Een FiveM server kan niet “GDPR-compliant” worden door een privacybeleidsjabloon te kopiëren. Begin met het vastleggen van de persoonsgegevens die je server, website, Discord, betalingsstroom, ondersteuningssysteem en back-ups daadwerkelijk verwerken; documenteer vervolgens doeleinden, wettelijke grondslagen, ontvangers, bewaartermijnen, beveiliging en procedures voor gebruikersrechten voor de betrokken rechtsgebieden.
Dit is een operationele checklist, geen juridisch advies of een compliancegarantie. De verplichtingen van de verwerkingsverantwoordelijke zijn afhankelijk van zijn activiteiten, gebruikers en rechtsgebieden. Gebruik de officiële regelgeving en verkrijg gekwalificeerd advies voor onopgeloste juridische vragen.
1. Bouw een echte gegevensinventaris
Lijst elk systeem en veld op, inclusief gegevens die worden bijgehouden door plug-ins en externe services. Veelvoorkomende FiveM-bewerkingen kunnen omvatten:
- Cfx.re/Rockstar, Discord, Steam of andere spelersidentificatoren;
- IP-adressen, verbindingsstempels, apparaat- of beveiligingslogboeken;
- personage-, inventaris-, eigendoms- en moderatieregistraties gekoppeld aan een speler;
- allowlist-aanvragen, ondersteuningsberichten en notities van personeel;
- website-analyse, cookies en formulierinzendingen;
- Tebex bestelreferenties en rechtendossiers;
- database dumps, logarchieven en off-site back-ups met een van de bovenstaande gegevens.
De officiële Cfx.re identifier referentie geeft aan dat een server verschillende soorten identifiers kan ontvangen, waaronder IP-adressen. Beschikbaarheid betekent niet dat elke waarde voor onbepaalde tijd moet worden opgeslagen.
2. Doel van de registratie, wettelijke basis en bewaartermijn
Noteer voor elke categorie waarom deze nodig is, wie deze gebruikt en wanneer deze wordt verwijderd of geanonimiseerd. Label niet elke verwerkingsactiviteit standaard met “toestemming”. Onder de AVG is toestemming een mogelijke wettelijke grondslag met specifieke voorwaarden; contract, wettelijke verplichting en gerechtvaardigde belangen hebben verschillende toetsen en gevolgen.
De primaire bron is Verordening (EU) 2016/679. Artikel 5 behandelt rechtmatigheid, doelbinding, gegevensminimalisatie, juistheid, opslagbeperking en beveiliging. Gebruik de Gids van de European Data Protection Board voor het MKB voor praktische uitleg.
3. Identificeer verwerkingsverantwoordelijke, verwerkers en gegevensoverdrachten
Noem de persoon of organisatie die bepaalt waarom en hoe de community gegevens verwerkt. Vermeld hosting-, CDN-, e-mail-, analyse-, Discord-integraties, ticketing-, formulier-, back-up- en commerciële providers. Leg het contract of de verwerkingsvoorwaarden, de opslagregio en elk relevant mechanisme voor internationale overdracht voor de service vast.
Beweer niet dat Tebex, Discord of een host de hele server compliant maakt. Elke provider dekt zijn eigen rol; de operator blijft verantwoordelijk voor de verwerking die hij controleert.
4. Publiceer informatie die overeenkomt met de werkelijkheid
De privacyverklaring moet de verwerkingsverantwoordelijke en contactroute, categorieën en bronnen van gegevens, doeleinden en rechtsgronden, ontvangers, bewaarcriteria, rechten, klachtenroute en eventuele relevante internationale overdrachten of geautomatiseerde beslissingen identificeren. Koppel deze voordat je een aanvraag of ondersteuningsverzoek verzamelt, niet alleen in een voettekst na indiening.
5. Minimaliseer toegang en beveilig de gegevens
- Geef personeel alleen de machtigingen die nodig zijn voor hun rol en verwijder vertrokken personeel onmiddellijk.
- Gebruik unieke accounts en multi-factor authenticatie waar beschikbaar.
- Houd database, txAdmin, back-ups en providergegevens uit de buurt van openbare bronnen en logs.
- Versleutel netwerkverbindingen en bescherm back-ups met aparte toegangscontroles.
- Log gevoelige administratieve acties zonder onnodige persoonlijke inhoud te kopiëren.
- Patch WordPress, Discord bots, frameworks en serverbronnen via een getest wijzigingsproces.
6. Bereid workflows voor gegevenssubjectverzoeken voor
Documenteer hoe medewerkers een verzoeker verifiëren zonder buitensporig veel nieuwe gegevens te verzamelen, zoek records in systemen en reageer op verzoeken om toegang, correctie, verwijdering, beperking, bezwaar of overdraagbaarheid waar van toepassing. Een verwijderingsverzoek vereist mogelijk niet de verwijdering van elk record wanneer een andere wettelijke bewaarplicht van toepassing is; documenteer de beslissing in plaats van een automatisch resultaat te beloven.
7. Bereid je voor op incidenten en inbreuken
Definieer wie een beveiligingsrapport ontvangt, hoe toegang wordt beperkt, welke logs en back-ups worden bewaard, hoe getroffen gegevens en personen worden geïdentificeerd, en wie de meldingsplichten beoordeelt. Verberg een incident niet door het enige bewijs te verwijderen. De EDPB-gids bevat een speciale workflow voor datalekken; wettelijke meldingsdeadlines vereisen een gekwalificeerde en tijdige beoordeling.
8. Controleer wijzigingen voor de lancering
Herhaal de inventarisatie bij het toevoegen van een nieuwe Discord bot, analyse-tool, allowlist-formulier, betalingspakket, anti-cheat, back-upbestemming of personeelsintegratie. Noteer de beoordelingsdatum en de eigenaar. Een gekopieerd beleid dat niet verandert wanneer het systeem verandert, is geen betrouwbaar operationeel bewijs.
Minimale bewijsstukken om te bewaren
- huidige gegevens- en verwerkersinventaris;
- retentie- en verwijderingsschema;
- personeelsbeoordeling van toegang;
- procedures voor rechtenaanvragen en incidenten;
- back-up- en hersteltests;
- gedateerde privacyverklaring en wijzigingslogboek;
- registraties van beoordelingen met een hoger risico en professioneel advies waar vereist.
