1. Responsable du traitement
Ilhan Karadas, UNIVRS Group, 15 rue Octave Piedon, 45150 Jargeau, France. uni-contact@univrs.group, 07 67 39 36 20.
UNIVRS n'a pas de délégué à la protection des données : toute demande se fait par email à l'adresse ci-dessus.
2. Ce que nous traitons, et pourquoi
| Données | Pour quoi | Base légale |
|---|---|---|
| Identifiant (UUID) et pseudo Minecraft, obtenus lors de la connexion Microsoft | Vous reconnaître dans le launcher, en jeu et sur le site ; vous livrer ce que vous achetez | Exécution du contrat |
| Commandes, coins, historique des mouvements, email de paiement transmis par Stripe | Vendre et livrer, tenir la comptabilité, répondre à une réclamation | Contrat, obligation légale |
| Préférences du launcher : mémoire allouée, touches, tuiles de serveurs ajoutés (nom, adresse, image), mods ajoutés | Les retrouver sur un autre ordinateur. Désactivable dans les paramètres du launcher | Contrat |
| Présence sur les serveurs UNIVRS : connexions, temps de jeu, présence ou non du launcher | Créditer les coins de jeu, faire respecter les règles, mesurer la fréquentation | Contrat, intérêt légitime |
| Emails que nous vous envoyons à propos d'une commande : adresse de destination, contenu du message (confirmation de commande avec les conditions de vente, accusé de résiliation, accusé de rétractation), date d'envoi et tentatives | Vous remettre la confirmation de votre contrat sur un support durable et accuser réception de vos demandes, comme la loi l'exige (C. conso L221-13, L215-1-1) | Obligation légale, exécution du contrat |
| Votre activité sur le serveur SMP : argent en jeu, morts, joueurs et créatures tués, temps de jeu, niveaux de métiers, quêtes, passe, territoire (guilde) et ses membres, avis de recherche posés et encaissés, parties de mini-jeux | Faire fonctionner le jeu, tenir les classements, arbitrer un litige entre joueurs | Exécution du contrat |
| Classements publics : votre pseudo et le chiffre classé, affichés en jeu (panneaux flottants), sur le Discord UNIVRS et dans le launcher | Animer le serveur. Vous pouvez demander à en être retiré à tout moment, par email, sans perdre l'accès au jeu | Intérêt légitime, avec droit d'opposition |
| Signalements et réclamations : ce que vous nous écrivez, votre adresse email, les échanges qui suivent | Traiter le signalement, motiver notre décision et pouvoir en justifier | Obligation légale (règlement sur les services numériques), intérêt légitime |
| Adresses IP et journaux techniques du site, du relais et des mises à jour du launcher | Sécurité, prévention des abus, diagnostic des pannes | Intérêt légitime, obligation légale |
| Identifiant Discord et statut de booster, si vous liez votre compte | Vous donner les contenus réservés aux boosters | Consentement, retirable en déliant le compte |
| Code créateur saisi sur la boutique, rattaché à votre compte et aux commandes passées pendant sa durée de validité | Rémunérer le créateur qui vous a orienté vers UNIVRS. Il ne reçoit que des totaux, jamais votre identité | Exécution du contrat, intérêt légitime |
| Créateurs partenaires : nom, nom affiché, adresse email, adresse Google de connexion, identifiant Minecraft, taux négocié, relevés et demandes de versement | Tenir le partenariat, produire les relevés, payer les commissions et conserver les pièces comptables | Contrat, obligation légale (comptabilité) |
| Objets du SMP qui ne s'empilent pas (objets custom, et objets du jeu comme les élytres, armures, outils, totems ou boîtes de Shulker) : un numéro invisible sur chaque exemplaire, et son histoire — d'où il vient (fabrication, coffre, créature, échange…), qui l'a eu en main, rangé, jeté, ramassé, modifié, mis en vente ou vendu (hôtel des ventes, boutiques de joueurs, /shop), avec le lieu et l'heure, ses utilisations et sa disparition | Retrouver un objet perdu ou volé, détecter et corriger une duplication, trancher un litige entre joueurs | Intérêt légitime et exécution des conditions d'utilisation |
| Adresse email Google des administrateurs du panel | Gérer l'accès à l'outil d'administration | Intérêt légitime |
| Anti-triche du SMP : identifiant Minecraft, empreintes des fichiers de l'instance lancée (mods, packs, shaders, configuration) et empreinte de leur contenu, liste des mods chargés en jeu avec l'empreinte de leurs fichiers, les noms de leurs paquets de classes et les parties du jeu visées par leurs mixins, packs et shaders actifs et transparence de leurs textures, liste des fichiers des dossiers de contenu de l'instance avec présence éventuelle de code Java, arguments de lancement de Java, configurations Mixin, origine sur le disque des classes chargées, empreinte du fichier du mod client, version du jeu et durée depuis son démarrage, réglages d'affichage impossibles sans modification du jeu, position de la caméra, rendu retenu par le jeu pour les blocs courants du sous-sol (modèle, texture, transparence) et packs qui remplacent les shaders du terrain, compteurs par minute de la caméra éloignée du personnage (avec la plus grande distance) et de la vision nocturne, réponses du mod aux défis du serveur, noms des variables d'environnement Java retirées par le launcher, noms des fils d'exécution et des chargeurs de classes du processus du jeu, identifiant du processus du jeu, jeton de session de lancement, signal de présence du launcher, compteurs par minute des gestes (touches d'attaque et d'usage, mouvements de souris) et des messages envoyés au serveur (attaques, minage, rotations, poses), marque du client de jeu, empreinte hachée de l'adresse de connexion(calculée sur le serveur de jeu avec une clé secrète ; l'adresse elle-même n'est pas transmise au site), horaires de connexion et durée des sessions, détections de comportement du serveur (GrimAC, minage, clics, combat, blocs, inventaire), score de risque, sanctions, notes de l'équipe | Faire respecter la règle « pas de triche », prévenir la fraude et le contournement d'un bannissement, empêcher un second compte d'encaisser une prime d'avis de recherche, motiver et contester une sanction | Exécution du contrat (art. 6.1.b) : l'accès au SMP est accordé sous condition de ne pas tricher, et ne peut pas se vérifier autrement. Le rapprochement de comptes par l'empreinte de connexion, le score de risque et les notes de l'équipe reposent, eux, sur l'intérêt légitime (art. 6.1.f) à la sécurité du service, et n'entraînent aucune sanction automatique. Le mod et le launcher ne lisent rien hors du dossier du jeu et du processus du jeu (fichiers des modules natifs que ce processus a lui-même chargés compris) |
| Anti-triche du SMP, modules natifs : chemin des modules natifs (DLL) chargés dans le processus du jeu depuis un dossier inhabituel, votre nom d'utilisateur masqué, empreinte de leur fichier et éditeur de leur signature, relevés par le launcher ; ceux de Windows, de Java, du jeu et des logiciels installés ne sont pas transmis | Signaler à l'équipe un code natif injecté dans le jeu. Un signal seulement : jamais de sanction automatique, et aucun autre usage | Intérêt légitime (sécurité du service et lutte contre la triche) |
| Anti-triche du SMP, liste des fichiers interdits : empreinte et contenu de chaque fichier reconnu comme logiciel de triche, la détection qui l'y a fait entrer, qui l'a confirmé ou retiré, et sa provenance — identifiant Minecraft et pseudo du joueur chez qui il a été vu, et des joueurs chez qui il a été retrouvé ensuite | Reconnaître un logiciel de triche chez tous les joueurs, relire, confirmer ou retirer un ajout automatique, lever les sanctions d'un fichier retiré de la liste | Intérêt légitime (sécurité du service et lutte contre la triche) |
3. D'où viennent ces données, et ce qui est obligatoire
L'essentiel vient de vous : de ce que vous faites dans le launcher, en jeu et sur le site. Trois choses nous arrivent d'ailleurs : votre identifiant et votre pseudo Minecraft, que Microsoft et Mojang nous confirment quand vous vous connectez ; votre adresse email de paiement, que Stripe nous transmet avec la commande ; votre identifiant Discord et votre statut de booster, que Discord nous donne si vous liez votre compte.
L'identifiant Minecraft est indispensable : sans lui, nous ne saurions ni à qui livrer un achat, ni quels cosmétiques afficher — rien du service ne peut fonctionner. Une adresse email est nécessaire pour acheter : la loi nous oblige à vous confirmer votre commande par écrit. Tout le reste est facultatif, et un refus ne coûte que la fonction concernée (le lien Discord, la synchronisation des préférences, un code créateur).
4. Cookies
Le site n'utilise qu'un cookie de session, indispensable pour vous garder connecté, et mémorise votre thème d'affichage dans votre navigateur. Aucun outil de mesure d'audience, aucun traceur publicitaire. Le module Ko-fi de la page « Soutenir » ne se charge que si vous le demandez : il relève alors de la politique de Ko-fi.
5. Qui reçoit vos données
- OVH SAS (2 rue Kellermann, 59100 Roubaix, France) héberge le site, la base de données et le relais, dans l'Union européenne.
- OctoGency SARL (MineStrator) (17B rue Jacques Limouzy, 81100 Castres, France) héberge le serveur de jeu SMP, en France.
- Hostinger International Ltd (Chypre, Union européenne) achemine les emails de commande, de résiliation et de rétractation.
- Stripe Payments Europe Ltd (Irlande) traite les paiements. Stripe peut transférer des données vers les États-Unis, dans le cadre du Data Privacy Framework et de clauses contractuelles types.
- Microsoft et Mojang assurent la connexion à votre compte Minecraft : vous êtes leur client, et leur politique s'applique à cette étape.
- Discord Netherlands BV, uniquement si vous liez votre compte ou si vous jouez sur un serveur dont les classements sont publiés ; et, pour l'anti-triche, un salon Discord privé réservé à l'équipe reçoit les détections (pseudo, identifiant Minecraft, nature de la détection). Discord peut transférer des données vers les États-Unis, dans le cadre du Data Privacy Framework et de clauses contractuelles types.
- Ko-fi, uniquement si vous faites un don : le don se fait chez Ko-fi, hors UNIVRS.
Les créateurs partenaires ne reçoivent aucune donnée vous concernant. Leur espace ne montre que des totaux : nombre de ventes, chiffre d'affaires apporté, commissions, nombre de personnes ayant saisi leur code. Ni votre pseudo, ni vos achats, ni votre adresse ne leur sont communiqués, ni sur le site ni dans les relevés que nous leur transmettons.
Le launcher contacte aussi directement, depuis votre ordinateur, les serveurs de Mojang (fichiers du jeu), d'Adoptium (Java), de Modrinth (mods) et, pour un serveur que vous hébergez, de PaperMC, NeoForge, Forge ou Fabric. Ces services voient votre adresse IP, comme n'importe quel site que vous visitez. UNIVRS ne vend ni ne cède vos données à personne.
6. Combien de temps
- Compte, collection et préférences : tant que le compte est actif, puis trois ans après la dernière connexion.
- Commandes et mouvements de coins : dix ans, obligation comptable.
- Journaux techniques (adresses IP) : douze mois au plus.
- Emails de commande, de résiliation et de rétractation : le message et son destinataire sont conservés 12 mois après l'envoi, le temps de prouver qu'il est bien parti ; la commande elle-même suit la règle comptable ci-dessus.
- Activité sur le SMP : tant que le compte est actif, puis trois ans après la dernière connexion, comme le compte. Le détail jour par jour qui sert aux classements de la semaine ou du mois est effacé au bout de 400 jours.
- Présence jour par jour (les jours où vous avez joué et combien de temps, sans adresse ni serveur précis), qui sert à mesurer la fréquentation et la fidélité des joueurs : 400 jours.
- Signalements et réclamations : trois ans après le dernier échange, ou jusqu'au terme d'une procédure en cours.
- Anti-triche : sessions de lancement, connexions au serveur (avec l'empreinte hachée de l'adresse) et compteurs de partie (caméra et vision nocturne comprises) 30 jours ; détections et sanctions douze mois ; rapports de vérification douze mois. Le dernier rapport connu de chaque joueur, son score de risque et les notes de l'équipe sont conservés tant qu'il joue ; ils sont effacés avec le compte.
- Anti-triche, modules natifs : ce que le launcher en transmet n'est enregistré qu'avec la détection qui le signale à l'équipe, une fois par module et par jour au plus, et gardé 12 mois ; rien n'en est gardé avec la session de lancement.
- Liste des fichiers interdits : l'identifiant et le pseudo du joueur chez qui un fichier a été appris sont effacés 12 mois après, et le passage d'un joueur 12 mois après la dernière fois où le fichier a été vu chez lui ; la signature devient alors anonyme. L'empreinte et le contenu du fichier, qui ne désignent personne, sont gardés tant qu'ils servent à reconnaître le logiciel.
- Objets suivis (objets custom, et objets du jeu qui ne s'empilent pas) : l'histoire d'un exemplaire est gardée tant qu'il existe, puis un an après sa disparition.
- Lien Discord : jusqu'à ce que vous le retiriez.
- Code créateur associé à votre compte : trente jours, puis remplacé ou effacé. Les commandes en gardent la trace, avec elles, pendant dix ans.
- Créateurs partenaires : durée du partenariat, puis dix ans pour les pièces comptables.
7. Vos droits
Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, la limitation ou l'opposition à un traitement, et leur portabilité. Tout se demande par email à uni-contact@univrs.group ; nous répondons dans le mois, et nous vous prévenons si nous avons besoin de deux mois de plus. Nous vérifions d'abord que vous détenez bien le compte Minecraft concerné — sans quoi n'importe qui pourrait obtenir ou effacer les données d'un autre joueur.
Opposition. Quand nous nous appuyons sur notre intérêt légitime — les classements publics, la sécurité, le score de risque — vous pouvez vous y opposer pour des raisons tenant à votre situation. Nous cessons, sauf motif impérieux que nous vous exposons. Pour les classements, il n'y a aucun motif de ce genre : votre pseudo en sort sur simple demande. Quand nous nous appuyons sur votre consentement (le lien Discord), vous le retirez quand vous voulez, sans conséquence sur ce qui précède.
Suppression du compte. Elle se demande par email : nous supprimons votre compte, votre collection, vos préférences, votre activité de jeu et vos classements, et nous ne gardons que ce qu'une obligation légale impose — les commandes et les mouvements de coins, pendant dix ans, pour la comptabilité et le droit de la consommation. Les coins et cosmétiques sont alors perdus, sans remboursement.
Après votre mort. Vous pouvez nous laisser des directives sur ce que deviennent vos données (article 85 de la loi Informatique et Libertés) : les conserver, les effacer, ou désigner qui pourra les exercer. À défaut de directive, vos héritiers peuvent demander la clôture du compte et l'effacement, sur justificatif.
Si vous avez moins de quinze ans, vos responsables légaux exercent ces droits avec vous. Vous pouvez aussi adresser une réclamation à la CNIL (cnil.fr).
8. Décisions prises automatiquement
Certaines détections de l'anti-triche entraînent une expulsion ou un bannissement temporaire sans intervention humaine préalable : un mod de triche figurant sur notre liste, un fichier de triche connu ou figurant sur la liste des fichiers interdits, du code Java caché sous une autre extension dans l'instance, un pack de ressources rendant les blocs transparents ou un rendu du jeu qui laisse voir à travers la pierre, du code injecté dans le processus du jeu, un fichier de mod UNIVRS différent de celui que nous distribuons, un jeu lancé sans le launcher lorsque celui-ci est requis, des actions envoyées au serveur sans le geste correspondant (attaques ou coups de pioche sans appui), une caméra détachée du personnage, plusieurs blocs cassés d'un coup sans être visés, ou trop de détections de comportement en peu de temps. Un compte de moins de 24 heures est jugé avec des seuils plus stricts. Ces règles, leurs seuils et les sanctions correspondantes sont paramétrés par l'équipe et consultables sur demande.
Le rapprochement de comptes par l'empreinte hachée de la connexion n'entraîne aucune sanction automatique par défaut : il signale à l'équipe qu'un compte partage sa connexion avec un compte banni, et une personne décide : une même connexion peut être celle d'une famille ou d'un lieu partagé.
Deux autres traitements n'entraînent aucune sanction automatique, quels que soient les réglages. La liste des modules natifs chargés dans le jeu ne fait que signaler à l'équipe un module venu d'un dossier inhabituel : un overlay ou un outil légitime peut s'y trouver, et c'est une personne qui décide. Une revérification en cours de partie n'accuse personne, et une absence de réponse n'est jamais retenue contre vous ; ce qu'elle trouve est jugé avec les mêmes règles que le contrôle d'entrée.
Deux récompenses du serveur regardent aussi la connexion, sans jamais rien sanctionner. Une prime d'avis de recherche n'est pas versée au joueur qui abat sa cible quand leurs deux comptes partagent une connexion, d'après cette même empreinte : la prime reste alors sur la tête de la cible. Et la récompense pour avoir souhaité la bienvenue à un nouveau joueur n'est pas versée à qui se connecte depuis la même adresse que lui ; cette comparaison-là se fait dans la mémoire du serveur de jeu, à l'instant, et n'est jamais enregistrée.
Ce traitement repose sur l'exécution du contrat (article 6.1.b du RGPD) : l'accès au serveur est conditionné au respect de la règle « pas de triche », et cette vérification ne peut pas se faire a posteriori sur des milliers de parties. Il est encadré comme suit, conformément à l'article 22 du RGPD :
- Une sanction automatique est toujours temporaire : une expulsion, ou un bannissement de 72 heures au plus, qui prend fin de lui-même. Aucune exclusion définitive n'est jamais prononcée par un programme.
- Elle ne se répète pas. Tant qu'un membre de l'équipe n'a pas relu un bannissement automatique, aucun second bannissement automatique ne peut être prononcé contre la même personne : la situation est signalée à l'équipe et attend une décision humaine. Une règle mal réglée ne peut donc pas exclure quelqu'un en boucle.
- Vous pouvez demander un réexamen par une personne. Écrivez à uni-contact@univrs.group : un membre de l'équipe reprend le dossier, vous pouvez exposer votre point de vue, et la sanction est levée si elle n'est pas justifiée.
- Vous pouvez obtenir le rapport qui a motivé la décision, dans son intégralité, ainsi que la règle qui s'est appliquée.
- Un fichier appris automatiquement ne bannit jamais. Un fichier ajouté tout seul à la liste des fichiers interdits n'entraîne qu'une expulsion, même une fois confirmé par l'équipe, et retirer le fichier suffit à revenir. L'équipe relit ces ajouts ; retirer un fichier de la liste lève les bannissements qu'il avait causés.
- Un bannissement définitif n'est jamais automatique : il est toujours décidé par une personne.
- Une vérification demandée par un membre de l'équipe sur un joueur en particulier n'entraîne, elle, aucune sanction automatique : elle est lue par une personne, qui décide. Le motif de la demande et son auteur sont enregistrés avec le rapport.
L'anti-triche n'observe que le processus du jeu et le dossier de jeu. Il ne lit aucun autre fichier de votre ordinateur, hormis ceux des modules natifs que le processus du jeu a lui-même chargés, pour en calculer l'empreinte et en lire l'éditeur ; il n'énumère aucun autre programme, ne prend aucune capture d'écran et n'accède ni à votre webcam, ni à votre micro, ni à votre presse-papiers. Ces données ne servent qu'à la sécurité du service et à la lutte contre la triche : elles ne sont utilisées à rien d'autre, ni cédées, ni exploitées à des fins commerciales.
9. Sécurité
Les échanges sont chiffrés (HTTPS, TLS pour le relais), les jetons de session sont signés et de courte durée, les données de carte ne transitent jamais par UNIVRS, et la base est sauvegardée chaque nuit sur quinze jours.
Si une faille venait malgré tout à toucher vos données, nous la signalons à la CNIL dans les 72 heures et, lorsque le risque pour vous est élevé, nous vous prévenons directement : ce qui s'est passé, ce qui est concerné, et ce que vous pouvez faire.
10. Mises à jour
Cette politique peut évoluer avec le service. La version en vigueur est celle publiée ici, avec sa date.