions et opérations nécessaires aux achats, annulations et reprises de synchronisation ;
• troupeau : espèces adoptées, noms choisis, état et dates d’ajout ou de suppression, accessoires possédés et, pour chacun, la créature qui le porte et l’endroit où il est posé ;
• déblocages obtenus en jouant : l’identifiant de chaque espèce débloquée par une quête ou par la capture d’un visiteur rare, et la date à laquelle votre compte l’a reçue, pour la retrouver sur vos autres appareils ;
• progression du jeu : les compteurs des quêtes en cours — gestes de jeu (caresses, repas, lancers…), records, jours où l’application a tourné, et les faits de l’ordinateur que certaines quêtes comptent (nombre d’écrans, de fenêtres et d’applications ouvertes, durée de fonctionnement, temps passé en mode sombre, sur batterie, en économie d’énergie, hors ligne ou en Concentration, changements de sortie audio, de volume ou de fuseau horaire, familles de navigateur dont l’extension s’est connectée) —, pour que vos quêtes vous suivent après une déconnexion et sur vos autres appareils. Ce ne sont que des nombres et des identifiants du jeu : ni titre ni contenu de fenêtre, ni adresse visitée ;
• portefeuille : solde d’or et journal technique des crédits et débits nécessaires à sa cohérence ; réserves distinctes de créations photo et de reproductions, référence du paiement de chaque unité, état utilisé ou remboursé et commande associée lors de son utilisation.
• cadeaux de crédits du laboratoire : l’adresse e-mail saisie sert à trouver un autre compte existant avant le paiement. Nous conservons les identifiants des comptes acheteur et destinataire, le type de crédit et les références de paiement et de livraison pour exécuter le cadeau, éviter les doublons et traiter les remboursements. L’adresse du destinataire n’est pas recopiée dans le cadeau ni transmise à Stripe ou Apple. Ces liens sont conservés avec les comptes ; la suppression définitive d’un compte anonymise son identifiant dans ces données, sans supprimer la preuve technique nécessaire aux remboursements.
• achats : produits et droits acquis, identifiants techniques de transaction, fournisseur, montant, devise et date du paiement, état de remboursement ou révocation et rapprochement du portefeuille.

L’adresse e-mail n’est pas requise pour les fonctions locales ni pour le profil Amis pseudonyme. Les codes de connexion à usage unique sont conservés sous forme hachée et expirent après environ dix minutes.

Se connecter depuis le site. La page de commande d’un Topling sur-mesure, à l’adresse toplings.com/create, donne accès au même compte que l’application. Vous y indiquez votre adresse e-mail, nous vous envoyons un code à usage unique, et ce code vaut connexion : si aucun compte ne porte cette adresse, il est créé à cet instant, sans que vous ayez à installer quoi que ce soit. Un mot de passe, lorsque vous en avez défini un, permet de vous reconnecter plus vite ; il ne sert jamais à s’inscrire. Nous rattachons alors la commande à votre compte au moyen d’un identifiant technique interne, de la même nature que ceux qui relient vos appareils. La session ainsi ouverte repose sur un cookie strictement nécessaire, décrit au § 13.2. Ce que vous commandez sur le site vous suit ensuite dans l’application, sur Mac comme sur PC Windows, dès que vous vous y connectez avec la même adresse.

Compte sans adresse. Pour qu’un achat d’or ou d’unités de création ne dépende jamais d’une inscription, l’application crée automatiquement, à partir du seul identifiant aléatoire de votre appareil, un compte sans adresse e-mail, sans nom et sans mot de passe. Il sert à conserver votre solde d’or, vos unités de création et vos commandes, ainsi qu’à honorer un remboursement. Ajouter une adresse plus tard reste facultatif : elle est simplement posée sur ce même compte, ce qui permet de retrouver votre solde et vos unités de création sur un autre appareil, Mac ou PC Windows. Réinitialiser Toplings ou dissocier l’appareil supprime ce compte, puisqu’il n’a alors plus aucun titulaire.

5. Toplings sur-mesure : les images que vous envoyez

Cette fonction facultative fabrique une créature à partir des images que vous fournissez : photographies d’un animal, photographies de vous-même, ou dessin et illustration originaux d’une créature ou d’un personnage. Le laboratoire de reproduction peut aussi utiliser les sprites de deux Toplings que vous choisissez dans votre troupeau. Ces parcours de création transmettent leurs images de référence aux prestataires d’intelligence artificielle décrits ci-dessous. Elle se commande depuis l’application ou depuis le site (toplings.com/create, § 13.2) : le traitement décrit ci-dessous, les prestataires et les durées de conservation sont les mêmes dans les deux cas. Nous traitons alors :

• pour une reproduction : les identifiants, espèces, sexes et sprites des deux parents choisis, puis l’identité de l’enfant, son sexe, sa coquille et son état d’éclosion ; les références de fabrication suivent la même durée de conservation que les photos ;
• une à trois images JPEG, envoyées volontairement pour cette fabrication et pour rien d’autre ;
• le nom que vous choisissez. Le type de sujet et le timbre de voix ne vous sont plus demandés : ils sont déduits automatiquement par nos prestataires d’intelligence artificielle à partir des images, et le résultat de cette déduction est conservé avec la commande ;
• les précisions physiques facultatives sur votre sujet (300 caractères maximum), transmises avec les images à nos prestataires d’IA pour préciser son apparence ;
• si vous le souhaitez, votre note de 1 à 5 et une explication de 1 000 caractères maximum sur une création photo ou une reproduction ; une explication est demandée pour une note de 1 à 3. Ces avis privés, associés à la version générée, sont relus par notre équipe pour améliorer le service ; ils ne sont transmis à aucun prestataire d’IA et ne déclenchent pas automatiquement une nouvelle génération ;
• si vous signalez un problème sur une création, votre explication obligatoire (1 000 caractères maximum), la version concernée, l’état du traitement et l’éventuelle réponse de notre équipe. Ces signalements restent privés, ne sont pas transmis aux prestataires d’IA et sont supprimés avec la commande ou le compte ;
• l’état de la commande, son mode de règlement et sa référence de paiement ;
• un journal technique de fabrication : transitions d’état, appels aux modèles et leur coût, verdicts de modération et de contrôle qualité. Ce journal ne contient aucune photographie ni aucun texte que vous avez saisi — uniquement des motifs rédigés par nous.

Les métadonnées EXIF sont retirées, et deux fois plutôt qu’une. Chaque photographie est reconstruite à partir de ses seuls pixels avant de partir : par l’application lorsque vous commandez depuis elle, par votre propre navigateur lorsque vous commandez depuis le site, où l’image est redimensionnée et ré-encodée en JPEG sur votre machine avant le moindre envoi. La position GPS, l’horodatage, le modèle d’appareil et toute autre métadonnée EXIF ne quittent donc jamais votre ordinateur. Avant tout appel à un prestataire, l’image est de nouveau ré-encodée sans aucune métadonnée, après redressement de son orientation.

Deux prestataires interviennent, avec la non-conservation exigée (voir aussi l’article 8) : OpenRouter et le fournisseur du modèle choisi pour la modération des images, l’analyse du pelage et de la morphologie et les contrôles de qualité ; OpenAI pour la génération des images du sprite. Dans les deux cas, les appels sont émis avec refus de collecte et exigence de non-conservation des données (Zero Data Retention) : vos photographies ne servent à l’entraînement d’aucun modèle.

Les personnes qui figurent sur vos images. Une photographie d’animal montre souvent la main ou le visage de son maître, et un autoportrait vous montre vous-même : ces images sont acceptées. Avant de les envoyer, l’application — ou la page de commande du site — affiche ce qu’il advient d’elles et vous demande de cocher une case : vous déclarez alors avoir l’accord de toute personne qui y figure, ainsi que les droits nécessaires sur les dessins que vous fournissez. Ce consentement est recueilli et horodaté par notre serveur au moment de la commande, et il conditionne son envoi : sans lui, aucune image ne part chez un prestataire. Il constitue votre base légale de transmission au titre de l’article 6.1.a du RGPD ; les images sont supprimées dans les délais de l’article 9.

Ce qui est refusé, et ce qui en reste. Le nom, puis les images, sont examinés automatiquement avant tout paiement. Cinq situations mènent au refus : un nom insultant, haineux, sexuel ou menaçant ; un contenu illicite (sexuel, violent, haineux) ; un mineur comme sujet à dessiner ; une personnalité publique ; et l’absence de tout sujet dessinable (paysage, texte, plusieurs sujets sans dominante). Un personnage ou une mascotte protégés ne sont pas refusés à ce stade : l’examen le relève et le note sur la commande, et c’est le fournisseur des images qui décide ensuite de le dessiner ou non. La commande refusée et ses images sont effacées sous 48 heures.

Le journal des décisions de modération. Pour prévenir les abus, nous conservons 90 jours un journal pseudonymisé de chaque décision de modération (issue, motif, empreinte quotidienne de l’adresse IP) ; il ne contient ni image ni texte saisi, et il est conservé sous cette forme après la suppression du compte. Il sert à faire respecter des plafonds journaliers d’envois et de refus, et à repérer les comptes à examiner ; sans lui, supprimer son compte remettrait ces compteurs à zéro.

Le traitement est nécessaire à l’exécution du service que vous avez commandé ; la modération, la prévention des abus et la lutte contre la fraude reposent sur notre intérêt légitime. Les durées de conservation figurent à l’article 9, et la suppression de votre compte efface l’ensemble (article 11), à la réserve près du journal de modération pseudonymisé ci-dessus.

6. Données techniques

Le serveur peut traiter temporairement l’adresse IP, l’heure, la route appelée, le résultat de l’authentification et des informations techniques minimales afin de répondre aux requêtes, limiter les envois abusifs d’e-mails, diagnostiquer les erreurs et protéger le Service. Nous ne réalisons pas de profilage publicitaire et ne vendons pas vos données.

La recherche de mises à jour. L’application demande périodiquement à notre serveur quelle est la version courante — sur tous les canaux sauf le Microsoft Store, où c’est le Store qui s’en charge et où l’application n’appelle rien : une requête vers api.toplings.com/version qui ne nomme que le canal de votre installation, sans identifiant de compte ni d’appareil. Sur le canal direct Windows, elle lit ensuite le manifeste signé publié à toplings.com/downloads/latest-win.json puis télécharge l’installeur qu’il désigne, sur le même domaine. Ces requêtes n’envoient aucune donnée vous concernant ; comme pour toute requête, notre serveur voit l’adresse IP appelante, dans les conditions décrites ci-dessus.

6.1. Les signalements de problème

L’application propose un formulaire « Signaler un problème », que vous ouvrez vous-même et qui n’envoie rien tant que vous n’avez pas appuyé sur Envoyer. Chaque envoi est un geste volontaire, et il est le seul : rien ne part automatiquement, ni au lancement, ni après une erreur.

Ce qu’un signalement contient. Le texte que vous écrivez (2 000 caractères au maximum), la version de l’application, le système et sa version, le nombre d’écrans, le nombre de créatures de votre troupeau, et le compte auquel votre appareil est lié — le formulaire affiche ces éléments avant l’envoi. Une case, cochée d’office dès que l’application tient un journal, y joint la fin du journal technique local, sur Mac comme sur Windows ; elle se décoche d’un clic, et le journal n’est alors pas envoyé. Ce journal contient le nom de vos créatures, le nom de vos amis et le nom de votre compte utilisateur sur l’ordinateur, qui figure dans le chemin du dossier de l’application ; il ne contient ni titre de fenêtre, ni contenu de fenêtre, ni adresse consultée.

À quoi ils servent, et combien de temps. À diagnostiquer le problème que vous décrivez et à vous répondre, et à rien d’autre : ils ne sont ni utilisés pour du profilage, ni rapprochés de votre usage du jeu. Pour que notre équipe les lise sans attendre, le texte que vous écrivez est recopié dans un salon privé de notre messagerie d’équipe, Discord (article 8) — ce texte seul : ni le journal, ni votre compte, ni votre appareil. Ils sont conservés 30 jours, puis effacés, la copie du salon comprise (article 9). Le traitement repose sur notre intérêt légitime à corriger les défauts du Service.

Notre réponse. Si nous vous répondons, c’est par une lettre dans l’application ou, lorsque votre compte porte une adresse e-mail, par un e-mail envoyé à cette adresse — jamais à une autre — par notre prestataire Brevo (article 8). Un compte sans adresse ne reçoit que la lettre.

7. Bases légales et finalités

• Exécution du contrat : fournir les fonctions Amis, compte, synchronisation, livraison des lettres et portefeuille.
• Intérêt légitime : sécuriser et modérer le Service, prévenir les abus, traiter les signalements, corriger les erreurs et défendre nos droits, après mise en balance avec vos intérêts.
• Obligation légale : conserver, communiquer ou supprimer certaines données lorsque la loi l’impose.
• Consentement : la déclaration que vous cochez avant d’envoyer les photographies d’un Topling sur-mesure (article 5) et l’inscription à la liste d’attente du site, close depuis le 26 août 2026 (§ 13.1). Il peut être retiré à tout moment, sans affecter la licéité de ce qui a été fait avant.

8. Destinataires et prestataires

L’accès est limité aux personnes habilitées d’EXOGROUPE et aux prestataires nécessaires :

• OVHcloud / OVH SAS, pour l’hébergement de l’infrastructure et des données du Service ;
• Brevo, uniquement pour l’envoi d’e-mails à l’adresse de votre compte facultatif : codes de connexion, avis qu’un Topling sur-mesure est prêt, et nos réponses à vos signalements (article 6.1) ;
• Discord, la messagerie de notre équipe, uniquement pour y recevoir, dans un salon privé, le texte d’un signalement de problème que vous nous envoyez (article 6.1) — sans le journal technique, votre compte ni votre appareil ; le message y est effacé au bout de 30 jours ;
• Apple, pour la distribution et les achats intégrés de la version Mac App Store ;
• Stripe, pour le paiement de la version vendue directement et des commandes passées sur le site, sans transmission de vos données de carte à Toplings ;
• OpenRouter et le fournisseur du modèle choisi, uniquement lorsque la modération par IA est activée : le texte et les JPEG privés sont envoyés pour obtenir un verdict structuré, avec refus de collecte, exigence Zero Data Retention et paramètres stricts. Le même prestataire analyse les photographies d’un Topling sur-mesure (article 5) et contrôle la qualité du résultat ;
• OpenAI, uniquement pour la fabrication d’un Topling sur-mesure : les photographies débarrassées de leurs métadonnées sont envoyées à son service de génération d’images afin de produire le sprite commandé, avec non-conservation demandée et sans utilisation à des fins d’entraînement.

Microsoft, sur Windows — et ce n’est pas un prestataire. La version Windows est aussi distribuée par le Microsoft Store : c’est alors Microsoft qui distribue le paquet, en assure l’installation et en assure la mise à jour, pour son propre compte et selon sa propre politique de confidentialité. Ce que vous faites sur le Store — la page du produit, le compte Microsoft utilisé, l’installation — se passe entre vous et Microsoft.

La version Windows a besoin du composant Microsoft Edge WebView2 pour afficher son interface. Si votre PC ne l’a pas déjà, l’installeur MSI du téléchargement direct exécute le programme d’installation officiel de Microsoft qu’il embarque, et celui-ci télécharge le composant directement depuis les serveurs de Microsoft : votre adresse IP est alors visible par Microsoft, comme lors de n’importe quel téléchargement. Cet échange a lieu entre votre machine et Microsoft ; EXOGROUPE n’en reçoit rien et n’y a pas accès, et Microsoft agit ici pour son propre compte, selon sa propre politique de confidentialité. Rien n’est téléchargé si le composant est déjà présent. Une fois installé, il est entretenu et mis à jour par Microsoft comme les autres composants de Windows, indépendamment de Toplings.

Les prestataires n’agissent que selon nos instructions pour les données dont EXOGROUPE est responsable. Lorsqu’un prestataire traite des données hors de l’Espace économique européen, nous utilisons un mécanisme de transfert reconnu par le RGPD, tel qu’une décision d’adéquation ou les clauses contractuelles types, avec les garanties complémentaires appropriées.

9. Durées de conservation

• données locales : jusqu’à leur suppression depuis l’application ou depuis le système ; certaines peuvent subsister après une désinstallation — sur macOS dans le Trousseau ou Application Support, sur Windows dans la clef de registre de l’application ou le dossier %LOCALAPPDATA%\Toplings (§ 2) ;
• domaine de l’onglet actif, qui ne vient que de l’extension navigateur, sur les deux systèmes : rien n’est conservé — il est utilisé par l’application locale puis oublié, et l’extension ne transmet que le domaine, jamais l’adresse complète (§ 2 et § 2.1) ;
• profil Amis pseudonyme, relations et blocages : jusqu’à la réinitialisation du profil ou la suppression du Service, sous réserve des données strictement nécessaires à la sécurité ;
• réactions : jusqu’à leur livraison, expiration ou suppression technique ;
• lettres et images non supprimées : au maximum 30 jours ;
• photographies d’une commande de Topling sur-mesure : 30 jours après la livraison ou l’échec de la commande, 48 heures en cas de refus de modération, 7 jours pour une commande restée en brouillon et jamais payée ;
• créature fabriquée (images du sprite) : conservée tant que le droit acquis reste actif, afin que vous puissiez la réinstaller ou la retrouver sur un autre appareil ; effacée avec le compte ou lorsque le droit est révoqué à la suite d’un remboursement ;
• précisions physiques facultatives : supprimées au même rythme que les photos sources ; notes et explications sur les créations : conservées avec la commande jusqu’à sa suppression ou celle du compte ;
• journal technique d’une commande sur-mesure : conservé avec la commande, sans contenu utilisateur ;
• signalements en attente : jusqu’à leur traitement ; copie du signalement, actions et verdicts de modération : 90 jours après traitement, sauf nécessité légale ou de sécurité plus longue ;
• signalement de problème envoyé depuis l’application — votre texte, les informations sur l’appareil et, si la case est cochée, la fin du journal technique local : 30 jours (§ 6.1), y compris la copie du texte dans notre salon Discord ;
• codes de connexion : environ 10 minutes ;
• session de connexion au guichet de commande du site : 30 jours au maximum, et détruite plus tôt par la déconnexion ou la suppression du compte (§ 13.2) ;
• compte lié et synchronisation : jusqu’à la suppression du compte ou après une période d’inactivité annoncée à l’utilisateur ; une demande de suppression ouvre une période de rétractation de 30 jours pendant laquelle les données sont conservées et restaurées si vous vous reconnectez, puis effacées à l’échéance — au plus tard quelques heures après —, sauf demande écrite d’effacement immédiat (§ 11) ;
• journaux de sécurité : durée courte et proportionnée à l’incident ou au besoin de protection ;
• inscription à la liste d’attente du site (formulaire retiré le 26 août 2026, adresses reçues avant cette date encore détenues) : jusqu’à l’envoi de l’annonce pour laquelle vous vous êtes inscrit, puis retrait de la liste — et à tout moment sur simple demande par courriel ; ces retraits sont manuels, il n’existe ni lien de désinscription ni effacement automatique (§ 13.1) ;
• preuves de consentement, transactions et obligations comptables : pendant les durées légales applicables.

Les sauvegardes sont écrasées selon leur cycle normal. Des données peuvent être conservées plus longtemps lorsqu’elles sont nécessaires à l’établissement, l’exercice ou la défense d’un droit en justice.

10. Vos droits

Selon le RGPD et la loi applicable, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, l’opposition pour motif légitime et, lorsque les conditions sont réunies, la portabilité de vos données. Vous pouvez retirer un consentement sans affecter la licéité antérieure et définir des directives françaises relatives au sort de vos données après votre décès.

Écrivez à hello@toplings.com. Nous pouvons demander les informations raisonnablement nécessaires pour vérifier votre identité et répondons en principe sous un mois. Vous pouvez déposer une réclamation auprès de la CNIL ou de l’autorité de contrôle de votre lieu de résidence.

11. Suppression et réinitialisation

Un compte lié peut être supprimé depuis l’onglet Compte ou sur demande par e-mail. La suppression du compte efface les données de synchronisation associées, sous réserve des obligations légales et sauvegardes temporaires. Le profil Amis pseudonyme repose sur un identifiant distinct : utilisez aussi la commande de réinitialisation/suppression du profil Amis si vous souhaitez effacer ces relations. Désinstaller l’application ne garantit pas l’effacement des données locales décrites au § 2 — Trousseau et Application Support sur macOS, clef de registre et %LOCALAPPDATA%\Toplings sur Windows — et ne constitue pas à elle seule une demande de suppression des données serveur.

La suppression depuis l’application est ré-authentifiée : elle vous demande votre mot de passe, ou, si votre compte n’en a pas, un code envoyé à l’adresse e-mail du compte. Personne d’autre que vous ne peut donc la déclencher depuis un appareil resté connecté.

Elle ouvre une période de rétractation de 30 jours. Pendant ces 30 jours, le compte est inaccessible et n’apparaît plus dans le Service, mais ses données sont conservées : vous reconnecter avec votre mot de passe ou un code e-mail annule la suppression et restaure tout — solde, créatures, objets, achats et code ami. À l’échéance, les données sont effacées définitivement, au plus tard quelques heures après (l’effacement est traité par lots plusieurs fois par jour). Vous pouvez demander un effacement immédiat, sans attendre les 30 jours, en écrivant à hello@toplings.com.

Se déconnecter n’est pas supprimer. La commande « Se déconnecter » de l’application efface les données de jeu présentes sur cet appareil — solde, créatures, objets, progression — qui restent disponibles sur votre compte et redescendent à la reconnexion. Elle conserve le jeton d’appareil décrit au § 2, ainsi que vos réglages et votre consentement ; l’appareil n’est donc pas enregistré à nouveau comme un appareil neuf. (La déconnexion du guichet de commande du site est une autre commande, décrite au § 13.2.)

12. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées au risque : jetons aléatoires, codes éphémères hachés, contrôle d’accès, chiffrement des communications, limitation des requêtes et sauvegardes. Le contenu des lettres et les secrets d’authentification ne sont pas inscrits dans les journaux de production. Aucun système n’est totalement infaillible ; signalez toute suspicion à hello@toplings.com.

13. Site web, cookies et stockage local

Le site toplings.com ne dépose aucun cookie publicitaire ou analytique et n’utilise aucun traceur, aucune mesure d’audience et aucun pixel de réseau social. Ses pages de présentation — accueil, modes, galerie, page « créer », questions fréquentes et pages légales — ne déposent aucun cookie : elles se contentent du stockage local du navigateur pour mémoriser la langue choisie. Cette donnée reste dans votre navigateur et peut être supprimée depuis ses réglages. Une seule partie du site dépose un cookie, strictement nécessaire à son fonctionnement : le guichet de commande décrit au § 13.2. Aucun bandeau cookies n’est affiché car aucun traceur soumis au consentement n’est utilisé.

13.1. La liste d’attente

Ce formulaire a été retiré du site le 26 août 2026, et aucune adresse n’est plus collectée. Cette section reste parce que nous détenons encore les adresses reçues avant cette date : tant qu’elles existent, elles doivent être décrites ici. Le site proposait un formulaire pour être prévenu d’une disponibilité à venir — la version Windows notamment ; il était entièrement facultatif.

Ce qui a été enregistré. Trois choses, et rien d’autre : l’adresse e-mail que vous aviez saisie, la provenance de l’inscription (un mot technique indiquant quel formulaire a été utilisé, par exemple « windows-waitlist ») et la date de l’inscription. Ni nom, ni adresse IP, ni identifiant de navigateur, ni contenu de page. Une adresse déjà inscrite n’était pas enregistrée deux fois.

L’adresse IP n’a jamais été conservée avec l’inscription. Elle servait uniquement, en mémoire vive et pendant une heure, à limiter le nombre de soumissions provenant d’une même connexion : c’était la protection anti-abus du formulaire, et elle n’a jamais été écrite en base ni rattachée à votre adresse.

À quoi elle sert. À vous écrire une fois, pour l’annonce que vous avez demandée. Elle ne sert à aucune autre prospection, n’est ni vendue ni transmise à un tiers à des fins commerciales, et n’alimente aucun profilage. Deux prestataires seulement y ont accès, les mêmes qu’à l’article 8 : OVHcloud, chez qui la liste est hébergée, et Brevo, le jour où l’annonce partira, puisque c’est lui qui expédie nos e-mails — comme pour les e-mails de connexion. Personne d’autre.

Base légale. Votre consentement (article 6.1.a du RGPD) : soumettre le formulaire était l’acte qui le donnait. Ce formulaire ne comportait qu’un champ e-mail et un bouton : l’information sur ce que devient votre adresse est celle de la présente section, et il n’y en avait pas d’autre ailleurs. Vous pouvez retirer ce consentement à tout moment et sans motif, en demandant votre retrait de la liste.

Combien de temps, et comment se faire retirer. L’adresse reste enregistrée tant que l’annonce pour laquelle vous vous êtes inscrit n’a pas été envoyée ; elle est ensuite retirée de la liste. Vous pouvez en demander le retrait à tout moment, avant comme après, en écrivant à hello@toplings.com depuis l’adresse inscrite ou en la citant : nous la retirons sans condition et sans que vous ayez à vous justifier, dans le délai de l’article 10. Disons-le tel que c’est : ces retraits sont faits à la main par l’éditeur. Il n’existe pas de lien de désinscription, et aucun mécanisme automatique n’efface la liste — c’est un courriel qui déclenche la suppression, et rien d’autre. Les droits de l’article 10 s’appliquent à cette donnée comme aux autres.

13.2. Le guichet de commande (toplings.com/create)

Cette partie du site permet de commander un Topling sur-mesure depuis un navigateur, sans avoir installé l’application. Ses pages sont produites par notre serveur et servies sous le même domaine que le reste du site. Les données traitées y sont celles décrites ailleurs dans ce document : votre adresse e-mail et le code de connexion (§ 4), la commande et ses photographies (§ 5), le paiement par Stripe (§ 8) et les données techniques usuelles d’un serveur (§ 6).

Un cookie, et un seul. Une fois connecté, votre navigateur reçoit un cookie de session nommé __Host-toplings_create. Il ne contient qu’un jeton aléatoire — ni votre adresse, ni votre nom, ni aucun identifiant publicitaire — dont nous ne conservons qu’une empreinte, jamais la valeur elle-même. Il est inaccessible aux scripts de la page (HttpOnly), n’est transmis qu’en HTTPS (Secure), n’accompagne aucune requête déclenchée depuis un autre site (SameSite=Lax) et expire au bout de 30 jours. Se déconnecter le supprime immédiatement, ici comme sur nos serveurs.

Il est valable pour tout le domaine, et il faut le dire. Le préfixe __Host- — celui qui garantit qu’un cookie ne peut être posé qu’en HTTPS et jamais par un sous-domaine — impose que sa portée soit le site entier. Votre navigateur le renvoie donc aussi lorsque vous consultez les autres pages de toplings.com, qui n’en font rien : ce sont des fichiers statiques, sans compte, sans mesure d’audience et sans profilage. Il ne sert qu’à reconnaître votre session sur le guichet de commande.

Pourquoi il n’y a pas de bandeau. Ce cookie est strictement nécessaire au service que vous demandez : sans lui, impossible de rester connecté le temps de commander, de revenir voir l’avancement, ou de retrouver votre commande après le paiement. La réglementation applicable aux cookies n’exige un consentement que pour ceux qui ne le sont pas — mesure d’audience, publicité, suivi entre sites. Nous n’en déposons aucun.

14. Modifications

Nous mettrons cette politique à jour si les données ou prestataires utilisés évoluent. Une modification importante sera signalée de manière visible dans l’application ou sur le site. La version et la date figurent en tête du document.

1. Data controller

EXOGROUPE, a French single-member limited liability company located in 83170 Brignoles, France and registered with the Draguignan Trade and Companies Register under number 841 086 846, controls the processing described below. For privacy questions or requests, contact hello@toplings.com.

2. Data that stays on your computer (Mac or Windows PC)

Toplings comes in a macOS version and a Windows version. This policy covers both, along with the optional browser extension described in § 2.1. Unless stated otherwise, everything below applies identically on both systems.

Toplings primarily performs its visual functions locally. The following data stays on your device and is not sent to Toplings servers:

• preferences, settings, onboarding state and interface choices;
• game progression counters, including worn accessories and pasture edits, and the reason and known date of species unlocks on this device; this unlock history is retained when you clear notifications. If you link an account, these counters and the list of species you unlocked through play are sent to it (clause 4); the reason and date of unlocks stay on this device;
• each Topling’s local statistics (contribution to gold earnings, letters sent, tracking start date and affinities); gold and letter counters begin when tracking starts on the device, without reconstructing earlier activity, and are erased when the Topling is released or game data is reset;
• window geometry, position and order, used in memory to place creatures;
• calendar events optionally checked for reminders;
• for Focus mode, the name of the foreground application and, while that mode is on, the domain of the active browser tab — which can only come from the browser extension, on both systems, as described just below.

Toplings does not read window titles or window content. The name of the foreground application comes from the operating system — on macOS the application's display name, on Windows the name of the executable file — and never from the window title. The application uses neither screen recording, nor the microphone, nor accessibility APIs (the macOS Accessibility API, UI Automation on Windows) for its core operation.

Where the tab domain comes from: the browser extension, and nothing else. On macOS as on Windows, the domain can only come from the optional browser extension (§ 2.1), which you install yourself; until it is installed, Focus mode knows nothing but the name of the foreground application. The application never reads a browser tab itself: it runs no script, sends no command to a browser, and asks for no Automation permission.

Safari has no Toplings extension: on Safari, Focus mode detects no site and falls back to the foreground application's name. If your Library ▸ Application Scripts ▸ com.toplings.mac folder contains script files, they are never run; they are inert text files, which the application does not delete by itself and which you may remove by hand.

Where this data is kept, and what uninstalling leaves behind. On macOS, preferences and application files live in the usual system locations and the device token in the Keychain; uninstalling may leave items in the Keychain or in Application Support. On Windows, preferences and the device token encrypted with DPAPI — Windows' own encryption mechanism, which ties the secret to your session, so that another account on the same machine cannot read it — are kept in the application's registry key, and files (letters, sprites, display cache) in the %LOCALAPPDATA%\Toplings folder; uninstalling may leave those in place. In both cases, for a complete local erasure, first use Toplings' deletion or reset controls, or remove those data with the system's own tools.

2.1. The “Toplings Focus” browser extension

Focus mode can extend to your browser through an optional extension that you install yourself, and that works on Chrome-family browsers (Chrome, Edge, Brave, Arc, Vivaldi, Opera) and on Firefox. It does one thing: tell the Toplings application installed on the same machine which site you are on, so that your creatures can come and nag you inside the page. In return, the application sends it back the time spent today on your distracting sites and each site's budget, so that the extension's icon can display them; those numbers stay on the machine too. It is required for site detection, on macOS as on Windows: without it, Focus mode falls back to the foreground application's name (§ 2). It does not exist for Safari.

What it transmits. Only the domain of the active tab — for example example.com, lowercased and without “www.”. Nothing else.

To whom, and by which route. To the Toplings application on your own computer, over a strictly local channel: either the browser's native messaging mechanism, or a connection to 127.0.0.1, which is your machine itself. No data from the extension travels over the network, and nothing reaches Toplings servers. The extension only works while the application is running with Focus mode enabled; otherwise the domain is sent nowhere.

What it does not do, which is the part that matters: it does not read full URLs, page titles, page content, form fields or passwords; it does not look at your browsing history; it stores nothing, in the browser or anywhere else — the domain is passed on and forgotten; it contains no telemetry, no tracker and no advertising; it talks to no server, ours or anyone else's.

The permissions requested at install time (tab access, site access, native messaging) serve exactly that: reading the active tab's domain and talking to the local application. Uninstalling the extension ends this processing; turning Focus mode off in the application suspends it.

3. Friends service data

If you use Friends features, we process:

• a random identifier, authentication token, friend code, display name and chosen ambassador species;
• friend requests and relationships, block lists, reactions and delivery status;
• short letters and, when enabled, JPEG images you choose to send, their recipient and creation, delivery and expiry dates;
• reports: category, optional comment, a copy of reported content, moderation verdict and decision history;
• the friend code of the person who introduced you to Toplings, if you choose to enter it: we store only the identifier of the matching profile, so we can count how many people came in with a given code. This field is optional, can be set only once, and creates no friendship.

In-app notifications. The bell keeps friend requests, received-message notices and Toplings announcements locally. You can mark them as read or clear this history. Announcements can address all players or your account; their text and optional recipient are kept on the server until expiry (up to 30 days, then purged within six hours). Their read status stays on your device and is not sent to the server.

This data creates your profile, connects chosen friends, delivers messages, enforces blocks, handles reports, prevents abuse and secures the Service. Reporting immediately hides the letter on your device and may also block its sender. Processing is necessary to provide the requested Service; fraud prevention, moderation and security also rely on our legitimate interests.

4. Optional account and sync

Pasture maps and pending gestures are saved on your device first. The active map and camera position remain specific to that device. Shared game images are not copied into your pasture save. When you link an account, local maps are added to its collection, with a local copy retained so an interrupted import can resume.

You may use an optional master account to synchronise devices. We then process your email address, login dates, device and identifier links, and the data you choose to sync:

• customisable pastures: map identifiers and names, acquired parcels, changed ground tiles, building and decoration instances, their placements and sizes, custom Topling resting positions, and the origin identifiers, revisions and operations needed for purchases, undo and synchronisation recovery;
• flock: adopted species, chosen names, status and addition or deletion dates, accessories owned and, for each, which creature wears it and where it sits;
• unlocks earned through play: the identifier of each species unlocked by a quest or by capturing a rare visitor, and the date your account received it, so it follows you to your other devices;
• game progression: the counters of quests in progress — play gestures (pets, feedings, throws…), records, the days the application ran, and the computer facts some quests count (number of screens, windows and open applications, uptime, time spent in dark mode, on battery, in low power mode, offline or in Focus, audio output, volume and time zone changes, browser families whose extension connected) — so your quests follow you after signing out and to your other devices. These are only numbers and game identifiers: no window title or content, no visited address;
• wallet: gold balance and the technical credit/debit journal needed to keep it consistent; separate photo creation and breeding balances, each unit’s payment reference, used or refunded status and associated order when used.
• laboratory credit gifts: the entered email address is used to find another existing account before payment. We store the buyer and recipient account identifiers, credit type and payment and delivery references to fulfil the gift, prevent duplicate credits and process refunds. The recipient’s email is not copied into the gift record or sent to Stripe or Apple. These links are retained with the accounts; permanent account deletion anonymises that account’s identifier in these records without removing the technical proof needed for refunds.
• purchases: acquired products and entitlements, technical transaction identifiers, provider, payment amount, currency and date, refund or revocation state and wallet reconciliation.

An email address is not required for local features or the pseudonymous Friends profile. One-time login codes are stored in hashed form and expire after approximately ten minutes.

Signing in from the website. The custom Topling ordering page, at toplings.com/create, gives access to the same account as the app. You enter your email address, we send you a one-time code, and that code is the sign-in: if no account carries that address, one is created at that moment, with nothing to install. A password, where you have set one, lets you sign back in faster; it is never a way to register. We then attach the order to your account through an internal technical identifier, of the same nature as those linking your devices. A session opened this way relies on a strictly necessary cookie, described in clause 13.2. What you order on the website then follows you into the app, on Mac as on Windows PC, as soon as you sign in there with the same address.

Account without an address. So that buying gold or creation units never depends on registering, the app automatically creates — from your device's random identifier alone — an account without an email address, name or password. It keeps your gold balance, creation units and orders, and allows us to honour a refund. Adding an address later stays optional: it is simply written onto that same account, which is what lets you find your balance and creation units on another device, Mac or Windows PC. Resetting Toplings or unlinking the device deletes that account, since it then has no holder.

5. Custom Toplings: the images you send

This optional feature builds a creature from the images you provide: photographs of an animal, photographs of yourself, or an original drawing or illustration of a creature or a character. The breeding laboratory may also use the sprites of two Toplings you select from your flock. These creation workflows send their reference images to the artificial-intelligence providers described below. It can be ordered from the app or from the website (toplings.com/create, clause 13.2): the processing described below, the providers and the retention periods are the same either way. We then process:

• for breeding: the identifiers, species, sexes and sprites of the two selected parents, followed by the child’s identity, sex, shell and hatch status; production references follow the same retention period as photographs;
• one to three JPEG images, sent voluntarily for that production and for nothing else;
• the name you pick. The type of subject and the voice are no longer asked of you: they are determined automatically by our artificial-intelligence providers from the images, and the outcome of that determination is kept with the order;
• optional physical details about your subject (up to 300 characters), sent with the images to our AI providers to clarify its appearance;
• if you choose, your rating from 1 to 5 and an explanation of up to 1,000 characters about a photo creation or breeding result; ratings of 1 to 3 require an explanation. These private reviews are linked to the generated version and read by our team to improve the service. They are not sent to any AI provider and do not automatically trigger another generation;
• if you report a problem with a creation, your required explanation (up to 1,000 characters), the relevant version, its review status and any reply from our team. Reports remain private, are not sent to AI providers and are deleted with the order or account;
• the order’s status, payment method and payment reference;
• a technical production log: state transitions, model calls and their cost, moderation and quality-check verdicts. That log contains no photograph and no text you typed — only reasons we write ourselves.

EXIF metadata is stripped, and twice rather than once. Every photograph is rebuilt from its pixels alone before it leaves: by the app when you order from the app, by your own browser when you order from the website, where the image is resized and re-encoded as JPEG on your machine before anything is sent. GPS location, timestamp, camera model and every other EXIF field therefore never leave your computer. Before any call to a provider, the image is re-encoded again with no metadata at all, after its orientation has been corrected.

Two processors are involved, with no-retention required (see also clause 8): OpenRouter and the selected model provider for image moderation, coat and body analysis and quality checks; OpenAI to generate the sprite images. In both cases calls are made with data collection denied and Zero Data Retention required: your photographs train no model.

People who appear in your images. A photograph of a pet often shows its owner’s hand or face, and a self-portrait shows you: those images are accepted. Before sending them, the app — or the website's ordering page — tells you what happens to them and asks you to tick a box: you then declare that you have the permission of anyone who appears in them, and the rights you need in any drawing you provide. That consent is collected and timestamped by our server at the moment of the order, and it gates the sending: without it, no image goes to any provider. It is your legal basis for the transfer under Article 6(1)(a) GDPR; the images are deleted within the periods set out in clause 9.

What is refused, and what remains of it. The name, then the images, are screened automatically before any payment. Five situations lead to a refusal: an insulting, hateful, sexual or threatening name; unlawful material (sexual, violent, hateful); a minor as the subject to be drawn; a public figure; and nothing drawable at all (a landscape, text, several subjects with none dominant). A character or mascot protected by copyright or by a trademark is not refused at this stage: the screening detects it and notes it on the order, and the image provider then decides whether to draw it. The refused order and its images are erased within 48 hours.

The moderation decision log. To prevent abuse, we keep for 90 days a pseudonymised log of every moderation decision (outcome, reason, a daily fingerprint of the IP address); it contains no image and no text you typed, and it is kept in that form after the account is deleted. It enforces daily caps on submissions and refusals and flags accounts for review; without it, deleting an account would reset those counters.

Processing is necessary to provide the service you ordered; moderation, abuse prevention and fraud control rest on our legitimate interests. Retention periods are in clause 9, and deleting your account erases all of it (clause 11), save for the pseudonymised moderation log above.

6. Technical data

The server may temporarily process IP address, time, requested route, authentication result and minimal technical information to answer requests, limit abusive email sending, diagnose errors and protect the Service. We do not perform advertising profiling or sell personal data.

Checking for updates. The application periodically asks our server which version is current — on every channel except the Microsoft Store, where the Store handles this and the application calls nothing: a request to api.toplings.com/version naming only the channel of your installation, with no account or device identifier. On the Windows direct channel it then reads the signed manifest published at toplings.com/downloads/latest-win.json and downloads the installer it points to, on the same domain. These requests send no data about you; as with any request, our server sees the calling IP address, under the conditions described above.

6.1. Problem reports

The application offers a “Report a problem” form that you open yourself and that sends nothing until you press Send. Every submission is a deliberate act, and it is the only one: nothing leaves automatically, neither at launch nor after a fault.

What a report contains. The text you write (2,000 characters at most), the application version, the operating system and its version, the number of screens, the number of creatures in your flock, and the account your device is linked to — the form shows all of this before you send. A box, ticked by default whenever the application keeps a log, attaches the end of the local technical log, on Mac as on Windows; one click clears it, and the log is then not sent. That log holds the names of your creatures, the names of your friends and the name of your user account on the computer, which appears in the path of the application's folder; it holds no window title, no window content and no address you visited.

What they are for, and for how long. To diagnose the problem you describe and to answer you, and nothing else: they are not used for profiling and not matched against how you play. So that our team can read them straight away, the text you write is copied into a private channel of our team messaging, Discord (clause 8) — that text alone: not the log, not your account, not your device. They are kept for 30 days, then erased, the channel copy included (clause 9). The processing rests on our legitimate interest in fixing faults in the Service.

Our answer. If we answer you, it is with a letter in the application or, when your account carries an email address, with an email sent to that address — never to any other — through our provider Brevo (clause 8). An account without an address only receives the letter.

7. Legal bases and purposes

• Performance of a contract: Friends, account and sync functions, letter delivery and wallet operation.
• Legitimate interests: securing and moderating the Service, preventing abuse, handling reports, fixing faults and defending our rights, balanced against your interests.
• Legal obligations: retaining, disclosing or deleting data when the law requires it.
• Consent: the declaration you tick before sending the photographs for a custom Topling (clause 5) and signing up to the website waiting list, closed since 26 August 2026 (§ 13.1). It may be withdrawn at any time, without affecting the lawfulness of what was done beforehand.

8. Recipients and processors

Access is limited to authorised EXOGROUPE personnel and necessary providers:

• OVHcloud / OVH SAS, hosting infrastructure and Service data;
• Brevo, solely to send emails to the address of your optional account: login codes, notices that a custom Topling is ready, and our answers to your problem reports (clause 6.1);
• Discord, our team messaging, solely to receive in a private channel the text of a problem report you send us (clause 6.1) — without the technical log, your account or your device; the message is deleted there after 30 days;
• Apple, distributing the Mac App Store version and processing its in-app purchases;
• Stripe, processing payments for the directly sold version and for orders placed on the website, without Toplings receiving your card details;
• OpenRouter and the selected model provider, only when AI moderation is enabled: private text and JPEGs are sent for a structured verdict with data collection denied, Zero Data Retention required and strict parameter enforcement. The same provider analyses the photographs of a custom Topling (clause 5) and checks the quality of the result;
• OpenAI, only to produce a custom Topling: photographs stripped of their metadata are sent to its image-generation service to build the ordered sprite, with retention declined and no use for training.

Microsoft, on Windows — and it is not a processor. The Windows version is also distributed through the Microsoft Store: Microsoft then distributes the package, handles its installation and handles its updates, on its own account and under its own privacy policy. What you do on the Store — the product page, the Microsoft account used, the installation — happens between you and Microsoft.

The Windows version needs the Microsoft Edge WebView2 component to display its interface. If your PC does not already have it, the direct-download MSI installer runs the official Microsoft setup program it carries, and that program downloads the component directly from Microsoft's servers: your IP address is therefore visible to Microsoft, as with any download. That exchange happens between your machine and Microsoft; EXOGROUPE receives nothing from it and has no access to it, and Microsoft acts here on its own account, under its own privacy policy. Nothing is downloaded if the component is already present. Once installed, it is maintained and updated by Microsoft like other Windows components, independently of Toplings.

Providers act only on our instructions for data controlled by EXOGROUPE. Where a provider processes data outside the European Economic Area, we use a GDPR-recognised transfer mechanism such as an adequacy decision or Standard Contractual Clauses, with appropriate supplementary safeguards.

9. Retention

• local data: until removed through Toplings or the operating system; some items may remain after uninstalling the app — on macOS in the Keychain or Application Support, on Windows in the application's registry key or the %LOCALAPPDATA%\Toplings folder (§ 2);
• the active tab's domain, which can only come from the browser extension, on both systems: nothing is kept — it is used by the local application and forgotten, and the extension only ever sends the domain, never the full address (§ 2 and § 2.1);
• pseudonymous Friends profile, relationships and blocks: until profile reset or Service deletion, except data strictly needed for security;
• reactions: until delivery, expiry or technical deletion;
• undeleted letters and images: no more than 30 days;
• photographs from a custom Topling order: 30 days after the order is delivered or fails, 48 hours if moderation refuses it, 7 days for an order left as a draft and never paid;
• the resulting creature (sprite images): kept for as long as the acquired entitlement stays active, so that you can reinstall it or find it on another device; erased with the account, or when the entitlement is revoked after a refund;
• optional physical details: deleted on the same schedule as the source photos; creation ratings and explanations: retained with the order until the order or account is deleted;
• technical log of a custom order: kept with the order, with no user content in it;
• pending reports: until handled; report copy, actions and moderation verdicts: 90 days after handling, unless a longer period is required for legal or security reasons;
• problem report sent from the application — your text, the device details and, if the box is ticked, the end of the local technical log: 30 days (§ 6.1), including the copy of the text in our Discord channel;
• login codes: approximately 10 minutes;
• sign-in session on the website's ordering counter: 30 days at most, and destroyed earlier by signing out or deleting the account (clause 13.2);
• linked account and sync: until account deletion or after an inactivity period notified to the user; a deletion request opens a 30-day grace period during which the data is kept and restored if you sign in again, then erased at the end of that period — at the latest a few hours later — unless you ask in writing for immediate erasure (clause 11);
• security logs: a short period proportionate to the incident or protection need;
• website waiting-list signup (form removed on 26 August 2026, addresses received before that date still held): until the announcement you signed up for has been sent, then removed from the list — and at any time on request by email; those removals are manual, there is no unsubscribe link and no automatic erasure (§ 13.1);
• consent evidence, transactions and accounting records: for applicable statutory periods.

Backups are overwritten on their normal cycle. Data may be retained longer where needed to establish, exercise or defend legal claims.

10. Your rights

Under the GDPR and applicable law, you may request access, correction, deletion, restriction, objection on grounds relating to your situation and, where conditions apply, portability. You may withdraw consent without affecting earlier lawful processing and, where French law applies, give instructions for your data after death.

Email hello@toplings.com. We may request information reasonably needed to verify identity and normally respond within one month. You may complain to the French CNIL or your local supervisory authority.

11. Deletion and reset

A linked account can be deleted from the Account tab or by email request. Account deletion erases associated sync data, subject to legal duties and temporary backups. The pseudonymous Friends profile uses a separate identifier: also use the Friends reset/delete command if you want those relationships erased. Uninstalling does not guarantee deletion of the local data described in § 2 — Keychain and Application Support on macOS, the registry key and %LOCALAPPDATA%\Toplings on Windows — and is not by itself a request to delete server data.

Deletion from within the application is re-authenticated: it asks for your password, or, if your account has none, for a code sent to the account's email address. Nobody but you can therefore trigger it from a device left signed in.

It opens a 30-day grace period. During those 30 days the account is inaccessible and no longer appears in the Service, but its data is kept: signing in again with your password or an email code cancels the deletion and restores everything — balance, creatures, items, purchases and friend code. At the end of the period the data is erased for good, at the latest a few hours later (erasure runs in batches several times a day). You may request immediate erasure, without waiting the 30 days, by writing to hello@toplings.com.

Signing out is not deleting. The application's “Sign out” command erases the game data held on that device — balance, creatures, items, progression — which stay on your account and come back when you sign in again. It keeps the device token described in § 2, along with your settings and your consent; the device is therefore not registered again as a new one. (Signing out of the website's ordering counter is a different command, described in clause 13.2.)

12. Security

We use technical and organisational safeguards appropriate to risk, including random tokens, hashed short-lived codes, access controls, encryption in transit, rate limiting and backups. Letter contents and authentication secrets are not written to production logs. No system is completely secure; report concerns to hello@toplings.com.

13. Website, cookies and local storage

toplings.com sets no advertising or analytics cookie and uses no tracker, no audience measurement and no social-network pixel. Its presentation pages — home, modes, gallery, the “create” page, frequently asked questions and legal pages — set no cookie at all: they only use browser local storage to remember your language choice. That value stays in your browser and can be cleared in its settings. A single part of the website sets a cookie, strictly necessary for it to work: the ordering counter described in clause 13.2. No cookie banner is shown because no consent-based tracker is used.

13.1. The waiting list

That form was removed from the website on 26 August 2026, and no address is collected any more. This section stays because we still hold the addresses received before that date: as long as they exist, they must be described here. The website offered a form to be told when something becomes available — the Windows version in particular; it was entirely optional.

What was recorded. Three things and nothing else: the email address you typed, the origin of the signup (a technical word saying which form was used, for example “windows-waitlist”) and the date of the signup. No name, no IP address, no browser identifier, no page content. An address already on the list was not recorded twice.

The IP address was never stored with the signup. It was used only, in memory and for one hour, to limit how many submissions came from the same connection: that was the form's anti-abuse protection, and it was never written to the database nor attached to your address.

What it is used for. To write to you once, for the announcement you asked for. It is used for no other marketing, is neither sold nor passed to a third party for commercial purposes, and feeds no profiling. Only two providers have access to it, the same ones as in clause 8: OVHcloud, which hosts the list, and Brevo, on the day the announcement goes out, since it is what sends our emails — as for login emails. Nobody else.

Legal basis. Your consent (Article 6(1)(a) GDPR): submitting the form was the act that gave it. That form carried only an email field and a button: the information about what becomes of your address is the one in this section, and there was none elsewhere. You may withdraw that consent at any time and without giving a reason, by asking to be taken off the list.

How long, and how to be taken off the list. The address stays on the list until the announcement you signed up for has been sent; it is then removed. You may ask for its removal at any time, before or after, by writing to hello@toplings.com from the address you signed up with or quoting it: we remove it unconditionally, without your having to give a reason, within the time set out in clause 10. Plainly stated: those removals are carried out by hand, by the publisher. There is no unsubscribe link, and no automatic mechanism erases the list — an email is what triggers deletion, and nothing else. The rights in clause 10 apply to this data like any other.

13.2. The ordering counter (toplings.com/create)

This part of the website lets you order a custom Topling from a browser, without having installed the app. Its pages are produced by our server and served under the same domain as the rest of the site. The data processed there is the data described elsewhere in this document: your email address and login code (clause 4), the order and its photographs (clause 5), payment through Stripe (clause 8) and the usual technical data of a server (clause 6).

One cookie, and one only. Once you are signed in, your browser receives a session cookie named __Host-toplings_create. It holds nothing but a random token — not your address, not your name, no advertising identifier — of which we keep only a fingerprint, never the value itself. It cannot be read by the page's scripts (HttpOnly), travels over HTTPS only (Secure), accompanies no request triggered from another website (SameSite=Lax) and expires after 30 days. Signing out deletes it immediately, in your browser and on our servers.

It is valid for the whole domain, and that must be said. The __Host- prefix — the one guaranteeing that a cookie can only be set over HTTPS and never by a subdomain — requires its scope to be the entire site. Your browser therefore sends it back when you visit the other pages of toplings.com too, which do nothing with it: they are static files, with no account, no audience measurement and no profiling. It serves only to recognise your session on the ordering counter.

Why there is no banner. This cookie is strictly necessary for the service you asked for: without it, there is no staying signed in long enough to order, to come back and check progress, or to find your order again after payment. The rules on cookies require consent only for those that are not strictly necessary — audience measurement, advertising, cross-site tracking. We set none of those.

14. Changes

We will update this policy if the data or providers we use change. Material changes will be clearly announced in the app or on the website. The date and version appear above.