Ce contrat complète les conditions générales (dont il forme une annexe) et répond à l'article 28 du règlement (UE) 2016/679 (RGPD). Il est conclu entre le club qui utilise le Service, responsable du traitement, et David DUMAIS (DumaisSoft, Entrepreneur individuel (micro-entreprise), SIRET 130 669 542 00016, 115 chemin du Beau Soleil, 76750 Buchy, France), sous-traitant, ci-après « l'Éditeur ». Le club l'accepte en même temps que les conditions générales, lors de la création de son espace ; l'acceptation est horodatée et versionnée.
1. Objet et durée
L'Éditeur traite, pour le compte du club, les données personnelles nécessaires pour fournir le Service Oryumi Collectif : gestion des saisons et des tarifs, collecte des inscriptions des adhérents et de leurs familles, suivi des règlements et des relances, exports et documents. Le contrat dure tant que le club utilise le Service et jusqu'à la restitution ou la suppression des données (article 9).
2. Description du traitement
- Nature des opérations : collecte, enregistrement, hébergement, consultation, mise en forme, calcul de tarifs, envoi de notifications par e-mail, export, suppression.
- Finalités : gérer les adhésions du club, suivre les cotisations et leur encaissement, communiquer avec les familles au sujet de leur dossier.
- Personnes concernées : adhérents (dont des mineurs), représentants légaux, membres de l'équipe du club.
- Catégories de données : identité, date de naissance, coordonnées, lien familial et autorité du représentant légal, réponses aux formulaires du club, activités choisies, tarifs, aides déclarées, échéances, paiements (mode, montant, état, références techniques de paiement, reçus), documents justificatifs déposés par le club ou la famille, journaux de connexion et d'actions.
- Données sensibles : le Service n'a pas vocation à collecter de données de santé détaillées. Si le club demande un certificat ou une attestation, il en détermine la nécessité et la durée, et l'accès reste limité aux personnes habilitées du club.
3. Obligations de l'Éditeur
- Traiter les données uniquement sur instruction documentée du club, c'est-à-dire pour fournir le Service tel que décrit ici et dans les conditions générales, et selon les paramétrages que le club effectue. Il informe le club s'il estime qu'une instruction enfreint la réglementation.
- Ne pas utiliser les données pour son propre compte, ne pas les vendre, ne pas les exploiter à des fins publicitaires ou de profilage.
- Garantir que les personnes autorisées à accéder aux données (y compris pour l'assistance, de façon journalisée) sont tenues à la confidentialité.
- Cloisonner strictement les données de chaque club : aucun club n'accède aux données d'un autre.
- Tenir un registre des catégories de traitements effectués pour le compte du club.
4. Obligations du club
- Être le seul responsable de la licéité des données qu'il collecte, de leur base légale et de l'information donnée aux personnes (finalités, durée, droits) ; l'écran d'inscription et la politique de confidentialité l'y aident sans le dispenser.
- Fixer les durées de conservation de ses dossiers et supprimer ceux qui n'ont plus lieu d'être ; ne demander que les pièces strictement nécessaires.
- Attribuer les rôles de son équipe (administrateur, secrétaire, trésorier) aux seules personnes qui en ont besoin et retirer les accès à leur départ ; protéger ses identifiants.
- Accomplir ses propres formalités (registre des traitements, analyse d'impact si nécessaire, désignation d'un délégué si la loi l'impose).
5. Sécurité
L'Éditeur met en œuvre des mesures techniques et organisationnelles appropriées, notamment :
- chiffrement des échanges (HTTPS) ; mots de passe conservés sous forme d'empreinte irréversible ; limitation des tentatives de connexion ;
- cloisonnement par club et par foyer contrôlé à chaque requête, vérifié par des tests automatisés ;
- droits par rôle au sein du club ; journalisation des actions sensibles ;
- double authentification obligatoire pour l'administration de la plateforme, proposée à tous les comptes ;
- sauvegardes régulières de la base de données ; aucune donnée réelle dans les environnements de test ;
- aucun numéro de carte bancaire sur ses serveurs (saisie chez le prestataire de paiement).
6. Sous-traitants ultérieurs
Le club autorise de façon générale l'Éditeur à recourir aux sous-traitants ultérieurs suivants, liés à lui par des obligations équivalentes à celles du présent contrat :
- Infomaniak Network SA (Rue Eugène-Marziano 25, 1227 Les Acacias (Genève), Suisse) : hébergement du Service, des données et des sauvegardes, envoi des e-mails. Données hébergées en Suisse, pays bénéficiant d'une décision d'adéquation de la Commission européenne.
Stripe n'est pas un sous-traitant ultérieur de l'Éditeur : le club conclut lui-même un contrat avec Stripe (Stripe Payments Europe, Ltd.) pour encaisser les paiements par carte sur son propre compte, et Stripe agit, pour le paiement, comme responsable de traitement ou sous-traitant du club selon ses propres conditions.
Tout ajout ou remplacement de sous-traitant ultérieur est annoncé au club par e-mail et sur cette page au moins 30 jours avant sa mise en service. Le club peut s'y opposer pour un motif légitime ; à défaut d'accord, il peut mettre fin au Service sans pénalité et récupérer ses données (article 9). L'Éditeur reste responsable envers le club de l'exécution des obligations de ses sous-traitants.
7. Droits des personnes
L'Éditeur aide le club, par des mesures techniques adaptées (consultation, export, rectification, suppression dans l'application), à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. S'il reçoit directement une demande concernant des données d'un club, il la lui transmet sans délai et n'y répond pas lui-même, sauf instruction contraire.
8. Violation de données
L'Éditeur notifie le club dans les meilleurs délais, et au plus tard sous 48 heures après en avoir pris connaissance, de toute violation de données le concernant, par e-mail à l'administrateur du club. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées, afin de permettre au club de notifier la CNIL dans les 72 heures si nécessaire et d'informer les personnes. L'Éditeur coopère à l'enquête et à la remédiation.
9. Fin du contrat : restitution et suppression
À la fin du Service, ou à tout moment sur demande écrite, le club peut récupérer ses données dans un format courant (exports CSV et pièces). Après la restitution, et au plus tard 90 jours après la fin du Service, l'Éditeur supprime les données du club et ses copies actives ; les sauvegardes sont purgées à leur rotation. Sont conservées, aussi longtemps que la loi l'exige, les seules pièces comptables et de facturation de l'Éditeur (commission) et les journaux nécessaires à la preuve (12 mois).
10. Audit
L'Éditeur met à disposition du club les informations nécessaires pour démontrer le respect de ces obligations. Le club peut, une fois par an et avec un préavis raisonnable de 30 jours, demander un audit (questionnaire, puis visite à distance si nécessaire) réalisé par lui ou un tiers soumis à confidentialité, sans perturber le Service ; les frais sont à la charge du club sauf manquement constaté.
11. Transferts hors de l'Union européenne
Les données sont hébergées en Suisse (adéquation reconnue). L'Éditeur ne transfère pas de données hors de l'Union européenne et de la Suisse sans l'accord préalable du club et sans garanties appropriées (clauses contractuelles types ou décision d'adéquation).
12. Responsabilité, droit applicable
La responsabilité des parties est régie par les conditions générales (article 11). Le présent contrat est soumis au droit français ; en cas de litige, les règles de compétence des conditions générales s'appliquent. En cas de contradiction sur le traitement des données personnelles, le présent contrat prévaut.
Contact pour l'exécution du contrat : contact@dumaissport.com.
