Annexe relative au traitement des données

Version 1.1 — Entrée en vigueur : 9 septembre 2026.

La présente annexe fait partie intégrante des CGU de JR Core. Elle encadre, conformément à l'article 28 du RGPD, les traitements de données personnelles réalisés par JR Development (Théo Pegaz, entrepreneur individuel — ci-après le « sous-traitant ») pour le compte de l'administrateur d'un serveur Discord ayant activé JR Core ou une application personnelle (ci-après le « responsable du traitement »).

1. Objet, durée et champ d'application

L'annexe s'applique aux traitements nécessaires au fonctionnement des modules activés pour les membres du serveur concerné. Elle prend effet à l'activation de JR Core ou de l'application sur le serveur et prend fin à la suppression des données de ce serveur, selon les délais de la politique de confidentialité.

Les traitements propres au site, aux comptes du dashboard, à l'authentification et à la facturation relèvent de JR Development en sa qualité de responsable du traitement ; ils ne sont pas visés par la présente annexe.

2. Finalités, données et personnes concernées

Le sous-traitant traite uniquement les données nécessaires aux modules configurés, à savoir :

• Giveaways : identifiant Discord des participants, date de participation, identifiant du message du giveaway, résultat du tirage — personnes concernées : les participants ;
• Annonces Twitch : identifiant et nom public de la chaîne suivie, état du live, serveur et salon destinataires, contenu de l'annonce — personnes concernées : les membres du salon destinataire ;
• Salons vocaux : identifiants des salons et profils créés, identifiants des membres présents dans les salons vocaux concernés — personnes concernées : les membres utilisant ces salons ;
• Fonctionnement technique : journaux d'exécution, d'erreur et de sécurité contenant identifiants et horodatages — personnes concernées : les membres dont les interactions déclenchent une entrée de journal.

JR Core n'a pas vocation à enregistrer l'intégralité des conversations d'un serveur : l'historique complet des messages n'est pas archivé.

3. Instructions documentées

Le sous-traitant traite les données sur instruction documentée du responsable, constituée par la configuration du serveur dans le dashboard JR Core : choix des modules activés, réglages, salons et rôles destinataires. Toute modification de cette configuration vaut nouvelle instruction. Le sous-traitant informe le responsable s'il estime qu'une instruction viole le RGPD ou les règles de Discord.

4. Confidentialité

Les personnes habilitées à traiter les données sont soumis à une obligation de confidentialité. À ce jour, il s'agit uniquement de Théo Pegaz. Les accès d'administration sont journalisés (audit applicatif).

5. Sécurité, sauvegardes et suppression

Les mesures effectivement mises en œuvre sont : le chiffrement TLS de toutes les communications (site, dashboard, API) ; l'isolation des données par serveur et par application dans la base ; le chiffrement AES-256-GCM des jetons Discord centralisés, avec une clé dédiée ; la validation à usage unique des jetons (jamais inscrits dans les journaux, la session ou l'audit) ; la journalisation des actions d'administration ; la gestion des secrets par variables d'environnement, hors base et hors dépôt. Les instances d'applications sont provisionnées et exploitées sur l'infrastructure française de l'hébergeur (JSBCloud).

À la désactivation d'un module, au retrait du bot ou à la suppression de l'application, les données du serveur sont supprimées dans un délai maximal de 30 jours, hors obligations légales de conservation ; les sauvegardes résiduelles sont purgées dans le même délai.

6. Autres sous-traitants

Le sous-traitant recourt, pour ces traitements, aux prestataires listés à l'article 6 de la politique de confidentialité, principalement l'hébergeur ALTISCORE SAS (JSBCloud, France) et Discord (plateforme sur laquelle le traitement s'exécute). Le responsable autorise ce recours. L'ajout d'un nouveau sous-traitant susceptible d'accéder aux données fera l'objet d'une information préalable du responsable, qui pourra s'y opposer.

7. Assistance

Le sous-traitant assiste le responsable, dans la mesure des moyens du service : lors des demandes d'exercice de droits formées par des membres du serveur (localisation des données, rectification, suppression) ; lors de la notification d'une violation de données — le sous-traitant informe le responsable dans les meilleurs délais après en avoir pris connaissance, en précisant les éléments connus, cette information n'étant pas assortie du délai de 72 heures qui s'applique au responsable vis-à-vis de la CNIL ; pour les analyses d'impact et la démonstration de conformité, par la communication des informations utiles.

8. Restitution des données et vérification des engagements

Le responsable peut demander, pendant la durée du traitement, un export de la configuration de son serveur depuis le dashboard. À la fin du traitement, les données sont supprimées (article 5) ; aucune copie n'est conservée au-delà des sauvegardes résiduelles.

Le responsable peut vérifier le respect des engagements de la présente annexe par la communication d'informations documentaires (description des mesures, journaux d'audit applicatifs). JR Development étant une entreprise individuelle, les audits sur site ne sont pas proposés ; la vérification documentaire est le mode de contrôle. Toute demande peut être adressée à jr.dev.contact@gmail.com.