Conditions générales et sous-traitance des données

Conditions générales d’utilisation

Ce que l’éditeur fournit, ce que le club s’engage à faire, ce que cela coûte, et ce qu’il advient des données à la fin.

Ces conditions règlent l’usage de TOPCLUB par un club. Elles sont écrites pour être lues par un président d’association, pas par un juriste.

1. Qui est qui

TOPCLUB est édité par OCCIMAITRISE SAS, ci-après « l’éditeur ».

Le club est l’association qui ouvre un espace sur TOPCLUB. Il agit par son représentant légal, ou par une personne qu’il a mandatée.

2. Ce que l’éditeur fournit

Un espace en ligne aux couleurs du club, accessible par une adresse qui lui est propre, comprenant les modules activés pour son offre : licenciés, calendrier, convocations, cotisations, événements, trésorerie, et les autres selon le cas.

L’éditeur héberge les données, sauvegarde quotidiennement, et corrige les défauts qui lui sont signalés.

3. Ce que l’éditeur ne garantit pas

La disponibilité n’est pas garantie à 100 %. L’hébergement est mutualisé. Des interruptions surviennent : maintenance, panne de l’hébergeur, pic de fréquentation. L’éditeur s’efforce de les rendre courtes et de les annoncer quand elles sont prévues.

Le club ne doit donc pas faire de TOPCLUB son seul dépositaire de ce qui compte : les exports (licenciés, trésorerie, grand livre) sont là pour cela, et le club est invité à en faire un par saison.

4. Ce que le club s’engage à faire

• Tenir ses accès. Un compte est nominatif. Le président attribue et retire

les rôles ; il répond de ce que font les comptes qu’il a ouverts.

• Ne publier que ce qu’il a le droit de publier. En particulier : aucune

photographie d’un mineur sans l’autorisation écrite de ses représentants légaux, que l’application enregistre et fait respecter.

• Répondre aux personnes dont il traite les données (voir l’article 6).
• Ne pas détourner l’outil : pas de contenu illicite, injurieux ou

commercial étranger à la vie du club, pas de tentative d’accès aux données d’un autre club.

5. Ce que le club paie

Les tarifs sont ceux publiés sur le site de l’éditeur au jour de la souscription. L’offre « Club » se compte en licenciés — ni les parents, ni le bureau, ni les encadrants ne sont comptés.

Les options (SMS, WhatsApp, encaissement en ligne) sont facturées au réel : un club qui ne s’en sert pas ne les paie pas.

Un changement de tarif est annoncé au club au moins deux mois avant sa prise d’effet. Le club qui ne l’accepte pas peut résilier sans frais avant cette date.

6. Les données

Le club est responsable de traitement. Ce sont ses licenciés, ses familles, ses bénévoles. C’est lui qui décide ce qu’il collecte et pourquoi.

L’éditeur est sous-traitant au sens de l’article 28 du RGPD : il traite ces données sur instruction du club, et pour lui seul. Les engagements réciproques figurent au contrat de sous-traitance des données personnelles, publié à la suite des présentes conditions, dont il fait partie intégrante.

7. Durée, résiliation, et ce qu’il advient des données

L’espace est ouvert sans durée d’engagement. Chaque partie peut y mettre fin :

• le club, à tout moment, depuis son espace ou par simple courriel ;
• l’éditeur, avec un préavis de deux mois, ou immédiatement en cas de

manquement grave du club à l’article 4.

À la fermeture, le club dispose de trente jours pour récupérer ses données par les exports. Passé ce délai, elles sont supprimées, sauvegardes comprises, dans un délai maximum de quatre-vingt-dix jours.

8. Responsabilité

L’éditeur répond des dommages directs causés par un manquement de sa part, dans la limite des sommes versées par le club au cours des douze derniers mois. Pour un club sur l’offre gratuite, cette limite est de cent euros.

Il ne répond pas de ce que le club publie, ni des décisions que le club prend à partir des informations affichées.

9. Propriété

L’application, son code et ses dessins appartiennent à l’éditeur. Le club n’en acquiert aucun droit de propriété.

Le contenu du club lui appartient : ses textes, ses photographies, ses données. L’éditeur ne s’en sert pas à d’autres fins que de faire fonctionner le service, et ne les cède à personne.

10. Modification des présentes conditions

Une modification est annoncée au club au moins un mois avant sa prise d’effet. Le club qui ne l’accepte pas peut résilier sans frais.

11. Droit applicable

Droit français. En cas de désaccord, les parties cherchent d’abord une solution amiable. À défaut, le litige relève des tribunaux compétents.

Contrat de sous-traitance des données personnelles

Le club est responsable de traitement, l’éditeur sous-traitant. C’est le contrat que l’article 28 du RGPD impose entre les deux.

Ce contrat est celui que l’article 28 du RGPD impose entre un responsable de traitement et son sous-traitant. Il complète les conditions générales d’utilisation, ci-dessus, et en fait partie.

Il est écrit pour être lu par un président d’association. Chaque article dit ce qu’il oblige, et pourquoi.

1. Qui est responsable, qui est sous-traitant

Le club est responsable de traitement. Ce sont ses licenciés, ses familles, ses bénévoles. C’est lui qui décide quelles données il collecte, pour quoi faire, et combien de temps il les garde. C’est lui, aussi, qui répond aux personnes qui l’interrogent.

OCCIMAITRISE SAS est sous-traitant. Elle héberge et fait fonctionner l’application. Elle ne traite ces données que sur instruction du club, et pour personne d’autre.

2. Objet, durée, nature et finalité

Objet. Faire fonctionner l’application TOPCLUB pour le compte du club.

Durée. Celle de l’ouverture de l’espace du club, augmentée des délais de restitution et d’effacement prévus à l’article 9.

Nature des opérations. Collecte, enregistrement, organisation, conservation, consultation, modification, extraction, effacement.

Finalités. Gérer les licenciés et leurs dossiers, organiser les rencontres et les entraînements, envoyer des convocations, suivre les cotisations et la trésorerie, tenir la vie associative, et communiquer avec les familles.

3. Catégories de personnes et de données

Personnes concernées : les licenciés (y compris mineurs), leurs représentants légaux, les dirigeants, les encadrants, les bénévoles, les partenaires et les contacts du club.

Données traitées :

• identité, date de naissance, coordonnées ;
• numéro de licence et état de qualification ;
• lien de famille entre un licencié mineur et ses représentants légaux ;
• cotisations, règlements, mouvements de trésorerie ;
• présences, temps de jeu, convocations et réponses ;
• pièces du dossier d’inscription, dont le certificat médical ;
• photographies, et l’autorisation à l’image qui les accompagne.

Données sensibles. Le certificat médical est une pièce de santé. Il est stocké chiffré, hors de la racine web, et n’est lisible que par les rôles du club qui en ont besoin. L’éditeur ne le consulte pas.

4. Les instructions du club

Le sous-traitant traite les données uniquement sur instruction documentée du club. L’usage de l’application vaut instruction : chaque geste fait dans un écran est une instruction du club.

Si le sous-traitant estime qu’une instruction est contraire au RGPD, il en informe le club sans délai.

Le sous-traitant ne se sert d’aucune de ces données pour son propre compte : ni pour améliorer un modèle, ni pour prospecter, ni pour établir des statistiques nominatives. Les chiffres agrégés qu’il tient (nombre de clubs, volume d’usage) ne permettent d’identifier personne.

5. Confidentialité

Les personnes autorisées à traiter ces données chez le sous-traitant sont soumises à une obligation de confidentialité. Elles sont en nombre restreint, et n’accèdent aux données d’un club que pour répondre à une demande de celui-ci ou corriger un défaut.

6. Sécurité

Le sous-traitant met en œuvre, notamment :

• le chiffrement des communications (HTTPS obligatoire, HSTS) ;
• des mots de passe stockés hachés (bcrypt), jamais en clair ;
• une double authentification pour les rôles d’administration ;
• une séparation stricte des clubs : chaque requête porte l’identifiant du club,

et un club ne peut jamais lire les données d’un autre ;

• un journal des écritures administratives, qui dit qui a fait quoi et quand ;
• des sauvegardes quotidiennes, conservées trente jours ;
• le floutage des mineurs sans autorisation à l’image sur tout ce qui est

diffusé.

7. Sous-traitants ultérieurs

Le club autorise le sous-traitant à recourir aux prestataires suivants :

• Hostinger — hébergement des serveurs et des bases de données. Union européenne.
• Stripe — encaissement en ligne, si le club l’active. Union européenne et

États-Unis.

• Anthropic — assistant d’aide à la rédaction, si le club l’active.

États-Unis.

• Meta (WhatsApp) — envoi de messages, si le club l’active. Union européenne

et États-Unis.

• Google, Apple et Mozilla — acheminement des notifications vers le

téléphone, selon le navigateur de la personne. Ils reçoivent l’adresse technique de l’appareil et un message chiffré de bout en bout (RFC 8291) : ni le sous-traitant ni eux ne peuvent lire ce que le club a écrit. États-Unis.

Stripe, Anthropic et Meta ne reçoivent quoi que ce soit que si le club active le module correspondant, et seulement ce qui est nécessaire à ce module. Les services de notification ne reçoivent rien tant qu’une personne n’a pas accepté les notifications sur son propre appareil.

Tout ajout ou remplacement de prestataire est annoncé au club au moins un mois à l’avance. Le club peut s’y opposer ; s’il le fait, il peut résilier sans frais.

8. Droits des personnes

C’est le club qui répond aux personnes qui exercent leurs droits (accès, rectification, effacement, opposition, portabilité).

Le sous-traitant lui en donne les moyens dans l’application : export des données d’un licencié, effacement d’un dossier, retrait d’une autorisation à l’image avec retrait effectif des photographies déjà en ligne.

Si une personne s’adresse directement au sous-traitant, celui-ci la renvoie vers le club et en informe le club sans délai.

9. Violation de données

En cas de violation de données personnelles, le sous-traitant en informe le club dans les quarante-huit heures après en avoir eu connaissance, par courriel à l’adresse du club, avec :

• la nature de la violation et, autant que possible, les personnes et les

données concernées ;

• les conséquences probables ;
• les mesures prises ou proposées.

C’est ensuite au club, responsable de traitement, de notifier la CNIL s’il y a lieu, dans les soixante-douze heures.

10. Sort des données à la fin

À la fermeture de l’espace, le club dispose de trente jours pour récupérer ses données par les exports de l’application.

Passé ce délai, le sous-traitant les supprime, sauvegardes comprises, dans un délai maximum de quatre-vingt-dix jours, et le confirme par écrit au club.

11. Registre et documentation

Le sous-traitant tient le registre des catégories de traitements effectués pour le compte du club, comme l’article 30 du RGPD le lui impose, et le met à disposition du club sur demande.

12. Audit

Le club peut demander, une fois par an et avec un préavis raisonnable, les éléments démontrant le respect de ce contrat. Un audit sur place est possible s’il est justifié et convenu à l’avance.

13. Localisation

Les données sont hébergées dans l’Union européenne. Les transferts éventuels vers les États-Unis (article 7) reposent sur les clauses contractuelles types de la Commission européenne.