Accord de sous-traitance des données personnelles

Le présent accord (l'« Accord ») précise la manière dont Emmara traite, pour le compte d'un club, les données personnelles que ce club enregistre dans Paak. Il complète la section 5 des conditions générales d'utilisation et de service (les « Conditions ») et s'applique à tout club qui utilise Paak, sans autre formalité. Les termes définis dans les Conditions ont le même sens ici.

1. Les parties et leur rôle

• Le Club, l'organisation qui a créé son espace sur Paak, est le responsable du traitement des données de ses membres : il décide quelles données il enregistre et pourquoi.
• Emmara by Cyrille Barraud, entreprise individuelle de droit suisse (IDE CHE-309.503.616), St. Alban-Anlage 25, 4052 Bâle, Suisse, éditeur de Paak, est le sous-traitant : elle traite ces données pour le compte du Club, pour lui fournir le Service, et pour aucune autre fin.

2. Description du traitement

3. Instructions du Club

Emmara ne traite les données que sur les instructions documentées du Club. Ces instructions sont les Conditions, le présent Accord, ainsi que les actions et les réglages du Club dans l'application. Emmara n'utilise pas les données du Club pour son propre compte et ne les vend pas. Si une instruction lui paraît contraire au droit applicable, Emmara en informe le Club. Emmara ne communique les données à un tiers que si la loi l'y oblige, et en informe alors le Club sauf interdiction légale.

4. Confidentialité

Les personnes qu'Emmara autorise à accéder aux données, pour le support ou la maintenance et dans la seule mesure nécessaire, sont tenues à la confidentialité, y compris après la fin de leur mission. Ces accès sont journalisés.

5. Sécurité

Emmara met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :

• chiffrement des échanges (TLS 1.2 ou plus récent) ;
• authentification sans mot de passe (passkeys et codes à usage unique) ; accès d'administration journalisés et protégés par une authentification renforcée ;
• cloisonnement par club : chaque requête de l'application est limitée aux données du club de l'utilisateur ;
• chiffrement AES-256-GCM des documents déposés et, champ par champ, des textes libres pouvant révéler la santé (notes d'entraîneur, protocoles de commotion, incidents) ;
• sauvegarde quotidienne de la base de données, chiffrée, conservée 30 jours dans un autre centre de données que l'hébergement principal ;
• suppression automatique des données devenues inutiles (sessions de l'espace membre, codes à usage unique, documents expirés, selon la politique de confidentialité).

6. Sous-traitants ultérieurs

Le Club autorise Emmara à recourir aux sous-traitants ultérieurs ci-dessous. Emmara leur impose par contrat des obligations de protection des données équivalentes à celles du présent Accord et reste responsable envers le Club de leur respect.

Lorsqu'un club encaisse ses paiements sur son propre compte auprès d'un prestataire de paiement (Stripe, YouCan Pay ou un autre), ce prestataire agit sous le contrat que le Club a conclu lui-même avec lui ; il n'est pas un sous-traitant d'Emmara. Emmara informe le Club par email au moins 30 jours avant qu'un nouveau sous-traitant ultérieur ne traite ses données, sauf urgence de sécurité. Le Club peut s'y opposer en résiliant le Service.

7. Droits des personnes concernées

Les demandes des membres (accès, rectification, effacement, opposition, portabilité) relèvent du Club. L'application lui permet d'y répondre lui-même : consulter, corriger, exporter, archiver ou supprimer la fiche d'un membre. Une demande reçue par Emmara est transmise au Club sans délai. Emmara aide le Club, sur demande, lorsque l'application ne suffit pas.

8. Violation de données

Emmara informe le Club sans délai injustifié après avoir pris connaissance d'une violation de données le concernant, avec les informations dont elle dispose : nature de la violation, catégories et nombre approximatif de personnes et de données touchées, conséquences probables, mesures prises ou envisagées. Il appartient au Club, responsable du traitement, de notifier son autorité de contrôle et les personnes concernées lorsque la loi qui lui est applicable l'exige.

9. Assistance du Club

Emmara fournit au Club les informations dont il a besoin pour ses propres obligations : analyse d'impact, déclarations et demandes d'autorisation auprès de son autorité de protection des données. Pour les clubs du Maroc, de Tunisie et d'Algérie, une fiche d'hébergement à joindre à ces démarches figure dans le centre d'aide (rubrique Conformité). Emmara peut être désignée par le Club comme destinataire des données à l'étranger et répond aux questions de l'autorité sur l'hébergement et la sécurité. Emmara n'accomplit pas ces démarches à la place du Club.

10. Lieu du traitement et transferts

Les données sont hébergées en France (OVHcloud, Gravelines) ; les sauvegardes sont conservées en Allemagne (OVHcloud, Francfort) ; Paak est exploité et assisté depuis la Suisse. L'Union européenne et la Suisse se reconnaissent mutuellement un niveau de protection adéquat. Lorsque le Club est établi dans un autre pays, l'envoi de ces données en France, en Allemagne et en Suisse peut être, pour sa loi, un transfert à l'étranger soumis à une notification ou à une autorisation préalable. Ces démarches incombent au Club : au Maroc, la notification du transfert à la CNDP (la France, l'Allemagne et la Suisse figurent sur la liste de la délibération n° 236-2015 du 18 décembre 2015) ; en Tunisie, l'autorisation de l'INPDP (loi organique n° 2004-63, art. 52) ; en Algérie, l'autorisation de l'ANPDP (loi n° 18-07, art. 44).

11. Fin du Service

Avant de résilier, le Club peut exporter ses données depuis l'application. Après la résiliation, Emmara supprime les données du Club dans un délai de 90 jours ; les sauvegardes qui les contiennent encore expirent dans les 30 jours qui suivent. Emmara ne conserve au-delà que ce que la loi lui impose pour son propre compte, comme ses factures au Club.

12. Information et audit

Sur demande écrite du Club, Emmara met à sa disposition les informations nécessaires pour démontrer le respect du présent Accord. Un audit plus approfondi peut être convenu, au plus une fois par an sauf violation de données, avec un préavis de 30 jours, aux frais du Club et sans accès aux données des autres clubs.

13. Responsabilité, droit applicable et règles impératives

La responsabilité des parties suit la section 13 des Conditions. Le présent Accord est régi par le droit suisse, et les litiges suivent la section 15 des Conditions. Lorsque la loi de protection des données du pays du Club s'applique et contient une règle à laquelle un contrat ne peut déroger, cette règle l'emporte sur la clause correspondante du présent Accord.

14. Références légales

Voir aussi la politique de confidentialité.