Accord de sous-traitance des données

1. Objet et rôles

Le présent accord fait partie des conditions générales conclues entre Fivetric et le Client. Il s'applique aux données personnelles des Joueurs que Fivetric traite pour le compte du Client lorsqu'il utilise le Service. Pour ces données, le Client est responsable du traitement et Fivetric sous-traitant, au sens de l'article 28 du règlement (UE) 2016/679 (RGPD).

Il ne couvre pas les données du compte du Client, que Fivetric traite en tant que responsable (voir la politique de confidentialité).

2. Description du traitement

3. Instructions du Client

Fivetric ne traite les données des Joueurs que sur instruction documentée du Client. Ces instructions sont constituées par le présent accord, par la configuration du Service choisie par le Client (installation de la Ressource, réglages, webhooks, exports, suppressions) et par ses demandes écrites. Si Fivetric estime qu'une instruction enfreint la réglementation, elle en informe immédiatement le Client.

Fivetric n'utilise jamais ces données pour son propre compte : ni publicité, ni revente, ni profilage, ni entraînement de modèles. Elle peut seulement produire des statistiques de fonctionnement du Service entièrement anonymes, comme le nombre d'envois reçus.

4. Confidentialité et sécurité

Les personnes autorisées à traiter les données au sein de Fivetric sont tenues à la confidentialité. Fivetric met en œuvre les mesures suivantes :

• pseudonymisation des Joueurs à la source (empreinte calculée par la Ressource), puis par une clé secrète côté serveur ;
• envois de la Ressource authentifiés et signés (HMAC-SHA256), horodatés, à usage unique, limités en débit et en taille ;
• une seule installation de la Ressource autorisée à écrire, par Serveur ;
• échanges chiffrés (TLS) ; clés de la Ressource chiffrées au repos (AES-256-GCM) ;
• données séparées par Serveur et accès vérifié à chaque requête : seul le Client propriétaire y accède, ainsi que, pour l'assistance et la maintenance, les personnes habilitées de Fivetric ;
• suppressions automatiques selon les durées de l'article 7.

5. Sous-traitants ultérieurs

Le Client autorise Fivetric à recourir aux sous-traitants suivants pour traiter les données des Joueurs :

Les notifications configurées par le Client (webhooks) partent vers les destinations qu'il désigne, par exemple Discord : ces destinataires sont choisis par le Client, sous sa responsabilité, et ne sont pas des sous-traitants de Fivetric.

Fivetric impose à ses sous-traitants des obligations de protection des données équivalentes à celles du présent accord. Elle informe le Client de tout ajout ou remplacement envisagé, par e-mail ou dans le tableau de bord, au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif lié à la protection des données et, à défaut d'accord, résilier sans frais avant la date du changement. Les transferts hors de l'Union européenne sont encadrés comme l'indique la politique de confidentialité.

6. Assistance au Client

Fivetric aide le Client à répondre aux demandes des Joueurs (accès, rectification, effacement, limitation, opposition, portabilité) :

• le Client consulte à tout moment la fiche de chaque joueur et ses sessions, et peut exporter la liste de ses joueurs (CSV ou JSON) ;
• sur demande écrite du Client à support@fivetric.com, indiquant le serveur et le joueur concerné (pseudo ou identifiant affiché dans sa fiche), Fivetric supprime toutes les données de ce joueur dans un délai de 30 jours au plus ; un joueur qui revient sur le serveur après cette suppression est de nouveau mesuré, comme un nouveau joueur ;
• un Joueur qui s'adresse directement à Fivetric est orienté vers le propriétaire du serveur, que Fivetric prévient.

Fivetric fournit aussi au Client les informations utiles à une éventuelle analyse d'impact ou consultation de l'autorité de contrôle.

7. Durée, fin du contrat et suppression

Pendant le contrat, les données des Joueurs sont conservées selon les durées de la politique de confidentialité : journal brut des événements 90 jours ; présences, sessions et statistiques tant que le Serveur est rattaché à un compte disposant d'un accès.

Le Client peut à tout moment supprimer son Serveur ou son compte : toutes les données des Joueurs sont alors supprimées immédiatement. À la fin de tout accès, elles sont conservées 12 mois pour permettre au Client de reprendre son historique, puis supprimées automatiquement ; le Client peut en demander la suppression anticipée à tout moment. Avant la fin de son accès, il peut exporter la liste de ses joueurs.

Les données supprimées peuvent subsister quelques jours dans les sauvegardes techniques de l'hébergeur de la base de données, avant d'être écrasées.

8. Violation de données

Fivetric notifie au Client toute violation de données personnelles concernant les Joueurs dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par e-mail, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises ou envisagées. Il appartient au Client, responsable du traitement, de notifier la CNIL et, le cas échéant, les Joueurs.

9. Documentation et audits

Fivetric met à la disposition du Client, sur demande écrite, les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit à ses frais, par un auditeur indépendant tenu au secret, avec un préavis de 30 jours, au plus une fois par an sauf violation de données, sans accès aux données des autres clients.

10. Registre et responsabilité

Fivetric tient le registre des traitements qu'elle effectue pour le compte de ses clients (article 30.2 du RGPD). Chaque partie répond des manquements qui lui sont imputables, dans les conditions des conditions générales.

11. Informer vos joueurs

En tant que responsable du traitement, vous devez informer vos joueurs (articles 13 et 14 du RGPD). Voici un texte à adapter, puis à publier là où ils le liront : règlement du serveur, salon Discord, écran de connexion ou site.