Annexe RGPD — Accord de sous-traitance

La présente annexe fait partie intégrante des Conditions Générales d’Utilisation et des Conditions Générales de Vente de ClubCast. Elle vaut contrat de sous-traitance au sens de l’article 28.3 du règlement (UE) 2016/679 (« RGPD »).

Elle est conclue entre :

• le Club, en qualité de responsable du traitement ;
• Baptiste BIDAULT, entrepreneur individuel exerçant sous le nom commercial ClubCast, 47 rue Vivienne, 75002 Paris, France, SIREN 108 298 084, en qualité de sous-traitant.

Article 1 — Objet

ClubCast traite des données à caractère personnel pour le compte du Club dans le cadre de la fourniture de la Plateforme ClubCast, service de pilotage opérationnel destiné aux clubs sportifs amateurs.

Article 2 — Description du traitement

2.1 Nature et finalité

Hébergement, stockage, structuration, consultation, mise à disposition, sauvegarde, transmission et suppression des données saisies par le Club, aux seules fins de lui fournir le service : gestion des équipes, du bureau, des tâches et missions, des demandes, des dépenses et recettes, des partenaires, des événements, de la communication et des documents.

2.2 Durée

Le traitement dure le temps du contrat entre le Club et ClubCast, augmenté de la période transitoire de réversibilité de trente (30) jours prévue à l’article 16 des CGV.

2.3 Catégories de personnes concernées

• membres du bureau, dirigeants et responsables du Club ;
• bénévoles réguliers et ponctuels ;
• entraîneurs, managers, référents et responsables d’équipe ;
• licenciés et, le cas échéant, leurs représentants légaux ;
• familles et tiers adressant une demande via le formulaire public ;
• invités à une manifestation organisée par le Club ;
• contacts au sein des entreprises partenaires et prospects ;
• fournisseurs et bénéficiaires de remboursements.

2.4 Catégories de données

2.5 Données sensibles

Le champ « besoins alimentaires » du modèle « Soirée du club » peut contenir des données révélant l’état de santé ou des convictions religieuses, relevant de l’article 9 du RGPD. Cette donnée est stockée dans une table distincte et son accès est restreint aux gestionnaires du Club et au responsable du pôle « Repas et traiteur » ; cet accès cesse immédiatement lorsque la personne quitte le Club, que son accès expire ou qu’il est suspendu.

Le Club ne la renseigne qu’avec le consentement explicite de la personne concernée. La Plateforme exige et conserve l’attestation de ce recueil : le membre qui saisit l’information déclare avoir informé la personne et obtenu son accord, et cette déclaration est enregistrée avec son identité et son horodatage. Sans elle, rien n’est enregistré.

Cette donnée est supprimée automatiquement sept jours après la fin de l’événement.

Le Club peut être amené à enregistrer des données relatives à des mineurs. Il lui appartient de recueillir les autorisations parentales requises et d’en conserver la preuve.

Article 3 — Obligations de ClubCast

ClubCast s’engage à :

1. traiter les données uniquement sur instruction documentée du Club, les CGU, les CGV et la présente annexe constituant ces instructions ; toute autre instruction est adressée par écrit à hello@clubcast.fr ;
2. informer le Club s’il estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données ;
3. ne transférer les données hors de l’Union européenne que dans les conditions de l’article 7 ;
4. garantir la confidentialité : seules les personnes strictement nécessaires à l’exploitation accèdent aux données, sous engagement de confidentialité ;
5. mettre en œuvre les mesures de sécurité de l’article 5 ;
6. assister le Club dans les conditions des articles 6, 8 et 9 ;
7. respecter les conditions de recours à un sous-traitant ultérieur (article 4) ;
8. supprimer ou restituer les données en fin de contrat (article 10) ;
9. mettre à disposition du Club les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et permettre les audits prévus à l’article 11 ;
10. ne jamais utiliser les données à ses propres fins, ne pas les revendre, ne pas les céder, ne pas les exploiter à des fins commerciales et ne pas les utiliser pour entraîner un modèle d’intelligence artificielle.

Article 4 — Sous-traitants ultérieurs

Le Club autorise de manière générale ClubCast à recourir aux sous-traitants ultérieurs suivants :

ClubCast informe le Club, par courrier électronique adressé au Propriétaire et par mise à jour de la présente annexe, de tout ajout ou remplacement de sous-traitant ultérieur, au moins trente (30) jours avant la prise d’effet.

Le Club peut s’y opposer par écrit et de manière motivée dans ce délai. À défaut de solution alternative raisonnable, le Club peut résilier sans frais ni pénalité.

ClubCast impose à chaque sous-traitant ultérieur des obligations de protection équivalentes à celles de la présente annexe et demeure pleinement responsable de leur exécution devant le Club.

Article 5 — Sécurité

ClubCast met en œuvre les mesures techniques et organisationnelles suivantes :

Contrôle d’accès

• authentification individuelle nominative ; partage de compte interdit ;
• séparation stricte des espaces de chaque Club ;
• contrôle des droits en base de données à chaque requête (Row Level Security), indépendamment de l’interface ;
• rôles, périmètres et expiration d’accès administrables par le Club ;
• restriction des fonctions d’administration technique aux seuls comptes nécessaires.

Protection des données

• chiffrement des communications (HTTPS/TLS), en-têtes de sécurité stricts et politique de sécurité de contenu à valeur unique par requête ;
• chiffrement des données au repos chez l’hébergeur de base de données ;
• fichiers stockés dans un espace privé, jamais publics, servis par des liens signés d’une durée de cinq minutes, et contrôlés sur leur contenu binaire réel avant enregistrement ; un PDF embarquant un élément actif — script, action au lancement, pièce jointe intégrée — est refusé au dépôt ;
• neutralisation des formules dans les exports CSV ;
• secrets applicatifs isolés dans des modules exclusivement serveur.

Traçabilité et résilience

• journalisation des actions importantes, en écriture seule pour les sessions clientes ;
• limitations déterministes contre les abus et les usages automatisés ;
• sauvegardes quotidiennes de la base de données, avec procédure de restauration documentée et testée ;
• suppression automatique quotidienne des données arrivées au terme de leur durée de conservation ;
• procédure d’incident et de retour arrière documentée.

Suppressions

• les suppressions passent par une corbeille réversible plutôt que par un effacement immédiat, afin de limiter les pertes accidentelles.

Ces mesures peuvent évoluer ; elles ne seront pas réduites en dessous du niveau de sécurité décrit ici sans information préalable du Club.

Article 6 — Violation de données

ClubCast notifie au Club toute violation de données à caractère personnel affectant ses données, dans les meilleurs délais et au plus tard soixante-douze (72) heures après en avoir pris connaissance, à l’adresse électronique du Propriétaire.

La notification décrit, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et le point de contact.

ClubCast assiste le Club dans l’accomplissement de ses propres obligations de notification à la CNIL et, le cas échéant, d’information des personnes concernées. La notification à l’autorité de contrôle et aux personnes concernées incombe au Club, en sa qualité de responsable du traitement.

Article 7 — Transferts hors Union européenne

La base de données et les fichiers du Club sont hébergés dans l’Union européenne.

Certains sous-traitants ultérieurs listés à l’article 4 sont établis aux États-Unis ou peuvent y accéder pour des besoins d’exploitation. Ces transferts sont encadrés par les garanties appropriées du chapitre V du RGPD, notamment les clauses contractuelles types adoptées par la Commission européenne et, le cas échéant, la certification au titre du cadre de protection des données UE — États-Unis, complétées par des mesures supplémentaires (chiffrement en transit, minimisation, non-conservation des contenus par le fournisseur de modèles d’IA).

Une copie des garanties applicables est communiquée au Club sur demande écrite.

Article 8 — Droits des personnes concernées

Les demandes d’exercice de droits (accès, rectification, effacement, limitation, opposition, portabilité) sont adressées au Club, responsable du traitement.

ClubCast :

• ne répond jamais directement à une personne concernée à propos des données d’un Club ; il lui transmet la demande sans délai et en informe la personne ;
• assiste le Club par les fonctions de la Plateforme — consultation, modification, suppression, export CSV et PDF — qui permettent au Club de répondre par lui-même dans la plupart des cas ;
• apporte une assistance complémentaire raisonnable lorsque la demande ne peut pas être satisfaite par ces fonctions, dans un délai permettant au Club de respecter le délai d’un mois de l’article 12 du RGPD.

Cette assistance est fournie sans frais pour un volume raisonnable de demandes.

Article 9 — Assistance au responsable du traitement

Compte tenu de la nature du traitement et des informations à sa disposition, ClubCast assiste le Club pour :

• la sécurité du traitement (article 32 du RGPD) ;
• la notification et la communication des violations (articles 33 et 34) ;
• la réalisation d’une analyse d’impact et la consultation préalable de l’autorité de contrôle (articles 35 et 36), en fournissant la description technique du traitement.

Article 10 — Sort des données en fin de contrat

À la fin du contrat, le Club dispose de la période transitoire de trente (30) jours prévue à l’article 16 des CGV pour extraire ses données.

À l’expiration de cette période, et au plus tard soixante (60) jours après la fin du contrat, ClubCast supprime l’ensemble des données du Club de ses systèmes de production, ainsi que les copies existantes.

Les sauvegardes contenant ces données sont écrasées selon leur cycle normal de rotation, dans un délai maximal de trente-cinq (35) jours supplémentaires ; elles ne font l’objet d’aucun accès pendant cette période.

Sont exclues de la suppression les données que ClubCast doit conserver au titre d’une obligation légale, notamment les pièces comptables et les factures, conservées dix (10) ans conformément à l’article L. 123-22 du code de commerce.

ClubCast atteste par écrit de la suppression sur demande du Club.

Article 11 — Audit et documentation

ClubCast met à disposition du Club, sur demande écrite raisonnable et au maximum une fois par an, la documentation permettant de démontrer le respect de la présente annexe : description des mesures de sécurité, liste des sous-traitants ultérieurs, description des transferts et de leurs garanties.

Un audit sur site ou une inspection contradictoire peut être demandé en cas de violation de données avérée affectant le Club ou d’injonction d’une autorité de contrôle. Il est réalisé aux frais du demandeur, moyennant un préavis de trente (30) jours, pendant les heures ouvrables, par une personne soumise à un engagement de confidentialité et sans perturbation disproportionnée du service.

Article 12 — Registre et contact

ClubCast tient un registre des catégories d’activités de traitement effectuées pour le compte de ses clients, conformément à l’article 30.2 du RGPD. Ce registre est tenu par écrit et communicable à l’autorité de contrôle ; il est tenu à la disposition du Club sur demande à l’adresse ci-dessous.

ClubCast tient par ailleurs, pour ses propres traitements — comptes, facturation, sécurité —, le registre prévu à l’article 30.1.

ClubCast n’est pas tenu de désigner un délégué à la protection des données. Le point de contact unique est : hello@clubcast.fr.

Article 13 — Responsabilité

Chaque partie répond des dommages causés par un traitement qui viole le RGPD dans les conditions de son article 82. Les plafonds de responsabilité prévus à l’article 19 des CGU ne s’appliquent pas aux sanctions administratives prononcées par une autorité de contrôle à l’encontre d’une partie du fait de ses propres manquements.

Article 14 — Durée et modification

La présente annexe entre en vigueur à la conclusion du contrat et prend fin avec lui, à l’exception des stipulations de l’article 10, qui lui survivent.

Elle est modifiée dans les conditions de l’article 4.2 des CGU. Toute modification imposée par une évolution du droit de la protection des données s’applique de plein droit.