Politique de confidentialité
Qui traite quoi, pourquoi, combien de temps, avec qui, et comment exercer tes droits. Droit principal : France / UE (RGPD). Volet Suisse (LPD) + avis pour US / AU / UK / CA si tu y résides.
Sommaire
- 1. Responsable du traitement
- 2. Périmètre
- 3. Données collectées
- 4. Finalités & bases légales
- 5. Destinataires & sous-traitants
- 6. Transferts internationaux
- 7. Durées de conservation
- 8. Sécurité & violations
- 9. Tes droits
- 10. Avis internationaux
- 11. Cookies & traceurs
- 12. Mineurs
- 13. IA & transparence
- 14. Mises à jour
1. Responsable du traitement
Responsable : Xem, opérateur du projet Bob (personne physique).
Contact privacy / RGPD / LPD : admin@bob.xem.yt
Aussi : message privé / salon dédié sur le Discord communautaire.
Pas de DPO nommé. Les demandes privacy sont traitées par le responsable. L’identité réelle de l’éditeur est communiquée à l’hébergeur (Hetzner) et aux autorités compétentes sur réquisition (régime LCEN art. 6-III-2 pour édition non professionnelle). Un pseudo + email public ne remplacent pas cette obligation interne. Exception « domestique » RGPD : non applicable — service public en ligne.
2. Périmètre
Cette politique couvre l’ensemble des traitements opérés par Bob / bob.xem.yt, y compris les sous-sites et panels listés dans les CGU §3 (liste alignée ; en cas d’ajout de service, cette page est mise à jour).
- le site https://bob.xem.yt et ses mini-applications ;
- le bot Discord Bob (profils, mémoires, messages utiles au service) ;
- les panels OAuth Discord et stockages associés (cloud, radio, place, etc.).
Discord Inc. est un responsable distinct pour ce qui se passe sur Discord. Ici : ce que Bob / bob.xem.yt traite en plus.
3. Données collectées
Selon ce que tu fais
| Catégorie | Exemples | Source |
|---|---|---|
| Identité Discord | ID utilisateur, pseudo, display name, avatar, rôles utiles au service | Discord / OAuth / messages |
| Contenu conversationnel | Messages adressés au bot ou traités pour le service, historique canal utile, logs convo | Toi / Discord |
| Profils & mémoire (inférences) | Préférences, faits notables, scores d’affinité, intérêts dérivés du contexte, surnoms, liens MC/Twitch, email si fourni | Toi + dérivé du contexte (art. 14 RGPD applicable) |
| Données de jeu / économie virtuelle | Scores, inventaires, BobCoins, scoobycoins, participations, pixels place | Toi / bots / sites |
| Médias & cloud | Images / fichiers BobCloud, BobPhone, panels, soumissions radio (fichiers audio directs libres de droits uniquement depuis 2026-10-09) | Toi |
| Données techniques | Logs d’accès (IP, user-agent, URL, horodatage), cookies de session panels | Navigateur / reverse-proxy |
| Données Minecraft / jeux liés | Pseudos MC, sessions panel, stats hobby si tu les relies | Toi / serveur MC |
On ne demande pas de pièce d’identité, IBAN, ni données de santé / art. 9. Toutefois, une mémoire conversationnelle libre peut involontairement capturer des éléments sensibles si tu les envoies — évite de le faire. Pas de publicité ciblée tierce (Meta Pixel / Google Ads). Pas de vente de données personnelles (« sale » CCPA : non).
4. Finalités & bases légales
| Finalité | Base (RGPD art. 6) | Intérêt légitime détaillé (si art. 6(1)(f)) |
|---|---|---|
| Fournir le bot, sites, jeux, cloud, radio | Art. 6(1)(b) exécution du service demandé et/ou 6(1)(f) | Faire fonctionner un service communautaire hobby demandé par l’utilisateur (réponse, jeux, outils) |
| Mémoire & personnalisation (profilage conversationnel) | Art. 6(1)(f) — opposition art. 21 | Continuité de conversation et contexte utile ; pas de scoring crédit/emploi ; pas de marketing tiers |
| OAuth / sessions panels | Art. 6(1)(b) et 6(1)(f) | Authentification et sécurité des sessions |
| Modération, sécurité, anti-abus, logs techniques | Art. 6(1)(f) ; 6(1)(c) si obligation légale | Protéger l’infra, les utilisateurs et respecter LCEN/DSA |
| Debug / self-improve (traces techniques, correctifs code) | Art. 6(1)(f) | Corriger bugs et améliorer le bot localement — pas d’entraînement de modèle fondation tiers revendiqué ; prompts peuvent tout de même transiter chez le LLM (voir §5) |
| Cookies non essentiels / traceurs éventuels | Consentement (art. 82 loi IL / ePrivacy) | — |
| Répondre à une autorité / litige | Obligation légale art. 6(1)(c) | — |
Opposition (art. 21 RGPD)
Pour les traitements fondés sur l’intérêt légitime (ex. mémoire bot / profilage conversationnel), tu peux t’opposer à tout moment. Conformément à l’art. 21, nous cessons le traitement concerné, sauf motifs légitimes impérieux prévalant sur tes intérêts et droits, ou pour la constatation / exercice / défense de droits en justice. Ce droit d’opposition n’est subordonné à aucune condition de maintenabilité du service.
Caractère obligatoire des données (art. 13(2)(e))
- Obligatoire pour le service demandé : identifiants Discord nécessaires au bot / OAuth panel ; contenu que tu envoies volontairement pour obtenir une réponse.
- Facultatif : email de profil, mémoire / personnalisation (opposable), uploads cloud, soumissions radio, données de jeu au-delà du minimum.
- Refuser la mémoire n’empêche pas d’utiliser Discord ; certaines fonctions Bob (personnalisation) seront dégradées ou désactivées.
5. Destinataires & sous-traitants
Accès limité au besoin. Prestataires nommés :
| Destinataire | Rôle | Localisation / transfert | Garantie |
|---|---|---|---|
| Xem / opérateurs habilités | Exploitation | UE | — |
| Hetzner Online GmbH | Hébergement VPS | Allemagne (UE) | Traitement dans l’EEE ; contrat art. 28 à maintenir |
| Discord Inc. | Messagerie / OAuth | États-Unis (+ infra Discord) | Cadre Discord (ToS / DPA) — souvent SCC / mécanismes US-EU selon période |
| OpenRouter, Inc. (+ modèles routés : ex. providers US/UE selon modèle) | Inférence LLM (prompts / réponses) | Souvent États-Unis / hors UE selon modèle | SCC / conditions OpenRouter ; collecte & entraînement sur prompts à désactiver côté compte quand l’option existe |
| Infra radio (Icecast / Liquidsoap) | Streaming audio | Même serveur (UE) | — |
Polices / CDN tiers : les pages légales n’utilisent plus Google Fonts ni CDN de polices ; polices système uniquement. D’autres sous-sites peuvent encore charger des ressources tierces — voir §11. Pas de vente de données. Pas de partage marketing à des brokers.
6. Transferts internationaux
- Hetzner : pas de transfert hors UE pour le stockage principal.
- Discord : transfert hors UE selon les mécanismes publiés par Discord (adéquation EU-US Data Privacy Framework si applicable, sinon SCC).
- OpenRouter / LLM : transfert hors UE le temps de l’inférence ; garantie = SCC / conditions du prestataire ; le modèle exact peut varier.
Évite d’envoyer des secrets (mots de passe, tokens, données ultra sensibles) au bot.
7. Durées de conservation
- Logs d’accès web techniques (rotation opérationnelle) : en général ≤ 90 jours (rotation par taille / temps).
- Données d’identification des auteurs de contenus (qualité d’hébergeur — LCEN art. 6-II + décret 2021-1362) : 1 an.
- Sessions OAuth / cookies de session : durée de session ou expiration technique (typiquement ≤ 30 jours).
- Profils & mémoires bot : 24 mois après dernière interaction pertinente, ou purge anticipée sur opposition / demande, ou si obsolète.
- Médias cloud / uploads : jusqu’à suppression par toi ou sur demande raisonnable ; sinon revue annuelle.
- Cache radio (rips tiers) : purgé le 9 octobre 2026 ; plus de conservation de téléchargements YouTube/SoundCloud.
- Messages stockés localement (contexte) : ≤ 12 mois opérationnels, sauf besoin de sécurité.
- Preuves de sécurité / abus : ≤ 12 mois, sauf procédure.
8. Sécurité & violations
- HTTPS (TLS) via reverse-proxy Caddy
- Contrôle d’accès (OAuth whitelist panels admin, secrets hors dépôt public)
- Mesures anti-abus réseau (timeouts, limitations, hardening L7)
- Minimisation raisonnable
Notification de violation (art. 33–34 RGPD) : toute violation de données personnelles est documentée dans un registre interne (art. 33(5)). Notification à la CNIL sous 72 heures sauf si la violation est susceptible de n’engendrer aucun risque (art. 33 — pas seulement le « risque élevé »). Information des personnes concernées (art. 34) lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés.
9. Tes droits
UE / France (RGPD)
- Accès (art. 15) · Rectification (art. 16) · Effacement (art. 17)
- Limitation (art. 18) · Portabilité (art. 20) · Opposition (art. 21)
- Retrait du consentement (cookies non essentiels)
- Directives post-mortem (art. 85 loi IL)
- Pour les données dérivées (mémoire / affinité) : information art. 14 (source = inférence à partir de tes messages / contexte)
Comment : admin@bob.xem.yt + pseudo Discord / ID + ce que tu veux. Délai : 1 mois (prolongeable, art. 12 RGPD). Langage clair ; pour les mineurs, réponses adaptées (art. 12(1)).
Réclamation : CNIL — cnil.fr/fr/plaintes.
10. Avis internationaux
Le projet est hobby, hébergé en UE. Les engagements ci-dessous sont des avis de bonne foi et s’appliquent lorsque le seuil / champ d’application local est atteint. Nous n’affirmons pas être automatiquement soumis à CCPA, APPs, PIPEDA ou UK GDPR hors seuils.
🇨🇭 Suisse — LPD (nFADP)
- Principes : licéité, bonne foi, proportionnalité, finalité, exactitude, sécurité.
- Droit d’accès (art. 25 LPD), rectification, opposition dans les conditions légales.
- Profilage : la mémoire bot (affinité, intérêts, faits dérivés) constitue un profilage / des inférences. Pas de décision automatisée lourde type crédit/emploi. Pas de « profilage à haut risque » au sens LPD revendiqué, mais le profilage conversationnel existe — tu peux t’y opposer.
- Autorité : PFPDT — edoeb.admin.ch.
🇺🇸 / 🇦🇺 / 🇬🇧 / 🇨🇦
- Nous ne vendons pas de personal information et ne faisons pas de publicité comportementale croisée.
- Demandes d’accès / suppression / correction : même email, de bonne foi, si ta loi locale s’applique.
- Autorités de référence éventuelles : CCPA (CA AG), OAIC (AU), ICO (UK), OPC (CA).
- UK : pas de représentant britannique nommé (seuil / nécessité à réévaluer si le volume UK croît).
- Australie : services type BobGram / BobBook / BobTube peuvent être perçus comme « réseau social » ; respecte l’âge minimum local (ex. règles 16 ans si applicables) — la charge n’est pas reportée uniquement sur toi : on n’a pas de vérif d’âge technique robuste (voir §12).
11. Cookies & traceurs
Cadre UE/FR : art. 82 loi Informatique et Libertés + lignes directrices CNIL. Ceci s’applique à l’accueil et aux sous-sites du domaine bob.xem.yt opérés par le projet.
Strictement nécessaires
- Cookies / stockage de session pour panels authentifiés (OAuth, sécurité)
- Préférences techniques essentielles
Autres / tiers
- Ces pages légales : aucune police / script Google ou CDN tiers.
- Certains sous-sites peuvent encore charger des ressources tierces (polices, scripts) — cela peut exposer ton IP ; objectif de migration vers auto-hébergement. Pas de bannière publicitaire ni de tracker ads (analytics marketing) déployé volontairement sur l’écosystème au 09/10/2026.
- Si un outil analytics non exempté est ajouté, un bandeau Accept / Refuse équivalents sera mis avant dépôt.
12. Mineurs
- Bases légales principales du service : contrat / intérêt légitime, pas le consentement art. 8 RGPD. Le « consentement numérique à 15 ans » ne constitue donc pas la base ; l’info reste adaptée aux enfants (art. 12(1)).
- France / UE : un mineur ne contracte valablement que pour les actes courants ; accord d’un responsable légal recommandé en dessous de 15 ans.
- États-Unis (COPPA) : services non destinés aux moins de 13 ans ; pas de collecte volontaire ciblant les enfants. Si on a connaissance d’un enfant < 13 ans : mesures d’effacement. Divulgation à des tiers (LLM) : éviter pour les mineurs ; opposition / suppression prioritaires.
- Pas de vérification d’âge technique robuste à ce jour — limitation assumée.
- Contenus illégaux impliquant des mineurs : strictement interdits et signalés.
13. IA & transparence
- Bob est un chatbot / agent IA : tu interagis avec un système automatisé (transparence type AI Act art. 50 — calendrier à suivre).
- Img-gen et contenus générés : nature synthétique raisonnablement identifiable.
- Usage du contenu Discord : soumis aussi aux Developer Terms Discord (message content intent, limites d’envoi à des IA tierces).
- Self-improve : sert à corriger / améliorer le comportement du bot et le code associé ; ce n’est pas présenté comme un entraînement de modèle fondation public.
14. Mises à jour
Cette politique évolue avec les services et le droit. La date en tête fait foi. Changements matériels signalés sur cette page (et si possible sur Discord).