Accord de sous-traitance des données

Le présent accord fixe les conditions dans lesquelles Yanis Benyacine EI, nom commercial Ekto (le « sous-traitant »), traite des données personnelles pour le compte du client qui a souscrit un abonnement d’hébergement Ekto (le « responsable de traitement »), conformément à l’article 28 du règlement (UE) 2016/679 (« RGPD »).

Il est une annexe des conditions générales de vente, accepté avec elles, et prévaut sur elles pour ce qui concerne la protection des données. Les termes « données personnelles », « traitement », « violation de données » et « personne concernée » ont le sens du RGPD.

Le service n’est pas conçu pour traiter des données sensibles au sens de l’article 9 du RGPD, ni des données relatives à des infractions pénales : le responsable de traitement s’interdit de les y collecter.

Le sous-traitant traite les données uniquement sur instruction documentée du responsable de traitement. Constituent ces instructions : les CGV et le présent accord, les réglages faits par le client et ses membres dans l’espace client, txAdmin, les builders, Orion et le panel staff, et les demandes écrites envoyées par ticket. Le sous-traitant informe le client s’il estime qu’une instruction viole la réglementation, et peut alors en suspendre l’exécution.

Les envois de données que le client configure vers ses propres services (webhooks Discord, application Discord du panel staff, Tebex, IPHub, Steam) sont faits sur son instruction et sous sa responsabilité.

Le sous-traitant peut établir, à partir du fonctionnement des serveurs, des mesures techniques agrégées et anonymes (performance, nombre de joueurs connectés, erreurs) pour exploiter, sécuriser et améliorer le service. Il peut aussi traiter les données strictement nécessaires à la protection de son infrastructure et de la base contre les attaques et les fuites.

• garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité de l’article 6 ;
• ne recourir à un autre sous-traitant que dans les conditions de l’article 5 ;
• aider le client, dans la mesure du possible, à répondre aux demandes des personnes concernées (article 8), à réaliser une analyse d’impact et à notifier une violation de données ;
• supprimer ou restituer les données en fin de contrat (article 10) ;
• tenir un registre des traitements effectués pour le compte de ses clients et mettre à disposition du client les informations nécessaires pour démontrer le respect de ses obligations (article 9).

Le client autorise de façon générale le recours aux sous-traitants ultérieurs suivants :

Le sous-traitant informe le client de tout ajout ou remplacement au moins 15 jours à l’avance, dans l’espace client. Le client peut s’y opposer pour un motif légitime tenant à la protection des données ; à défaut de solution, il peut résilier son abonnement sans frais avant la date du changement, ce qui constitue son seul recours. Chaque sous-traitant ultérieur est soumis à des obligations de protection équivalentes, et le sous-traitant reste responsable de leur respect envers le client.

• un conteneur, une base de données et un mot de passe de base de données propres à chaque serveur, sans partage entre clients ;
• pare-feu entrant et sortant pour chaque serveur, et protection anti-DDoS réseau des hébergeurs ;
• aucun accès du client ou de ses membres au système de fichiers ; txAdmin aux droits restreints et console filtrée ;
• accès d’administration limités à l’équipe du sous-traitant, par clés nominatives et réseau privé chiffré, et journalisés ;
• chiffrement des échanges (HTTPS) et des secrets enregistrés (clés, mots de passe, jetons) ;
• relecture humaine de tout pack du client contenant du code serveur avant son installation ;
• sauvegardes de la base de données avec contrôle d’intégrité, conservées 14 jours par défaut, et sauvegarde de sécurité avant chaque mise à jour et restauration ;
• mises à jour de sécurité de la base et des systèmes, déployées progressivement avec retour arrière automatique ;
• surveillance de la disponibilité et alertes en cas d’incident.

Le sous-traitant notifie au client toute violation de données le concernant dans les meilleurs délais après en avoir pris connaissance, et si possible sous 48 heures, par ticket ou e-mail, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou envisagées. Il complète ces informations au fur et à mesure. Il appartient au client, responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.

Le client répond aux demandes de ses joueurs et de son staff (accès, rectification, effacement, opposition, limitation, portabilité). Il dispose pour cela des outils du service : txAdmin, builders, panel staff et export de la base de données. Le sous-traitant transmet au client, dans les 5 jours ouvrés, toute demande qu’il reçoit directement, sans y répondre lui-même. Une assistance qui dépasse ces outils et une demande raisonnable peut être facturée au temps passé, sur devis accepté.

Le sous-traitant fournit sur demande les informations nécessaires pour démontrer le respect du présent accord, d’abord sous forme documentaire (description des mesures de sécurité, liste des sous-traitants, réponses à un questionnaire raisonnable).

Si ces informations ne suffisent pas, le client peut faire réaliser un audit, au plus une fois par an, et en outre après une violation de données imputable au sous-traitant, moyennant un préavis de 30 jours, par un auditeur indépendant non concurrent et tenu au secret, pendant les heures ouvrées et sans perturber le service. L’audit ne donne accès ni aux données des autres clients, ni au code source de la base, ni aux éléments de sécurité dont la divulgation exposerait l’infrastructure. Ses frais, y compris le temps passé par le sous-traitant, sont à la charge du client, sauf s’il révèle un manquement grave du sous-traitant.

À la fin de l’abonnement, le sous-traitant met à disposition du client un export de la base de données de son serveur pendant 30 jours, puis supprime le serveur, sa base de données, ses sauvegardes, ses fichiers et ses secrets, selon l’article « Fin de l’abonnement et réversibilité » des CGV. Il ne conserve aucune copie, sauf obligation légale, et confirme la suppression par écrit sur demande.

• disposer d’une base légale pour chaque traitement qu’il met en œuvre sur son serveur, et ne donner que des instructions licites ;
• informer ses joueurs et son staff, notamment par une politique de confidentialité et un règlement accessibles avant de jouer, qui décrivent les fonctions d’Orion (identifiants, adresse IP, jetons matériels, captures d’écran, extraits vidéo, visionnage de l’écran) et les durées de conservation ;
• régler de façon proportionnée les fonctions les plus intrusives (enregistrement vidéo, bannissement par adresse IP, visionnage de l’écran), en réserver l’usage à un staff restreint, et réaliser une analyse d’impact lorsqu’elle est requise ;
• définir et appliquer des durées de conservation pour les journaux, sanctions et captures de son serveur ;
• garantir la confidentialité des accès de son staff et de ses membres ;
• coopérer avec le sous-traitant en cas de violation de données ou de demande d’une autorité.

Chaque partie répond des manquements à ses propres obligations au titre du RGPD, dans les conditions de son article 82. Envers le client professionnel, la responsabilité du sous-traitant au titre du présent accord est soumise aux limites de l’article « Responsabilité » des CGV.

Le présent accord s’applique pendant toute la durée de l’abonnement et jusqu’à la suppression des données. Contact pour toute question sur la protection des données : contact@ekto.fr.