Accord de sous-traitance des données personnelles

Entre les soussignés

Le Club, utilisateur d'une offre payante Allpitch, agissant en qualité de responsable de traitement pour les données de ses joueurs, de leurs représentants légaux et de ses coachs/dirigeants (ci-après « le Responsable de traitement »),

Et Allpitch, éditeur de la plateforme Allpitch, agissant en qualité de sous-traitant au sens de l'article 28 du RGPD (ci-après « le Sous-traitant »), il est convenu ce qui suit, en application de l'article 28 du Règlement (UE) 2016/679 (RGPD).

Article 1 — Objet

Le présent accord encadre les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données à caractère personnel nécessaires à la fourniture du service Allpitch souscrit par le Club.

Article 2 — Nature, finalité et durée du traitement

Le Sous-traitant héberge, stocke et traite les données afin de permettre la gestion d'effectif, de calendrier, de présences, de convocations, la messagerie interne, le suivi statistique, et, sur consentement distinct des personnes concernées ou de leur représentant légal, la fonctionnalité de visibilité scouting. Le traitement est effectué pendant toute la durée de l'abonnement du Club, augmentée d'une période de conservation de 90 jours après résiliation, sauf demande de suppression ou de restitution anticipée du Responsable de traitement.

Article 3 — Catégories de personnes concernées et de données

Personnes concernées : joueurs (y compris mineurs), parents ou représentants légaux, coachs et dirigeants du Club.

Catégories de données : identité (nom, prénom, date de naissance ou catégorie d'âge), coordonnées (e-mail), données sportives (poste, statistiques, présences, statut de disponibilité), contenus de messagerie interne, et, le cas échéant, statut de consentement à la visibilité scouting.

Article 4 — Obligations du Sous-traitant

• Ne traiter les données que sur instruction documentée du Responsable de traitement, y compris pour les transferts hors Union européenne, sauf obligation légale contraire.
• Garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.
• Mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité des données (chiffrement des mots de passe, cloisonnement des accès par équipe et par rôle).
• N'avoir recours à un autre sous-traitant qu'avec l'autorisation préalable, écrite, générale ou spécifique, du Responsable de traitement, et lui répercuter les mêmes obligations de protection des données.
• Assister le Responsable de traitement pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, opposition, portabilité).
• Notifier au Responsable de traitement toute violation de données à caractère personnel dans un délai maximal de 48 heures après en avoir eu connaissance.
• Supprimer ou restituer, au choix du Responsable de traitement, l'ensemble des données à caractère personnel à l'issue de la prestation, sauf obligation légale de conservation.
• Mettre à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d'un audit raisonnable, sur demande motivée et avec un préavis raisonnable.

Article 5 — Sous-traitants ultérieurs

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs suivants :

• Supabase — hébergement de la base de données et authentification (Union européenne, Irlande)
• Netlify, Inc. — hébergement de l'application web (États-Unis)
• Resend — envoi des e-mails transactionnels de rappel de convocation (États-Unis)

Le Sous-traitant informe le Responsable de traitement de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, lui donnant la possibilité d'émettre des objections.

Article 6 — Transferts hors Union européenne

Pour les sous-traitants ultérieurs situés hors de l'Union européenne, le Sous-traitant met en place les garanties appropriées requises par le RGPD (notamment des clauses contractuelles types de la Commission européenne).

Article 7 — Répartition des responsabilités

Le Responsable de traitement demeure seul responsable de la licéité des traitements qu'il confie au Sous-traitant et des instructions qu'il lui donne. Le Sous-traitant est responsable des dommages résultant d'un manquement à ses obligations propres au titre du présent accord ou d'un traitement effectué en dehors des instructions licites du Responsable de traitement ou contrairement à celles-ci.

Article 8 — Durée et sort des données

Le présent accord s'applique pendant toute la durée de l'abonnement du Club. À l'issue de celui-ci, les dispositions de l'article 2 relatives à la conservation et à la suppression des données s'appliquent.

Article 9 — Contact

Pour toute question relative au présent accord : allpitch.contact@gmail.com.