Accord de sous-traitance

1. Objet et durée

Le Sous-traitant traite des données personnelles pour le compte du Client afin de fournir le Panel : stockage et affichage de la configuration du serveur, des journaux de jeu et des données des joueurs, outils de gestion et d'administration, historique, sauvegardes et exports. L'Accord s'applique pendant toute la durée de l'abonnement, puis jusqu'à la suppression ou la restitution des données.

2. Description du traitement

Nature des opérations

Collecte depuis le serveur du Client, enregistrement, stockage, consultation, modification sur instruction, sauvegarde, export, suppression.

Finalité

Gestion et administration du serveur de jeu du Client via le Panel.

Personnes concernées

Joueurs du serveur du Client ; membres de l'équipe du Client (staff, administrateurs).

Catégories de données

Identifiants de jeu et de plateformes (licence Rockstar, Discord, Steam ou autres selon la configuration du serveur), pseudonymes et personnages, inventaires, argent et biens virtuels, journaux d'actions et de connexion, sanctions et notes de modération, [adresses IP — si journalisées], identifiants et noms Discord des membres de l'équipe.

Données sensibles

Aucune donnée sensible n'est requise par le Panel. Le Client s'abstient d'en enregistrer (par exemple dans des notes libres).

Localisation

[Pays du centre de données du VPS du Panel]

3. Obligations du Sous-traitant

• Traiter les données uniquement sur instruction documentée du Client — les présentes conditions et l'usage que le Client fait des fonctions du Panel valent instructions — y compris pour les transferts hors de l'Union européenne, sauf obligation légale dont il informe alors le Client.
• Informer immédiatement le Client si une instruction lui paraît contraire à la réglementation.
• Garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient soumises à une obligation de confidentialité.
• Mettre en œuvre les mesures de sécurité prévues à l'article 7.
• Aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées, notamment grâce aux fonctions de consultation, d'export et de suppression du Panel, et lui transmettre sans délai toute demande reçue directement.
• Aider le Client à garantir le respect des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact, consultation préalable), compte tenu des informations dont il dispose.
• Ne pas utiliser les données pour ses propres finalités, ni les vendre ou les céder.

4. Sous-traitants ultérieurs

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs suivants :

• [Hébergeur du VPS du Panel — dénomination, pays] : hébergement de l'infrastructure du Panel.
• [Prestataire de sauvegarde ou de stockage, le cas échéant — dénomination, pays].
• [Autres sous-traitants ultérieurs, le cas échéant].

Le Sous-traitant informe le Client de tout ajout ou remplacement au moins [30] jours à l'avance [par e-mail ou dans le Panel] ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier son abonnement sans frais. Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données et demeure responsable de leur exécution.

5. Transferts hors de l'Union européenne

[Les données sont hébergées dans l'Union européenne et ne font l'objet d'aucun transfert hors de l'Union par le Sous-traitant / ou : liste des transferts et garanties appropriées — à préciser]. L'authentification au Panel via Discord implique la transmission à Discord Inc. (États-Unis) des seules données nécessaires à la connexion des membres de l'équipe.

6. Violations de données

Le Sous-traitant notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard [48] heures après en avoir pris connaissance, en indiquant, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Il appartient au Client, responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.

7. Mesures de sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées au risque, comprenant :

• Authentification des utilisateurs du Panel via Discord et gestion des droits par rôle, définie par le Client.
• Cloisonnement des données de chaque Client et de chaque serveur.
• Traçabilité des modifications de configuration (auteur, date, valeur avant et après).
• [Chiffrement des communications (HTTPS/TLS) — à confirmer].
• [Sauvegardes : fréquence, durée de rétention, localisation — à préciser].
• [Mises à jour de sécurité, pare-feu, accès d'administration restreints — à préciser].

Le Client reste responsable de la sécurité de son serveur de jeu, de ses comptes et des accès qu'il accorde à son équipe.

8. Sort des données en fin de contrat

À la fin de l'abonnement, le Client peut exporter ses données depuis le Panel pendant [N] jours. À l'issue de ce délai, le Sous-traitant supprime les données du Client, y compris les copies, [les sauvegardes étant effacées à l'expiration de leur cycle de rétention de N jours], sauf obligation légale de conservation. Le Sous-traitant confirme la suppression sur demande.

9. Documentation et audit

Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations. Le Client peut faire réaliser un audit, à ses frais, au plus une fois par an sauf violation avérée, moyennant un préavis de [30] jours, par un auditeur tenu au secret et non concurrent du Sous-traitant, dans des conditions préservant la sécurité et la confidentialité des autres clients.

10. Obligations du Client

• Disposer d'une base légale pour les traitements confiés et informer ses joueurs et son équipe (notamment par sa propre politique de confidentialité).
• Ne confier que les données nécessaires et définir les durées de conservation applicables à son serveur, en utilisant les réglages disponibles dans le Panel.
• Traiter les demandes d'exercice de droits de ses joueurs.
• Respecter la réglementation applicable aux traitements dont il est responsable.

11. Responsabilité et droit applicable

Chaque partie répond de ses propres manquements dans les conditions de l'article 82 du RGPD et des CGV. L'Accord est régi par le droit français ; les règles de règlement des litiges des CGV s'appliquent.