Accord de sous-traitance (RGPD, art. 28)

1. Parties et objet

Le club (« responsable du traitement ») et Sidahmed Larbi Youcef EI (nom commercial : Deep Moats), éditeur de Lapelio (« sous-traitant »). Le sous-traitant traite des données personnelles pour le compte du club, uniquement pour fournir Lapelio, pendant toute la durée de l'abonnement.

2. Description du traitement

• Finalités : gestion des adhérents, des cotisations et des paiements, rappels de paiement, présences, documents et événements du club.
• Personnes concernées : adhérents, payeurs (souvent les parents), contacts d'urgence, prospects, coachs.
• Données : identité et contact, adhésion et vie au club, paiements, consentements aux messages, documents déposés (qui peuvent inclure un certificat médical, donnée de santé).
• Opérations : collecte, stockage, consultation, envoi de messages à la demande du club, rapprochement des paiements Stripe, export, effacement.

3. Nos engagements

• Ne traiter les données que sur instruction documentée du club : ses réglages et ses actions dans Lapelio valent instructions. Nous vous prévenons si une instruction nous semble contraire au RGPD.
• Ne jamais vendre les données, ni les utiliser pour notre propre compte ou pour de la publicité.
• Confidentialité : seules les personnes qui en ont besoin y accèdent, et elles sont tenues au secret.
• Sécurité (art. 32) : chiffrement des connexions, double authentification, cloisonnement de chaque club dans la base de données, chiffrement des jetons, journaux sans données personnelles, sauvegardes, mises à jour de sécurité suivies.
• Aider le club à répondre aux demandes des personnes (accès, correction, effacement, portabilité) : la plupart se font directement dans l'application, export compris.
• Aider le club pour la sécurité, une analyse d'impact ou une consultation de la CNIL, quand c'est utile.

4. Sous-traitants ultérieurs

Le club autorise les sous-traitants listés dans la politique de confidentialité. Nous leur imposons les mêmes obligations de protection. Nous prévenons le club par e-mail au moins 30 jours avant d'en ajouter ou d'en changer un ; le club peut s'y opposer pour un motif sérieux, et résilier sans frais si nous ne trouvons pas de solution.

Stripe n'est pas notre sous-traitant pour vos paiements : c'est votre propre prestataire, sous votre propre contrat. Lapelio y accède avec votre autorisation.

5. Localisation et transferts

Les données sont stockées dans l'Union européenne (Irlande). Un transfert hors UE n'a lieu que vers les sous-traitants listés, encadré par les clauses contractuelles types de la Commission européenne ou le Data Privacy Framework UE–États-Unis.

6. Violation de données

Nous prévenons le club dans les meilleurs délais, et au plus tard 48 heures après avoir pris connaissance d'une violation qui touche ses données, avec ce que nous savons (nature, données et personnes concernées, mesures prises). Le club peut ainsi prévenir la CNIL dans les 72 heures si nécessaire.

7. Fin du contrat

À la fin de l'abonnement, le club peut exporter toutes ses données pendant 30 jours. Ensuite, nous les effaçons, sauvegardes comprises dès leur expiration, sauf obligation légale de conservation.

8. Preuves et audit

Nous mettons à disposition du club les informations utiles pour démontrer le respect de cet accord. Le club peut demander un audit une fois par an, avec un préavis de 30 jours, à ses frais, mené par lui-même ou un auditeur tenu au secret, sans accès aux données des autres clubs. Contact : TODO_FOUNDER@example.com.

9. Engagements du club

Le club a une base légale pour chaque donnée qu'il saisit, informe ses adhérents, ne saisit que le nécessaire (pas de données de santé dans les notes libres), recueille les consentements requis pour les messages, et nous transmet les demandes des personnes qu'il ne peut pas traiter lui-même.