Accord de Traitement des Données

1. Objet et durée

Le présent Accord de Traitement des Données (« ATD ») définit les conditions dans lesquelles Operf, en tant que sous-traitant au sens de l'article 28 du RGPD, traite des données à caractère personnel pour le compte du Client, en tant que responsable du traitement.

Le présent ATD entre en vigueur à la date de création du compte et reste applicable pendant toute la durée de la relation contractuelle, puis jusqu'à la suppression complète des données conformément à l'article 8.

2. Nature et finalité du traitement

Operf traite les données à caractère personnel strictement dans le but de fournir le Service décrit dans les Conditions Générales d'Utilisation, notamment la gestion des données relatives aux joueurs, contacts et utilisateurs du Client dans le cadre de l'utilisation de la plateforme.

Operf ne traite pas les Données Joueurs à d'autres fins que la fourniture du Service.

3. Type de données traitées

Données des utilisateurs de l'Organisation

Données d'identité et de contact nécessaires à la gestion des accès (nom, e-mail, rôle).

Données Joueurs (saisies par le Client)

Toute donnée relative aux joueurs saisie par le Client dans la plateforme, pouvant inclure des informations d'identité, sportives, et le cas échéant des informations relatives à l'état physique des joueurs.

Le Client est seul responsable de disposer d'une base légale appropriée pour les données qu'il choisit de saisir, y compris pour les catégories particulières au sens de l'Art. 9 du RGPD.

4. Catégories de personnes concernées

• Joueurs professionnels et joueurs jeunes gérés par le Client
• Agents et contacts liés aux joueurs
• Utilisateurs de l'Organisation (staff, entraîneurs, recruteurs)

5. Obligations de Operf (Sous-traitant)

Operf s'engage à :

1. Traiter les données uniquement sur instruction documentée du Client, sauf obligation légale contraire ;
2. S'assurer que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité appropriée ;
3. Mettre en œuvre les mesures techniques et organisationnelles appropriées visées à l'article 32 du RGPD, notamment : chiffrement des mots de passe (bcrypt), isolation des données par Organisation, chiffrement des communications (HTTPS/TLS), contrôle d'accès par rôles ;
4. Ne pas recruter de sous-traitant ultérieur sans en informer préalablement le Client, et imposer à tout sous-traitant ultérieur les mêmes obligations de protection des données que celles du présent ATD ;
5. Aider le Client, dans la mesure du possible, à répondre aux demandes des personnes concernées exerçant leurs droits au titre du Chapitre III du RGPD ;
6. Aider le Client à respecter ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification de violation, AIPD, consultation préalable) ;
7. Supprimer les données ou les restituer au Client à la fin de la relation contractuelle, selon le choix du Client, et supprimer les copies existantes sauf obligation légale de conservation ;
8. Mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations du présent article, et permettre et contribuer aux audits et aux inspections réalisés par le Client ou un auditeur mandaté par lui.

6. Sous-traitants ultérieurs

Le Client autorise Operf à recourir aux sous-traitants ultérieurs suivants :

Operf informera le Client de tout ajout ou remplacement de sous-traitant ultérieur avec un préavis raisonnable, permettant au Client de s'y opposer.

7. Transferts internationaux

Lorsque des données sont transférées en dehors de l'Espace Économique Européen (notamment vers Stripe), Operf s'assure que des garanties appropriées sont en place, conformément au Chapitre V du RGPD (Clauses Contractuelles Types ou Cadre de Protection des Données UE-États-Unis).

8. Durée de conservation et suppression

À la résiliation de l'Organisation, Operf conserve les données pendant 30 jours afin de permettre un export éventuel par le Client, après quoi elles sont supprimées de manière automatisé. Les données de facturation sont conservées conformément aux obligations légales applicables (Code de commerce L.123-22).

9. Violation de données

En cas de violation de données à caractère personnel affectant les Données Joueurs, Operf en informera le Client dans les meilleurs délais et au plus tard dans les 72 heures suivant la prise de connaissance de la violation, afin de permettre au Client de respecter ses propres obligations de notification à la CNIL (Art. 33 RGPD).

10. Responsabilités du Client (Responsable du traitement)

Le Client s'engage à :

1. Disposer d'une base légale valable pour chaque traitement de Données Joueurs effectué via le Service ;
2. Informer les personnes concernées (joueurs, agents, etc.) de l'utilisation de leurs données, conformément aux articles 13 et 14 du RGPD ;
3. Traiter les demandes d'exercice de droits des personnes concernées et, si nécessaire, solliciter l'assistance de Operf conformément à l'article 5(e) du présent ATD ;
4. Ne saisir dans le Service que des données pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités poursuivies.

11. Droit applicable et juridiction

Le présent ATD est régi par le droit français. Tout litige relatif à son interprétation ou son exécution sera soumis à la juridiction exclusive des tribunaux de Pau.

12. Hiérarchie des documents

En cas de contradiction entre le présent ATD et les Conditions Générales d'Utilisation, les dispositions du présent ATD prévaudront pour tout ce qui concerne la protection des données à caractère personnel.