Politique de confidentialité

Responsable du traitement

Le responsable du traitement est l'éditeur d'Ayame Bots. Pour toute question sur vos données : le serveur Discord de support.

Sur le site

Votre compte

Pour créer un compte, nous enregistrons votre adresse e-mail, votre mot de passe sous forme hachée (Argon2id : nous ne pouvons pas le relire), le secret de votre authentification à deux facteurs (chiffré) et vos codes de secours (sous forme d'empreinte). L'adresse e-mail sert à confirmer le compte, à réinitialiser le mot de passe, à vous prévenir quand une demande est traitée et à vous alerter d'un événement de sécurité (mot de passe changé, connexion avec un code de secours, appareil déconnecté…). Rien d'autre : pas de lettre d'information, pas de publicité.

Si vous les renseignez, nous gardons aussi un pseudo et une photo de profil, affichés dans votre espace et dans la barre du site. La photo est réencodée par notre serveur : ses métadonnées (appareil, date, position GPS) sont supprimées. Nous retenons enfin la langue choisie, pour vous écrire dans cette langue.

Quand vous choisissez un mot de passe, nous vérifions qu'il n'apparaît pas dans une fuite de données connue, auprès du service Have I Been Pwned. Seuls les 5 premiers caractères de son empreinte SHA-1 sont envoyés : ni le mot de passe, ni son empreinte complète ne sortent de notre serveur.

Liaison avec Discord

La liaison passe par Discord, qui nous donne uniquement le droit de lire votre identité (identify) : identifiant et pseudo. Pas votre adresse e-mail Discord, pas vos serveurs, pas vos messages. Le jeton que Discord nous remet sert une seule fois, puis il est abandonné.

Journal de sécurité

Les actions sensibles (connexions, échecs de connexion, demandes, actions sur un bot) sont notées avec la date et l'adresse IP, pour repérer une tentative d'intrusion. Chaque session ouverte garde aussi l'adresse IP et le navigateur utilisés, pour que vous puissiez voir vos appareils connectés et les déconnecter depuis « Mon compte ». Ce journal est effacé au bout de 90 jours. Au moment d'une demande de bot, l'adresse IP peut aussi être vérifiée auprès d'un service de détection de VPN : le résultat est seulement affiché au staff, il ne bloque rien.

Token de votre bot

Le token que vous collez dans votre espace ne fait que traverser le site : il est transmis directement au gestionnaire, qui le chiffre. Le site ne l'enregistre pas et ne le note dans aucun journal.

Journaux du serveur

Comme tout serveur web, le nôtre note chaque requête : adresse IP, date, page demandée, navigateur. Ces journaux servent à détecter les attaques et les pannes. Ils sont effacés automatiquement après 14 jours.

Ce qu'il n'y a pas

Aucun outil de statistiques, aucune publicité, aucun traceur. Le détail est sur la page Cookies.

Dans le service

Votre compte client

Quand vous demandez un bot, nous enregistrons votre identifiant et votre pseudo Discord, le type de bot, la date de la demande, sa durée d'accès et, pour le bot Gestion, les paiements reçus.

Le token de votre bot

Il est chiffré (AES-256-GCM) avant d'être stocké et ne quitte pas le serveur. Il n'apparaît jamais sur le site, même pour vous. Vous pouvez le révoquer à tout moment depuis le portail développeur de Discord : votre bot s'arrête aussitôt.

Ce que votre bot traite sur vos serveurs

Selon les fonctions que vous activez, votre bot enregistre des identifiants de membres et de salons, des sanctions, des tickets, la configuration du serveur et, pour les journaux, le contenu de messages modifiés ou supprimés. Ces données restent dans le dossier de votre instance, séparé de celui des autres clients.

Pour ces données, c'est vous, en tant qu'administrateur du serveur, qui décidez de ce qui est collecté en activant ou non chaque fonction. Nous les traitons pour votre compte, uniquement pour faire tourner le bot. Pensez à prévenir les membres de votre serveur, par exemple dans le règlement.

La blacklist

Le bot Blacklist garde une liste d'identifiants Discord et de motifs, partagée entre les serveurs d'un même client. Elle appartient à l'instance de ce client : ce sont ses administrateurs qui y ajoutent ou retirent des personnes, et elle n'est jamais mélangée avec celle d'un autre client. Si vous y figurez à tort, adressez-vous d'abord au serveur concerné. S'il ne répond pas, écrivez-nous et nous transmettrons.

Pourquoi nous avons le droit de traiter ces données

Combien de temps

• Session : 24 heures sans activité, 7 jours au plus ; avec « Rester connecté », 30 jours sans activité, 90 jours au plus. Pouvoirs d'administration : 1 heure sans action admin, 12 heures au plus, puis le code A2F est redemandé.
• Appareils connus (pour vous prévenir d'une connexion depuis un nouvel appareil) : 400 jours après la dernière connexion.
• Journal de sécurité : 90 jours.
• Compte non terminé (adresse non confirmée ou A2F non configurée) : supprimé après 24 heures.
• Liens envoyés par e-mail : 24 heures (confirmation), 1 heure (changement d'adresse), 30 minutes (mot de passe).
• Journaux du serveur : 14 jours.
• Données d'une instance : tant que le bot est actif. À la fin de l'accès, elles sont gardées 10 jours pour permettre un renouvellement, puis supprimées.
• Compte du site : jusqu'à ce que vous demandiez sa suppression.
• Paiements : la durée imposée par la législation comptable belge.

Qui y a accès

L'éditeur, seul. Les données sont stockées chez notre hébergeur, OVH SAS (OVHcloud), dans l'Union européenne. Quelques prestataires interviennent pour une tâche précise :

• Discord Inc. (États-Unis) : les bots fonctionnent par nature à travers sa plateforme, selon sa propre politique de confidentialité.
• Resend (États-Unis) : envoi des e-mails du site. Il reçoit votre adresse et le contenu du message.
• Cloudflare (États-Unis) : protection du site et case anti-robot des formulaires (Turnstile).
• Have I Been Pwned : vérification des mots de passe, sans jamais recevoir le mot de passe lui-même (voir plus haut).

Ces transferts hors de l'Union européenne reposent sur les garanties prévues par le RGPD (clauses contractuelles types ou cadre de protection des données UE–États-Unis). Nous ne vendons, ne louons et ne partageons aucune donnée avec qui que ce soit d'autre.

Sécurité

Connexions chiffrées en HTTPS, authentification à deux facteurs obligatoire, mots de passe hachés avec Argon2id, sessions révocables, tokens de bots chiffrés par le gestionnaire, et un site qui ne parle au gestionnaire que par une interface interne, signée, inaccessible depuis Internet.

Vos droits

Vous pouvez demander à consulter vos données, les corriger, les faire supprimer, en limiter l'usage, vous opposer à un traitement fondé sur l'intérêt légitime, ou les recevoir dans un format réutilisable. Contactez-nous via le serveur Discord de support, depuis le compte Discord concerné : c'est ce qui nous permet de vérifier que les données sont bien les vôtres. Réponse sous un mois.

Plusieurs actions se font directement depuis « Mon compte » : corriger votre pseudo, votre photo ou votre adresse, voir et fermer vos sessions, dissocier votre compte Discord, et supprimer votre compte du site. La suppression efface immédiatement votre adresse e-mail, votre mot de passe haché, votre A2F, votre photo et vos sessions. Les bots, eux, sont rattachés à votre compte Discord et non au compte du site : pour les supprimer, utilisez votre espace ou les commandes du gestionnaire avant de supprimer le compte.

Si la réponse ne vous convient pas, vous pouvez saisir l'Autorité de protection des données, Rue de la Presse 35, 1000 Bruxelles, www.autoriteprotectiondonnees.be.

Âge minimum

Le service suit les règles de Discord, qui interdit son usage avant 13 ans. Nous ne cherchons pas à collecter de données sur des enfants en dessous de cet âge.

Modifications

Si cette politique change, la date en haut de page change aussi. Les modifications importantes sont annoncées sur le serveur Discord.