Accord de traitement des données

Parties et portée

Cet accord est conclu entre l'organisation qui utilise Handler (le responsable de traitement) et l'éditeur de Handler, identifié dans les mentions légales (le sous-traitant). Il complète les conditions générales d'utilisation et en fait partie : il s'applique dès qu'une organisation branche un serveur ou crée un compte pour l'organisation, sans signature séparée.

Une copie signée peut être demandée à l'adresse de contact : [email protected]

Il s'applique aux données à caractère personnel des joueurs que Handler traite pour l'organisation. Pour les comptes des membres, la facturation, la sécurité du service et le réseau anticheat partagé, Handler est responsable de traitement : voir la politique de confidentialité.

Objet, nature et finalité

Handler fournit à l'organisation un service de contrôle et de modération de serveurs de jeu Wardogs. Pour cela, Handler collecte, stocke, analyse et affiche les données que les serveurs de l'organisation exposent.

Finalités : contrôle et modération des serveurs, statistiques, anticheat, tickets des joueurs, automatisations, pages publiques et API de l'organisation. Handler ne traite ces données que pour ces finalités.

Données et personnes concernées

Personnes concernées : les joueurs qui se connectent aux serveurs de l'organisation, et les personnes qui ouvrent un ticket ou participent à un vote sur sa page publique.

• Identité de jeu : SteamID, pseudos, dates et nombre de sessions.
• Activité : kills, morts, armes, distances, camps, argent, ping, événements de partie.
• Modération : sanctions, raisons, notes de l'équipe, dossiers et détections de l'anticheat.
• Tickets : messages, liens de preuve, adresse email facultative.
• Participation : votes d'exclusion, scrutins de carte et d'éclairage.
• Profil Steam public : pseudo, avatar, pays déclaré, âge du compte, bans VAC et de jeu.

Handler ne traite pas de données sensibles au sens de l'article 9 du RGPD et ne collecte pas l'adresse IP des joueurs sur les serveurs. L'organisation s'interdit de saisir de telles données dans les notes et les tickets.

Instructions de l'organisation

Handler traite les données uniquement sur instruction documentée de l'organisation : ces conditions, les réglages du service et les actions de ses membres. Si une instruction lui paraît contraire au RGPD, Handler l'en informe.

Si le droit de l'Union ou d'un État membre impose à Handler un traitement, Handler en informe l'organisation avant, sauf si la loi l'interdit.

Obligations de l'organisation

• Disposer d'une base légale pour traiter les données de ses joueurs, par exemple son intérêt légitime à modérer son serveur et à le protéger contre la triche.
• Informer ses joueurs, par exemple dans le règlement du serveur, de l'usage de Handler, des données traitées, des durées de conservation et de leurs droits.
• Prévoir un moyen de contester une sanction et appliquer une revue humaine à toute décision automatisée qu'elle active.
• Répondre aux demandes de droits de ses joueurs, avec l'aide de Handler.
• Choisir avec soin ce qu'elle publie sur sa page publique et ce qu'elle partage avec le réseau anticheat.
• Gérer les accès de ses membres : rôles, permissions, double authentification, retrait des membres qui partent.

Confidentialité

Handler veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou y soient tenues par une obligation légale. L'accès aux données est limité à ce qui est nécessaire au service, à la sécurité et au support.

Sécurité

Handler met en œuvre des mesures techniques et organisationnelles adaptées au risque, dont celles de l'annexe 1. Elles sont revues quand le service évolue.

Handler avertit l'organisation d'une violation de données concernant ses données de joueurs dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations dont il dispose : nature, données et personnes concernées, conséquences probables, mesures prises.

Sous-traitants ultérieurs

L'organisation autorise Handler à recourir aux sous-traitants ultérieurs de l'annexe 2. Handler leur impose des obligations équivalentes à celles de cet accord et reste responsable de leur exécution.

Handler prévient l'organisation par email ou dans le service, au moins 30 jours à l'avance, de tout ajout ou remplacement. L'organisation peut s'y opposer pour un motif légitime lié à la protection des données avant la fin de ce délai ; à défaut d'accord, elle peut résilier sans frais.

Transferts hors de l'Union européenne

Certains sous-traitants ultérieurs traitent des données aux États-Unis. Ces transferts s'appuient sur la décision d'adéquation relative au Data Privacy Framework ou sur les clauses contractuelles types de la Commission européenne. Handler n'effectue aucun autre transfert hors de l'Union sans garanties appropriées.

Assistance

Handler aide l'organisation, par des mesures techniques et organisationnelles et dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes : accès, rectification, effacement, limitation, portabilité, opposition. Si un joueur s'adresse directement à Handler, Handler l'oriente vers l'organisation.

Handler aide l'organisation pour la sécurité, les analyses d'impact et les consultations de l'autorité de contrôle, compte tenu de la nature du traitement et des informations dont il dispose.

Réseau anticheat partagé

Le réseau partagé est facultatif. Si l'organisation choisit de partager sa télémétrie, de publier des signalements ou d'en recevoir, elle le fait sous sa responsabilité et selon les conditions d'utilisation.

Pour la réputation, le consensus entre organisations et les contestations de joueurs, Handler agit comme responsable de traitement, comme l'indique la politique de confidentialité. L'organisation qui publie un signalement garantit qu'il repose sur un dossier confirmé par un humain ou sur un ban actif, et répond aux contestations dans les délais prévus.

Durée, fin et restitution

Cet accord dure autant que l'organisation utilise Handler. À la fin du contrat, ou à la suppression de l'organisation, Handler supprime les données de l'organisation dans un délai de 30 jours, sauf obligation légale de conservation. Pendant ce délai, l'organisation peut demander un export de ses données dans un format courant. Pendant l'exécution du contrat, le détail brut des événements de jeu est conservé sans limite de durée ; une durée de conservation pourra être fixée pour l'offre Gratuite, avec un préavis à l'organisation avant qu'elle s'applique.

Les sauvegardes sont supprimées selon leur cycle normal de rotation.

Preuves et audits

Handler met à disposition de l'organisation les informations nécessaires pour démontrer le respect de cet accord. Une organisation peut demander un audit, à ses frais, avec un préavis raisonnable, une fois par an, sans perturber le service ni accéder aux données d'autres organisations. Les conditions sont fixées d'un commun accord.

Handler tient un registre des catégories de traitements effectués pour le compte des organisations.

Responsabilité et droit applicable

La responsabilité des parties est régie par les conditions générales d'utilisation, sans préjudice des droits que les personnes concernées tiennent du RGPD. Cet accord est soumis au droit français.

Annexe 1 : mesures de sécurité

• Chiffrement des connexions ; mots de passe et jetons stockés sous forme hachée ; secrets de double authentification et mots de passe RCON chiffrés.
• Authentification renforcée : double authentification, clés d'accès, confirmation d'identité récente pour les actions sensibles, politique d'organisation sur la double authentification.
• Contrôle d'accès par rôles et permissions, par organisation et par serveur ; cloisonnement des données entre organisations.
• Journal d'audit des actions sensibles, avec valeurs avant et après.
• Limites de débit, vérification anti-robots, détection d'abus.
• Adresses IP des membres conservées sous forme d'empreinte ; journaux sans cookies ni en-têtes d'authentification.
• Pages publiques et API protégées par des limites et par une configuration minimale des données exposées.
• Sauvegardes et continuité d'activité : la base est copiée chaque jour vers des serveurs de sauvegarde situés dans l'Union européenne (France, Italie, Pologne, Pays-Bas), depuis lesquels le service peut être restauré.

Annexe 2 : sous-traitants ultérieurs

• OVH SAS (France) : hébergement des serveurs et de la base de données, en Italie (datacenter OVHcloud), dans l'Union européenne.
• Cloudflare, Inc. : réseau et protection (États-Unis).
• Brevo (Sendinblue SAS, France) ou autre prestataire d'envoi d'emails : emails transactionnels, par exemple la confirmation de l'adresse d'un joueur qui ouvre un ticket.
• Valve (Steam) : récupération des profils publics et des statuts de ban (États-Unis). Valve agit pour son propre compte.
• Discord Inc. : publication de messages dans les salons que l'organisation choisit (États-Unis). Discord agit pour son propre compte.