Conditions de traitement des données

Un club qui utilise Clubify pour gérer ses membres, ses équipes, ses documents et ses communications décide seul de ce qu'il collecte et pourquoi. Il est responsable du traitement. Clubify met à sa disposition l'outil qui héberge et fait fonctionner ces données, et agit à ce titre en qualité de sous-traitant.

Ces conditions décrivent ce que Clubify s'engage à faire et à ne pas faire de ces données. Elles sont acceptées par le club en même temps que les Conditions générales de vente et forment un tout avec elles.

Clubify agit en revanche en qualité de responsable du traitement pour ses propres traitements, notamment la gestion de son compte client, la facturation, la sécurité de la plateforme et sa relation commerciale. Ces traitements relèvent de la Politique de confidentialité et non des présentes conditions.

• Client : le club, l'association, la société ou l'entité qui souscrit au Service et détermine les finalités du traitement.
• Service : la plateforme Clubify et ses applications web, mobiles et de bureau.
• Données du Client : les données personnelles que le Client, ses membres ou ses utilisateurs déposent dans le Service ou qui y sont générées par leur usage.
• Personnes concernées : les personnes physiques auxquelles ces données se rapportent, notamment les membres du club, leurs représentants légaux, les encadrants et les utilisateurs invités.
• Sous-traitant ultérieur : un prestataire auquel Clubify confie une partie du traitement pour fournir le Service.

Objet et nature. Hébergement, stockage, organisation, consultation, mise à disposition, sauvegarde et suppression des Données du Client, aux seules fins de fournir le Service souscrit.

Finalité. Permettre au Client de gérer son activité : membres et effectifs, équipes et saisons, calendriers et présences, documents et contrats, communications internes, cotisations et finances, et les modules qu'il a activés.

Durée. Le traitement dure aussi longtemps que le contrat, augmenté des durées de conservation et d'archivage décrites à l'article 11.

Catégories de données. Selon les modules activés par le Client :

• données d'identification : nom, prénom, date de naissance, adresse e-mail, téléphone, photographie ;
• données de vie associative : fonctions, équipes, licences, présences, convocations, résultats sportifs ;
• documents et fichiers déposés par le Client dans le Drive, y compris contrats et pièces administratives ;
• données de communication : messages, notifications et leurs métadonnées ;
• données financières du club : cotisations, transactions, échéanciers ;
• données techniques strictement nécessaires : journaux de connexion, adresse IP, identifiants d'appareil.

Catégories de personnes concernées. Membres du club, encadrants et bénévoles, dirigeants, représentants légaux des membres mineurs, et personnes invitées par le Client.

Le Client reste seul juge de la pertinence des données qu'il dépose. Il lui appartient de ne pas enregistrer dans le Service des données qui ne seraient pas nécessaires à sa gestion, en particulier des données de santé en dehors des espaces expressément prévus à cet effet.

Clubify ne traite les Données du Client que sur instruction documentée de celui-ci. L'utilisation du Service, la configuration choisie par le Client et les présentes conditions constituent ces instructions.

Constituent en particulier des instructions documentées du Client, sans qu'une demande supplémentaire soit nécessaire :

• l'exécution des fonctionnalités du Service telles que le Client les configure et les utilise ;
• les opérations d'hébergement, de sauvegarde, de restauration et de supervision technique ;
• l'accès en lecture seule aux Données du Client par les personnels habilités de Clubify, aux fins d'assistance, de maintenance corrective, de sécurité et d'amélioration du Service ;
• les mesures nécessaires pour répondre à un incident de sécurité ou pour préserver l'intégrité de la plateforme.

Traçabilité de l'accès d'assistance. Chaque accès aux Données du Client par un personnel de Clubify est enregistré : identité de l'intervenant, date et heure, club concerné et motif de l'accès. Cet accès s'effectue en lecture seule et ne permet aucune modification des Données du Client. Ces journaux sont conservés douze mois. Le Client peut en obtenir l'extrait le concernant sur simple demande.

Si Clubify estime qu'une instruction du Client constitue une violation de la réglementation applicable, elle en informe le Client sans délai et peut suspendre l'exécution de cette instruction.

Clubify veille à ce que les personnes autorisées à traiter les Données du Client soient soumises à une obligation de confidentialité, contractuelle ou légale, et qu'elles reçoivent la formation nécessaire à la protection de ces données.

L'accès aux Données du Client est limité aux personnes qui en ont besoin pour exercer leurs fonctions, selon un principe de moindre privilège. Cette habilitation est revue lors de tout changement de fonction et retirée au départ de la personne.

Clubify met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du Règlement, compte tenu de l'état des connaissances, des coûts et de la nature du traitement.

Ces mesures comprennent notamment :

• le chiffrement des communications en transit et le chiffrement des sauvegardes ;
• un contrôle d'accès par rôle et par périmètre, cloisonnant les données de chaque club ;
• une authentification des utilisateurs et une gestion des sessions ;
• la journalisation des accès et des opérations sensibles ;
• des sauvegardes régulières et des tests de restauration ;
• une analyse antivirale des fichiers déposés dans le Service ;
• une veille sur les vulnérabilités affectant les composants utilisés.

Ces mesures évoluent avec le Service. Clubify peut les modifier à condition de ne pas diminuer le niveau de protection des Données du Client.

Le Client autorise Clubify à recourir aux sous-traitants ultérieurs recensés sur la page Sous-traitants, qui fait partie intégrante des présentes conditions. Chacun est lié par un contrat imposant des obligations de protection équivalentes à celles des présentes conditions.

Clubify informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins trente jours avant qu'il ne prenne effet. Le Client peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut d'accord, il peut résilier la partie du Service concernée sans pénalité.

Les personnes concernées exercent leurs droits auprès du Client, qui en est le destinataire naturel puisqu'il est responsable du traitement.

Clubify assiste le Client dans cette tâche par des fonctionnalités intégrées permettant de consulter, corriger, exporter et supprimer les données depuis le Service. Lorsque ces fonctionnalités ne suffisent pas, Clubify apporte une aide raisonnable dans un délai compatible avec celui imparti au Client.

Si une personne concernée s'adresse directement à Clubify, Clubify la renvoie vers le Client et en informe ce dernier sans délai injustifié, sans donner suite elle-même à la demande.

En cas de violation de données personnelles affectant les Données du Client, Clubify en informe le Client sans délai injustifié après en avoir pris connaissance, et au plus tard dans les quarante-huit heures.

Cette information comporte, dans la mesure des éléments disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées pour y remédier. Elle est complétée à mesure de l'avancement de l'analyse.

La notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées incombe au Client. Clubify lui fournit les éléments techniques nécessaires.

Clubify assiste également le Client, dans la limite des informations dont elle dispose, pour la réalisation d'une analyse d'impact relative à la protection des données et pour la consultation préalable de l'autorité de contrôle lorsqu'elles sont requises.

Les Données du Client sont hébergées au sein de l'Union européenne.

Certains sous-traitants ultérieurs listés à l'article 7 relèvent de sociétés établies hors de l'Union européenne. Lorsqu'un transfert est susceptible d'en résulter, il est encadré par les clauses contractuelles types adoptées par la Commission européenne ou par tout autre mécanisme reconnu comme offrant des garanties appropriées.

Clubify communique au Client, sur demande, les garanties mises en place pour un transfert donné.

À la fin du contrat, le Client dispose de trente jours pour exporter ses données depuis le Service.

Passé ce délai, Clubify supprime les Données du Client ou les anonymise, à l'exception des données que la loi lui impose de conserver, notamment les pièces comptables liées à la facturation, et des données présentes dans les sauvegardes.

Les sauvegardes suivent leur propre cycle et sont écrasées dans un délai de quatre-vingt-dix jours. Aucune restauration ciblée n'y est pratiquée pour extraire des données après la fin du contrat, sauf obligation légale.

Les durées de conservation applicables pendant la vie du contrat sont détaillées dans la Politique de confidentialité.

Clubify met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du Règlement, notamment la description des mesures de sécurité, la liste à jour des sous-traitants ultérieurs et l'extrait des journaux d'accès le concernant.

Le Client peut demander un audit une fois par période de douze mois, sauf incident de sécurité avéré. L'audit est réalisé sur pièces, à ses frais, moyennant un préavis raisonnable, aux heures ouvrées, et sans compromettre la sécurité ni la confidentialité des données des autres clients. Les parties conviennent des modalités avant sa réalisation.

Le Client garantit disposer d'une base légale pour les traitements qu'il met en œuvre, avoir informé les personnes concernées et recueilli, lorsque cela est nécessaire, leur consentement ou celui de leurs représentants légaux.

Le Client est responsable de la configuration des accès qu'il accorde au sein de son club, ainsi que de la pertinence et de l'exactitude des données qu'il enregistre.

Clubify répond de ses propres manquements aux présentes conditions et de ceux de ses sous-traitants ultérieurs, dans les limites prévues par les Conditions générales de vente.

Les présentes conditions produisent effet tant que Clubify traite des Données du Client et prennent fin avec l'exécution des obligations prévues à l'article 11.

Clubify peut les modifier pour tenir compte d'une évolution réglementaire, du Service ou de ses sous-traitants. Toute modification substantielle est portée à la connaissance du Client au moins trente jours avant son entrée en vigueur.

En cas de contradiction entre les présentes conditions et les Conditions générales de vente s'agissant du traitement des données personnelles, les présentes conditions prévalent.

La version française fait foi. Les autres versions linguistiques sont fournies à titre d'information.

Toute question relative aux présentes conditions peut être adressée via la page Contact.