Accord de sous-traitance

Responsable du traitement : l'administrateur du serveur, c'est-à-dire le propriétaire du serveur Discord ou la personne qui ajoute Ganyu au serveur et le configure, depuis le tableau de bord ou par des commandes. S'il agit pour le compte d'une association, d'une entreprise ou d'une communauté, il déclare avoir le pouvoir de l'engager.

Sous-traitant : VSK, SARL à capital variable dont le siège est au 47, rue Vivienne, 75002 Paris, France, immatriculée au RCS de Paris sous le numéro 105 185 789, joignable à [email protected], qui édite et exploite Ganyu.

L'administrateur accepte le présent accord en ajoutant Ganyu à un serveur ou en le configurant. L'accord s'applique tant que le bot est installé sur le serveur, puis jusqu'à la suppression des données prévue à la section « Fin des traitements ».

En cas de contradiction entre le présent accord et les CGU au sujet des données traitées pour le compte de l'administrateur, le présent accord prévaut.

VSK traite les données des membres du serveur dans le seul but de fournir les fonctions que l'administrateur active et configure. Les finalités sont celles que l'administrateur poursuit avec ces fonctions : modération et sécurité du serveur, assistance aux membres, animation de la communauté et gestion du serveur. VSK ne décide pas qui est sanctionné ni pourquoi.

Les traitements consistent à collecter ces données depuis Discord, à les enregistrer, les organiser, les afficher dans les salons Discord et le tableau de bord, les modifier sur instruction, puis les supprimer. Ils portent sur les fonctions suivantes :

• Logs du serveur (messages modifiés ou supprimés, arrivées et départs, vocal, bannissements, changements de rôles et de salons) et journalisation des pièces jointes.
• Sanctions, avertissements, automodération, ses infractions et les extraits des messages qu'elle supprime.
• Tickets, réponses à leurs formulaires, événements et transcripts.
• Accueil et gestion des membres : vérification, messages de bienvenue et de départ, rôles automatiques et rôles réactions, anniversaires annoncés sur le serveur, salons vocaux temporaires, règles de commandes, modèles et historique des salons.
• Giveaways et leurs participations, drops, messages épinglés et messages personnalisés, commandes personnalisées et automatisations.
• Niveaux, économie, quêtes et mini-jeux du serveur selon les réglages de l'administrateur, et suivi des comptes de jeu qu'il ajoute.
• Traduction automatique des messages, lorsque l'administrateur l'active.

Les autres traitements liés à Ganyu (compte et tableau de bord, paiements et facturation, XP et économie globales, statistiques d'activité, sécurité, journal d'audit, journal des commandes et des transactions de monnaie virtuelle, journal des actions du tableau de bord, mesure d'audience) sont réalisés par VSK pour son propre compte, en qualité de responsable du traitement, et sont décrits dans la politique de confidentialité.

Selon les fonctions activées, les données traitées sont les suivantes :

• Identifiant Discord, nom d'utilisateur, surnom, avatar, rôles et date d'arrivée sur le serveur.
• Contenu des messages modifiés ou supprimés et des pièces jointes, lorsque les logs le prévoient.
• Sanctions, avertissements, infractions d'automodération et leurs motifs.
• Réponses aux formulaires de tickets, messages et transcripts.
• Activité liée aux fonctions du serveur : arrivées et départs, présence en vocal, participations aux giveaways et aux drops, niveaux, soldes et progression dans les quêtes et mini-jeux du serveur.

Personnes concernées : les membres du serveur, les personnes qui interagissent avec lui (auteurs de tickets, personnes mentionnées dans un message journalisé), ainsi que ses modérateurs et administrateurs.

Ganyu n'est pas conçu pour traiter des catégories particulières de données (article 9 du RGPD) ni des données relatives aux condamnations pénales et aux infractions (article 10). L'administrateur s'abstient d'en demander, par exemple dans les formulaires de tickets.

VSK traite ces données uniquement sur instruction documentée de l'administrateur. Ces instructions sont la configuration du bot (tableau de bord et commandes), les commandes passées sur le serveur et le présent accord. Elles valent aussi pour les transferts de données hors de l'Union européenne décrits à la section « Sous-traitants ultérieurs ».

VSK n'utilise pas ces données à d'autres fins, ne les vend pas et ne s'en sert pas à des fins publicitaires. Si le droit de l'Union ou d'un État membre l'oblige à un autre traitement, VSK en informe l'administrateur avant de traiter, sauf si ce droit l'interdit.

VSK informe immédiatement l'administrateur si, selon elle, une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou des États membres relative à la protection des données.

Seules les personnes de l'équipe Ganyu qui en ont besoin pour leur mission (exploitation, assistance, sécurité) peuvent accéder à ces données. VSK s'engage à ce que les personnes autorisées à traiter ces données soient soumises à une obligation de confidentialité.

VSK met en œuvre les mesures techniques et organisationnelles suivantes :

• Connexions chiffrées vers le site et le tableau de bord.
• Hébergement des serveurs de production et de sauvegarde dans l'Union européenne, chez Contabo.
• Transcripts de tickets chiffrés (AES-256-GCM) avec une clé propre à chaque serveur, elle-même chiffrée par une clé maîtresse conservée hors de la base de données.
• Jetons d'accès Discord des sessions et jetons des bots personnalisés chiffrés dans la base de données. Les jetons de session n'y sont enregistrés que sous forme d'empreinte.
• Masquage des secrets dans les journaux techniques et dans le journal des actions du tableau de bord.
• Accès aux serveurs et aux données restreint à l'équipe Ganyu.
• Sauvegardes chiffrées sur le serveur de production avant leur copie vers un serveur de sauvegarde distinct. Leur rotation vise une conservation d'environ une semaine.
• Suppression automatique des données à l'issue de leurs durées de conservation. Les pièces jointes journalisées ne sont pas stockées : elles transitent en mémoire.

L'administrateur donne à VSK une autorisation générale de recourir à des sous-traitants ultérieurs. Les prestataires avec lesquels VSK a conclu un contrat ou accepté des conditions de traitement des données, et qui peuvent traiter les données des serveurs, sont les suivants :

• Contabo GmbH (Allemagne) : hébergement des serveurs de production, des bases de données et des sauvegardes, dans l'Union européenne.
• Cloudflare : réseau de diffusion et protection du site et du tableau de bord.
• DeepL : traduction des messages, lorsque l'administrateur active la traduction automatique.

Stripe, prestataire de paiement, ne reçoit aucune donnée traitée pour le compte de l'administrateur : il intervient seulement pour les paiements et la facturation, dont VSK est responsable.

VSK impose à ces sous-traitants ultérieurs (Contabo, Cloudflare et DeepL), par contrat ou par leurs conditions de traitement des données, des obligations de protection des données équivalentes à celles du présent accord, et reste responsable envers l'administrateur de leur respect. Les transferts hors de l'Union européenne reposent sur les garanties décrites dans la politique de confidentialité (décision d'adéquation ou clauses contractuelles types).

Discord et Riot Games ne sont pas des sous-traitants ultérieurs de VSK : ce sont des responsables de traitement indépendants et des sources de données, que VSK ne lie pas par contrat pour le compte de l'administrateur. Discord est la plateforme sur laquelle fonctionne le bot : les données en proviennent et les fonctions s'exécutent par son API, selon les conditions de Discord. Riot Games fournit les statistiques de jeu des comptes suivis sur le serveur, lorsque l'administrateur active le suivi de comptes.

DuckDuckGo n'est lié à VSK par aucun contrat. Lorsque le serveur d'origine refuse le téléchargement d'une image parce qu'il reçoit trop de requêtes, Ganyu retente ce téléchargement une fois par le relais d'images public de DuckDuckGo. DuckDuckGo reçoit alors l'adresse de l'image (celle d'un avatar Discord contient l'identifiant Discord du membre), depuis l'adresse IP du serveur de Ganyu. Aucune autre donnée ne lui est transmise.

VSK informe les administrateurs de tout ajout ou remplacement prévu d'un sous-traitant ultérieur en mettant à jour cette page et en l'annonçant sur le serveur Discord officiel de Ganyu, avec un préavis raisonnable avant le changement. L'administrateur peut s'y opposer en écrivant à [email protected]. Si aucune solution n'est trouvée, il peut mettre fin à l'accord en retirant le bot de son serveur.

Compte tenu de la nature du traitement, VSK aide l'administrateur, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits de ses membres (accès, rectification, effacement, limitation, portabilité, opposition) :

• Chaque membre peut exporter ses données, supprimer son compte et s'opposer au suivi de son activité depuis la page Mes données du site, et gérer ce suivi avec la commande /privacy sur Discord. L'export et la suppression s'appliquent aussi aux données du membre traitées pour le serveur, comme le décrit la section « Outils des membres et données du serveur ».
• L'administrateur dispose de ses propres outils : les commandes de modération et le tableau de bord permettent de consulter et de retirer des avertissements, de lever des sanctions et de désactiver une fonction à tout moment.
• Lorsque VSK reçoit par un autre moyen (e-mail, Discord) une demande qui porte sur les données d'un serveur, elle la transmet sans délai injustifié à l'administrateur concerné dès qu'elle peut l'identifier, et ne répond pas sur le fond à sa place. Seuls les outils de la page Mes données s'appliquent sans intervention de l'administrateur, sur son instruction décrite dans la section suivante.
• Sur demande écrite à [email protected], VSK aide l'administrateur à retrouver, extraire ou supprimer les données d'un membre lorsque ses propres outils ne le permettent pas.

En ajoutant ou en configurant le bot, l'administrateur donne instruction à VSK d'appliquer aussi aux données de son serveur les demandes que chaque membre exerce lui-même depuis la page Mes données : accès et portabilité (articles 15 et 20 du RGPD) par l'export, effacement (article 17) par la suppression du compte. VSK exécute ces demandes sans consulter l'administrateur au préalable.

L'export remis au membre contient les données du serveur qui le concernent, notamment les sanctions, avertissements et infractions d'automodération qui le visent, avec leurs motifs, et les transcripts des tickets qu'il a ouverts. Les identifiants des autres personnes enregistrés dans les fiches (le modérateur qui a sanctionné, la personne qui a pris en charge un ticket) y sont masqués. Les transcripts de tickets sont remis tels quels, avec les messages et les noms des autres participants.

La suppression du compte agit sur tous les serveurs où le membre a des données, y compris ceux qu'il a quittés :

• Supprimés, notamment : les sanctions, avertissements et infractions d'automodération qui le visent, sa fiche de membre du serveur, ses niveaux, soldes, inventaire et rôles enregistrés sur le serveur, son profil premium sur le serveur, ses quêtes, ses attributions du rôle d'anniversaire, ses participations aux giveaways et ses listes de salons vocaux temporaires.
• Détachés de lui, notamment : dans les logs du serveur, il n'apparaît plus comme auteur ni comme cible d'une action, et son nom et son avatar en sont retirés. Dans les tickets qu'il a ouverts, il n'apparaît plus comme auteur et les réponses au formulaire sont effacées. Dans les tickets qu'il a pris en charge, les sanctions et avertissements qu'il a donnés et les événements de tickets, il n'apparaît plus comme auteur. Il est retiré des gagnants des giveaways et de la liste des membres protégés contre les déplacements vocaux dans la configuration de modération, son identifiant est remplacé dans les automatisations, les incidents et les notifications du serveur, et ses permissions personnelles sont retirées des modèles et de l'historique des salons.
• Conservés : le contenu des entrées de logs (messages, surnoms, adresses d'avatars), les motifs qu'il a écrits au sujet d'autres membres, les transcripts de tickets, les règles de commandes qui le visent et les salons vocaux temporaires dont il est propriétaire, comme le détaille la politique de confidentialité.

Conséquence pour la modération : l'historique disciplinaire du membre sur le serveur disparaît. Le décompte de ses avertissements et de ses infractions d'automodération repart de zéro, et les seuils d'escalade configurés s'appliquent de nouveau depuis le début. Les messages déjà publiés dans les salons de logs Discord ne sont pas modifiés.

Compte tenu de la nature du traitement et des informations dont elle dispose, VSK aide l'administrateur à respecter ses obligations des articles 32 à 36 du RGPD : sécurité du traitement, notification d'une violation à la CNIL et communication aux personnes concernées, analyse d'impact et consultation préalable. Elle lui fournit pour cela les informations utiles sur les traitements et sur les mesures décrites dans le présent accord.

VSK notifie à l'administrateur toute violation de données personnelles qui touche les données de son serveur, dans les meilleurs délais après en avoir pris connaissance. La notification passe par les moyens de contact disponibles : message privé Discord au propriétaire du serveur, adresse e-mail associée à son compte Ganyu s'il en a un, ou annonce sur le serveur Discord officiel de Ganyu.

Elle décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables, les mesures prises ou proposées pour y remédier et le point de contact chez VSK. Les informations qui ne sont pas encore connues sont communiquées dès que possible.

Lorsque le bot est retiré d'un serveur, les données de ce serveur sont supprimées automatiquement 30 jours après le retrait, sauf si le bot revient entre-temps ou si le serveur a encore un abonnement payant, qu'il soit actif, suspendu ou en cours de recouvrement. Dans ce dernier cas, elles sont conservées tant que l'abonnement du serveur n'est pas revenu à l'offre gratuite. Les transcripts de tickets sont supprimés avec la clé qui les chiffre.

Restent conservés les éléments suivants. VSK les traite dès leur collecte pour son propre compte, en qualité de responsable du traitement (comptabilité, sécurité du service, lutte contre la triche, suivi des installations), ou y est tenue par la loi :

• La fiche du serveur (identifiant, nom, propriétaire, personne ayant ajouté le bot), pour reconnaître le serveur s'il installe de nouveau le bot.
• L'historique des installations (13 mois) et leur attribution, dont la page de provenance est effacée après 13 mois ; la personne qui a installé le bot reste enregistrée.
• Les abonnements, les paiements, les achats en boutique et les données de facturation, conservés au moins 10 ans comme pièces comptables.
• Le journal des transactions de monnaie virtuelle (environ 14 mois au plus), que VSK tient pour vérifier les soldes et lutter contre la triche.
• Les concours de croissance, leurs gagnants, leurs participants et les serveurs crédités (12 mois après la fin du concours), et le journal des messages privés liés aux abonnements (1 an).
• Les réglages de fonctionnalités activées pour le serveur, le journal d'audit de l'équipe Ganyu (13 mois) et le journal des actions du tableau de bord (environ 14 mois au plus), que VSK tient pour la sécurité du service.

Les données supprimées disparaissent ensuite des sauvegardes au fil de leur rotation, qui vise une conservation d'environ une semaine. Tant que le bot est installé, les données suivent les durées de conservation indiquées dans la politique de confidentialité.

VSK ne propose pas d'export complet des données d'un serveur. Les messages déjà publiés dans les salons de logs et de tickets restent sur Discord, sous le contrôle de l'administrateur. Celui-ci peut demander par écrit à [email protected] une copie des données de son serveur ou leur suppression anticipée.

VSK met à la disposition de l'administrateur les informations nécessaires pour démontrer le respect du présent accord : cette page, la politique de confidentialité et ses réponses aux questions écrites envoyées à [email protected].

L'administrateur peut demander un audit, mené par lui-même ou par un auditeur qu'il mandate et qui est tenu à la confidentialité. VSK répond d'abord par écrit, avec sa documentation. Si ces éléments ne suffisent pas, un audit est organisé à une date convenue avec un préavis raisonnable, sans accès aux données des autres serveurs, dans la limite d'une fois par an sauf violation de données, et aux frais de l'administrateur.

L'administrateur s'engage à disposer d'une base légale pour les traitements qu'il met en place, à en informer les membres de son serveur (par exemple dans le règlement ou un salon d'information, avec un lien vers la politique de confidentialité de Ganyu), à limiter l'accès aux salons de logs et de tickets aux personnes qui en ont besoin, et à répondre aux demandes de ses membres.

Pour toute question sur le présent accord, écrivez à [email protected]. VSK n'a pas désigné de délégué à la protection des données.

VSK peut modifier le présent accord pour suivre l'évolution du service ou de la réglementation. La date en haut de page indique la dernière révision, et les changements importants sont annoncés sur le site ou sur le serveur Discord officiel de Ganyu. Le présent accord est soumis au droit français.