Contrat de sous-traitance des données personnelles

1. Parties et acceptation

Ce contrat est conclu entre :

le club, association utilisatrice de Coasso Pro, responsable du traitement ;
KUBA STUDIO, SAS, éditeur de Coasso (voir les mentions légales), sous-traitant.

Il applique l'article 28 du règlement général sur la protection des données (RGPD). Il fait partie des conditions des clubs et est accepté en ligne avec elles, par la personne habilitée à représenter le club.

2. Objet

KUBA STUDIO traite, pour le compte du club, les données personnelles nécessaires au fonctionnement de Coasso Pro et de l'application Coasso pour ce club.

3. Durée

Le contrat court pendant toute l'utilisation de Coasso par le club, puis jusqu'à la suppression ou la restitution des données (article 6.9).

4. Nature et finalités du traitement

Hébergement, stockage, consultation, modification, chiffrement, envoi, export et effacement de données, pour :

tenir le fichier des adhérents et des contacts du club ;
gérer les adhésions, activités, séances, présences et inscriptions ;
suivre les échéances, règlements, reçus, factures et dons ;
recueillir réponses aux formulaires, consentements et signatures électroniques simples ;
conserver les pièces remises au club ;
envoyer les e-mails du club (campagnes, relances, reçus, rappels) ;
faire fonctionner la messagerie du club ;
publier la page du club et gérer les réservations d'événements publics.

5. Données et personnes concernées

5.1 Personnes concernées

Adhérents et anciens adhérents, leurs responsables légaux, abonnés aux nouvelles du club, contacts d'urgence, personnes ayant réservé un événement sans compte, donateurs, membres de l'équipe du club.

5.2 Catégories de données

Identité : nom, prénom, date de naissance.
Coordonnées : e-mail, téléphone, adresse postale, contact d'urgence.
Vie associative : adhésion, foyer, inscriptions, présences, rôles, notes de l'équipe, champs propres au club.
Données financières : échéances, règlements, reçus, factures, dons. Aucune donnée de carte ni de compte bancaire : elles restent chez Stripe.
Formulaires : réponses, dont réponses sensibles chiffrées ; consentements avec leur texte ; preuves de signature (nom, e-mail, adresse IP, navigateur, date, empreintes du document).
Pièces déposées au coffre, chiffrées.
Messages et pièces jointes de la messagerie.
Historique des e-mails envoyés et désabonnements.
Journal d'activité de l'équipe.

Aucune donnée de santé : Coasso refuse tout fichier pour un certificat médical, n'en garde que la date, et signale au club les questions de formulaire qui semblent demander une information de santé. Le club s'engage à ne pas en collecter par Coasso.

6. Obligations de KUBA STUDIO

6.1 Instructions documentées

KUBA STUDIO ne traite les données que sur les instructions du club. Ces instructions sont ce contrat, les conditions des clubs et les réglages faits par le club dans Coasso Pro. Si une instruction lui paraît contraire au RGPD, KUBA STUDIO en informe le club.

KUBA STUDIO n'utilise pas les données du club à ses propres fins, ne les vend pas et ne les croise pas avec celles d'un autre club.

6.2 Confidentialité

Les personnes autorisées à accéder aux données chez KUBA STUDIO sont tenues à la confidentialité et n'y accèdent que pour le support, la maintenance ou la sécurité.

6.3 Sécurité

KUBA STUDIO met en œuvre notamment :

le chiffrement des communications (HTTPS) ;
le chiffrement des pièces privées et des pièces jointes avec une clé propre à chaque club, elle-même chiffrée par une clé maîtresse conservée dans Cloud KMS ;
le chiffrement des réponses sensibles aux formulaires ;
le cloisonnement des données par club, appliqué par le serveur à chaque requête ;
un contrôle d'accès par rôle, vérifié côté serveur ;
un journal d'activité de chaque écriture et de chaque consultation de pièce privée ;
des environnements de développement qui ne contiennent aucune donnée réelle non anonymisée.

6.4 Sous-traitants ultérieurs

Le club donne une autorisation générale à KUBA STUDIO de recourir aux sous-traitants ultérieurs suivants :

Google Cloud et Firebase (Google) : hébergement de l'application, stockage des fichiers et clés de chiffrement à Francfort (Allemagne) ; messagerie à Paris (France) ; authentification ; diffusion des sites. [À VÉRIFIER : localisation de Firebase Authentication et de Firebase Hosting.]
Neon : base de données PostgreSQL, sur Amazon Web Services à Francfort (Allemagne).
Brevo (Sendinblue SAS) : envoi des e-mails, Union européenne.
OVHcloud : nom de domaine et messagerie de contact, France.

Stripe n'est pas un sous-traitant de KUBA STUDIO : le club contracte directement avec Stripe pour ses paiements.

KUBA STUDIO informe le club de tout ajout ou remplacement d'un sous-traitant ultérieur au moins [À VALIDER : proposition 30 jours] avant, par e-mail ou dans Coasso Pro. Le club peut s'y opposer pour un motif légitime ; à défaut d'accord, il peut résilier sans frais.

KUBA STUDIO impose à chaque sous-traitant ultérieur des obligations équivalentes à celles de ce contrat et reste responsable envers le club de leur respect.

[À VÉRIFIER : garanties encadrant un éventuel accès depuis un pays hors de l'Union européenne (Google, Neon), par exemple cadre de protection des données UE–États-Unis ou clauses contractuelles types.]

6.5 Aide pour les droits des personnes

Coasso Pro permet au club de répondre lui-même aux demandes : export des données d'un adhérent, décision sur une demande d'effacement (anonymisation), historique des consentements, désabonnement. Les adhérents peuvent aussi exporter leurs données et demander l'effacement depuis l'application.

Si une demande parvient directement à KUBA STUDIO, elle la transmet au club sans délai et l'aide à y répondre.

6.6 Aide pour la conformité

KUBA STUDIO aide le club, dans la mesure du possible, pour ses analyses d'impact et ses échanges avec la CNIL, en lui fournissant les informations utiles sur le service.

6.7 Violations de données

KUBA STUDIO notifie au club toute violation de données personnelles le concernant dans un délai de 48 heures après en avoir pris connaissance [À VALIDER : délai]. La notification décrit la nature de la violation, les données et personnes concernées, les conséquences probables et les mesures prises ou proposées. Il revient au club de notifier la CNIL et, le cas échéant, les personnes concernées.

6.8 Conservation

KUBA STUDIO applique les durées suivantes, automatiquement :

fiche d'un ancien adhérent anonymisée 3 ans après son archivage [À VALIDER] ;
pièces d'une fiche archivée effacées 1 an après l'archivage ;
messages effacés après la durée choisie par le club (3 à 36 mois, 12 par défaut) [À VALIDER : défaut] ;
journal d'activité effacé après 1 an ;
réservation sans compte supprimée 30 jours après l'événement ;
paiements, reçus et factures gardés le temps légal, l'identité du payeur étant retirée à l'anonymisation.

[À VALIDER : permettre au club de régler lui-même ces durées ; seule celle des messages se règle aujourd'hui.]

6.9 Fin du contrat

À la fin du contrat, le club peut exporter ses données (voir l'article 10 des conditions des clubs). Passé un délai de [À VALIDER : proposition 30 jours], KUBA STUDIO supprime les données du club, copies comprises, sauf obligation légale de conservation. Les sauvegardes sont effacées à l'expiration de leur cycle [À VÉRIFIER : durée de rétention des sauvegardes Neon]. Sur demande, KUBA STUDIO confirme la suppression par écrit.

6.10 Audits

KUBA STUDIO met à disposition du club les informations nécessaires pour démontrer le respect de ce contrat. Le club peut faire réaliser un audit, à ses frais, par un auditeur tenu au secret, après un préavis de [À VALIDER : proposition 30 jours], au plus une fois par an sauf violation de données, et sans accès aux données des autres clubs.

6.11 Registre

KUBA STUDIO tient un registre des traitements effectués pour le compte des clubs.

7. Obligations du club

Le club s'engage à :

fournir à KUBA STUDIO des instructions conformes au RGPD ;
déterminer la base légale de chaque traitement et tenir son propre registre ;
informer les personnes concernées et recueillir leur consentement quand il est requis ;
ne collecter que les données nécessaires, et aucune donnée de santé par Coasso ;
décider des demandes d'effacement et répondre aux demandes de droits ;
attribuer les rôles de son équipe avec soin et retirer les accès inutiles ;
notifier lui-même les violations à la CNIL et aux personnes quand c'est nécessaire.

8. Contact

Pour toute question sur ce contrat : rgpd@coasso.app.