Politique de confidentialité

Cette politique explique comment [À COMPLÉTER : raison sociale] (« nous », l’« Éditeur ») traite les données personnelles dans le cadre du site supermdt.fr et du service SuperMDT (le « Service »), conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 « Informatique et Libertés ».

1. Deux rôles différents

SuperMDT est utilisé par des organisations : chacune correspond à un serveur de jeu de rôle, qui configure son espace et y invite ses membres.

• Nous sommes responsable de traitement pour les données nécessaires à la gestion de nos clients et de votre compte : connexion, facturation, sécurité du Service, assistance, site public.
• Nous sommes sous-traitant pour les données que les organisations font traiter dans leur espace : fiches des membres, contenus de jeu, données transmises par le serveur de jeu, journal d’audit. Pour ces données, le responsable de traitement est l’organisation (son propriétaire), qui décide de leur usage. Nous les traitons uniquement selon ses instructions, dans le cadre de l’accord de sous-traitance. Pour exercer vos droits sur ces données, adressez-vous d’abord à l’organisation concernée ; nous l’aiderons à vous répondre.

2. Qui contacter

• Responsable de traitement : [À COMPLÉTER : raison sociale, adresse du siège]
• Contact pour les données personnelles : [À COMPLÉTER : adresse électronique dédiée, par exemple privacy@supermdt.fr]
• Délégué à la protection des données : [À COMPLÉTER : nom et coordonnées si un DPO est désigné, sinon supprimer cette ligne]

3. Les données que nous traitons en tant que responsable de traitement

Finalité	Données	Base légale	Durée de conservation
Vous connecter et gérer votre compte	Identifiant Discord, nom d’utilisateur, nom affiché, avatar ; langue choisie ; jetons de session ; organisations dont vous êtes membre	Exécution du contrat (CGU)	Tant que le compte est actif, puis [À COMPLÉTER : durée, par exemple 3 ans] sans connexion avant suppression ou anonymisation
Gérer les abonnements, la facturation et la comptabilité	Nom ou raison sociale, adresse de facturation, adresse électronique de facturation, n° de TVA, formule, historique des paiements, factures ; identifiant client chez Stripe (jamais le numéro de carte complet)	Exécution du contrat ; obligation légale (conservation comptable)	Durée du contrat, puis 10 ans pour les pièces comptables (article L. 123-22 du Code de commerce)
Assurer la sécurité du Service et prévenir la fraude et les abus	Adresse IP, date et heure, navigateur, pages et fonctions appelées, erreurs ; détection d’abus de l’essai gratuit	Intérêt légitime (protéger le Service et ses utilisateurs) ; obligation légale pour les données d’identification des hébergeurs	[À COMPLÉTER : durée des journaux techniques, par exemple 12 mois]
Traiter vos demandes d’assistance et de contact	Coordonnées, contenu des échanges, organisation concernée	Exécution du contrat ou mesures précontractuelles ; intérêt légitime	3 ans après le dernier échange
Traiter les signalements et la modération	Identité et coordonnées de l’auteur du signalement, contenu signalé, décision et motifs	Obligation légale (LCEN, règlement sur les services numériques) ; intérêt légitime	[À COMPLÉTER : durée, par exemple 2 ans après la décision]
Vous informer sur le Service (changements, fin d’essai, impayés, résiliation)	Identifiant Discord, adresse électronique de facturation	Exécution du contrat	Durée du contrat
Exercer ou défendre nos droits en justice	Données utiles au litige	Intérêt légitime	Durée de la prescription applicable

Nous n’utilisons aucun outil de mesure d’audience, aucune publicité et aucun traceur publicitaire. Nous ne vendons ni ne louons aucune donnée. Nous ne procédons à aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard.

Lors de la connexion avec Discord, nous ne demandons que la permission « identify » : nous ne recevons ni votre adresse électronique Discord, ni la liste de vos serveurs, ni vos messages.

4. Les données que nous traitons pour le compte des organisations

Pour chaque organisation, nous hébergeons et traitons, selon sa configuration :

• les fiches des membres : identité Discord (identifiant, pseudo, avatar), service, grade, matricule, affectations, prises de service, absences, sanctions, salaires fictifs, et les informations que l’organisation ajoute ;
• les contenus de jeu de rôle : personnages fictifs, casiers, rapports, dossiers médicaux et judiciaires, photos, documents ; ils concernent des personnages de fiction et ne doivent contenir aucune donnée réelle (voir les CGU) ;
• les données transmises par le serveur de jeu (si la passerelle est installée) : identifiants de joueurs FiveM et licence Rockstar, identifiant du personnage, données du personnage (nom, date de naissance fictive, véhicules, permis, factures…) ; les positions en jeu sont tenues en mémoire seulement, pour la carte en direct, et ne sont jamais enregistrées en base ;
• le journal d’audit : qui a fait quelle action sensible, sur quel élément et quand ;
• les messages envoyés par le bot Discord de l’organisation (notifications, messages privés selon vos préférences).

Ces traitements, leurs finalités et leurs durées relèvent de l’organisation, responsable de traitement. À la fin de l’abonnement, ces données suivent le régime prévu par les CGV : lecture seule pendant 14 jours, archivage pendant 90 jours, puis suppression définitive.

5. Destinataires et sous-traitants

Vos données sont accessibles aux seules personnes habilitées de l’Éditeur, dans la limite de leurs fonctions, et aux membres des organisations selon les permissions que celles-ci définissent. Nous faisons appel aux prestataires suivants :

Prestataire	Rôle	Localisation des données
OVH SAS (Roubaix, France)	Hébergement du site, de l’application, de la base de données et des sauvegardes	France (Union européenne)
Cloudflare, Inc. (États-Unis)	Stockage des photos et fichiers (Cloudflare R2), lorsqu’il sera mis en service	[À COMPLÉTER : région de stockage retenue, par exemple juridiction UE] ; société soumise au droit américain
Stripe Payments Europe, Ltd. (Irlande) et Stripe, Inc. (États-Unis)	Paiement et gestion des abonnements, lorsqu’il sera mis en service ; Stripe agit aussi comme responsable de traitement pour ses propres obligations (lutte contre la fraude et le blanchiment)	Union européenne et États-Unis
Discord Inc. (États-Unis)	Connexion (OAuth2) ; envoi des messages et gestion des rôles par le bot des organisations	États-Unis

Discord agit comme responsable de traitement pour votre compte Discord, régi par sa propre politique de confidentialité.

Nous pouvons communiquer des données aux autorités lorsque la loi l’impose.

6. Transferts hors de l’Union européenne

Certains prestataires sont établis aux États-Unis (Discord, Stripe, Inc., Cloudflare) ou peuvent y accéder aux données. Ces transferts sont encadrés, selon le cas, par la décision d’adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (Data Privacy Framework), pour les sociétés certifiées, ou par les clauses contractuelles types de la Commission européenne, complétées si nécessaire de mesures supplémentaires. Vous pouvez obtenir une copie de ces garanties en nous écrivant. [À COMPLÉTER : vérifier la certification de chaque prestataire et l’instrument de transfert applicable]

7. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges (HTTPS), isolation stricte des données de chaque organisation vérifiée par des tests automatisés, contrôle des accès par permissions, journal d’audit des actions sensibles, suppression douce avec restauration possible, sauvegardes régulières, positions en jeu non enregistrées. Le détail figure à l’annexe de l’accord de sous-traitance.

8. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition (notamment aux traitements fondés sur notre intérêt légitime) et de portabilité de vos données, dans les conditions des articles 15 à 22 du RGPD. Vous pouvez aussi définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Pour les exercer, écrivez à [À COMPLÉTER : adresse électronique de contact données personnelles]. Nous répondons dans un délai d’un mois, prolongeable de deux mois si la demande est complexe. Nous pouvons vous demander de prouver que vous êtes titulaire du compte Discord concerné.

Pour les données d’une organisation (fiche de membre, contenus, journal d’audit), adressez-vous à son propriétaire ; si vous nous écrivez directement, nous transmettons votre demande à l’organisation.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr, ou de l’autorité de contrôle de votre pays de résidence.

9. Mineurs

Le Service s’adresse aux personnes qui remplissent les conditions d’âge de Discord. En France, un mineur de moins de quinze (15) ans ne peut l’utiliser qu’avec l’accord de son représentant légal. La souscription d’un abonnement est réservée aux majeurs ou aux mineurs autorisés par leur représentant légal.

10. Cookies et stockage local

Le site et le Service n’utilisent que des cookies et stockages strictement nécessaires (session de connexion, préférences). Voir la politique cookies.

11. Modifications

Nous pouvons mettre à jour cette politique. La date de dernière mise à jour figure en haut de la page ; en cas de changement important, nous vous en informons dans le Service.