Accord de traitement des données

ACCORD DE TRAITEMENT DES DONNÉES PERSONNELLES DATA PROCESSING AGREEMENT — DPA Version 0.9 — version de préparation Cette version n'est pas une version définitive et n'a pas de date d'entrée en vigueur. Elle est déposée pour permettre la mise au point du parcours d'acceptation avant l'ouverture du service à des clubs. L'immatriculation de l'éditeur manque pour qu'une version définitive puisse être arrêtée : son numéro et son adresse professionnelle doivent figurer à l'article 1. Le présent Accord de traitement des données personnelles, ci-après le « DPA », fait partie intégrante du contrat conclu entre le Client et HandRef Academy. 1. Parties Responsable du traitement Le club, l'association ou la structure ayant souscrit à HandRef Academy, identifié lors de la souscription, ci-après le « Client » ou le « Responsable du traitement ». Sous-traitant Benjamin LAFAGE Entrepreneur individuel Nom commercial : HandRef Academy Contact contractuel, et contact protection des données : contact@handref-academy.fr Cette adresse est l'adresse générale de l'éditeur : aucune adresse dédiée distincte n'est ouverte à ce jour. C'est elle qui reçoit les demandes d'exercice des droits. Le numéro d'immatriculation et l'adresse professionnelle de l'éditeur ne sont pas encore publiés. C'est la raison pour laquelle la présente version n'est pas définitive. ci-après « HandRef Academy » ou le « Sous-traitant ». 2. Objet Le présent DPA encadre les traitements de données personnelles réalisés par HandRef Academy pour le compte du Client dans le cadre de l'utilisation du Service. Il définit notamment : - l'objet et la durée du traitement ; - sa nature et ses finalités ; - les catégories de données concernées ; - les catégories de personnes concernées ; - les droits et obligations du Client ; - les obligations de HandRef Academy. 3. Champ d'application Le DPA s'applique aux traitements pour lesquels le Client détermine les finalités et utilise HandRef Academy afin de les mettre en œuvre. Cela concerne notamment, selon les fonctionnalités utilisées : - les membres du club ; - leurs rôles ; - les disponibilités ; - les matchs ; - les désignations ; - les suivis pédagogiques ; - la progression en formation ; - les comptes rendus d'accompagnement ; - les fonctionnalités de pilotage du club. Ne relèvent pas du présent DPA les traitements dont HandRef Academy détermine lui-même les finalités et moyens essentiels, notamment certains traitements nécessaires : - à sa facturation ; - à la gestion de sa relation contractuelle ; - à sa comptabilité ; - à la sécurité générale du Service ; - à la défense de ses droits ; - à sa prospection commerciale. Ces traitements sont décrits dans la politique de confidentialité de HandRef Academy. 4. Durée Le DPA entre en vigueur lors de son acceptation électronique. Il reste applicable pendant toute la durée durant laquelle HandRef Academy traite des données pour le compte du Client. Certaines obligations, notamment de confidentialité, de sécurité et de suppression, demeurent applicables aussi longtemps que HandRef Academy conserve légitimement les données concernées. 5. Instructions du Client HandRef Academy traite les données pour le compte du Client uniquement sur la base d'instructions documentées. Sont notamment considérées comme des instructions documentées : - le présent DPA ; - les paramètres configurés par le Client ; - les opérations réalisées par ses Utilisateurs autorisés ; - l'activation ou la désactivation des fonctionnalités ; - les demandes adressées au support. HandRef Academy informe le Client lorsqu'il estime qu'une instruction viole manifestement les règles applicables en matière de protection des données. 6. Obligations du Client Le Client demeure responsable notamment : - de la licéité de ses traitements ; - de leur finalité ; - de leur base juridique ; - de l'information des personnes concernées lorsque cette obligation lui incombe ; - de l'exactitude des données ; - de la pertinence des données collectées ; - de la gestion de ses Utilisateurs ; - de la gestion de leurs habilitations ; - de ses obligations concernant les mineurs lorsqu'elles sont applicables ; - du traitement des demandes d'exercice des droits. Le Client s'engage à ne pas utiliser HandRef Academy pour traiter des données manifestement excessives au regard de ses besoins. 7. Confidentialité HandRef Academy veille à ce que les personnes autorisées à traiter les données : - n'y accèdent que lorsque cela est nécessaire ; - soient soumises à une obligation de confidentialité appropriée ; - disposent uniquement des droits nécessaires à leur mission. Les accès aux données d'un club par les fonctions d'administration ou de support sont limités aux besoins légitimes du Service. 8. Mesures de sécurité HandRef Academy met en œuvre des mesures techniques et organisationnelles adaptées aux risques. Ces mesures comprennent notamment, selon l'architecture en vigueur : Authentification et autorisations - authentification des Utilisateurs ; - rôles et permissions ; - vérification des autorisations côté serveur ; - limitation des privilèges ; - séparation logique entre clubs. Protection des communications - utilisation de HTTPS/TLS ; - sécurisation des communications entre services lorsque nécessaire. Infrastructure - séparation des environnements staging et production ; - gestion sécurisée des secrets ; - restriction des accès administratifs ; - isolation des bases et ressources de production. Sécurité applicative - validation des entrées ; - tests automatisés ; - contrôle de l'isolation multi-tenant ; - surveillance des dépendances ; - correction des vulnérabilités pertinentes. Journalisation - journalisation d'événements administratifs et de sécurité pertinents ; - limitation de la présence de données personnelles dans les logs ; - interdiction volontaire de journaliser les secrets et liens d'authentification. Sauvegardes et restauration - sauvegardes automatisées ; - procédures de restauration ; - tests de restauration ; - mesures destinées à prendre en compte les effacements antérieurs après restauration. Incidents - procédure de gestion des incidents ; - capacité de consigner les violations de données ; - mécanisme de traçabilité ; - procédure d'information des Clients concernés. 9. Sous-traitants ultérieurs Le Client autorise de manière générale HandRef Academy à faire appel aux sous-traitants ultérieurs nécessaires au fonctionnement du Service. La liste actualisée des sous-traitants ultérieurs est accessible sur la page dédiée de HandRef Academy. L'annexe 3 du présent DPA en reproduit l'état à la date de cette version. HandRef Academy veille à imposer à ses sous-traitants ultérieurs les obligations de protection des données requises lorsqu'ils traitent des données pour son compte. Le Client est informé selon le mécanisme prévu par le Service en cas d'ajout ou de remplacement significatif d'un sous-traitant ultérieur. Le Client peut faire connaître une objection sérieuse et motivée relative à la protection des données. 10. Transferts hors Espace économique européen Lorsqu'un traitement implique un transfert de données personnelles hors de l'Espace économique européen, HandRef Academy veille à ce qu'un mécanisme approprié soit utilisé lorsque la réglementation l'exige. Les informations disponibles concernant : - le fournisseur ; - la localisation ; - les catégories de données ; - le mécanisme de transfert applicable sont documentées dans le registre des sous-traitants ou dans la documentation contractuelle mise à disposition du Client. 11. Assistance aux droits des personnes Le Client demeure responsable de la décision à prendre concernant les demandes des personnes relatives : - à l'accès ; - à la rectification ; - à l'effacement ; - à la limitation ; - à l'opposition ; - à la portabilité lorsqu'elle est applicable. HandRef Academy met à disposition les fonctionnalités ou procédures permettant raisonnablement d'assister le Client. Ces mécanismes peuvent notamment permettre : - d'identifier les données d'un membre ; - de préparer un export ; - de corriger certaines informations ; - d'anonymiser ou supprimer certaines données ; - de demander une intervention du support. Lorsque HandRef Academy reçoit directement une demande relative à un traitement réalisé pour le compte du Client, il ne décide pas seul de son issue et oriente ou transmet la demande au Client selon les circonstances. 12. Effacement et anonymisation HandRef Academy ne procède pas à une suppression globale automatique d'un Utilisateur lorsque certaines données doivent être conservées. Selon la nature des données, les opérations peuvent consister à : - supprimer ; - anonymiser ; - conserver certaines informations nécessaires ; - soumettre l'opération à une vérification manuelle. Les opérations destructives sensibles peuvent être précédées d'une prévisualisation. 13. Score de progression 360° Le Service peut permettre au Client d'activer un indicateur de progression appelé « Score 360° ». Le Score 360° est désactivé par défaut. Son activation par un Administrateur du club constitue une instruction fonctionnelle du Client dans le cadre du Service. HandRef Academy fournit au Client une information sur les principales données et règles entrant dans son calcul. Lorsque cette fonctionnalité est désactivée : - le score ne doit plus être calculé pour le club concerné ; - il ne doit plus être exposé ; - il ne doit pas servir à générer des classements ou décisions dérivées. Les données métiers sous-jacentes peuvent rester traitées lorsqu'elles sont nécessaires à d'autres fonctionnalités utilisées par le Client. 14. Violation de données personnelles HandRef Academy informe le Client dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles affectant les traitements réalisés pour son compte. Dans la mesure du possible, l'information comprend notamment : - la nature de la violation ; - les données concernées ; - les catégories de personnes concernées ; - les conséquences probables connues ; - les mesures prises ou proposées pour contenir la violation. Lorsque toutes les informations ne sont pas immédiatement disponibles, elles peuvent être communiquées progressivement. Le Client demeure responsable de la décision relative à une éventuelle notification à l'autorité de contrôle ou aux personnes concernées lorsque cette obligation lui incombe. 15. Assistance en matière de sécurité et d'AIPD Compte tenu de la nature des traitements et des informations dont il dispose, HandRef Academy apporte une assistance raisonnable au Client concernant : - la sécurité des traitements ; - la gestion des violations ; - les analyses d'impact relatives à la protection des données lorsqu'elles sont nécessaires ; - les éventuelles consultations préalables auprès de l'autorité compétente. 16. Journalisation et traçabilité HandRef Academy journalise les événements pertinents selon les capacités prévues par le Service. Le Client peut disposer d'une vue limitée à son propre environnement. Les opérations significatives d'accès ou d'administration effectuées par les équipes ou outils de plateforme sur les données d'un Client sont soumises à une traçabilité appropriée. Les journaux internes susceptibles de contenir des informations concernant : - la sécurité globale de HandRef Academy ; - d'autres Clients ; - des secrets techniques ne sont pas communiqués directement. 17. Audits HandRef Academy met à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations de Sous-traitant. Le Client peut solliciter des informations complémentaires lorsqu'il dispose d'un motif légitime. Les Parties privilégient en premier lieu : - la documentation ; - les résultats de contrôles ; - les politiques de sécurité ; - les réponses écrites ; - les preuves techniques disponibles. Tout audit complémentaire doit être organisé de manière : - proportionnée ; - à ne pas compromettre la sécurité du Service ; - à ne pas exposer les données d'autres Clients ; - à limiter les perturbations opérationnelles. 18. Mineurs Des arbitres mineurs peuvent utiliser le Service dans le cadre de leur club. Le Client reste responsable de la détermination des exigences qui lui sont applicables concernant ces Utilisateurs. HandRef Academy applique ses mesures de sécurité et de minimisation indépendamment de l'âge des Utilisateurs. HandRef Academy ne collecte pas une date de naissance uniquement afin d'établir qu'un Utilisateur est mineur, sauf besoin fonctionnel distinct et documenté. 19. Données de paiement Les données de carte bancaire nécessaires au paiement de l'Abonnement ne sont pas traitées par HandRef Academy dans le cadre des traitements réalisés pour le compte du Client. Le paiement est assuré par le prestataire de paiement désigné dans les CGV. Les traitements relatifs à la facturation et à la relation commerciale entre HandRef Academy et le Client ne relèvent pas nécessairement du présent DPA lorsqu'ils sont réalisés pour les propres obligations de HandRef Academy. 20. Fin de contrat À l'expiration de l'Abonnement, HandRef Academy met en œuvre les mécanismes applicables afin de : - permettre la récupération de données lorsque cela est prévu ; - supprimer ; - anonymiser ; - ou conserver temporairement certaines données lorsque cela demeure nécessaire. Les données contenues dans des sauvegardes historiques peuvent subsister jusqu'à leur rotation normale, à condition : - qu'elles restent protégées ; - qu'elles ne soient pas réutilisées comme données actives hors procédure de restauration ; - que les procédures de restauration prennent en compte les effacements déjà réalisés. 21. Conservation imposée par la loi HandRef Academy peut conserver certaines informations malgré la fin des instructions du Client lorsqu'une obligation légale le requiert ou lorsqu'une conservation limitée est nécessaire à la constatation, à l'exercice ou à la défense de droits. Dans ce cas, les données concernées ne sont plus utilisées pour la fourniture normale du Service. 22. Hiérarchie contractuelle Pour toute question relative aux traitements effectués par HandRef Academy en qualité de Sous-traitant : 1. les règles impératives applicables prévalent ; 2. le présent DPA prévaut sur les CGV ; 3. ses annexes en font partie intégrante. 23. Évolution du DPA Toute modification substantielle du présent DPA entraîne la publication d'une nouvelle version. Lorsque HandRef Academy considère qu'une nouvelle acceptation contractuelle est requise, le Client doit pouvoir prendre connaissance du nouveau texte avant de l'accepter. L'ancienne version demeure associée aux acceptations antérieures. 24. Acceptation électronique Le DPA est accepté pendant le parcours de souscription ou lorsqu'une nouvelle acceptation est requise. L'acceptation est enregistrée séparément de celle des CGV. La preuve peut notamment comporter : - l'identifiant du Client ; - l'identité du compte ayant accepté ; - son rôle ; - la version du DPA ; - la date et l'heure ; - la référence de l'Abonnement ; - la confirmation que la personne déclare être habilitée à engager le Client. ANNEXE 1 — DESCRIPTION DES TRAITEMENTS Objet Fourniture de HandRef Academy au Client pour l'organisation et le suivi de son école d'arbitrage. Durée Durée de l'Abonnement, augmentée des périodes nécessaires à la restitution, à la suppression, à l'anonymisation ou à la conservation légitime des données. Personnes concernées Selon les fonctionnalités utilisées : - arbitres ; - arbitres mineurs ; - accompagnateurs ; - administrateurs du club ; - personnes invitées ; - intervenants externes renseignés dans certaines fonctions. Catégories de données Identité - prénom ; - nom ; - email ; - identifiant de compte ; - rôles ; - appartenance au club. Organisation sportive - disponibilités ; - matchs ; - désignations ; - fonctions exercées ; - historique métier. Accompagnement - observations ; - comptes rendus ; - points forts ; - axes d'amélioration ; - objectifs pédagogiques ; - commentaires. Formation - progression ; - modules suivis ; - résultats ou réponses persistés lorsque la fonctionnalité le prévoit. Pilotage - indicateurs de fonctionnement du club ; - Score 360° lorsque le Client l'a activé. Données techniques - informations nécessaires à la sécurité ; - traces d'audit ; - événements techniques nécessaires au support. Finalités - gérer les membres ; - gérer les disponibilités ; - organiser les matchs et désignations ; - accompagner les arbitres ; - dispenser des formations ; - suivre la progression ; - administrer l'école d'arbitrage ; - assister le Client. ANNEXE 2 — MESURES TECHNIQUES ET ORGANISATIONNELLES HandRef Academy met notamment en œuvre : - authentification sécurisée ; - contrôle d'accès par rôles ; - isolation multi-tenant ; - contrôle des autorisations côté serveur ; - communications HTTPS/TLS ; - gestion sécurisée des secrets ; - séparation staging/production ; - bases de données protégées de l'accès public direct ; - sauvegardes ; - procédures de restauration ; - surveillance du Service ; - gestion des dépendances et vulnérabilités ; - journalisation des opérations pertinentes ; - procédures de gestion des incidents ; - contrôle des accès support ; - mécanismes relatifs aux demandes d'accès et d'effacement ; - tests relatifs à l'isolation entre clubs. Ces mesures peuvent évoluer afin d'améliorer la sécurité du Service sans réduire matériellement son niveau général de protection. ANNEXE 3 — SOUS-TRAITANTS ULTÉRIEURS État à la date de la présente version. La liste tenue à jour est publiée sur la page « Sous-traitants » du site de HandRef Academy, et c'est elle qui fait foi entre deux versions du présent DPA. OVH — Hébergement du serveur Finalité : faire fonctionner le site et l'application, et conserver la base de données. Localisation : France (Union européenne). Catégories de données : l'ensemble des données hébergées. OVH — Messagerie de l'adresse de contact Finalité : recevoir les messages adressés à l'adresse de contact, dont les demandes d'exercice des droits. Localisation : non confirmée à ce jour. L'attestation disponible porte sur le serveur, non sur le service de messagerie, qui est un service distinct. Catégories de données : contenu des messages reçus et métadonnées associées. Brevo — Envoi des e-mails de service Finalité : acheminer les invitations, les liens de connexion, les avis de désignation et les changements de rôle ou de statut dans le club. Localisation : non confirmée à ce jour. Catégories de données : adresse e-mail, nom, et métadonnées nécessaires à l'acheminement. Scaleway — Stockage des sauvegardes Finalité : conserver des copies de secours de la base, hors du serveur principal. Elles sont chiffrées avant de quitter le serveur : le prestataire ne peut pas en lire le contenu. Localisation : Paris (Union européenne). Catégories de données : l'ensemble des données de la base, sous forme chiffrée. Un fournisseur qui ne reçoit aucune donnée traitée pour le compte du Client n'est pas ajouté à cette annexe. C'est le cas, notamment, d'un outil de supervision inactif en production et de la chaîne de déploiement, par laquelle aucune donnée d'utilisateur ne transite en régime normal. ACCEPTATION Le Client confirme : ☐ J'ai lu et j'accepte le présent Accord de traitement des données personnelles. Cette acceptation est enregistrée avec : - le Client concerné ; - la version du DPA ; - l'Utilisateur ayant accepté ; - la date et l'heure d'acceptation ; - la référence de l'Abonnement.