Contrat de sous-traitance des données

Le sous-traitant héberge et traite les données des adhérents du club pour lui fournir le service Kombaly, pendant toute la durée de l'abonnement, gratuit ou payant.

Enregistrement, conservation, consultation, modification et suppression des données, dans le seul but de permettre au club de gérer ses membres : fiches, grades, présences, documents, cotisations, compétitions et espace adhérents.

• Personnes : adhérents du club (dont des mineurs), leurs responsables légaux et contacts d'urgence, coachs.
• Données : identité, photo, date de naissance, coordonnées, grades, présences, cotisations et paiements, documents (licences, autorisations, certificats médicaux), poids et palmarès des compétiteurs.
• Données sensibles : les certificats médicaux et les informations de santé transmises avec consentement (blessures, asthme…) sont des données de santé.

• Traiter les données uniquement sur instruction du club, c'est-à-dire pour faire fonctionner Kombaly. Si une instruction lui semble contraire au RGPD, il en informe le club.
• Ne jamais utiliser les données à d'autres fins, ni les vendre, ni les communiquer à des tiers non listés ci-dessous.
• Garantir la confidentialité : seules les personnes qui en ont besoin pour le support ou la sécurité peuvent y accéder, et elles y sont tenues.
• Protéger les données (article 32 du RGPD) : connexion chiffrée, cloisonnement de chaque club imposé par la base de données et vérifié par des tests automatiques, documents dans un espace privé, sauvegardes.
• Aider le club à répondre aux demandes des adhérents (accès, rectification, effacement…) et à ses propres obligations (sécurité, analyse d'impact).
• Prévenir le club de toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après l'avoir découverte, avec les informations utiles pour la déclarer à la CNIL.
• Tenir à la disposition du club les informations nécessaires pour vérifier le respect de ce contrat.

Le club autorise le recours aux prestataires suivants :

• Supabase, Inc. : base de données, comptes et stockage des fichiers. Données stockées dans l'Union européenne (région Paris, France).
• Vercel Inc. : hébergement et affichage de l'application. Serveurs d'exécution en région Paris ; réseau de diffusion mondial.
• Resend, Inc. : envoi des e-mails (rappels du lundi aux responsables de club). Envois depuis l'Union européenne (région Irlande).

Ils sont tenus aux mêmes obligations de protection. Tout ajout ou remplacement est annoncé au club au moins 30 jours à l'avance ; le club peut s'y opposer en résiliant son abonnement. Les éventuels transferts hors de l'Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne.

• Disposer d'une base légale pour chaque donnée saisie, et ne saisir que les données utiles à la vie du club.
• Informer ses adhérents (et les parents des mineurs) de l'utilisation de Kombaly.
• Gérer les accès : ne valider une demande d'adhérent ou de parent qu'après avoir vérifié l'identité du demandeur.

À la fermeture de l'espace club, le sous-traitant fournit sur demande une copie des données, puis les supprime sous 30 jours, y compris des sauvegardes lors de leur rotation, sauf obligation légale de conservation.