Ce que dit la loi
- Une déclaration préalable à l'Instance nationale de protection des données à caractère personnel (INPDP), déposée à son siège contre récépissé ou envoyée par lettre recommandée avec accusé de réception (art. 7).
- Le transfert vers l'étranger suppose un pays au niveau de protection adéquat (art. 51) et, « dans tous les cas », l'autorisation de l'INPDP (art. 52), qui statue dans un délai d'un mois.
- Les données d'un enfant demandent le consentement de son tuteur et l'autorisation du juge de la famille (art. 28) ; une demande de transfert qui concerne un enfant est présentée au juge de la famille (art. 52).
- Les données de santé ne peuvent être traitées qu'avec le consentement exprès et écrit de la personne (art. 14), et par des médecins ou des personnes tenues au secret professionnel (art. 63).
- Le sous-traitant ne doit agir que dans les limites autorisées par le responsable du traitement (art. 20).
Les démarches de votre club
- Déclarez votre traitement à l'INPDP (art. 7), en joignant l'accord de sous-traitance de Paak et la fiche ci-dessous.
- Demandez l'autorisation du transfert vers la France, l'Allemagne et la Suisse (art. 52), avec les informations de la fiche.
- Pour les membres mineurs, recueillez le consentement de leur tuteur, et adressez la demande prévue par la loi au juge de la famille (art. 28 et 52).
- Informez vos membres avant de recueillir leurs données, y compris du pays vers lequel elles sont transférées.
Une condition que Paak ne remplit pas
L'article 22 de la loi demande que la personne qui traite les données et ses agents soient de nationalité tunisienne, résidents en Tunisie et sans antécédents judiciaires, et précise : « Ces conditions s'appliquent également au sous-traitant et à ses agents. » Emmara, qui exploite Paak depuis la Suisse, n'est ni de nationalité tunisienne ni résidente en Tunisie. Nous vous le disons avant que votre club ne s'engage, parce que cette question peut peser dans l'examen de vos démarches par l'INPDP. Un projet de loi organique (n° 095/2025) qui réformerait le régime était en examen à l'Assemblée en février 2026, selon la presse ; la loi de 2004 reste celle en vigueur.
Fiche d'hébergement à joindre
Ces informations décrivent où et comment Paak conserve les données de votre club. Reprenez-les dans votre déclaration et votre demande d'autorisation.
| Destinataire des données à l'étranger | Emmara by Cyrille Barraud, entreprise individuelle de droit suisse (IDE CHE-309.503.616), éditeur de Paak, St. Alban-Anlage 25, 4052 Bâle, Suisse. Rôle : sous-traitant, agit pour le compte du club. |
|---|---|
| Contact pour l'autorité et pour le club | contact@paak.club (questions sur l'hébergement, la sécurité, demande d'un exemplaire signé de l'accord de sous-traitance). |
| Hébergement | OVHcloud, centre de données de Gravelines (France) : application et base de données. |
| Sauvegardes | Une sauvegarde chiffrée par jour, conservée 30 jours, chez OVHcloud à Francfort (Allemagne). |
| Exploitation et assistance | Depuis la Suisse (Bâle). |
| Sous-traitants ultérieurs | OVHcloud (hébergement, France et Allemagne), Hanko (connexion des comptes du club, Allemagne), Brevo (envoi des emails, France). |
| Mesures de sécurité | Échanges chiffrés (TLS 1.2 ou plus récent) ; connexion sans mot de passe (passkeys, codes à usage unique) ; chaque requête limitée aux données du club ; documents déposés et textes pouvant révéler la santé chiffrés en AES-256-GCM ; sauvegardes chiffrées ; accès d'administration journalisés. |
| Durée de conservation | Tant que le club utilise Paak ; suppression dans les 90 jours après la résiliation, puis expiration des sauvegardes dans les 30 jours suivants. |
| Contrat | Accord de sous-traitance des données personnelles (à imprimer, ou exemplaire signé sur demande). |
Ce que fait Paak, ce qu'il ne fait pas
- Paak vous fournit l'accord de sous-traitance, cette fiche, et répond aux questions de l'INPDP sur l'hébergement et la sécurité : écrivez à contact@paak.club.
- En Tunisie, Paak n'enregistre que les dates de validité du certificat médical d'un membre, jamais le certificat lui-même.
- Paak n'enregistre aucun contenu de casier judiciaire, que la loi interdit de traiter (art. 13).
- Paak ne fait pas les démarches à la place de votre club et ne délivre aucune attestation de conformité.
Sources
Lue le 27 octobre 2026 : loi organique n° 2004-63 du 27 juillet 2004 (copie publiée par l'Institut National de la Statistique). Le site de l'INPDP fait foi pour les formulaires et les procédures. Cette page explique les règles ; elle n'est pas un avis juridique.
help.conformite.protection-donnees-tunisie