Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données sur bspmarket.de est :

Les demandes relatives à la protection des données peuvent être adressées par e-mail avec l’objet « Datenschutz / bspmarket.de ».

2. Principes du traitement

Nous ne traitons des données à caractère personnel que dans la mesure où cela est nécessaire au fonctionnement de la plateforme, à la mise à disposition des comptes utilisateurs, au traitement des achats et téléchargements, à l’exécution des fonctions Creator, à la communication, à la sécurité, au respect d’obligations légales ou à la sauvegarde d’intérêts légitimes.

Les bases juridiques sont notamment l’art. 6.1.b) du RGPD pour l’exécution du contrat et les mesures précontractuelles, l’art. 6.1.c) du RGPD pour les obligations légales, l’art. 6.1.f) du RGPD pour les intérêts légitimes et l’art. 6.1.a) du RGPD pour le consentement.

3. Hébergement, accès au site et logs serveur

bspmarket.de est exploité sur un serveur virtuel dédié que la société Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne, met à notre disposition dans un centre de données situé en Allemagne. Hetzner traite les données stockées sur le serveur exclusivement pour notre compte (art. 28 du RGPD). La base de données, l’envoi des e-mails et l’ensemble des processus d’arrière-plan fonctionnent sur ce serveur ; nous n’utilisons ni réseau de diffusion de contenu (CDN) ni hébergement web externe.

Une fois vérifiés, les fichiers téléversés (fichiers achetés, copies acheteur marquées individuellement, fichiers du BSP Vault ainsi que résultats et paquets de BSP Protection) sont stockés dans le stockage objet « Hetzner Object Storage » de la même société Hetzner Online GmbH, dans son centre de données de Falkenstein (Allemagne), là aussi exclusivement pour notre compte (art. 28 du RGPD). Pendant le téléversement, l’analyse antivirus, la préparation et la livraison, les fichiers se trouvent aussi temporairement sur notre serveur. Ce stockage n’est pas accessible publiquement et il n’existe aucun lien direct vers lui. Les téléchargements passent toujours par notre serveur, après vérification de votre connexion et de vos droits. Les fichiers y sont enregistrés sous des identifiants aléatoires, et non sous des noms d’utilisateur, des noms de fichiers ou des adresses IP ; les fichiers du BSP Vault et les autres fichiers protégés restent en outre chiffrés par nos soins.

Lors de l’accès au site, des données d’accès techniquement nécessaires sont traitées. Cela peut inclure l’adresse IP, la date et l’heure de l’accès, l’URL demandée, le référent, le user-agent, les informations navigateur/appareil, le statut HTTP, le volume de données transférées et les événements de sécurité.

Les finalités sont la livraison du site, la stabilité, l’analyse d’erreurs, la détection d’attaques, la prévention des abus et la preuve des opérations techniques. La base juridique est l’art. 6.1.f) du RGPD. Notre intérêt légitime réside dans l’exploitation sûre et fiable de la plateforme.

Les consultations de pages individuelles ne sont pas enregistrées par le serveur web dans des journaux d’accès. Les journaux système et applicatifs (par ex. messages d’erreur, tentatives de connexion au serveur, journaux d’envoi du serveur de messagerie) sont automatiquement supprimés au plus tard après 30 jours. Nous enregistrons les événements de compte pertinents pour la sécurité (par ex. connexions, modifications de droits) pendant 180 jours dans un journal d’audit, avec une adresse IP hachée au moyen d’une clé changeant quotidiennement et non conservée en clair. Une conservation plus longue n’a lieu que si des incidents concrets, des attaques, un soupçon de fraude ou des prétentions juridiques l’exigent.

3a. Mesure d’audience sans cookies

Afin de comprendre comment bspmarket.de est utilisé (par ex. quelles pages et quels produits sont consultés, par quels canaux les visiteurs nous trouvent et combien de visites aboutissent à un achat), nous réalisons notre propre évaluation statistique. Elle fonctionne entièrement sur notre serveur ; aucun service d’analyse externe n’est intégré et aucune donnée n’est transmise à des tiers.

Nous n’utilisons à cet effet aucun cookie et ne déposons aucun identifiant sur votre appareil. Lors de la consultation d’une page, votre navigateur transmet la page consultée, le cas échéant le nom d’hôte du site web dont vous provenez, les paramètres de campagne du lien (utm_source, utm_medium, utm_campaign) ainsi que la durée active de consultation. À partir de l’adresse IP et de l’identification du navigateur (user agent), nous calculons, au moyen d’une clé aléatoire qui change chaque jour puis est supprimée, un identifiant permettant de regrouper plusieurs consultations de pages d’une même visite au cours d’une journée. L’adresse IP et l’identification du navigateur ne sont pas elles-mêmes enregistrées à cette fin ; après le changement de jour, l’identifiant ne peut plus être rattaché à une adresse IP et ne permet aucune reconnaissance sur plusieurs jours ni sur d’autres sites web. En outre, lors de la consultation d’une page, nous déduisons de l’adresse IP le pays d’où provient l’accès. Cette correspondance est effectuée exclusivement sur notre serveur, à l’aide d’une liste de pays qui y est enregistrée (base de données « IP to Country Lite » de DB-IP) ; l’adresse IP n’est à cette fin ni enregistrée ni transmise au fournisseur de la liste ou à d’autres tiers.

Sont enregistrés pour chaque visite : le moment, les pages consultées et la durée de consultation, le canal de provenance et le nom d’hôte du site web référent (jamais son adresse complète), les paramètres de campagne, la catégorie approximative d’appareil, la famille de navigateur et de système d’exploitation, la langue de la page et la langue réglée dans le navigateur, le pays d’où provient l’accès (uniquement sous forme de code pays, sans région ni ville), le fait que la visite ait eu lieu en étant connecté (sans rattachement à un compte), les termes saisis dans la recherche du catalogue, le fait que le bandeau cookies ait été affiché et confirmé (déduit de l’enregistrement techniquement nécessaire de votre choix en matière de cookies décrit à la section 4 ; seul ce oui ou non est comptabilisé), ainsi que le fait qu’un produit ait été ajouté au panier, qu’un paiement ait été commencé, qu’un achat ait été conclu ou qu’un compte ait été créé. Afin qu’un achat puisse être attribué à la bonne visite, la commande est temporairement reliée à la visite ; ce lien est supprimé dès que le paiement est finalisé ou annulé, au plus tard après trois jours. Les données statistiques ne contiennent ensuite plus aucune référence à un compte ou à une commande.

La base juridique du traitement de courte durée de l’adresse IP et de l’identification du navigateur est l’art. 6.1.f) du RGPD. Notre intérêt légitime consiste à concevoir l’offre en fonction des besoins et à mesurer son audience sans identifier les visiteurs ni établir de profils. Étant donné qu’aucun cookie ni identifiant comparable n’est enregistré sur votre appareil ou lu à partir de celui-ci à cette fin, nous ne recueillons pas de consentement au titre du § 25 al. 1 TDDDG.

Opposition : vous pouvez vous opposer à tout moment à cette mesure en activant « Do Not Track » ou « Global Privacy Control » dans votre navigateur. Les visites comportant ce signal ne sont pas comptabilisées. Les visites de notre équipe et les accès automatisés reconnaissables ne sont pas non plus enregistrés. Les données statistiques sont supprimées après 400 jours.

4. Cookies et stockage local

bspmarket.de n’utilise actuellement que des cookies et stockages locaux techniquement nécessaires, requis pour la connexion, le panier, la sécurité, le choix des cookies et l’utilisabilité de la plateforme. Aucun cookie marketing, de suivi ou d’analyse n’est actuellement actif. La mesure d’audience (section 3a) fonctionne sans cookies ni stockage local.

La base juridique des cookies techniquement nécessaires et stockages comparables est le § 25 al. 2 TDDDG (loi allemande sur la protection des données dans les télécommunications et services numériques). Le traitement ultérieur des données à caractère personnel repose, selon la finalité, sur l’art. 6.1.b), l’art. 6.1.c) ou l’art. 6.1.f) du RGPD.

Le bandeau cookies informe de ces stockages nécessaires. Aucun cookie optionnel d’analyse ou marketing n’étant actuellement actif, aucun consentement de suivi distinct n’est recueilli. Si des services optionnels devaient être intégrés à l’avenir, ils seraient décrits dans le bandeau cookies et dans la présente politique de confidentialité avant leur activation.

Vidéos YouTube intégrées : les Creators peuvent ajouter des vidéos YouTube à leurs pages produit. Celles-ci ne sont chargées que lorsque vous cliquez sur la vidéo concernée ; auparavant, aucune connexion à YouTube n’est établie et aucune image d’aperçu n’est chargée depuis YouTube. Après le clic, la vidéo est intégrée via youtube-nocookie.com. Votre navigateur transmet alors notamment votre adresse IP et des données techniques à Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande ; YouTube peut déposer ses propres cookies ou stockages comparables et transférer également des données à Google LLC aux États-Unis. La base juridique est votre consentement exprimé par le clic (art. 6.1.a) du RGPD, § 25, al. 1 TDDDG (loi allemande)). Informations complémentaires : https://policies.google.com/privacy.

Lors des processus de paiement via Stripe, des cookies propres à Stripe ou des technologies comparables peuvent être utilisés sur les pages ou systèmes de Stripe. Ceux-ci échappent à notre contrôle direct et relèvent des informations de confidentialité et de cookies de Stripe.

5. Compte utilisateur et connexion Discord

La connexion s’effectue actuellement via Discord OAuth. Lors de la connexion, nous traitons les données fournies par Discord, notamment l’ID Discord, le nom d’utilisateur, l’URL de l’avatar et les données techniques OAuth. Dans la mesure où des jetons OAuth doivent être stockés, ils le sont de façon techniquement protégée.

Les finalités sont l’inscription, la connexion, l’association de compte, la protection contre les abus, l’affichage du profil, la gestion des achats et téléchargements, les fonctions Creator et le support. La base juridique est l’art. 6.1.b) du RGPD ainsi que l’art. 6.1.f) du RGPD pour la sécurité et la protection contre les abus.

La connexion Discord ne nous transmet aucune adresse e-mail. Nous ne traitons une adresse e-mail que si vous l’enregistrez vous-même pour les notifications (section 6).

Discord est un service externe. En cas d’utilisation de la connexion Discord, les informations de confidentialité de Discord s’appliquent également. Cela peut entraîner des traitements de données en dehors de l’Union européenne ou de l’Espace économique européen.

6. Adresse e-mail et notifications par e-mail

Vous pouvez enregistrer une adresse e-mail pour les notifications dans les paramètres de votre compte. Pour les acheteurs, cela est facultatif. Pour les Creators, une adresse confirmée est une condition préalable à la candidature, afin que nous puissions les joindre de manière fiable au sujet des validations, des versements et en particulier des leaks détectés.

L’adresse ne devient active qu’après que vous avez cliqué sur le bouton de confirmation figurant dans l’e-mail qui lui est envoyé (double opt-in). Les adresses non confirmées et les liens de confirmation sont supprimés après 48 heures. Nous envoyons à cette adresse exclusivement des notifications relatives à votre compte, notamment concernant les cas de leak et les résultats de surveillance, les validations de produits et de versions, les décisions relatives aux Creators, les versements, les délais de conservation et les suppressions de fichiers, les alertes concernant les licences Server-Exclusive ainsi que – uniquement si vous les avez vous-même activées – les alertes de prix issues de votre liste de souhaits et les avis de nouvelles versions des produits auxquels vous êtes abonné. Nous n’envoyons ni publicité ni newsletter. Chaque e-mail de notification contient un lien permettant de vous désabonner en un seul clic.

Sont traités l’adresse e-mail (stockée sous forme chiffrée), la date de confirmation ainsi qu’un journal d’envoi comprenant l’adresse du destinataire tronquée, l’objet, l’horodatage et le statut de distribution. Nous envoyons les e-mails depuis notre propre serveur avec l’expéditeur noreply@bspmarket.de ; aucun prestataire externe d’e-mail n’est utilisé. Veuillez adresser vos réponses et questions à kontakt@bspmarket.de. La transmission vers le serveur de messagerie de votre fournisseur est chiffrée, dans la mesure où celui-ci le prend en charge.

La base juridique est, pour les Creators, l’art. 6.1.b) du RGPD (exécution du contrat Creator) et, pour les acheteurs, votre consentement au sens de l’art. 6.1.a) du RGPD. Vous pouvez supprimer l’adresse à tout moment dans les paramètres de votre compte ; vous ne recevrez alors plus d’e-mails. Le journal d’envoi est supprimé après 30 jours.

7. Liaison Steam optionnelle

Les utilisateurs peuvent volontairement lier un profil Steam. Cela peut notamment traiter le SteamID64, le nom de profil, l’URL de l’avatar, l’URL du profil et des données techniques de liaison.

Les finalités sont l’affichage du profil, l’association de licence et de compte, la vérification Creator/acheteur, la prévention des abus, la sécurisation du compte et l’utilisation de certaines fonctions de map, de scanner ou de protection. Les bases juridiques sont l’art. 6.1.b) du RGPD, l’art. 6.1.a) du RGPD en cas de liaison volontaire et l’art. 6.1.f) du RGPD pour la sécurité et les intérêts probatoires.

La liaison Steam peut être supprimée dans le compte, sauf motifs légaux, contractuels ou de sécurité prépondérants s’y opposant.

8. Achats, commandes, factures et téléchargements

Pour les achats et téléchargements, nous traitons des données telles que le compte utilisateur, le produit, le numéro de commande, la date d’achat, le statut de paiement, le prix, la devise, les informations fiscales, les dates de téléchargement, le statut de téléchargement, l’attribution de licence, la version du produit, les valeurs de hash et les journaux techniques de téléchargement.

Les finalités sont le traitement des commandes, l’attribution des paiements, la fourniture de contenus numériques, la preuve de licence, le support, la garantie, la rétractation, la prévention des abus, la prévention de la fraude et la conservation légale. Les bases juridiques sont l’art. 6.1.b), c) et f) du RGPD.

Les données de téléchargement et de licence peuvent être conservées pendant la durée de la licence ainsi qu’au-delà, dans le cadre des délais légaux de prescription, de preuve et de conservation.

Téléchargements reprenables : lorsque vous téléchargez un fichier acheté, nous créons une autorisation de téléchargement valable 24 heures et liée à votre compte. Vous pouvez ainsi reprendre un téléchargement interrompu sans qu’une nouvelle copie soit générée. Nous enregistrons à cet effet l’identifiant de votre compte, le produit, la version et l’achat, des horodatages (création, préparation, premier et dernier accès, expiration), le nombre de requêtes et le volume de données transféré ; l’adresse IP et les données du navigateur ne sont pas enregistrées à cette fin, et le lien lui-même n’est conservé que sous forme de valeur de hachage. Les copies de fichiers générées uniquement pour l’autorisation sont supprimées à son expiration, les données de l’autorisation sept jours après l’expiration. La base juridique est l’art. 6.1.b) du RGPD.

Lorsque vous ajoutez des produits à votre liste de souhaits, activez une alerte de prix ou vous abonnez aux mises à jour d’un produit, nous enregistrons ce choix avec votre compte et, pour une alerte de prix, également le prix au moment de l’activation. Si le prix baisse, vous recevez au maximum une notification toutes les 24 heures ; dans le cas d’un abonnement, vous recevez une notification lorsqu’une nouvelle version est validée. La base juridique est l’art. 6.1.b) du RGPD (fonction demandée par vous). Les données restent enregistrées jusqu’à ce que vous désactiviez la fonction ou que votre compte soit supprimé.

Confirmation du contrat par e-mail : Après chaque commande, location ou abonnement payé, nous vous envoyons une confirmation du contrat comprenant le numéro de commande, les articles et les prix, le consentement donné lors du paiement, les informations sur la durée et la résiliation, les informations sur le droit de rétractation et nos CGV (§ 312f BGB). Elle est envoyée à l'adresse e-mail indiquée lors du paiement Stripe ou, à défaut, à votre adresse de notification confirmée. À cette fin, nous conservons l'adresse sous forme chiffrée jusqu'à l'envoi réussi, puis uniquement sous forme abrégée comme preuve d'envoi, ainsi que la langue d'interface utilisée lors de la dernière commande afin que la confirmation vous parvienne dans votre langue. La base juridique est l'art. 6, par. 1, point b) et point c) du RGPD (exécution du contrat et obligation légale d'information). La preuve d'envoi est supprimée après trois ans, le journal d'envoi après 30 jours.

Résiliations via « Résilier des contrats ici » : Si vous résiliez un contrat via le bouton de résiliation, nous traitons les indications de votre déclaration de résiliation (type de résiliation, le cas échéant motif, nom, adresse e-mail, les éléments d'identification que vous indiquez tels que nom Discord, ID de compte, numéro de commande ou de reçu, contrat et date souhaitée), l'heure de réception, votre compte si vous êtes connecté, une valeur de hachage quotidiennement renouvelée de votre adresse IP pour prévenir les abus (l'adresse IP elle-même n'est pas conservée), un identifiant de navigateur abrégé ainsi que le journal de traitement. Les finalités sont l'exécution de la résiliation, l'accusé de réception par e-mail et la preuve. Les bases juridiques sont l'art. 6, par. 1, point b) et point c) du RGPD (§ 312k BGB) ainsi que l'art. 6, par. 1, point f) du RGPD pour la prévention des abus et la preuve. Les données sont supprimées trois ans après leur réception.

9. Traitement des paiements via Stripe

Pour les achats payants, les packs de coins, les protection passes, les abonnements et autres prestations payantes, nous utilisons Stripe comme prestataire de paiement. Le prestataire est notamment Stripe Payments Europe, Limited, Irlande, ainsi que les sociétés Stripe affiliées, dans la mesure où cela est nécessaire au traitement du paiement concerné, à la prévention de la fraude, à la sécurité, à la facturation ou à la mise à disposition technique.

Au démarrage d’un checkout, nous transmettons à Stripe les informations nécessaires au traitement du paiement, ou Stripe les collecte directement lors du checkout. Cela peut notamment inclure : adresse e-mail, référence client/compte, ID de commande ou de checkout, désignation du produit ou du pack, montant, devise, statut de paiement, informations de facturation et fiscales, moyen de paiement, références de paiement tronquées, données de transaction et de prévention de la fraude, adresse IP, données d’appareil/de navigateur, horodatages et informations techniques de sécurité.

Nous ne stockons aucune donnée complète de carte bancaire ou d’instrument de paiement sur nos serveurs. Les données de paiement complètes sont traitées par Stripe. Nous ne conservons que les informations de paiement et de statut nécessaires à la commande, à la licence, au crédit, au support, à la preuve, à la comptabilité et à la conservation légale, par exemple l’ID de session de checkout Stripe, l’ID de payment intent, le statut de paiement, le montant, la devise, le numéro de commande et les événements webhook.

Les finalités du traitement sont le traitement des paiements, l’exécution du contrat, la fourniture de contenus numériques, le crédit de BSP Credits ou de protection passes, la gestion des abonnements, la facturation et la comptabilité, la prévention de la fraude, la lutte contre les abus, le support, les remboursements, les chargebacks et les preuves juridiques.

Les bases juridiques sont l’art. 6.1.b) du RGPD pour le traitement des paiements et l’exécution du contrat, l’art. 6.1.c) du RGPD pour les obligations légales de conservation, fiscales et comptables, ainsi que l’art. 6.1.f) du RGPD pour le traitement sécurisé des paiements, la prévention de la fraude, la lutte contre les abus et la défense de nos droits.

Stripe peut également traiter des données sous sa propre responsabilité et faire appel à des prestataires, sous-traitants ultérieurs ou sociétés affiliées. Cela peut entraîner des transferts vers des pays hors UE ou EEE. Stripe indique fonder ces transferts sur des garanties appropriées, telles que des clauses contractuelles types, des décisions d’adéquation ou d’autres mécanismes prévus par la loi.

Des informations complémentaires sont fournies par Stripe à l’adresse https://stripe.com/privacy, concernant l’accord de traitement des données à l’adresse https://stripe.com/legal/dpa et concernant les prestataires/sous-traitants à l’adresse https://stripe.com/legal/service-providers.

10. Fonctions Creator, uploads et gestion des produits

Pour les fonctions Creator, nous traitons notamment les données de candidature, le statut Creator, les informations de profil, les données de paiement/versement, les informations fiscales, les données produit, les uploads, les noms de fichiers, les valeurs de hash, les résultats de scan, les décisions de validation, les commentaires d’administration, les versions de produit, les données de vente, les données de versement et les données de support/communication.

Les finalités sont l’examen et la validation des Creators, la publication des produits, le contrôle des droits et de la sécurité, la vente, le versement, la facturation, la prévention des abus, le respect des obligations légales et l’exploitation de la plateforme. Les bases juridiques sont l’art. 6.1.b), c) et f) du RGPD.

Dans la mesure légalement requise, les données Creator pertinentes sur le plan fiscal peuvent être conservées ou transmises aux autorités compétentes.

Statistiques pour les Creators : pour les statistiques de consultation, nous comptabilisons uniquement, par produit et par jour, le nombre de consultations ainsi qu’une catégorie de provenance approximative (par ex. accès direct, moteur de recherche, Discord, Steam). La catégorie est déduite du nom d’hôte de la page de provenance ; ni le nom d’hôte lui-même, ni les adresses IP, ni les cookies, ni les identifiants d’utilisateur ne sont enregistrés à cette fin. Les consultations de son propre produit par le Creator et les bots identifiables ne sont pas comptabilisées. Les compteurs sont supprimés après 400 jours. La base juridique est l’art. 6.1.f) du RGPD (mise à disposition d’analyses de ventes pour les Creators).

Profil Creator public : les Creators peuvent téléverser une bannière de profil et publier des liens vers leur serveur Discord, leur profil Steam et leur site web. Avant l’enregistrement des images téléversées (bannières et images produit), nous en supprimons les métadonnées intégrées, telles que les données EXIF, y compris les informations de localisation. Les liens sont des liens sortants ordinaires, sans suivi.

Notifications Discord : les Creators peuvent, de manière facultative, enregistrer une adresse de webhook Discord afin de recevoir sur leur propre serveur Discord des avis concernant les ventes, les avis clients, les versions, les versements et les leaks détectés. Nous enregistrons l’adresse du webhook sous forme chiffrée. Nous transmettons à cette occasion à Discord (Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA) uniquement les titres de produits, le prix ou la part du Creator, les notes en étoiles, les messages de statut et les horodatages – jamais de noms, de noms d’utilisateur ni d’autres données des acheteurs ou des auteurs d’avis. La base juridique est l’art. 6.1.b) du RGPD (fonction souhaitée par le Creator). Le Creator peut désactiver la fonction à tout moment.

Serveurs et éléments du Workshop propres : pour la surveillance des leaks, les Creators peuvent enregistrer comme connus leurs propres adresses de serveur et leurs propres éléments du Workshop, afin que ceux-ci ne soient pas signalés comme cas suspects. Ces entrées restent enregistrées jusqu’à ce que le Creator les supprime ou que le produit soit supprimé.

11. Fonctions de protection, fingerprints, obfuscation et scanner

Pour la protection des licences, la preuve et la prévention des abus, des données techniques de protection peuvent être traitées. Cela inclut notamment l’ID produit, l’ID Creator, l’ID acheteur, l’ID commande, l’ID licence, l’ID protection, les hashs de fichiers, la version du produit, la date de téléchargement, les métadonnées de fingerprint/porteur, les résultats de vérification, les fichiers de preuve, les valeurs de hash IP et les journaux d’audit.

Lorsque le fingerprint acheteur est activé, un fichier livré peut être muni d’une preuve secrète, non visible publiquement, permettant ultérieurement de l’associer à une commande ou une licence. Cette preuve ne sert pas à observer votre comportement d’utilisation, mais à l’attribution de licence, la prévention de la fraude, la sécurité du compte et la conservation de preuves en cas de diffusion non autorisée. Elle n’est exploitée que lorsqu’un fichier est examiné dans le cadre d’un cas de leak (section 12).

Les bases juridiques sont l’art. 6.1.b) du RGPD pour l’exécution du contrat lié à la licence ainsi que l’art. 6.1.f) du RGPD. Notre intérêt légitime réside dans la protection des contenus numériques, la lutte contre la fraude, la sécurité de la plateforme et la défense de prétentions légitimes.

Nous ne conservons les fichiers originaux téléversés pour la BSP Protection que le temps nécessaire au traitement : une fois la commande terminée (avec ou sans succès), le fichier original est supprimé automatiquement de notre serveur et du stockage objet. Le journal ne conserve que la somme de contrôle (SHA-256), la taille, l’horodatage et le motif de la suppression, jamais le contenu de la map. Ce n’est que si vous choisissez expressément « Conserver l’original pour une re-protection » que le fichier reste stocké jusqu’à 30 jours afin de permettre une nouvelle protection sans nouveau téléversement ; il est ensuite également supprimé automatiquement. Le résultat protégé et le rapport sont soumis aux durées de la section 18.

11a. Licences Server-Exclusive, licences de location et vérification de licence

Achat et location : lorsque vous achetez ou louez une licence Server-Exclusive, nous traitons, en plus des données de commande (section 8), l’adresse de serveur que vous indiquez (adresse IPv4 publique avec port) et le nom du serveur. Nous stockons l’adresse sous forme chiffrée, ainsi que sous la forme d’une valeur de hachage (HMAC) de l’adresse IP calculée avec une clé secrète pour la liaison au serveur, et sous forme masquée (par ex. 45.13.x.x:27015) pour l’affichage. Nous stockons les mêmes informations tant qu’une licence se trouve dans votre panier. Pour les licences de location s’ajoutent le statut de l’abonnement, les périodes de facturation, les résiliations programmées et, pour chaque facture mensuelle payée, l’identifiant de la facture, le montant, la période et la date de paiement. Si vous demandez un transfert, nous traitons la nouvelle adresse sous la même forme, le nouveau nom de serveur, votre motif facultatif ainsi que la décision et sa justification. Pour chaque licence, nous tenons un journal de licence contenant des événements tels que l’achat, la mise à disposition, le transfert, la résiliation, l’expiration ou le blocage, avec à chaque fois l’horodatage, le rôle de la personne ayant agi et des informations techniques.

Vérification de licence : lors de chaque vérification de licence, le serveur de jeu transmet des données techniques à bspmarket.de. Nous enregistrons à cet effet l’horodatage, le résultat, l’identifiant de licence, le nom et la somme de contrôle de la map ainsi que des valeurs de hachage de l’adresse IP à l’origine de la requête, d’un fingerprint technique du serveur, du user-agent et de l’identifiant à usage unique de la requête. L’adresse IP à l’origine de la requête n’est comparée à la liaison au serveur que sous forme de valeur de hachage et n’est pas stockée en clair. Des vérifications peuvent également provenir de serveurs qui exploitent une map sans licence valide et se rapporter ainsi à leurs exploitants.

Finalités et bases juridiques : nous traitons ces données pour générer et mettre à disposition le package de licence, lier la licence à votre serveur et la vérifier, facturer les locations, traiter les transferts, assurer le support, documenter les opérations de licence ainsi que détecter et prévenir les abus, tels que l’utilisation sur d’autres serveurs. Les bases juridiques sont l’art. 6.1.b) du RGPD (exécution du contrat de licence ou de location), l’art. 6.1.f) du RGPD (notre intérêt légitime et celui du Creator à protéger la map contre toute utilisation non autorisée et à assurer la traçabilité des opérations de licence) ainsi que, pour les factures et pièces comptables, l’art. 6.1.c) du RGPD.

Ce que voit le Creator : pour chaque licence, le Creator du produit ne voit qu’une référence pseudonyme (SXL-…), le nom de serveur que vous avez indiqué, le statut et la durée ainsi que, en cas de demande de transfert, le nouveau nom de serveur et votre motif. Dans sa vue en direct, il ne voit que des valeurs agrégées, telles que le nombre de serveurs actifs, le nombre estimé de démarrages de la map et les vérifications refusées, ainsi que, pour chaque serveur, une abréviation de huit caractères de la valeur de hachage du fingerprint. Le Creator ne reçoit ni le nom, ni le nom d’utilisateur, ni les données de compte, ni les adresses IP ou valeurs de hachage d’IP des acheteurs. Choisissez donc le nom du serveur et un éventuel motif de transfert de manière à ce qu’ils ne contiennent aucune information que le Creator ne doit pas voir. L’équipe bspmarket voit le compte de l’acheteur et l’adresse du serveur dans la mesure où cela est nécessaire au support, aux transferts et au traitement des abus.

Destinataires : les licences uniques sont payées via Stripe comme les autres achats (section 9). Nous facturons les licences de location au moyen d’un abonnement Stripe ; Stripe reçoit à cet effet notamment la désignation du produit, le prix mensuel, le nom du serveur dans la description de l’article, des identifiants internes de la licence, du produit et du compte, votre adresse e-mail si vous en avez enregistré une, ainsi que les données de paiement. En dehors de notre hébergeur (section 3), ces données n’ont pas d’autres destinataires.

Durée de conservation : nous supprimons automatiquement le journal des vérifications de licence après 90 jours. Nous conservons les données de licence, les demandes de transfert et le journal de licence pendant la durée de la licence, puis jusqu’à l’expiration du délai de prescription ordinaire de trois ans à compter de la fin de l’année (§§ 195, 199 du code civil allemand, BGB). Nous conservons les commandes et les factures de location conformément au § 147 AO (code fiscal allemand) et au § 257 HGB (code de commerce allemand), pendant huit ou dix ans selon le document. Si vous supprimez votre compte, nous retirons au préalable des données de licence et des demandes de transfert l’adresse du serveur (chiffrée et masquée), le nom du serveur et le motif du transfert, retirons les licences du panier et mettons fin aux locations en cours auprès de Stripe. Sont conservés la valeur de hachage de la liaison au serveur, afin qu’une licence déjà payée puisse continuer à fonctionner, les données pertinentes pour la comptabilité et le journal de licence, y compris lorsque des noms de serveur y sont consignés, à chaque fois jusqu’à l’expiration des délais indiqués.

11b. Vérification de licence des addons Garry’s Mod que nous vendons

Nous vendons nos propres addons pour Garry’s Mod sur la place de marché GModStore (par exemple « Dossier F4 »). Pour savoir si une copie a été acquise légitimement et sur combien de serveurs elle fonctionne, nous traitons sur bspmarket.de les données suivantes.

Téléchargement : lorsque vous téléchargez un tel addon via GModStore, GModStore nous transmet votre SteamID64, votre identifiant d’utilisateur GModStore, le numéro du produit et le nom de la version téléchargée. Le SteamID64 est en outre inscrit dans votre copie.

Vérification de licence : un serveur sur lequel l’addon fonctionne contacte bspmarket.de après son démarrage, puis toutes les six heures. Sont transmis le SteamID64 de l’acheteur inscrit dans la copie, la version de l’addon, l’adresse du serveur (adresse IP et port), le nom du serveur et le mode de jeu. Nous enregistrons en outre l’adresse IP d’où provient le message, l’horodatage du premier et du dernier message, leur nombre et le résultat de la vérification. Aucune donnée concernant les joueurs de ces serveurs n’est transmise. Si notre service est injoignable, l’addon continue de fonctionner sans changement.

Finalités et bases juridiques : nous vérifions ainsi la licence et protégeons notre logiciel contre la diffusion et l’utilisation non autorisées. La base juridique est l’art. 6.1.f) du RGPD ; notre intérêt légitime réside dans la protection de nos droits d’auteur ainsi que dans la constatation, l’exercice et la défense de droits en justice. À l’égard des acheteurs, nous nous fondons en outre sur l’art. 6.1.b) du RGPD dans la mesure où le traitement sert à l’exécution du contrat de licence.

Destinataires : seule l’équipe bspmarket voit ces données. Si le même SteamID64 est lié à un compte bspmarket, l’équipe voit également ce lien. Les données ne sont pas transmises à des tiers ; pour l’hébergement, voir la section 3.

Durée de conservation : nous supprimons automatiquement les messages des serveurs 400 jours après le dernier message. L’enregistrement de licence (SteamID64, produit, statut, dates des téléchargements) est conservé tant que la licence existe.

12. Protection contre les leaks : signalements, analyse et traitement des cas

Les Creators peuvent signaler qu’un produit est diffusé sans autorisation (« Signaler un leak »). Nous traitons à cette occasion les informations du signalement (lien vers l’emplacement constaté, description, Creator auteur du signalement, horodatage) et, le cas échéant, un fichier de map téléversé.

Un fichier téléversé est automatiquement vérifié sur notre serveur quant à la présence du fingerprint acheteur et à sa correspondance avec les copies livrées. Le fichier est supprimé immédiatement après la vérification ; seuls sont conservés sa valeur de hash, son nom, sa taille et le résultat de la vérification. Si le fichier peut être associé à une livraison, nous relions le cas à la commande concernée et au compte de l’acheteur.

Le Creator auteur du signalement ne reçoit qu’une référence pseudonyme et le degré de certitude de l’association, mais ni le nom, ni le nom d’utilisateur, ni aucune autre donnée de l’acheteur. Seule l’équipe bspmarket voit l’association au compte de l’acheteur. Les mesures telles que le blocage de nouveaux téléchargements de la copie concernée sont prises par l’équipe après son propre examen ; aucune décision automatisée au sens de l’art. 22 du RGPD n’a lieu. Le blocage peut être levé si le soupçon n’est pas confirmé. Pour chaque cas, nous tenons un journal des changements de statut, des messages et des notes internes.

Les Creators peuvent en outre restaurer une version antérieure, déjà validée, d’un produit ou suspendre temporairement les nouveaux téléchargements ; ces opérations sont journalisées avec l’horodatage, le motif et le compte ayant agi.

La base juridique est l’art. 6.1.f) du RGPD. Nos intérêts légitimes et ceux des Creators résident dans la protection des contenus numériques contre la diffusion non autorisée, dans l’élucidation des violations de licence ainsi que dans la constatation, l’exercice et la défense de droits en justice. Dans la mesure où l’association concerne des acheteurs, le traitement est en outre nécessaire à l’exécution du contrat de licence (art. 6.1.b) du RGPD).

Les cas clôturés sont automatiquement supprimés à l’expiration de la troisième année civile suivant l’année de leur clôture. Cela correspond au délai de prescription de droit commun.

13. Surveillance automatique de sources publiques

Afin de détecter les leaks à un stade précoce, nous comparons régulièrement (actuellement toutes les six heures) les noms de maps des produits publiés avec des informations accessibles au public. À cet effet, nous interrogeons, via la Steam Web API de Valve Corporation, 10400 NE 4th St, Bellevue, WA 98004, USA, la liste publique des serveurs Garry’s Mod et le Steam Workshop. Dans ces requêtes, nous ne transmettons que des noms de maps et notre clé d’API, et aucune donnée de nos utilisateurs.

À partir des résultats, nous enregistrons pour chaque occurrence : pour les serveurs, l’adresse publique du serveur (adresse IP et port), le nom du serveur, la map jouée et le nombre de joueurs ; pour les éléments du Workshop, l’ID Workshop, le titre, le lien et l’ID Steam publique du compte les ayant publiés. Ces informations peuvent se rapporter à des exploitants de serveurs ou à des auteurs du Workshop. Le Creator concerné voit les occurrences dans son compte et peut ouvrir un cas de leak à partir de celles-ci (section 12).

La base juridique est l’art. 6.1.f) du RGPD. Notre intérêt légitime réside dans la protection des contenus proposés sur bspmarket.de contre toute diffusion non autorisée. Nous traitons exclusivement des informations que les personnes concernées ont elles-mêmes rendues publiques. Les occurrences sont automatiquement supprimées douze mois après leur dernière détection, sauf si elles font partie d’un cas de leak ; les journaux des cycles de surveillance le sont après 90 jours. Les personnes concernées peuvent s’opposer au traitement conformément à l’art. 21 du RGPD.

Serveurs enregistrés des acheteurs : dans leur bibliothèque, les acheteurs peuvent enregistrer, pour un produit acheté, jusqu’à trois adresses de leurs propres serveurs (adresse IP ou nom d’hôte avec port). Nous les utilisons exclusivement pour signaler au Creator les occurrences de la surveillance sur ces serveurs avec la mention « Indiqué par un acheteur comme son propre serveur ». Le Creator voit uniquement cette mention et le nombre d’acheteurs ayant indiqué la même adresse, mais pas de quels acheteurs il s’agit. La base juridique est l’art. 6.1.b) du RGPD (fonction facultative liée au contrat de licence). Les entrées sont supprimées lorsque vous les retirez, lorsque l’achat est remboursé ou lorsque votre compte est supprimé.

14. Avis, commentaires, signalements et procédures DSA/abus

Lorsque des utilisateurs publient des avis, commentaires, signalements ou autres contenus, nous traitons les contenus saisis, les données de compte, les horodatages, les produits concernés, le statut de traitement, les décisions de modération et les données de communication.

Les finalités sont la communication sur la plateforme, l’assurance qualité, le signalement et l’examen de contenus illicites, la prévention des abus, l’application des règles de la plateforme et le respect des obligations légales. Les bases juridiques sont l’art. 6.1.b), c) et f) du RGPD.

15. Support et communication

Lorsque des utilisateurs nous contactent, nous traitons les données communiquées, les coordonnées, le contenu des messages, les pièces jointes, les données de compte, les références de commande/produit et les notes de traitement. Les finalités sont le traitement de la demande, l’exécution du contrat, la preuve, l’assurance qualité et la prévention des abus.

Les bases juridiques sont l’art. 6.1.b), l’art. 6.1.c) et l’art. 6.1.f) du RGPD.

16. Destinataires et sous-traitants

Les données à caractère personnel ne sont transmises à des tiers que si cela est nécessaire ou légalement autorisé. Les destinataires sont notamment la société Hetzner Online GmbH en tant que prestataire d’hébergement (sous-traitant, section 3), Stripe en tant que prestataire de paiement (sections 9 et 11a) ainsi que Discord et Valve (Steam) en tant que services externes de connexion ou de plateforme (sections 5, 7 et 13). Discord reçoit en outre les notifications par webhook souhaitées par le Creator, sans données d’acheteurs (section 10) ; Google/YouTube ne reçoit des données que lorsque vous lancez une vidéo intégrée (section 4). Par ailleurs, des conseillers fiscaux, des conseillers juridiques, des autorités et des tribunaux peuvent, au cas par cas, être destinataires, dans la mesure où la loi l’exige ou où cela est nécessaire à la défense de droits en justice. Nous envoyons nous-mêmes les e-mails depuis notre serveur ; nous n’utilisons pas de prestataire externe d’e-mail. Les e-mails sont remis au serveur de messagerie du destinataire concerné.

Dans la mesure où des prestataires traitent des données à caractère personnel pour notre compte, nous concluons les accords de sous-traitance nécessaires. Lorsque des tiers agissent sous leur propre responsabilité, leurs informations de confidentialité s’appliquent en complément.

17. Transferts vers des pays tiers

Lors de l’utilisation de services externes, notamment Discord (y compris les notifications par webhook pour les Creators), Steam, Stripe et YouTube, un traitement peut avoir lieu dans des pays situés en dehors de l’Union européenne ou de l’Espace économique européen. Lors des requêtes adressées à la Steam Web API pour la surveillance des leaks (section 13), nous ne transférons aucune donnée à caractère personnel de nos utilisateurs vers les États-Unis. Dans la mesure nécessaire, les prestataires fondent ces transferts sur des décisions d’adéquation, des clauses contractuelles types ou d’autres garanties prévues par la loi.

18. Durée de conservation

Nous ne conservons les données à caractère personnel que le temps nécessaire aux finalités respectives ou tant que des obligations légales existent. Sont notamment déterminants l’exécution du contrat, la durée de la licence, les délais légaux de conservation, les obligations fiscales et commerciales, les délais de prescription, les intérêts de sécurité et les litiges en cours.

Les demandes de suppression de compte sont en principe examinées et traitées sous 48 heures. La suppression complète de certaines données peut être exclue si des obligations légales de conservation, des contrats en cours, des justificatifs de paiement, des preuves de licence, des intérêts de sécurité ou des prétentions juridiques s’y opposent.

19. Droits des personnes concernées

Sous réserve des conditions légales, les personnes concernées disposent des droits suivants :

• droit d’accès aux données à caractère personnel traitées,
• rectification des données inexactes,
• effacement des données à caractère personnel,
• limitation du traitement,
• portabilité des données,
• opposition aux traitements fondés sur un intérêt légitime,
• retrait du consentement donné, avec effet pour l’avenir,
• réclamation auprès d’une autorité de contrôle en matière de protection des données.

Un message à kontakt@bspmarket.de suffit pour exercer ces droits.

20. Droit de réclamation auprès de l’autorité de contrôle

Les personnes concernées peuvent introduire une réclamation auprès d’une autorité de contrôle en matière de protection des données. L’autorité vraisemblablement compétente pour nous est :

Les personnes concernées peuvent également s’adresser à toute autre autorité de contrôle compétente.

21. Sécurité

Nous prenons des mesures techniques et organisationnelles pour protéger les données à caractère personnel contre la perte, l’usage abusif, l’accès non autorisé, la modification et la divulgation non autorisée. Il s’agit notamment de la transmission exclusivement chiffrée (HTTPS avec HSTS), du stockage chiffré des informations sensibles telles que les adresses e-mail, les données d’accès et de versement, des adresses IP hachées dans les journaux, d’un concept de rôles et de droits, de l’analyse antivirus des fichiers téléversés, de liens de téléchargement à usage unique de courte durée, d’un pare-feu avec protection contre les attaques de connexion, des mises à jour de sécurité automatiques du serveur, de sauvegardes quotidiennes de la base de données, d’e-mails signés DKIM ainsi que de la suppression des métadonnées des images téléversées.

22. Mineurs

La plateforme ne s’adresse pas spécifiquement aux enfants. Les mineurs ne peuvent utiliser la plateforme que dans la mesure légalement autorisée et avec le consentement requis des personnes exerçant l’autorité parentale. Nous nous réservons le droit de bloquer des comptes ou d’exiger des justificatifs en cas de doute sur la licéité de l’utilisation.

23. Modifications de la présente politique de confidentialité

Nous pouvons adapter la présente politique de confidentialité si les fonctions de la plateforme, les traitements de données, la situation juridique ou les processus techniques évoluent. La version disponible à tout moment sur la plateforme fait foi.