Contrat de sous-traitance des données

Projet non relu par un juriste. Ce texte décrit fidèlement ce que fait le service. Il n'engage Webmind Sàrl qu'après relecture juridique et signature.

Qui est qui

Le club est responsable du traitement. Il décide des données qu'il collecte, des personnes auxquelles il les montre et de la durée pendant laquelle il les garde.

Webmind Sàrl, siège c/o Fiduciaire Chavaz SA, Rue Jacques-Grosselin 8, 1227 Carouge GE, numéro CHE-229.962.263, est sous-traitant. Elle héberge et fait fonctionner rinkala.com. Elle ne traite les données du club que sur instruction de celui-ci, et ne les exploite jamais pour son propre compte.

Le présent contrat vaut convention au sens de l'article 28 du règlement européen 2016/679 pour les clubs établis dans l'Union, et au sens de l'article 9 de la loi fédérale sur la protection des données pour les clubs suisses.

Ce qui est traité, et pourquoi

Finalités. Gestion des adhésions et des licences, organisation sportive, suivi des présences, prêt de matériel, encaissement des cotisations et comptabilité, communication avec les membres, organisation du bénévolat, publication de contenus choisis par le club, tenue des réunions, journalisation et sécurité.

Catégories de personnes. Licenciés, dont des mineurs. Responsables légaux. Membres du comité et de l'encadrement. Bénévoles. Partenaires et donateurs.

Catégories de données. Identité, date de naissance, coordonnées, foyer et lien de responsabilité légale, catégorie et équipe, présences, pièces justificatives, montants dus et versés, consentements, photographies lorsque le club en publie, et suivi des retours au jeu après commotion.

Données sensibles. Le service permet de consigner qu'une personne suit un protocole de retour au jeu après commotion. C'est une donnée de santé. Le club décide de l'utiliser ou non ; s'il l'utilise, elle n'est visible que de l'encadrement et du foyer concerné.

Durée. Le contrat court tant que le club utilise le service.

Ce que Webmind Sàrl s'engage à faire

N'agir que sur instruction. Aucun traitement des données du club en dehors de ce que le service exécute pour lui. Aucune revente, aucune location, aucune cession. Aucun entraînement de modèle, aucune analyse commerciale sur les données d'un club.

Tenir la confidentialité. Les personnes qui accèdent aux données y sont tenues. L'accès technique aux données d'un club est réservé à l'administration du service, tracé, et limité à ce qu'exige le dépannage.

Assurer la sécurité. Chaque donnée porte le club auquel elle appartient, et la base refuse de la servir à un autre. Ce cloisonnement est imposé sous l'application, non par elle : une erreur de programmation ne peut pas l'ouvrir. Les secrets d'un club, clés de paiement, connexions externes, sont chiffrés et nommés d'après le club, de sorte qu'aucun autre ne peut les désigner. Les modifications sensibles sont journalisées. Les mots de passe ne sont jamais conservés en clair.

Ne recourir qu'aux sous-traitants ultérieurs listés ci-dessous. Toute addition est annoncée au club avant sa mise en œuvre, et le club peut s'y opposer.

Assister le club pour répondre aux demandes d'accès, de rectification, d'effacement, d'opposition et de portabilité. Le service comporte les fonctions d'export et d'effacement nécessaires ; le club les actionne lui-même, Webmind Sàrl intervient s'il le demande.

Signaler toute violation de données au club sans délai injustifié et au plus tard dans les quarante-huit heures suivant sa découverte, avec ce qui est connu de sa nature, de son étendue et des mesures prises.

Assister le club dans une analyse d'impact si son autorité de contrôle en exige une.

Rendre les données à la fin. Le club récupère l'ensemble dans un format exploitable ailleurs. À sa demande, tout est ensuite effacé, fichiers compris, sauf ce qu'une obligation légale impose de conserver.

Mettre à disposition ce qui permet de vérifier. Documentation, description des mesures de sécurité, et réponse aux questions écrites du club ou de son autorité de contrôle.

Ce que le club s'engage à faire

Déterminer les finalités et ne pas détourner l'outil de ce à quoi il sert. Recueillir les consentements nécessaires, notamment pour la publication de photographies. Tenir son registre des traitements, le service en fournit un pré-rempli, qu'il appartient au club de vérifier. Informer ses membres. Vérifier et adapter les durées de conservation proposées par défaut. Ne donner les accès qu'aux personnes qui en ont besoin, et les retirer quand elles cessent leurs fonctions. Signaler sans délai toute violation qu'il constate de son côté.

Où vivent les données

Le site et l'application sont hébergés par Lovable Labs AB, Regeringsgatan 25, 111 53 Stockholm, Suède.

Les données des clubs, elles, résident chez Supabase, région de Francfort-sur-le-Main, Allemagne. Elles ne transitent par l'hébergeur que le temps de s'afficher dans le navigateur.

Dans le fonctionnement courant du service, les données ne quittent pas l'Espace économique européen.

Sous-traitants ultérieurs

Les cotisations ne transitent jamais par Webmind Sàrl. Le club encaisse sur son propre compte, et l'éditeur ne touche aucune part des sommes versées par les familles.

Stripe traite certaines données hors de l'Espace économique européen. Ce transfert repose sur les clauses contractuelles types de la Commission européenne. Un club qui ne souhaite pas y recourir peut renoncer au paiement en ligne sans perdre l'usage du reste du service.

Durées de conservation par défaut

Pièces comptables : dix ans, durée légale à laquelle un club ne peut pas déroger. Personne sans licence depuis trois saisons : suppression. Session d'outil public non réclamée : trente jours. Prospect sans contact pendant trois ans : suppression.

Ces durées sont des réglages du club. Il peut les raccourcir. Il ne peut pas allonger la première sans motif.

Fin du contrat

Le club peut partir à tout moment. Il récupère ses données avant son départ. L'effacement intervient à sa demande, ou au plus tard douze mois après la fin de l'abonnement, sauf obligation légale de conservation.

Modifications

Toute modification substantielle est annoncée au club avant son entrée en vigueur. Le club qui la refuse peut mettre fin au contrat sans pénalité.

Contact

contact@rinkala.com