Politique de confidentialité

Version 1.2 — En vigueur à compter du 12 novembre 2026

PRÉAMBULE

La société GAME ORG, société par actions simplifiée (SAS) au capital de 1 000 euros, dont le siège social est situé 21 rue Paul Puech, 91080 Évry-Courcouronnes, immatriculée au Registre du Commerce et des Sociétés de Évry sous le numéro 105 518 427 (ci-après l'« Éditeur » ou « Game Org »), agit en qualité de responsable de traitement au sens du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (ci-après le « RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la « Loi Informatique et Libertés »).

La présente Politique de confidentialité (ci-après la « Politique ») a pour objet d'informer les Utilisateurs et Clients de la Plateforme Game Org des conditions dans lesquelles l'Éditeur collecte, utilise, conserve, partage et protège leurs données à caractère personnel, ainsi que des droits dont ils disposent à cet égard.

La présente Politique fait partie intégrante de l'environnement contractuel de la Plateforme, aux côtés des Conditions Générales de Vente (CGV) et des Conditions Générales d'Utilisation (CGU). Les termes commençant par une majuscule non définis dans la présente Politique ont le sens qui leur est donné dans les CGV.

Aucun Délégué à la Protection des Données (DPO) n'a été désigné par l'Éditeur, les conditions de désignation obligatoire posées par l'article 37 du RGPD n'étant pas réunies à ce jour. Toute question relative à la protection des données peut être adressée au contact désigné à l'Article 11 ci-après.

ARTICLE 1 — DÉFINITIONS

Outre les définitions reprises des CGV, les termes ci-après ont la signification suivante au sein de la présente Politique :

Données à caractère personnel ou Données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4.1) du RGPD.

Personne concernée : toute personne physique dont les Données personnelles sont traitées par l'Éditeur dans le cadre de la fourniture du Service.

Responsable de traitement : la personne physique ou morale qui détermine les finalités et les moyens du traitement, au sens de l'article 4.7) du RGPD. L'Éditeur est responsable de traitement pour l'ensemble des traitements décrits dans la présente Politique.

Sous-traitant : la personne physique ou morale qui traite des Données personnelles pour le compte du responsable de traitement, au sens de l'article 4.8) du RGPD.

Traitement : toute opération ou tout ensemble d'opérations effectuées sur des Données personnelles, au sens de l'article 4.2) du RGPD (collecte, enregistrement, organisation, conservation, modification, consultation, communication, effacement, etc.).

ARTICLE 2 — PÉRIMÈTRE DE LA POLITIQUE

La présente Politique s'applique :

• aux Utilisateurs qui consultent la Plateforme, y compris sans détenir de Compte ;

• aux Membres qui se connectent à la Plateforme via Discord SSO et qui sont affiliés à une ou plusieurs Organisations ;

• aux Clients Professionnels ayant souscrit à un contrat spécifique négocié hors du parcours self-service standard ;

• aux personnes physiques représentant légalement une Association, une Société ou toute autre personne morale Cliente ;

• aux Membres qui utilisent la Radio et, le cas échéant, l'Agent Windows installé sur leur ordinateur.

La présente Politique ne s'applique pas :

• aux traitements de Données personnelles mis en œuvre par les Organisations elles-mêmes vis-à-vis de leurs propres Membres lorsque ces traitements sortent du cadre fonctionnel de la Plateforme. Chaque Organisation reste responsable des traitements qu'elle met en œuvre à ses propres fins ;

• aux traitements mis en œuvre par les services tiers intégrés à la Plateforme (notamment Discord et Polar), qui agissent en qualité de responsables de traitement distincts au titre de leurs propres conditions ;

• aux traitements mis en œuvre par les éditeurs des jeux vidéo dans le cadre desquels les Organisations sont constituées, qui sont étrangers à Game Org ;

• aux traitements mis en œuvre par Microsoft pour la distribution et la mise à jour de l'Agent Windows par le Microsoft Store, qui relèvent de la déclaration de confidentialité de Microsoft.

ARTICLE 3 — CATÉGORIES DE DONNÉES COLLECTÉES

L'Éditeur s'engage à respecter le principe de minimisation des données posé par l'article 5.1.c) du RGPD : seules les Données personnelles strictement nécessaires aux finalités poursuivies sont collectées.

3.1 Données collectées lors de la connexion via Discord (Cas 1 — Membre standard)

Lors de la première connexion d'un Membre à la Plateforme via le service d'authentification Discord (Single Sign-On), l'Éditeur collecte, par l'intermédiaire de l'API Discord et sur la base du consentement explicite donné par le Membre lors de l'autorisation OAuth, les Données suivantes :

• identifiant unique Discord (discord_id) ;

• nom du compte Discord (« DiscordOriginalName ») ;

• nom personnalisé sur le serveur Discord de l'Organisation (« DiscordCustomName »), pouvant inclure des caractères Unicode étendus, notamment des emojis ;

• adresse électronique associée au compte Discord.

L'Éditeur ne collecte pas :

• l'avatar Discord du Membre ;

• le numéro de téléphone associé au compte Discord ;

• aucun mot de passe, ni aucune information d'authentification (l'authentification est intégralement déléguée à Discord).

Les Membres peuvent à tout moment, depuis leur profil sur la Plateforme, mettre à jour ou modifier leur adresse électronique de référence pour la communication Game Org, indépendamment de leur compte Discord.

3.2 Données collectées lors d'une souscription via Polar (Cas 2 — Pack OX et Pack d'Extension)

Lorsqu'un Membre souscrit à un Pack OX ou à un Pack d'Extension, le paiement est traité exclusivement par Polar, agissant en qualité de Merchant of Record. Les Données collectées dans ce cadre par Polar (nom complet, adresse de facturation, moyen de paiement, etc.) sont conservées par Polar dans le cadre de sa propre relation avec le Membre.

L'Éditeur ne collecte ni ne conserve, à raison de ces souscriptions :

• aucune donnée bancaire (numéro de carte, IBAN, etc.) ;

• aucune adresse postale de facturation ;

• aucune information de facturation autre que celles strictement nécessaires à l'identification de l'abonnement.

L'Éditeur conserve uniquement, à raison d'une souscription :

• l'identifiant client Polar — identifiant opaque permettant de relier le Compte du Membre à son client Polar ;

• l'identifiant d'abonnement Polar ;

• le statut de l'abonnement (actif, en pause, résilié, etc.) ;

• les dates de période d'abonnement (début, prochaine échéance) ;

• le nombre de Packs OX souscrits et l'éventuelle souscription à des Packs d'Extension.

Pour la consultation de ses factures, de ses moyens de paiement et de l'historique de ses transactions, le Membre est redirigé vers le portail client Polar.

3.3 Données collectées dans le cadre d'un contrat spécifique (Cas 3 — Client Professionnel hors Polar)

Pour les Clients Professionnels souscrivant à un contrat spécifique négocié hors du parcours self-service standard (notamment dans le cadre d'organisations de plus de mille Membres ou d'offres Iridium), l'Éditeur collecte directement, dans le cadre de la conclusion et de l'exécution du contrat :

• la raison sociale ou la dénomination de l'entité ;

• le numéro SIREN, RNA ou identifiant équivalent ;

• l'adresse postale du siège social et, le cas échéant, l'adresse de facturation distincte ;

• les nom, prénom, qualité et coordonnées professionnelles (adresse électronique, téléphone) du ou des représentants légaux et points de contact administratifs ;

• les informations bancaires strictement nécessaires à l'établissement du paiement par virement, le cas échéant.

Ces Données sont collectées exclusivement aux fins d'exécution du contrat et de respect des obligations comptables, fiscales et légales applicables à l'Éditeur.

3.4 Données métier générées dans le cadre de l'utilisation du Service

Au titre de l'utilisation courante de la Plateforme, l'Éditeur traite, pour le compte des Organisations Clientes, les Données suivantes relatives aux Membres :

A. Données d'affectation et de structure : Organisation(s) auxquelles le Membre est affilié, grade au sein de l'Organisation et historique des changements de grade, section ou unité d'affectation, rôle dans l'organigramme, date d'arrivée et date de fin d'affiliation le cas échéant.

B. Données d'activité et d'engagement : score d'engagement calculé selon une formule publiée sur la Plateforme, historique de participation aux événements organisés par l'Organisation, signaux internes de gouvernance utilisés par les responsables de l'Organisation.

C. Données de présence à un événement : pour chaque événement organisé sur la Plateforme, le Bot Discord crée un canal vocal éphémère dédié et enregistre les seuls événements de connexion et de déconnexion des Membres à ce canal éphémère, aux fins exclusives de validation de la présence à l'événement convoqué. Aucun autre canal vocal du serveur Discord n'est surveillé. Aucun contenu audio n'est enregistré.

D. Données de formation et de compétences : formations suivies, certifications obtenues, demandes de formation en cours, matrice de compétences déclarées et/ou validées par la hiérarchie de l'Organisation.

E. Données opérationnelles : éléments saisis par le Membre ou par l'Organisation dans les modules opérationnels (vaisseaux possédés au titre de Packs d'Extension dédiés, affectations de missions, hangar personnel, points d'intérêt, événements créés, etc.).

F. Données de gouvernance interne : promotions, décorations, sanctions, candidatures et statut de recrutement, validations hiérarchiques.

G. Données de communication : actualités et annonces publiées, notifications reçues, historique de modération.

3.5 Données techniques et journaux applicatifs

L'Éditeur ne collecte ni ne conserve d'adresses IP au sein de ses journaux applicatifs Game Org. L'identification d'un Utilisateur s'effectue exclusivement via son identifiant Discord (discord_id) lors de l'authentification.

Sont en revanche conservés à des fins techniques et de sécurité :

• les journaux d'erreurs applicatifs (messages d'exception, traces techniques), à des fins de diagnostic et de correction ;

• la date et l'heure de dernière connexion d'un Membre à la Plateforme ;

• l'audit log des actions d'administration d'une Organisation (changements de grade, rôle, section, création ou modification d'événements, formations, certifications, et toute action en lien avec les rôles synchronisés sur Discord).

L'Éditeur attire l'attention sur le fait que son hébergeur OVHcloud conserve, indépendamment des journaux Game Org et au titre de ses propres obligations de sécurité, des journaux techniques d'infrastructure pouvant inclure des adresses IP. Ces journaux relèvent de la politique de confidentialité d'OVHcloud.

3.6 Données traitées via le Bot Discord

Le Bot Discord édité par l'Éditeur intervient sur le serveur Discord de l'Organisation Cliente après installation explicite par un administrateur de cette Organisation. Son périmètre d'action est strictement délimité :

À l'installation : le Bot lit la structure du serveur Discord de l'Organisation pour identifier les comptes Membres et les rôles existants, aux seules fins de mise en correspondance avec la structure définie sur Game Org.

En fonctionnement :

• le Bot verrouille la modification des rôles synchronisés côté Discord, lesquels deviennent modifiables uniquement depuis la Plateforme Game Org (une procédure d'urgence permet à un administrateur de l'Organisation de désactiver cette fonctionnalité) ;

• le Bot crée des salons textuels dédiés à Game Org pour la publication des événements, formations et demandes opérationnelles ;

• le Bot surveille uniquement ces salons textuels dédiés, à raison des inscriptions et demandes structurées qui y sont effectuées ;

• le Bot crée, lors de chaque événement, un canal vocal éphémère dédié, et surveille via WebSocket les seuls événements de connexion et déconnexion des Membres à ce canal éphémère.

Le Bot Discord n'enregistre, ne transcrit, ne consulte et ne stocke :

• aucun message textuel des canaux Discord en dehors des salons dédiés créés par Game Org ;

• aucun contenu vocal ;

• aucune conversation privée ;

• aucun message direct (DM).

3.7 Mineurs et consentement parental

Conformément à l'article 8 du RGPD et à l'article 45 de la Loi Informatique et Libertés, le traitement des Données personnelles d'un mineur n'est licite, lorsqu'il est fondé sur le consentement, que si ce mineur est âgé d'au moins quinze (15) ans. En dessous de cet âge, le consentement doit être donné ou autorisé par le ou les titulaires de l'autorité parentale.

L'Éditeur ne dispose, structurellement, d'aucun moyen de connaître l'âge réel des Membres de la Plateforme, dont les Comptes sont créés automatiquement à partir des seules informations transmises par Discord (identifiant Discord, pseudonymes, adresse électronique). Aucune date de naissance n'est demandée ni collectée par l'Éditeur.

Dans ce contexte, le respect du seuil d'âge applicable au consentement aux traitements de données à caractère personnel relève conjointement :

• de Discord Inc., dont les conditions d'utilisation imposent un âge minimum de treize (13) ans pour l'inscription au service Discord ;

• de l'Organisation Cliente, qui admet les Membres au sein de son serveur Discord et qui, à ce titre, est la seule en position de connaître leur identité réelle ;

• du Membre lui-même ou de ses représentants légaux le cas échéant.

Les représentants légaux d'un mineur peuvent à tout moment demander la suppression du Compte de leur enfant en adressant une demande à contact@game-org.com. L'Éditeur traite ces demandes en priorité, conformément à l'article 17 du RGPD (droit à l'effacement).

3.8 Données traitées dans le cadre de l'assistant conversationnel Mira

L'assistant conversationnel Mira intégré à la Plateforme repose sur une API d'intelligence artificielle générative fournie par un prestataire tiers (ci-après le « Fournisseur LLM »). À chaque interaction de l'Utilisateur avec Mira, certaines informations sont transmises au Fournisseur LLM aux seules fins de génération de la réponse.

3.8.1 Informations transmises

Le périmètre des informations transmises au Fournisseur LLM dépend du Niveau d'Organisation actif :

• Documentation produit : documentation publique du fonctionnement de la Plateforme, sans aucune donnée personnelle (transmise pour tous les Niveaux) ;

• Contenu fonctionnel de la page consultée (Niveaux Cuivre, Acier, Titane) : éléments affichés à l'Utilisateur sur la page courante (par exemple, liste de vaisseaux, événements à venir, etc.) ;

• Données d'engagement et de participation des Membres (Niveau Titane) : pseudonymes des Membres associés à des données d'activité (présences, absences, scores d'engagement) ;

• Pseudonyme et grade de l'Utilisateur courant, ainsi que ses droits d'accès aux modules ;

• Message de l'Utilisateur et historique des derniers échanges de la conversation en cours ;

• Identifiant technique du tenant sous une forme anonymisée (le nom de l'Organisation n'est pas transmis).

3.8.2 Données qui ne sont pas transmises

Aucune donnée d'identification civile (nom, prénom, adresse électronique, adresse postale, numéro de téléphone, identifiant Discord brut) n'est transmise au Fournisseur LLM. Les Membres sont identifiés exclusivement par leur pseudonyme, à l'exclusion de toute autre information susceptible de permettre leur identification directe.

3.8.3 Engagements du Fournisseur LLM

L'Éditeur retient un Fournisseur LLM dont les conditions contractuelles garantissent que :

• les données transmises ne sont pas utilisées pour l'entraînement des modèles d'intelligence artificielle ;

• aucune mémoire persistante des conversations n'est conservée par le Fournisseur LLM au-delà du temps strictement nécessaire à la génération de la réponse ;

• les données sont traitées dans le cadre d'un accord de sous-traitance conforme à l'article 28 du RGPD.

Le Fournisseur LLM peut évoluer dans le temps. La liste à jour est publiée sur la page « Liste des sous-traitants » accessible sur la Plateforme.

3.8.4 Conservation des échanges côté Plateforme

Les conversations entre l'Utilisateur et Mira font l'objet d'un journal d'audit pseudonymisé côté Plateforme, qui conserve, pour chaque échange : un identifiant de tenant, un identifiant utilisateur, un empreinte cryptographique (hash) du message et de la réponse, le nombre de tokens consommés et l'horodatage. Le contenu en clair des messages n'est pas conservé par défaut.

Lorsque l'Utilisateur signale explicitement une réponse comme problématique via la fonctionnalité de signalement, le contenu correspondant peut être conservé en clair aux fins exclusives d'amélioration du service.

3.8.5 Absence de décision automatisée

Mira n'est pas un système de décision automatisée au sens de l'article 22 du RGPD. Mira ne dispose d'aucun pouvoir d'action sur la Plateforme et ne prend aucune décision affectant les Membres ou les Organisations. Les indicateurs ou suggestions qu'elle peut fournir aux gestionnaires d'une Organisation (par exemple : signalement de Membres en décrochage de participation) constituent une aide à la décision destinée à un être humain, sans effet juridique automatisé.

3.9 Données traitées par la Radio et l'Agent Windows

La Radio est le service de communication vocale de la Plateforme, utilisé dans le navigateur. L'Agent Windows « Game Org », distribué par le Microsoft Store, en est le complément facultatif, installé par le Membre sur son ordinateur. Le son de la Radio passe soit par le navigateur, soit, lorsque le Membre l'a choisi dans « Mon poste » ou que le serveur vocal le propose par défaut, par l'Agent Windows.

A. Voix : la voix d'un Membre est captée, avec son autorisation, par son navigateur ou, lorsque le son passe par l'Agent, par l'Agent, avec l'autorisation d'accès au microphone donnée dans Windows. L'Agent ne capte le microphone que pendant une session de Radio, lorsque le son passe par lui, ou le temps d'un essai « M'écouter » lancé par le Membre, dont le son est rejoué sur son ordinateur sans en sortir ; son icône le signale. La voix est traitée sur l'ordinateur du Membre (réduction du bruit, suppression de l'écho, réglage du volume), puis acheminée en temps réel et chiffrée, par les serveurs vocaux de l'Éditeur, vers les Membres de sa session qui doivent l'entendre. Aucun contenu vocal n'est enregistré ni conservé. La voix n'est pas utilisée pour identifier la personne.

B. Touches de radio : l'Agent capte, sur l'ordinateur du Membre, les seules touches que celui-ci a déclarées (clavier, souris, manettes de jeu), pendant une session de Radio, pendant un test qu'il lance, ou le temps d'en associer une à sa demande. Les autres frappes sont ignorées et ne sont pas conservées. Les appuis sont transmis à la page de la Plateforme ouverte sur ce même ordinateur, par une connexion locale qui n'accepte que les pages de la Plateforme ; ils ne sont ni transmis à l'Éditeur ni conservés. L'Agent garde sur l'ordinateur la liste des touches déclarées et, pour les manettes, les identifiants de l'appareil (fabricant, modèle, numéro de série le cas échéant, nom) nécessaires pour distinguer deux manettes identiques. Les réglages de Radio du Membre (touches associées aux fonctions, noms donnés aux touches, volumes) sont conservés avec son Compte.

C. Photos d'écran : à l'appui de sa touche de capture, pendant une session, l'Agent photographie l'écran du Membre en l'annonçant par un déclic. La photo reste sur l'ordinateur tant que le Membre ne l'envoie pas depuis sa page, qui lui demande son accord. Une fois envoyée, elle est visible par les membres de son équipe dans la session et conservée jusqu'à ce que l'Organisation supprime la mission à laquelle elle est rattachée, ou jusqu'au désabonnement de l'Organisation de la Plateforme.

D. Diffusion d'écran : lorsque le Membre lance sa diffusion depuis la Plateforme, l'Agent capte l'image de son écran, sans le son, et la diffuse aux seuls membres de son équipe dans la session qui la regardent. Le lancement est annoncé par une notification et signalé par l'icône de l'Agent. Aucune image n'est enregistrée ni conservée. L'image est acheminée, chiffrée, soit directement de l'ordinateur du Membre vers ceux de ses spectateurs, jusqu'à trois, soit par les serveurs de l'Éditeur. En mode direct, les adresses IP du Membre qui diffuse (adresse publique et adresse sur son réseau local) sont communiquées à ses spectateurs, et réciproquement ; l'option « Toujours passer par le serveur » l'évite.

E. Informations techniques : lorsqu'il se connecte à la page de la Plateforme, l'Agent lui communique sa version, la liste des touches déclarées, la définition des écrans, le nom de l'encodeur vidéo de la carte graphique, afin de proposer les qualités de diffusion possibles, et le nom des microphones et sorties audio de l'ordinateur, afin que le Membre choisisse les siens. Ces informations restent dans le navigateur et ne sont pas transmises à l'Éditeur.

F. Adresses IP et journaux : les serveurs vocaux de l'Éditeur, hébergés par OVHcloud en France, traitent l'adresse IP des Membres connectés, en mémoire et le temps de la communication, pour acheminer la voix et les images et pour limiter les connexions abusives. Leurs journaux techniques contiennent un identifiant de connexion et le numéro de Membre, sans adresse IP ni contenu, et sont conservés trente (30) jours.

G. Historique de la Radio : les serveurs vocaux signalent à la Plateforme, pour chaque Membre, ses connexions et déconnexions (horodatage, motif du départ) et, à son départ, le nombre de ses prises de parole émises et reçues, sans aucun contenu. La Plateforme en tient un journal, conservé au plus sept (7) jours, puis en garde un historique résumé par Membre (par événement, ou par jour pour la radio de l'Organisation), conservé avec les données de l'Organisation et consultable par ses gestionnaires.

H. Données conservées sur l'ordinateur : l'Agent conserve dans le dossier de l'application la liste des touches déclarées (B) et les données de navigation de la page de surimpression. Ces données restent sur l'ordinateur et sont effacées à la désinstallation de l'Agent. Pendant une session, l'Agent garde en outre en mémoire seulement l'adresse de la page de Radio ouverte et le nom du navigateur qui l'affiche, afin de proposer au Membre de rouvrir la Radio s'il la ferme par erreur ; il les oublie au plus tard trente (30) secondes après la fermeture de l'onglet, ou trente (30) secondes après le clic du Membre sur la notification de réouverture.

I. Ce que l'Agent ne fait pas : il ne capte la voix que pendant une session de Radio lorsque le son passe par lui, ou pendant un essai « M'écouter » qui ne quitte pas l'ordinateur (A) ; il n'enregistre aucune frappe, aucun son ni aucune image ; il ne collecte aucune statistique d'usage ni rapport de plantage ; il n'accède à aucun processus de jeu ; il ne transmet à l'Éditeur, pendant une session, que la voix (A), les images diffusées (D), les mesures de qualité (K) et, pendant une période de collecte, les relevés réseau (L).

J. Contrôles du Membre : le Membre peut à tout moment quitter l'Agent depuis son icône ; désactiver son lancement au démarrage de Windows (Paramètres > Applications > Démarrage) ; choisir que le son de la Radio passe par le navigateur (« Mon poste » > « Son de la radio ») ; retirer à l'Agent l'accès au microphone (Paramètres de Windows > Confidentialité et sécurité > Microphone) ; ne pas envoyer une photo ; arrêter sa diffusion ; choisir « Toujours passer par le serveur » ; désinstaller l'Agent ; couper son micro dans la Radio ou retirer l'autorisation du micro à son navigateur.

K. Mesures de qualité : pour adapter le son à la connexion de chacun, la qualité de la connexion d'un Membre est mesurée pendant une session (pertes, irrégularité et temps de réponse), par son navigateur, par l'Agent ou par le serveur vocal selon le cas. Lorsque la connexion est dégradée, une indication et ces valeurs sont affichées aux Membres de la session qui voient déjà ce Membre. Même lorsque la connexion est bonne, le navigateur transmet en outre au serveur vocal son pourcentage de pertes à la réception, au plus toutes les deux (2) secondes et seulement lorsqu'il change. Lorsque le son passe par l'Agent, celui-ci transmet en outre à son serveur vocal, toutes les dix secondes, des mesures de la qualité du son reçu (nombre de coupures, durée de son reconstitué ou étiré, délai de mise en mémoire tampon, retards du fil audio, réglage utilisé). Ces mesures ne contiennent aucun contenu ; le serveur vocal n'en garde que des totaux, en mémoire, sans les rattacher à un Membre.

L. Amélioration automatique de la qualité : pour régler la Radio sur les conditions réelles de réseau, un serveur vocal peut, sur décision de l'Éditeur et pendant une période de collecte de quatorze (14) jours au plus, relever pour certaines connexions tirées au sort les heures d'arrivée, les numéros et les pertes des paquets de voix, et, lorsque le son passe par l'Agent, demander à celui-ci les mêmes relevés pour les paquets qu'il reçoit. Ces relevés ne contiennent ni son, ni identifiant de Membre, ni adresse IP. Ils sont gardés en mémoire du serveur vocal, jamais écrits sur disque, et effacés à la fin du réglage qui les a demandés (étalonnage ou amélioration), au plus tard trente (30) jours après le début de la collecte, ou au redémarrage du serveur vocal. Les extraits sonores produits pour régler la qualité utilisent exclusivement des voix de référence libres de droits, jamais celles des Membres.

ARTICLE 4 — FINALITÉS ET BASES LÉGALES

L'Éditeur traite les Données personnelles pour les finalités suivantes, sur les bases légales correspondantes :

Les traitements fondés sur l'intérêt légitime ont fait l'objet d'une mise en balance avec les droits et libertés des Personnes concernées. L'Éditeur considère que ces traitements n'occasionnent pas d'atteinte disproportionnée aux Personnes concernées, compte tenu de leur caractère limité, de leur nécessité opérationnelle et des mesures de minimisation appliquées.

L'Éditeur ne met en œuvre aucune décision automatisée produisant des effets juridiques à l'égard d'une Personne concernée au sens de l'article 22 du RGPD. Le score d'engagement et les autres indicateurs proposés par la Plateforme constituent des aides à la décision destinées aux gestionnaires de l'Organisation, sans effet décisionnel automatisé.

L'Éditeur ne traite aucune donnée sensible au sens de l'article 9 du RGPD (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques, données concernant la santé, données concernant la vie sexuelle ou l'orientation sexuelle), ni aucune donnée relative à des condamnations pénales au sens de l'article 10 du RGPD.

ARTICLE 5 — DESTINATAIRES DES DONNÉES

Les Données personnelles traitées par l'Éditeur peuvent être communiquées aux destinataires suivants, dans la stricte limite des finalités poursuivies :

5.1 Personnel habilité de l'Éditeur : les collaborateurs de l'Éditeur intervenant dans la fourniture du Service (équipe technique, support, administration), strictement habilités par fonction et soumis à une obligation de confidentialité.

5.2 Autres Membres et gestionnaires de l'Organisation : les Données nécessaires au bon fonctionnement de l'Organisation (grade, section, score d'engagement, formations, etc.) sont accessibles aux autres Membres de l'Organisation et à ses gestionnaires, dans les limites des droits d'accès configurés sur la Plateforme. S'agissant de la Radio, la voix d'un Membre, ses photos envoyées et sa diffusion d'écran sont reçues par les Membres de sa session et de son équipe ; en diffusion directe, les spectateurs reçoivent en outre l'adresse IP du Membre qui diffuse, et réciproquement. L'indication d'une connexion dégradée et ses valeurs (3.9 K) sont affichées aux Membres de la session qui voient déjà ce Membre. L'historique de la Radio est consultable par les gestionnaires de l'Organisation.

5.3 Sous-traitants : les sous-traitants de l'Éditeur, qui agissent sur instruction documentée de ce dernier dans les conditions de l'article 28 du RGPD. La liste des sous-traitants figure à l'Article 6.

5.4 Autorités administratives ou judiciaires : sur réquisition légale, l'Éditeur peut être amené à communiquer des Données personnelles aux autorités compétentes, dans les strictes limites de la loi applicable.

5.5 Tiers en cas de réorganisation : en cas de fusion, scission, cession ou toute autre opération de réorganisation affectant l'Éditeur, les Données pourront être transférées au repreneur, sous réserve du respect des dispositions du RGPD.

L'Éditeur ne vend ni ne loue les Données personnelles à des tiers à des fins commerciales ou publicitaires.

ARTICLE 6 — SOUS-TRAITANTS ET TRANSFERTS HORS UNION EUROPÉENNE

6.1 Sous-traitants à la date de la présente Politique

L'Éditeur recourt, pour les besoins du Service, aux sous-traitants suivants au sens de l'article 28 du RGPD :

Les sous-traitants sont liés à l'Éditeur par des accords de sous-traitance conformes à l'article 28 du RGPD ou, à défaut, par leurs conditions générales applicables aux responsables de traitement, qui prévoient les garanties requises.

La liste à jour des sous-traitants est publiée sur la Plateforme à l'adresse suivante : https://game-org.com/sous-traitants.

6.2 Transferts hors Union européenne

Les transferts de Données vers les États-Unis (Discord Inc., Polar Software, Inc.) sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne par décision d'exécution (UE) 2021/914 du 4 juin 2021. Ces clauses imposent au destinataire des garanties contractuelles équivalentes à celles offertes au sein de l'Union européenne.

L'Éditeur veille en permanence à la conformité de ces transferts au regard de l'évolution du droit européen et des décisions de la Cour de justice de l'Union européenne et des autorités de contrôle.

6.3 Mesure d'audience

L'Éditeur utilise Umami, un outil de mesure de fréquentation sans cookie ni identifiant persistant. Aucune donnée n'est déposée ni lue sur le terminal de l'Utilisateur : la distinction entre visiteurs repose sur une empreinte calculée côté serveur à partir de l'adresse IP et du navigateur, avec un sel renouvelé quotidiennement, qui ne permet aucun suivi d'un jour sur l'autre ni entre sites.

Les données collectées se limitent aux pages consultées, à la langue d'affichage, au site référent et au type de terminal. Aucun traceur publicitaire, aucun profilage, aucun recoupement avec les données de compte n'est mis en œuvre.

L'Utilisateur peut se soustraire à cette mesure en activant le signal Do Not Track de son navigateur, respecté par l'outil.

En cas de déploiement futur d'un outil déposant des cookies ou traceurs sur le terminal, un consentement préalable serait recueilli auprès des Utilisateurs concernés via un bandeau de gestion des cookies, conformément aux exigences de la CNIL.

ARTICLE 7 — DURÉES DE CONSERVATION

L'Éditeur conserve les Données personnelles pour une durée strictement nécessaire aux finalités poursuivies, conformément au principe de limitation de la conservation posé par l'article 5.1.e) du RGPD.

Au-delà des durées indiquées, les Données sont supprimées définitivement et de manière irréversible, sauf obligation légale ou nécessité de conservation à des fins probatoires en cas de litige.

ARTICLE 8 — SÉCURITÉ DES DONNÉES

L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées, conformément à l'article 32 du RGPD, pour préserver la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes et des Données personnelles.

Ces mesures incluent notamment :

• l'authentification forte des Membres déléguée à Discord, sans stockage de mots de passe par l'Éditeur ;

• le chiffrement en transit (TLS) de l'ensemble des communications entre les Utilisateurs et la Plateforme ;

• le chiffrement au repos des Données sensibles côté hébergeur OVHcloud, selon les standards proposés par celui-ci ;

• la séparation logique des données entre Organisations Clientes (multi-tenant strict) ;

• la gestion granulaire des habilitations côté Plateforme, fondée sur les rôles et grades configurés par chaque Organisation ;

• la traçabilité des actions d'administration par l'audit log mentionné à l'Article 3.5 ;

• la mise à jour régulière des composants logiciels et applicatifs ;

• la sauvegarde régulière des Données aux fins de continuité de service.

En cas de violation de Données personnelles susceptible d'engendrer un risque pour les droits et libertés des Personnes concernées, l'Éditeur procède à la notification de cette violation à la CNIL dans un délai de soixante-douze (72) heures après en avoir pris connaissance, conformément à l'article 33 du RGPD. Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des Personnes concernées, ces dernières sont également informées dans les meilleurs délais, conformément à l'article 34 du RGPD.

ARTICLE 9 — DROITS DES PERSONNES CONCERNÉES

Conformément aux articles 15 à 22 du RGPD, toute Personne concernée dispose des droits suivants à l'égard de ses Données personnelles :

9.1 Droit d'accès (art. 15 RGPD) : obtenir la confirmation que des Données personnelles la concernant sont traitées et, le cas échéant, en obtenir une copie ainsi que les informations relatives au traitement.

9.2 Droit de rectification (art. 16 RGPD) : obtenir la rectification de Données personnelles inexactes ou incomplètes.

9.3 Droit à l'effacement (art. 17 RGPD) : obtenir l'effacement de ses Données personnelles dans les cas prévus par le RGPD, sous réserve des durées de conservation légales applicables.

9.4 Droit à la limitation du traitement (art. 18 RGPD) : obtenir la limitation du traitement de ses Données personnelles dans les cas prévus par le RGPD.

9.5 Droit à la portabilité (art. 20 RGPD) : recevoir ses Données personnelles dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement. La fourniture de cet export est précisée à l'Article 11 des CGV.

9.6 Droit d'opposition (art. 21 RGPD) : s'opposer à tout moment, pour des raisons tenant à sa situation particulière, au traitement de ses Données personnelles fondé sur l'intérêt légitime de l'Éditeur.

9.7 Droit de retirer son consentement (art. 7.3 RGPD) : pour les traitements fondés sur le consentement, retirer ce consentement à tout moment, sans que ce retrait n'affecte la licéité du traitement effectué avant le retrait.

9.8 Droit de définir des directives post-mortem : conformément à l'article 85 de la Loi Informatique et Libertés, définir des directives relatives au sort de ses Données personnelles après son décès.

9.9 Modalités d'exercice

Ces droits peuvent être exercés gratuitement, par toute Personne concernée, en adressant une demande à l'adresse suivante :

contact@game-org.com

L'Éditeur peut, en cas de doute raisonnable sur l'identité du demandeur, solliciter la fourniture d'informations complémentaires permettant de vérifier cette identité, conformément à l'article 12.6 du RGPD.

L'Éditeur s'engage à répondre à toute demande dans un délai d'un (1) mois à compter de sa réception. Ce délai peut être prolongé de deux (2) mois supplémentaires en cas de demande complexe ou de pluralité de demandes, l'Éditeur informant alors le demandeur de cette prolongation et de ses motifs dans le délai initial d'un mois.

9.10 Droit d'introduire une réclamation auprès de la CNIL

Toute Personne concernée a le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) si elle estime que le traitement de ses Données personnelles est constitutif d'une violation du RGPD :

CNIL — 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07

www.cnil.fr

Il est rappelé que la saisine du service de l'Éditeur préalablement à la saisine de la CNIL n'est pas obligatoire, mais est encouragée afin de permettre une résolution amiable.

ARTICLE 10 — COOKIES ET TRACEURS

À la date de la présente Politique, la Plateforme n'utilise que des cookies strictement nécessaires à son fonctionnement (notamment cookies de session, de sécurité et de préférences linguistiques), exemptés du recueil du consentement préalable conformément aux lignes directrices et à la délibération n° 2020-091 de la CNIL.

L'Éditeur n'utilise, à la date de la présente Politique :

• aucun cookie de mesure d'audience (analytics) ;

• aucun cookie publicitaire ou de tracking comportemental ;

• aucun traceur à finalité commerciale, publicitaire ou de profilage.

La mesure de fréquentation décrite à l'Article 6.3 s'effectue sans cookie ni stockage sur le terminal de l'Utilisateur.

En cas de déploiement futur d'un outil déposant des cookies ou traceurs, ceux-ci ne seront installés qu'après consentement préalable de l'Utilisateur, recueilli via un bandeau de gestion des cookies conforme aux exigences de la CNIL. La présente Politique ainsi qu'une Politique cookies dédiée seront alors mises à jour.

ARTICLE 11 — CONTACT

Toute question relative à la présente Politique, au traitement des Données personnelles ou à l'exercice des droits prévus à l'Article 9 peut être adressée à :

contact@game-org.com

ou par courrier postal à l'adresse suivante :

GAME ORG

21 rue Paul Puech, 91080 Évry-Courcouronnes

ARTICLE 12 — MODIFICATION DE LA POLITIQUE

L'Éditeur se réserve la faculté de modifier la présente Politique à tout moment, notamment afin de tenir compte de l'évolution du Service, des sous-traitants, du cadre légal et réglementaire applicable, ou des décisions des autorités de contrôle.

Toute modification substantielle est portée à la connaissance des Personnes concernées par tout moyen approprié (notification dans la Plateforme, message Discord, courriel) au moins trente (30) jours avant son entrée en vigueur.

La date de la dernière mise à jour de la présente Politique figure en tête du document.

Historique : version 1.1 du 30 septembre 2026 — ajout de la Radio et de l'Agent Windows (article 3.9). Version 1.2 du 12 novembre 2026 — son de la Radio par l'Agent Windows, mesures de qualité, amélioration automatique de la qualité, réouverture de la Radio fermée par erreur (article 3.9 A, E, H à L ; articles 4, 5.2 et 7).

ARTICLE 13 — DROIT APPLICABLE

La présente Politique est soumise au droit français et au droit de l'Union européenne, et notamment au RGPD et à la Loi Informatique et Libertés.

Elle est rédigée en langue française, qui constitue la version faisant foi. Toute traduction mise à disposition est fournie à titre purement informatif.