Contrat de sous-traitance des données

1. Parties et objet

Le Club utilisant Resafit (responsable du traitement) confie à l'Éditeur de Resafit, Alexandre Gernez, entrepreneur individuel, SIRET 948 234 802 00015 (sous-traitant), le traitement des données personnelles nécessaire au fonctionnement du logiciel, pour la durée de l'utilisation de Resafit par le Club.

2. Nature et finalités du traitement

Hébergement, stockage, consultation, calcul et transmission des données, aux seules fins de fournir au Club les fonctions de Resafit : comptes des adhérents, réservations, formules, contrats, paiements et factures, notifications et e-mails, suivi sportif et bilans, avis, communication avec les adhérents.

3. Données et personnes concernées

• Personnes : adhérents et prospects du Club (dont mineurs avec l'accord de leur représentant légal), représentants légaux, membres de l'équipe du Club.
• Données : identité et coordonnées, date de naissance, photo, réservations et présences, formules, contrats signés et preuves de signature, paiements et factures (l'IBAN est conservé par Stripe), avis, préférences de notification.
• Données de santé (article 9) : résultats du bilan de forme, mesures et dispenses, recueillies uniquement avec l'accord explicite de l'adhérent, retirable à tout moment ; le questionnaire de santé n'est jamais conservé (seuls sa date et, avec accord, son résultat). Ces données ne relèvent pas d'une prise en charge sanitaire : leur hébergement n'est pas soumis à la certification « hébergeur de données de santé ».

4. Engagements du sous-traitant

• Traiter les données uniquement sur instruction documentée du Club, matérialisée par l'utilisation qu'il fait de Resafit et ses réglages, et l'informer si une instruction lui paraît contraire à la réglementation.
• Garantir la confidentialité : seules les personnes habilitées de l'Éditeur, tenues au secret, accèdent aux données, et uniquement pour les besoins du service ou à la demande du Club.
• Assurer la sécurité (article 32) : connexions chiffrées, données de chaque club séparées et protégées par des règles d'accès vérifiées par des tests, droits limités selon le rôle (gérant, coach, adhérent), journal des encaissements scellé, sauvegardes, hébergement dans l'Union européenne.
• Aider le Club à répondre aux demandes des personnes (accès, rectification, effacement, portabilité, opposition), notamment par les outils de l'application (fiche adhérent, export, suppression de compte).
• Aider le Club à garantir la sécurité, à analyser l'impact des traitements et, le cas échéant, à consulter la CNIL (articles 32 à 36).
• Notifier au Club toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre déclaration.
• Au terme du contrat, restituer les données au Club (exports) puis les supprimer sous 90 jours, sauf obligation légale de conservation (factures et journal des encaissements : 6 ans).
• Tenir à la disposition du Club les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits raisonnables, après un préavis de 30 jours.
• Tenir le registre des traitements effectués pour le compte du Club.

5. Sous-traitants ultérieurs

Le Club autorise le recours aux prestataires suivants, chacun tenu par des engagements de protection équivalents :

• Google Cloud / Firebase (Google Ireland Ltd) : hébergement, base de données et fichiers, région Europe (Belgique et zone multi-régions européenne) ;
• Brevo (Sendinblue SAS, France) : envoi des e-mails ;
• Stripe Payments Europe Ltd (Irlande) : paiements en ligne et prélèvements, sur le compte Stripe du Club ;
• Google Maps Platform : affichage de la note et des avis publics Google du Club.

L'Éditeur informe le Club de tout ajout ou remplacement d'un prestataire au moins 30 jours à l'avance ; le Club peut s'y opposer en mettant fin au contrat. Lorsqu'un prestataire transfère des données hors de l'Union européenne, ce transfert est encadré par les garanties prévues par le RGPD (décision d'adéquation ou clauses contractuelles types).

6. Engagements du Club

Le Club informe ses adhérents (politique de confidentialité), dispose d'une base légale pour chaque traitement, recueille les accords nécessaires (données de santé, image, mineurs) par les parcours prévus dans l'application, et documente ses propres traitements.