Un serveur FiveM ne peut pas devenir « conforme au RGPD » en copiant un modèle de politique de confidentialité. Commencez par enregistrer les données personnelles que votre serveur, site Web, Discord, flux de paiement, système de support et sauvegardes traitent réellement ; documentez ensuite les finalités, les bases juridiques, les destinataires, la conservation, la sécurité et les procédures relatives aux droits des utilisateurs pour les juridictions concernées.
Ceci est une liste de contrôle opérationnelle, et non un avis juridique ou une garantie de conformité. Les obligations du responsable du traitement dépendent de ses activités, de ses utilisateurs et des juridictions. Utilisez la réglementation officielle et obtenez des conseils qualifiés pour les questions juridiques non résolues.
1. Établissez un inventaire réel des données
Listez chaque système et champ, y compris les données détenues par les plugins et les services externes. Les opérations courantes de FiveM peuvent impliquer :
- Cfx.re/Rockstar, Discord, Steam ou d'autres identifiants de joueur ;
- Adresses IP, horodatages de connexion, journaux d'appareils ou de sécurité ;
- enregistrements de personnages, d'inventaires, de propriétés et de modération liés à un joueur ;
- demandes de liste blanche, messages de support et notes du personnel ;
- analyses de site web, cookies et soumissions de formulaires ;
- références de commande Tebex et enregistrements de droits ;
- les sauvegardes de bases de données, les archives de journaux et les sauvegardes hors site contenant l'un des éléments ci-dessus.
La référence officielle Cfx.re des identifiants montre qu’un serveur peut recevoir plusieurs types d’identifiants, notamment des adresses IP. Leur disponibilité ne signifie pas que chaque valeur doit être conservée indéfiniment.
2. Enregistrer la finalité, la base légale et la conservation
Pour chaque catégorie, enregistrez pourquoi elle est nécessaire, qui l'utilise et quand elle est supprimée ou anonymisée. Ne qualifiez pas chaque activité de traitement de « consentement » par défaut. Conformément au RGPD, le consentement est une base légale possible avec des conditions spécifiques ; le contrat, l'obligation légale et les intérêts légitimes ont des tests et des conséquences différents.
La source principale est le Règlement (UE) 2016/679. L'article 5 couvre la licéité, la limitation des finalités, la minimisation des données, l'exactitude, la limitation de la conservation et la sécurité. Utilisez le guide du Comité européen de la protection des données pour les PME pour des explications pratiques.
3. Identifier le responsable du traitement, les sous-traitants et les transferts de données
Nommez la personne ou l'organisation qui détermine pourquoi et comment la communauté traite les données. Listez les fournisseurs d'hébergement, de CDN, d'e-mail, d'analyse, d'intégrations Discord, de gestion de tickets, de formulaires, de sauvegarde et de commerce. Enregistrez le contrat ou les conditions de traitement des données, la région de stockage et tout mécanisme de transfert international pertinent pour le service.
N'affirmez pas que Tebex, Discord ou un hébergeur rendent l'ensemble du serveur conforme. Chaque fournisseur couvre son propre rôle ; l'opérateur reste responsable du traitement qu'il contrôle.
4. Publier des informations qui correspondent à la réalité
La notice de confidentialité doit identifier le responsable du traitement et le moyen de contact, les catégories et les sources de données, les finalités et les bases légales, les destinataires, les critères de conservation, les droits, le moyen de réclamation et tout transfert international ou décision automatisée pertinent. Liez-la avant de collecter une candidature ou une demande d’assistance, pas seulement dans un pied de page après la soumission.
5. Minimisez l'accès et sécurisez les enregistrements
- N'accordez au personnel que les autorisations requises pour son rôle et supprimez rapidement les comptes du personnel parti.
- Utilisez des comptes uniques et l'authentification multifacteur lorsque disponible.
- Gardez les identifiants de la base de données, de txAdmin, de sauvegarde et du fournisseur hors des ressources publiques et des journaux.
- Chiffrez les connexions réseau et protégez les sauvegardes avec des contrôles d'accès distincts.
- Enregistrez les actions administratives sensibles sans copier de contenu personnel inutile.
- Mettez à jour WordPress, les bots Discord, les frameworks et les ressources du serveur via un processus de modification testé.
6. Préparez les flux de travail de demande de la personne concernée
Documentez comment le personnel vérifie un demandeur sans collecter de nouvelles données excessives, localise les enregistrements dans les systèmes et répond aux demandes d'accès, de correction, de suppression, de restriction, d'opposition ou de portabilité, le cas échéant. Une demande de suppression peut ne pas nécessiter la suppression de tous les enregistrements lorsqu'une autre obligation légale de conservation s'applique ; documentez la décision plutôt que de promettre un résultat automatique.
7. Préparez-vous aux incidents et aux violations
Définissez qui reçoit un rapport de sécurité, comment l'accès est contenu, quels journaux et sauvegardes sont conservés, comment les données et les personnes affectées sont identifiées, et qui évalue les obligations de notification. Ne masquez pas un incident en supprimant la seule preuve. Le guide de l'EDPB comprend un flux de travail dédié aux violations de données ; les délais de notification légaux nécessitent une évaluation qualifiée et opportune.
8. Examinez les changements avant le lancement
Répétez l'inventaire lors de l'ajout d'un nouveau bot Discord, d'un outil d'analyse, d'un formulaire de liste blanche, d'un package de paiement, d'un anti-triche, d'une destination de sauvegarde ou d'une intégration de personnel. Enregistrez la date de révision et le responsable. Une politique copiée qui ne change pas lorsque le système change n'est pas une preuve opérationnelle fiable.
Preuves minimales à conserver
- inventaire actuel des données et des sous-traitants ;
- calendrier de conservation et de suppression ;
- examen de l'accès du personnel ;
- procédures de demande de droits et d'incidents ;
- tests de sauvegarde et de restauration ;
- avis de confidentialité daté et journal des modifications ;
- enregistrements des évaluations à risque élevé et des conseils professionnels si nécessaire.