Annexe Protection des Données

Préambule

La présente Annexe Protection des Données, ci-après l’« Annexe », complète le Contrat d’abonnement NexSport conclu entre NexSport et le Club.

Elle a pour objet d’encadrer, conformément à l’article 28 du Règlement (UE) 2016/679, les traitements de données à caractère personnel réalisés par NexSport pour le compte du Club dans le cadre de la fourniture de la Plateforme et des Services souscrits.

Pour ces traitements, le Club agit en qualité de responsable du traitement et NexSport en qualité de sous-traitant.

L’Annexe fait partie intégrante des Documents contractuels. En cas de contradiction avec le Contrat, elle prévaut uniquement pour les traitements de données à caractère personnel qu’elle encadre. 

1. Objet, portée et définitions

1.1 Objet et portée

La présente Annexe encadre les traitements de données à caractère personnel réalisés par NexSport pour le compte du Club afin de fournir, exploiter, maintenir et sécuriser la Plateforme et les Services souscrits.

Elle s’applique uniquement aux traitements pour lesquels le Club détermine les finalités et les moyens essentiels et pour lesquels NexSport agit en qualité de sous-traitant.

Elle ne s’applique pas aux traitements réalisés par NexSport en qualité de responsable du traitement pour ses propres besoins, notamment la gestion de la relation commerciale, de la facturation, des comptes utilisateurs, de la sécurité de ses services et de ses obligations légales. Ces traitements sont décrits dans la Politique de Confidentialité.

1.2 Instructions documentées du Club

NexSport traite les données personnelles uniquement sur instruction documentée du Club, y compris en ce qui concerne leur éventuel transfert vers un pays tiers.

Constituent notamment des instructions documentées le Contrat, le Devis, la présente Annexe, les paramétrages effectués par le Club dans la Plateforme ainsi que les demandes écrites adressées à NexSport.

Lorsque NexSport estime qu’une instruction enfreint la réglementation applicable, il en informe le Club dans les meilleurs délais et peut suspendre son exécution dans l’attente de sa modification ou de sa confirmation, sauf interdiction légale d’en informer le Club.

1.3 Définitions

Pour l’application de la présente Annexe, les termes suivants ont la signification indiquée ci-dessous :

Données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable.

Traitement : toute opération ou tout ensemble d’opérations portant sur des Données personnelles, notamment leur collecte, enregistrement, organisation, consultation, modification, transmission, conservation, restitution, effacement ou destruction.

Responsable du traitement : personne qui détermine les finalités et les moyens essentiels d’un Traitement. Dans le cadre de la présente Annexe, le Club agit en cette qualité.

Sous-traitant : personne qui traite des Données personnelles pour le compte du Responsable du traitement. Dans le cadre de la présente Annexe, NexSport agit en cette qualité.

Sous-traitant ultérieur : prestataire auquel NexSport confie tout ou partie d’un Traitement réalisé pour le compte du Club.

Violation de données personnelles : violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération ou la divulgation non autorisée de Données personnelles, ou l’accès non autorisé à celles-ci.

Réglementation applicable : le Règlement (UE) 2016/679, la loi française Informatique et Libertés modifiée ainsi que les autres dispositions applicables en matière de protection des données personnelles.

2. Description des traitements

2.1 Objet et durée

NexSport est autorisé à traiter, pour le compte du Club, les Données personnelles nécessaires à la fourniture, à l’exploitation, à la maintenance et à la sécurisation de la Plateforme et des Services souscrits.

Ces Traitements sont réalisés pendant la durée du Contrat et, après sa fin, pendant la période nécessaire à la restitution ou à la suppression des données dans les conditions prévues par la présente Annexe.

2.2 Nature des opérations réalisées

Les opérations réalisées par NexSport peuvent comprendre :

• la collecte ou l’importation des données transmises par le Club ;
• leur enregistrement, leur organisation et leur conservation ;
• leur consultation et leur utilisation par les personnes autorisées ;
• leur modification, leur mise à jour et leur extraction ;
• leur sauvegarde et leur restauration ;
• leur restitution, leur export, leur effacement ou leur destruction.

2.3 Finalités des traitements

Les Données personnelles sont traitées afin de permettre au Club, selon les Services souscrits :

• de gérer ses membres, licenciés, équipes et responsables légaux ;
• de suivre les adhésions, licences et dossiers administratifs ;
• d’organiser ses compétitions et autres activités ;
• de gérer les rôles, habilitations et affectations de ses dirigeants, encadrants, officiels et bénévoles ;
• d’organiser les désignations et missions nécessaires au déroulement des activités sportives ;
• de gérer les dotations, équipements et informations logistiques ;
• de gérer les demandes, disponibilités et affectations de véhicules ;
• de faciliter la communication et l’organisation interne du Club.

2.4 Personnes concernées

Les personnes concernées peuvent être :

• les membres du Club ;
• les dirigeants, salariés et Gestionnaires du Club ;
• les entraîneurs, officiels et arbitres ;
• les bénévoles et autres personnes participant aux activités du Club ;
• les représentants légaux des membres mineurs ;
• les Utilisateurs autorisés à accéder à l’espace du Club.

2.5 Catégories de données traitées

Selon les Services utilisés et les informations renseignées par le Club, les Données personnelles traitées peuvent comprendre :

• les données d’identité et d’état civil, notamment les nom, prénom, date et lieu de naissance et genre ;
• les coordonnées, notamment les adresses postale et électronique et les numéros de téléphone ;
• les informations relatives au rattachement au Club, à l’équipe, à la catégorie, au rôle et aux habilitations ;
• les informations relatives aux adhésions, renouvellements et dossiers administratifs ;
• les informations relatives aux activités, affectations et désignations ;
• les informations relatives aux représentants légaux des mineurs ;
• les tailles, dotations et informations nécessaires à la gestion des équipements ;
• les informations nécessaires à la gestion des demandes et affectations de véhicules ;
• les documents, commentaires et pièces jointes enregistrés par le Club dans la Plateforme.

La Plateforme n’est pas destinée à recevoir des données sensibles au sens de l’article 9 du RGPD, des données relatives aux condamnations pénales ou des documents médicaux. Tout traitement futur de telles données devra faire l’objet d’un encadrement contractuel et de mesures de protection adaptés.

3. Obligations du Club

3.1 Licéité des traitements

Le Club demeure responsable des Traitements réalisés au moyen de la Plateforme. Il détermine leurs finalités et leurs moyens essentiels et veille à ce qu’ils reposent sur une base légale appropriée.

Il s’assure notamment que les personnes concernées sont correctement informées et que leur consentement est recueilli lorsque celui-ci est nécessaire.

3.2 Données confiées à NexSport

Le Club veille à ce que les Données personnelles enregistrées dans la Plateforme soient collectées licitement, exactes, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies.

Il procède à leur mise à jour, à leur rectification ou à leur suppression lorsque cela est nécessaire.

Le Club ne confie pas à NexSport de catégories de données exclues du périmètre défini par la présente Annexe, sauf accord préalable entre les Parties et mise en place des garanties appropriées.

3.3 Gestion des accès

Le Club attribue l’accès aux Données personnelles uniquement aux Utilisateurs qui en ont besoin dans le cadre de leurs fonctions.

Il veille à l’adéquation des rôles et autorisations accordés, ainsi qu’à la modification ou à la suppression des accès lorsqu’ils ne sont plus nécessaires.

3.4 Instructions et coopération

Le Club fournit à NexSport des instructions licites, précises et conformes à la Réglementation applicable.

Il communique à NexSport les informations raisonnablement nécessaires à l’exécution de la présente Annexe et coopère avec celui-ci pour répondre aux demandes des personnes concernées, gérer les incidents et accomplir les formalités qui lui incombent en qualité de Responsable du traitement.

4. Obligations de NexSport

4.1 Respect des instructions

NexSport traite les Données personnelles conformément aux instructions documentées du Club et uniquement dans la mesure nécessaire à la fourniture des Services.

NexSport n’utilise pas les Données personnelles confiées par le Club pour ses propres finalités.

Lorsque le droit de l’Union européenne ou le droit français impose à NexSport de traiter des Données personnelles en dehors des instructions du Club, NexSport en informe préalablement celui-ci, sauf si la loi interdit une telle information.

4.2 Confidentialité

NexSport veille à ce que les personnes autorisées à traiter les Données personnelles soient soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire à l’exercice de leurs missions.

Il sensibilise ces personnes aux règles applicables en matière de protection des données personnelles.

4.3 Conformité et coopération

NexSport respecte les obligations qui lui incombent en qualité de Sous-traitant et tient un registre des catégories d’activités de Traitement réalisées pour le compte de ses clients lorsque la Réglementation applicable l’exige.

Il coopère avec le Club pour lui permettre de respecter ses propres obligations, dans les conditions précisées par la présente Annexe.

4.4 Information du Club

NexSport informe le Club dans les meilleurs délais de toute difficulté susceptible d’affecter substantiellement l’exécution de la présente Annexe ou la protection des Données personnelles confiées.

Les obligations détaillées de NexSport concernant la sécurité, les violations de données, les Sous-traitants ultérieurs, l’assistance et les audits sont définies dans les sections suivantes.

5. Sécurité et violations de données

5.1 Mesures de sécurité

NexSport met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques présentés par les Traitements.

Ces mesures comprennent notamment :

• le contrôle des accès et la gestion des habilitations ;
• l’utilisation de comptes individuels ;
• la sécurisation des communications ;
• la séparation des données des différents Clubs ;
• la journalisation des événements techniques et de sécurité ;
• la réalisation de sauvegardes ;
• la mise à jour et la surveillance des systèmes ;
• des procédures de restauration et de gestion des incidents.

Ces mesures sont régulièrement réévaluées et peuvent évoluer en fonction des risques, des techniques disponibles et de l’évolution de la Plateforme.

5.2 Gestion des incidents

NexSport met en œuvre les moyens nécessaires pour détecter, analyser et traiter les incidents susceptibles d’affecter la confidentialité, l’intégrité ou la disponibilité des Données personnelles.

Le Club informe NexSport dans les meilleurs délais de tout incident, accès non autorisé ou utilisation anormale dont il aurait connaissance et lui communique les informations utiles à son traitement.

5.3 Notification des violations

En cas de Violation de données personnelles concernant les données traitées pour le compte du Club, NexSport en informe celui-ci sans délai indu après en avoir pris connaissance.

La notification précise, dans la mesure des informations disponibles :

• la nature de la Violation ;
• les catégories de données et de personnes concernées ;
• les conséquences probables ;
• les mesures prises ou envisagées pour y remédier et en limiter les effets.

Lorsque toutes les informations ne sont pas disponibles immédiatement, elles peuvent être communiquées progressivement.

5.4 Coopération

NexSport coopère avec le Club afin de lui permettre d’évaluer la Violation et de respecter ses obligations de notification à l’autorité de contrôle et, le cas échéant, d’information des personnes concernées.

NexSport ne procède à aucune notification au nom du Club sans instruction de celui-ci, sauf obligation légale contraire.

6. Sous-traitants ultérieurs et transferts

6.1 Autorisation générale

Le Club autorise NexSport à recourir aux Sous-traitants ultérieurs nécessaires à la fourniture des Services.

NexSport impose à chaque Sous-traitant ultérieur des obligations de protection des données équivalentes à celles prévues par la présente Annexe et demeure responsable à l’égard du Club de l’exécution de ces obligations.

6.2 Sous-traitants ultérieurs autorisés

À la date d’entrée en vigueur de la présente Annexe, NexSport fait appel aux Sous-traitants ultérieurs suivants :

6.3 Modification de la liste

NexSport informe le Club par écrit de tout ajout ou remplacement prévu d’un Sous-traitant ultérieur.

Le Club peut formuler une objection motivée par des raisons légitimes relatives à la protection des Données personnelles dans un délai de quinze jours suivant cette information.

Les Parties recherchent alors une solution raisonnable. Lorsqu’aucune solution ne peut être trouvée et que le recours au Sous-traitant ultérieur est nécessaire à la fourniture des Services concernés, le Club peut mettre fin à ces Services avant le début du Traitement par ce prestataire.

6.4 Transferts de données

NexSport veille à ce que les Données personnelles soient traitées au sein de l’Espace économique européen ou dans un pays reconnu comme assurant un niveau de protection adéquat.

Lorsqu’un transfert vers un autre pays est nécessaire, NexSport s’assure qu’il repose sur l’un des mécanismes prévus par la Réglementation applicable, notamment des clauses contractuelles types adoptées par la Commission européenne, et met en œuvre les garanties complémentaires appropriées lorsque celles-ci sont nécessaires.

7. Assistance au Club et exercice des droits

7.1 Demandes des personnes concernées

Le Club demeure responsable du traitement des demandes d’exercice des droits des personnes concernées.

Lorsqu’une telle demande est adressée directement à NexSport, celui-ci la transmet au Club dans les meilleurs délais et ne répond pas directement à la personne concernée, sauf instruction du Club ou obligation légale contraire.

7.2 Assistance de NexSport

Compte tenu de la nature des Traitements, NexSport fournit au Club l’assistance raisonnablement nécessaire pour répondre aux demandes d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité.

Cette assistance peut notamment prendre la forme de la mise à disposition des fonctionnalités de la Plateforme, d’extractions de données ou d’interventions techniques lorsque le Club ne peut pas réaliser lui-même l’opération demandée.

7.3 Analyses d’impact et autorité de contrôle

NexSport assiste le Club, dans la mesure des informations dont il dispose, pour la réalisation d’une analyse d’impact relative à la protection des données et, le cas échéant, pour une consultation préalable de l’autorité de contrôle.

Il communique également au Club les informations raisonnablement nécessaires à sa coopération avec l’autorité compétente.

7.4 Modalités de l’assistance

Le Club adresse ses demandes d’assistance au moyen des canaux de support mis à sa disposition et fournit les informations nécessaires à leur traitement.

Les demandes exceptionnelles nécessitant une intervention importante, un développement spécifique ou des opérations dépassant l’assistance normalement incluse dans les Services peuvent faire l’objet d’un devis préalable.

8. Documentation et audits

8.1 Documentation de conformité

NexSport met à la disposition du Club les informations raisonnablement nécessaires pour démontrer le respect de ses obligations au titre de la présente Annexe.

Cette documentation peut notamment comprendre les informations relatives aux mesures de sécurité, aux Sous-traitants ultérieurs, à la gestion des incidents et aux activités de Traitement réalisées pour le compte du Club.

8.2 Demandes d’information

Le Club peut adresser à NexSport toute demande raisonnable portant sur le respect de la présente Annexe.

NexSport y répond dans un délai raisonnable, compte tenu de la nature et de la complexité de la demande.

8.3 Audits

Le Club peut réaliser, ou faire réaliser par un tiers indépendant soumis à une obligation de confidentialité, un audit portant sur le respect de la présente Annexe.

L’audit doit être précédé d’un préavis écrit raisonnable, être réalisé pendant les heures habituelles d’activité et ne pas perturber de manière excessive le fonctionnement des Services ou l’activité de NexSport.

Avant tout audit sur place, NexSport peut proposer la communication de documents, réponses écrites, rapports ou attestations permettant de répondre à la demande du Club.

8.4 Limites et frais

Les audits sont limités aux systèmes, informations et Traitements concernant le Club. Ils ne peuvent compromettre la sécurité de la Plateforme, la confidentialité des informations de NexSport ni les données d’autres clients.

Les frais de l’audit sont supportés par le Club, sauf lorsqu’il révèle un manquement substantiel de NexSport à ses obligations.

9. Durée, restitution et suppression

9.1 Durée

La présente Annexe prend effet en même temps que le Contrat et demeure applicable pendant toute sa durée ainsi que, après sa fin, aussi longtemps que NexSport traite des Données personnelles pour le compte du Club.

9.2 Restitution des données

À la fin du Contrat, NexSport, selon le choix du Club, restitue les Données personnelles puis les supprime, ou procède directement à leur suppression. Le Club dispose d’un délai de trente jours pour demander leur restitution.

Le Club demeure responsable de la récupération et de la conservation de cet export.

9.3 Suppression des données

À l’issue du délai de trente jours suivant la fin du Contrat, NexSport supprime les Données personnelles traitées pour le compte du Club, sauf instruction de restitution encore en cours d’exécution ou obligation légale imposant leur conservation.

Le Club peut également demander leur suppression avant l’expiration de ce délai lorsqu’aucune restitution supplémentaire n’est nécessaire.

9.4 Sauvegardes et conservation légale

Les Données personnelles supprimées peuvent subsister temporairement dans les sauvegardes sécurisées jusqu’à leur rotation normale. Pendant cette période, elles ne sont pas restaurées ni utilisées, sauf en cas de nécessité liée à la continuité du service, à la sécurité ou au respect d’une obligation légale.

Lorsque NexSport est tenu de conserver certaines données en application du droit de l’Union européenne ou du droit français, celles-ci sont isolées, protégées et conservées uniquement pendant la durée imposée.

9.5 Confirmation

À la demande raisonnable du Club, NexSport confirme par écrit la restitution ou la suppression des Données personnelles concernées.