Confidentialité

Responsable du traitement et contact

Le responsable du traitement est Théo Blaszczyk.

Pour toute question relative à la confidentialité ou à l’exercice de vos droits, contactez privacy@fr3b.fr.

Base légale

Les traitements décrits sur cette page reposent principalement sur l’article 6(1)(f) du RGPD (intérêt légitime), notamment pour fournir et sécuriser FR3B / AutoVote, authentifier les utilisateurs, gérer les droits d’accès, administrer les licences et distributions, assurer la sécurité, l’audit et la traçabilité, et maintenir l’infrastructure.

Finalités

Les données sont traitées pour :

• fournir et sécuriser FR3B / AutoVote ;
• authentifier les utilisateurs ;
• gérer les droits et accès ;
• administrer les licences et distributions ;
• assurer la sécurité, l’audit et la traçabilité ;
• maintenir et protéger l’infrastructure.

Données de compte FR3B

Le compte FR3B stocke les informations Discord nécessaires à l’identité et à l’accès au portail.

Aucun e-mail Discord n’est stocké d’après l’existant technique actuel.

• identifiant Discord (Discord ID) ;
• nom d’utilisateur Discord (username) ;
• nom d’affichage Discord éventuel ;
• empreinte d’avatar Discord éventuelle ;
• rôle et statut du compte ;
• horodatages nécessaires au compte (création, mise à jour, dernière authentification).

Authentification Discord (OAuth)

La connexion utilise Discord OAuth avec le scope identify.

Le profil Discord (identifiant, username, nom d’affichage éventuel, avatar éventuel) sert à authentifier et à maintenir le compte FR3B.

Le jeton d’accès Discord n’est pas persisté selon l’existant technique audité.

Un état OAuth temporaire (cookie fr3b_oauth_state) est utilisé pendant l’échange d’autorisation et expire après 10 minutes.

Sessions FR3B

Après authentification, une session FR3B est créée.

Le jeton de session est stocké côté serveur sous forme d’empreinte (hash) ; le navigateur reçoit un cookie HttpOnly nommé fr3b_session.

La durée de session est de 7 jours.

Cette mention décrit uniquement le fonctionnement technique de la session et n’instaure pas de politique relative aux cookies.

Autorisations, projets et Discord

FR3B traite les données nécessaires au contrôle d’accès aux projets et aux fonctions d’administration.

• rôles globaux ;
• droits d’administration de projet (grants) ;
• accès projet ;
• associations projet ↔ serveur Discord (identifiant et nom de guilde) ;
• résultats de membership Discord ;
• overrides d’accès temporaires lorsqu’ils sont utilisés.

Journaux FR3B (H01)

Des journaux d’événements FR3B sont enregistrés à des fins de sécurité, d’administration et de traçabilité.

Ils peuvent contenir l’identifiant d’acteur, un libellé d’acteur, la cible, le projet concerné et un contexte technique nécessaire à l’événement.

Rétention : 3 mois calendaires.

Certains événements de journal peuvent subsister après la suppression d’un compte, jusqu’à l’échéance de cette rétention.

Activité AutoVote (H02)

L’activité administrative AutoVote (licences, versions, distributions) est journalisée côté FR3B.

Rétention : 12 mois glissants.

Certains événements d’activité peuvent subsister après la suppression d’un compte, jusqu’à l’échéance de cette rétention.

Licensing AutoVote

FR3B conserve l’association entre un compte FR3B et une licence AutoVote.

Le service Licensing traite des informations techniques de licence, d’appareils / installations et de sessions nécessaires au fonctionnement du produit.

En production, les licences sont obligatoirement expirables.

Une licence est purgée 90 jours après son expiration ; les appareils associés sont alors supprimés avec la licence.

Les sessions Licensing sont purgées 30 jours après leur expiration.

Lors de la suppression d’un compte FR3B : l’association compte ↔ licence est détachée ; la licence n’est ni révoquée ni supprimée immédiatement ; elle reste active jusqu’à sa date d’expiration normale (expiresAt).

Préférence de langue

La langue de l’interface peut être enregistrée localement dans le navigateur sous la clé fr3b_interface_locale (localStorage).

Cette préférence n’est pas synchronisée sur le serveur FR3B.

Infrastructure et destinataires techniques

Selon le fonctionnement technique actuel, les traitements s’appuient notamment sur les services suivants :

• Discord, pour l’authentification OAuth et les contrôles de membership ;
• OVHcloud, pour l’hébergement de FR3B ;
• OVHcloud Object Storage, pour le stockage objet des distributions ;
• le bridge Licensing privé FR3B ↔ AutoVote, pour l’administration et la vérification des licences.

Stockage objet (distributions AutoVote)

Le bucket de production OVHcloud Object Storage est utilisé pour les fichiers de distribution AutoVote.

Région : gra / Gravelines, France.

Sauvegardes

Des copies de sauvegarde PostgreSQL peuvent contenir les données personnelles stockées par FR3B.

Rétention des sauvegardes : 30 jours glissants.

Journaux d’infrastructure

Les journaux d’infrastructure peuvent inclure des informations techniques telles que l’adresse IP ou le User-Agent.

Rétention maximale de ces informations : 6 mois.

Les access logs Caddy sont conservés 180 jours.

Les secrets présents dans les paramètres de requête OAuth sont retirés des journaux ; les cookies sensibles sont masqués (redacted) selon le comportement de production validé.

Comptes inactifs

Un compte FR3B inactif depuis 2 ans (dernière authentification) peut être supprimé automatiquement.

Suppression de compte

La suppression du compte FR3B est disponible depuis les paramètres.

Les comptes USER et ADMIN peuvent être supprimés.

Un compte SUPER_ADMIN peut être supprimé uniquement s’il reste au moins un autre SUPER_ADMIN actif ; la suppression du dernier SUPER_ADMIN actif est refusée.

Après suppression, des données peuvent subsister pendant leur rétention propre : journaux FR3B (H01), activité AutoVote (H02), sauvegardes, et informations Licensing non immédiatement purgées (licence détachée mais encore active jusqu’à expiration, puis rétentions Licensing).

Vos droits

Conformément au RGPD, vous pouvez exercer vos droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, dans la mesure où ils s’appliquent aux traitements décrits, en écrivant à privacy@fr3b.fr.

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).