Contrat de sous-traitance des données

Le présent contrat est conclu en application de l'article 28 du règlement (UE) 2016/679 dit RGPD, entre la structure abonnée au service PadelFil, désignée « le Responsable de traitement », et Jules Brignone, Bureau 326, 59 rue de Ponthieu, 75008 Paris, France, désigné « le Sous-traitant ».

Le Responsable de traitement décide des données qu'il collecte auprès de ses coachs et de ses élèves, et des finalités pour lesquelles il les collecte. Le Sous-traitant les traite pour son compte, sur ses seules instructions, dans le cadre de la fourniture du service.

Il fait partie intégrante des conditions générales de vente.

Le Sous-traitant héberge et traite les données personnelles nécessaires au fonctionnement du service : gestion des groupes, programmation des séances, relevé des présences et des absences, décompte des heures, édition des documents afférents et envoi de notifications.

Le contrat produit ses effets pendant toute la durée de l'abonnement, et jusqu'à la suppression complète des données dans les conditions prévues à l'article 8.

Les catégories de personnes concernées sont :

• Les dirigeants et le personnel administratif — nom, prénom, adresse électronique.
• Les coachs — nom, prénom, adresse électronique, heures travaillées, tarif horaire, et le cas échéant raison sociale, adresse et numéro SIRET aux fins d'établissement des factures.
• Les joueurs, dont des mineurs — nom, prénom, adresse électronique, date de naissance, niveau de jeu, appartenance à un groupe, présences et absences avec leur motif, retours de séance.

Aucune donnée relevant des catégories particulières de l'article 9 du RGPD — santé, origine, opinions — n'est demandée par le service. Le champ libre du motif d'absence ne doit pas être utilisé pour y consigner une information médicale.

Sur les mineurs. Le Responsable de traitement garantit avoir recueilli, préalablement à toute inscription, le consentement des titulaires de l'autorité parentale pour les élèves de moins de quinze ans, et les avoir informés de l'existence du service. Le Sous-traitant n'entre à aucun moment en relation directe avec les représentants légaux.

Le Sous-traitant s'engage à :

• ne traiter les données que sur instruction documentée du Responsable de traitement, l'abonnement au service valant instruction pour les traitements décrits à l'article 1 ;
• ne pas utiliser les données à ses propres fins, ne pas les revendre, ne pas les céder, et ne pas les exploiter à des fins de prospection ou d'entraînement de modèles ;
• garantir la confidentialité des données et n'y donner accès qu'aux personnes dont les fonctions l'exigent ;
• aider le Responsable de traitement à répondre aux demandes d'exercice de droits et, le cas échéant, à mener une analyse d'impact ;
• mettre à sa disposition les informations nécessaires pour démontrer le respect du présent contrat.

Le Sous-traitant met en œuvre les mesures suivantes :

• chiffrement des échanges entre les appareils et le service ;
• chiffrement des données au repos, assuré par l'hébergeur de la base ;
• cloisonnement des accès au niveau de la base elle-même : les règles de sécurité y sont écrites, de sorte qu'une structure ne peut atteindre les données d'une autre, ni un coach celles d'un collègue ;
• authentification par mot de passe, avec réinitialisation par courrier électronique ;
• journalisation des accès conservée par l'hébergeur et consultable en cas d'incident.

Sauvegardes. Les données font l'objet de sauvegardes régulières permettant une restauration à une date antérieure. Le Sous-traitant informe sans délai le Responsable de traitement de toute évolution significative de ce dispositif.

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants, dont la liste est tenue à jour :

• Vercel Inc. — Hébergement du site. 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis
• Supabase Inc. — Hébergement des données. 970 Toa Payoh North, Singapour Les données de PadelFil sont stockées dans la région Europe (Irlande).
• OVH SAS — Nom de domaine. 2 rue Kellermann, 59100 Roubaix, France

Les données sont stockées dans l'Union européenne (Irlande). Les prestataires concernés étant établis hors de l'Union, les transferts éventuels sont encadrés par les clauses contractuelles types de la Commission européenne.

Tout changement de sous-traitant ultérieur est notifié au Responsable de traitement au moins trente jours à l'avance, avec la faculté pour lui de s'y opposer et, en ce cas, de résilier sans frais.

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance, par courrier électronique à l'adresse de contact du compte.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises. Il appartient au Responsable de traitement de procéder, s'il y a lieu, à la notification à l'autorité de contrôle et aux personnes concernées.

Le service permet à chaque utilisateur, depuis son compte, de consulter et de rectifier ses informations, de télécharger l'ensemble de ses données dans un format lisible par machine, et de demander la suppression de son compte.

Lorsqu'une demande est adressée directement au Sous-traitant, celui-ci la transmet au Responsable de traitement dans les meilleurs délais et l'assiste pour y répondre.

À la fin de l'abonnement, le Responsable de traitement dispose de trente jours pour récupérer ses données depuis l'application.

Passé ce délai, le Sous-traitant les supprime, ainsi que les copies existantes, à l'exception des pièces comptables — factures émises — conservées dix ans en application de l'article L123-22 du code de commerce, et des données dont la conservation est imposée par une autre obligation légale.

Le Responsable de traitement peut demander, une fois par an et moyennant un préavis raisonnable, la communication des éléments démontrant le respect du présent contrat. Un audit sur site n'est envisageable qu'à la suite d'une violation de données avérée, à ses frais, et sans perturber le service.

Toute question relative au présent contrat s'adresse à contact@padelfil.fr.