Accord de traitement des données

Parties et objet

Le présent accord lie le club (l’association, la société ou, pour un crew sans structure juridique, la personne qui l’a créé), responsable de traitement, et Robin Clerc, personne physique non immatriculée, sous-traitant. Il est une annexe des conditions générales d’utilisation, accepté à la création du club ; la version acceptée est enregistrée.

Il est construit sur le modèle des clauses contractuelles types de la Commission européenne entre responsable de traitement et sous-traitant (décision d’exécution (UE) 2021/915) et en reprend les obligations de l’article 28 du RGPD. [À compléter : annexer ces clauses en version intégrale, ou confirmer la rédaction actuelle (question L1)]

Description du traitement

• Finalité : organiser la vie du club, ses runs, ses groupes d’allure, les inscriptions, l’appel, les décharges et les messages aux participants.

• Personnes concernées : membres, invités et encadrants du club.

• Données : prénom et nom, adresse e-mail, informations d’adhésion, inscriptions et présences, preuve d’acceptation de la décharge, empreinte chiffrée de l’e-mail des invités qui reviennent (13 mois).

• Données sensibles : aucune ; pour un club dont l’objet révèle une donnée sensible, l’adhésion repose sur le consentement explicite du membre. Aucune donnée de santé n’est traitée.

• Durée : tant que le club utilise Kilomeet, selon les durées de conservation de la politique de confidentialité.

Instructions

Kilomeet ne traite les données que sur les instructions documentées du club : les conditions d’utilisation et les réglages du club, y compris pour tout transfert. Si une instruction nous paraît contraire à la loi, nous vous le signalons.

Confidentialité

Toute personne qui a accès aux données s’engage à leur confidentialité : le fondateur, et la personne qui détient l’accès de secours, par un engagement écrit.

Sécurité (annexe)

• Hébergement en France ; connexions chiffrées (HTTPS).

• Données de chaque club cloisonnées dans la base, par des règles appliquées par la base elle-même.

• Rôles de base de données distincts aux droits minimaux ; journal d’audit des actions sensibles conservé 12 mois.

• Connexion par code à usage unique, sans mot de passe ; sessions limitées dans le temps.

• Sauvegardes chiffrées avant envoi, clés de déchiffrement hors du serveur.

• Accès aux données de production réservé au fondateur ; aucun outil d’intelligence artificielle n’y accède.

Sous-traitants ultérieurs

Le club autorise de façon générale le recours aux sous-traitants listés sur la page sous-traitants. Tout ajout ou remplacement est annoncé par e-mail 30 jours à l’avance ; le club peut s’y opposer et, à défaut de solution, quitter le service. Kilomeet impose à chaque sous-traitant les mêmes obligations et reste responsable de leur respect.

Demandes des personnes

Instruction permanente : Kilomeet honore pour le compte du club les demandes faites avec les outils du service (export et effacement des données d’un invité, suppression d’un compte, retrait d’un consentement). Toute autre demande reçue est transmise au club sous 5 jours ouvrés.

Assistance et violations de données

Kilomeet aide le club à assurer la sécurité, à mener une analyse d’impact si nécessaire et à consulter la CNIL. En cas de violation de données, Kilomeet prévient le club sans délai, au plus tard sous 48 heures (objectif : 24 heures), avec les informations nécessaires et une notification à la CNIL préremplie que le club peut déposer ou nous demander de déposer. L’information des membres se fait sur instruction du club.

Fin du traitement

À la fin du service, le club exporte ses données, puis Kilomeet les efface sous 30 jours, copies comprises selon le cycle des sauvegardes. Les preuves de décharge ne sont conservées que sur instruction du club ou en cas de conservation imposée par une procédure.

Information et audits

Kilomeet met à disposition les informations nécessaires pour démontrer le respect de cet accord. Le club peut d’abord adresser un questionnaire, puis, au plus une fois par an et avec un préavis de 30 jours, conduire ou faire conduire un audit, sur place ou à distance, à ses frais.

Ce que Kilomeet fait pour son propre compte

Pour ne jamais dépasser vos instructions, nous indiquons ce que nous traitons comme responsable : les données de compte et de sécurité, des statistiques anonymes agrégées (jamais une personne identifiable), les journaux d’abus et les données d’identification exigées d’un hébergeur. Ces traitements sont décrits dans la politique de confidentialité.