Accord de sous-traitance des données

Le responsable de traitement : le club ou centre de plongée abonné à Submersia (ci-après « le club ») — dénomination : [À COMPLÉTER], représenté par : [À COMPLÉTER, nom et qualité].

Le sous-traitant : Ruben Zeitoun, Entrepreneur individuel (EI), micro-entreprise, nom commercial Submersia, SIRET 106 210 495 00011, RCS Nanterre, adresse : 35 rue Anna Jacquin, 92100 Boulogne-Billancourt, France, contact@submersia.com (ci-après « Submersia »).

Le présent accord fait partie intégrante des CGU et des CGV et s’applique dès leur acceptation. Une version signée peut être fournie au club sur demande.

Le présent accord fixe les conditions dans lesquelles Submersia traite, pour le compte du club, les données personnelles nécessaires à la fourniture du logiciel, conformément à l’article 28 du Règlement (UE) 2016/679 (RGPD).

• Nature et finalité : hébergement et traitement des données saisies par le club pour gérer ses sorties, réservations, palanquées, paiements, équipe et matériel ; envoi des e-mails de réservation au nom du club ; encaissement des paiements en ligne via Stripe Connect.
• Durée : la durée de l'abonnement, puis la période de conservation prévue à l'article 9.
• Personnes concernées : plongeurs et clients du club, moniteurs et membres de l'équipe, signataires de décharges.
• Catégories de données : identité et coordonnées ; niveau, organisme de certification, numéro et date de validité de licence ; date de validité du certificat médical (sans le document) ; réservations et paiements ; décharges (nom du signataire, date) ; remarques saisies par le club ; diplômes, photos, plannings et absences des moniteurs.

• Traiter les données uniquement sur instruction documentée du club, constituée par les présentes, les CGU et l'usage que le club fait du logiciel ; informer le club si une instruction lui paraît contraire au RGPD.
• Garantir la confidentialité des données et veiller à ce que toute personne autorisée à les traiter soit soumise à une obligation de confidentialité.
• Mettre en œuvre les mesures de sécurité décrites à l'annexe 2.
• Ne pas utiliser les données pour son propre compte ni les communiquer à des tiers autres que les sous-traitants ultérieurs de l'annexe 1.
• Aider le club, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes et à réaliser ses analyses d'impact ; transmettre au club sans délai toute demande reçue directement.
• Tenir un registre des traitements effectués pour le compte du club.

Le club autorise Submersia à recourir aux sous-traitants ultérieurs listés à l’annexe 1. Submersia informe le club de tout ajout ou remplacement au moins 30 jours à l’avance ; le club peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier son abonnement sans pénalité. Submersia impose à chaque sous-traitant ultérieur des obligations de protection équivalentes et reste responsable de leur respect.

Certains sous-traitants ultérieurs sont établis hors de l’Union européenne. Ces transferts sont encadrés par : [À COMPLÉTER : mécanisme de chaque prestataire, par exemple clauses contractuelles types ou Data Privacy Framework].

Submersia notifie au club toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures [À CONFIRMER] après en avoir pris connaissance, avec les informations disponibles (nature, données et personnes concernées, conséquences probables, mesures prises), afin de permettre au club de notifier la CNIL dans le délai de 72 heures le cas échéant.

• Disposer d'une base légale pour les données qu'il saisit et informer les personnes concernées.
• Ne saisir que les données nécessaires à son activité.
• Gérer les comptes et les droits de son équipe et préserver la confidentialité des identifiants.

Submersia met à la disposition du club les informations nécessaires pour démontrer le respect du présent accord. Le club peut faire réaliser un audit, à ses frais, au plus une fois par an, moyennant un préavis de 30 jours, par un auditeur tenu au secret et non concurrent de Submersia.

Pendant toute la durée de l’abonnement et de la période de lecture seule, le club peut exporter ses données depuis son espace. À la fin de l’abonnement, les données sont conservées douze mois puis supprimées, y compris chez les sous-traitants ultérieurs, sauf obligation légale de conservation. Le club peut demander une suppression anticipée par écrit à contact@submersia.com.

• Vercel Inc. (États-Unis) : hébergement de l'application ; traitements serveur dans la région de Dublin (Irlande).
• Supabase Inc. : base de données, authentification, stockage des fichiers ; région : [À COMPLÉTER].
• Resend (États-Unis) : envoi des e-mails transactionnels.
• Stripe Payments Europe, Ltd. (Irlande) : paiements en ligne (Stripe Connect).

• Chiffrement des échanges (HTTPS).
• Isolation des données de chaque club au niveau de la base de données (règles d'accès par club).
• Mots de passe chiffrés de manière irréversible, contrôle des mots de passe compromis, double authentification disponible.
• Cookies de session inaccessibles au JavaScript, limitation des tentatives de connexion et des envois de formulaires.
• Droits d'accès par rôle au sein du club (gérant, moniteur, secrétariat, comptabilité).
• Sauvegardes : [À COMPLÉTER : fréquence et durée de conservation].

Fait le [À COMPLÉTER], en deux exemplaires.
Pour le club : [À COMPLÉTER, nom, qualité, signature].
Pour Submersia : Ruben Zeitoun, entrepreneur individuel.