Accord relatif au traitement de données à caractère personnel pour le compte des Klubs

Dernière mise à jour : 24 août 2026
Version : 1.0

Préambule

Le présent accord relatif au traitement de données à caractère personnel, ci-après l’« Accord de sous-traitance », complète les Conditions générales de services des Klubs de KlubSport.

Il est conclu entre :

Le Klub utilisant les services KlubSport, identifié par les informations juridiques et administratives enregistrées dans son espace Klub, représenté par la personne ayant accepté le présent Accord et déclarant être habilitée à l’engager,

ci-après le « Klub » ou le « Responsable du traitement »,

d’une part,

et :

KlubSport, service exploité par Nexxtone SAS
Société par actions simplifiée au capital de 2 500 euros
Siège social : 6 chemin des Bornes, 78620 L’Étang-la-Ville, France
RCS Versailles — SIREN 881 583 595 — SIRET 881 583 595 00015
E-mail : contact@klubsport.fr

ci-après « KlubSport » ou le « Sous-traitant »,

d’autre part.

Le Klub et KlubSport sont désignés individuellement une « Partie » et ensemble les « Parties ».

1. Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel », « autorité de contrôle » et « catégories particulières de données » ont le sens qui leur est donné par le règlement (UE) 2016/679 du 27 avril 2016, dit RGPD.

Pour le présent Accord :

• Données du Klub : données à caractère personnel traitées par KlubSport pour le compte du Klub ;
• Services : fonctionnalités KlubSport mises à disposition du Klub, notamment la gestion de ses membres, adhésions, cotisations, événements, messages, boutique, billetterie, Drive et contenus ;
• Utilisateur autorisé : propriétaire, administrateur ou membre du Staff auquel le Klub a accordé des permissions ;
• Sous-traitant ultérieur : prestataire auquel KlubSport confie une partie des traitements réalisés pour le compte du Klub ;
• Instructions documentées : instructions résultant du présent Accord, des conditions contractuelles, des paramètres configurés par le Klub, des actions effectuées dans l’interface et des demandes écrites adressées à KlubSport.

2. Objet

Le présent Accord définit les conditions dans lesquelles KlubSport traite des Données du Klub pour fournir les Services.

Il a notamment pour objet de préciser :

• les rôles respectifs des Parties ;
• les traitements confiés à KlubSport ;
• les instructions du Klub ;
• les obligations de sécurité et de confidentialité ;
• les règles relatives aux Sous-traitants ultérieurs ;
• l’assistance apportée au Klub ;
• les modalités de restitution et de suppression des données ;
• les conditions d’audit et de contrôle.

Le présent Accord fait partie intégrante de la relation contractuelle entre le Klub et KlubSport.

En cas de contradiction portant spécifiquement sur un traitement réalisé pour le compte du Klub, le présent Accord prévaut sur les Conditions générales des Klubs.

3. Entrée en vigueur et acceptation électronique

Le présent Accord entre en vigueur à la première des dates suivantes :

• la date de son acceptation électronique par le représentant du Klub ;
• la date d’activation d’une fonctionnalité impliquant le traitement de Données du Klub par KlubSport ;
• la date d’entrée en vigueur d’un contrat particulier y faisant référence.

L’identité du Klub est déterminée à partir des informations enregistrées dans son espace : nom légal, nom public, forme juridique, adresse, numéro d’immatriculation, représentant et coordonnées.

L’acceptation électronique est enregistrée avec :

• l’identifiant du Klub ;
• l’identifiant de l’Utilisateur ayant accepté ;
• la version du présent Accord ;
• la date et l’heure de l’acceptation ;
• les informations techniques nécessaires à la preuve de cette acceptation.

La personne qui accepte l’Accord garantit être habilitée à engager le Klub.

4. Rôles respectifs des Parties

4.1 Le Klub en qualité de responsable du traitement

Le Klub agit comme responsable du traitement lorsqu’il détermine les finalités et les conditions d’utilisation des données relatives notamment :

• à ses candidats ;
• à ses membres et adhérents ;
• à ses anciens membres ;
• aux membres de son bureau et de son Staff ;
• aux participants à ses événements ;
• aux accompagnateurs et invités ;
• aux parents ou représentants légaux de mineurs ;
• aux acheteurs de sa boutique ;
• aux personnes ayant réservé ou acheté un billet ;
• aux personnes lui ayant adressé un message ;
• à ses partenaires et sponsors ;
• aux personnes importées dans son espace Klub ;
• aux prospects qu’il traite pour ses propres finalités.

Le Klub décide notamment :

• des critères et procédures d’adhésion ;
• des informations demandées aux candidats et membres ;
• des formules et durées d’adhésion ;
• des conditions de participation aux événements ;
• des documents demandés aux participants ;
• des communications envoyées à ses membres ;
• des contenus publiés sur son portail ;
• des produits proposés dans sa boutique ;
• des règles d’organisation de son Drive ;
• des imports de données ;
• des durées de conservation relevant de sa responsabilité, dans les limites techniques proposées par KlubSport.

4.2 KlubSport en qualité de sous-traitant

KlubSport agit comme sous-traitant lorsqu’il traite les Données du Klub afin de :

• fournir l’infrastructure technique ;
• enregistrer et héberger les données ;
• mettre à disposition les interfaces d’administration ;
• appliquer les permissions configurées par le Klub ;
• envoyer les communications demandées par le Klub ;
• traiter techniquement les inscriptions, commandes et événements ;
• permettre l’importation et l’exportation des données ;
• sauvegarder, sécuriser, restaurer ou supprimer les données ;
• assurer l’assistance technique du Klub.

4.3 Traitements propres de KlubSport

KlubSport demeure responsable des traitements dont il détermine lui-même les finalités, notamment :

• la création et la sécurité des comptes KlubSport ;
• l’authentification ;
• la gestion des abonnements KlubSport ;
• la facturation propre à KlubSport ;
• la sécurité générale de la plateforme ;
• la prévention des fraudes et abus ;
• la modération relevant de KlubSport ;
• la gestion des obligations légales de Nexxtone SAS ;
• la gestion des demandes adressées directement au support KlubSport ;
• les mesures d’audience et diagnostics réalisés pour les propres besoins de KlubSport ;
• la défense de ses droits et la gestion de ses litiges.

Ces traitements sont décrits dans la Politique de confidentialité de KlubSport.

Le présent Accord ne crée pas de responsabilité conjointe entre les Parties.

5. Description des traitements

La description détaillée des traitements confiés à KlubSport figure en Annexe 1.

KlubSport peut notamment réaliser les opérations suivantes :

• collecte ;
• enregistrement ;
• organisation ;
• structuration ;
• hébergement ;
• consultation technique ;
• modification ;
• rapprochement ;
• importation ;
• exportation ;
• affichage ;
• transmission ;
• sauvegarde ;
• restauration ;
• restriction ;
• archivage ;
• suppression.

Les traitements sont effectués pendant la durée de mise à disposition des Services, augmentée des délais nécessaires à l’export, à la suppression, aux sauvegardes et aux obligations légales applicables.

6. Instructions documentées

KlubSport ne traite les Données du Klub que sur instruction documentée du Klub, sauf obligation imposée par le droit de l’Union européenne ou le droit français.

Constituent notamment des instructions documentées :

• l’utilisation des fonctionnalités KlubSport par les Utilisateurs autorisés ;
• les choix effectués dans les paramètres ;
• la création de formulaires, événements, produits ou dossiers ;
• l’importation ou l’exportation de données ;
• la configuration des rôles et permissions ;
• l’envoi de messages ou notifications ;
• les demandes écrites adressées au support ;
• le présent Accord et ses annexes.

KlubSport informe le Klub lorsqu’il estime qu’une instruction viole le RGPD ou une autre règle applicable à la protection des données.

KlubSport peut suspendre l’exécution d’une instruction manifestement illicite jusqu’à ce que le Klub la confirme, la modifie ou démontre sa licéité.

Lorsqu’une obligation légale impose à KlubSport un traitement non prévu par les instructions du Klub, KlubSport en informe préalablement le Klub, sauf interdiction légale.

7. Obligations du Klub

Le Klub s’engage à :

1. traiter les données de manière licite, loyale et transparente ;
2. déterminer une base juridique adaptée à chaque finalité ;
3. informer les personnes concernées au moyen de sa propre politique de confidentialité et de mentions adaptées ;
4. ne collecter que les données nécessaires ;
5. maintenir les données exactes et à jour ;
6. définir et justifier ses durées de conservation ;
7. respecter les droits des personnes ;
8. limiter l’accès aux données aux Utilisateurs autorisés qui en ont besoin ;
9. révoquer sans délai les accès devenus inutiles ;
10. former et informer les membres de son Staff ;
11. publier les documents juridiques requis avant d’activer les adhésions, paiements, événements ou boutiques ;
12. informer les personnes dont les données sont importées depuis un fichier ou une source externe ;
13. s’assurer de la licéité des listes importées ;
14. ne pas détourner les données pour une finalité incompatible ;
15. ne pas utiliser les données des membres à des fins commerciales sans base juridique appropriée ;
16. répondre des traitements décidés par ses Utilisateurs autorisés ;
17. signaler immédiatement à KlubSport tout incident susceptible d’affecter les Services ou les Données du Klub.

Le Klub reste responsable du contenu des champs, fichiers, formulaires et imports qu’il configure.

8. Données interdites ou soumises à autorisation particulière

Sauf accord écrit préalable de KlubSport et mise en place de garanties spécifiques, le Klub ne doit pas utiliser KlubSport pour traiter :

• des données relatives à la santé ;
• des allergies, pathologies ou handicaps ;
• des données génétiques ou biométriques utilisées à des fins d’identification ;
• des opinions politiques ;
• des convictions religieuses ou philosophiques ;
• l’appartenance syndicale ;
• des informations relatives à la vie sexuelle ou à l’orientation sexuelle ;
• des condamnations pénales ou infractions ;
• des données couvertes par un secret professionnel particulier ;
• tout autre contenu relevant des catégories particulières de l’article 9 du RGPD.

Le Klub ne doit notamment pas inscrire de données médicales dans :

• les champs libres ;
• le contact d’urgence ;
• les commentaires d’adhésion ;
• les inscriptions aux événements ;
• les notes internes ;
• les imports.

Les pièces d’identité, permis, justificatifs, cartes grises et documents administratifs ne peuvent être demandés que lorsqu’ils sont objectivement nécessaires à une finalité précise, licite et annoncée.

9. Mineurs

Le Klub demeure responsable du respect des règles applicables aux mineurs.

Un enfant de moins de seize ans ne doit pas être créé comme membre disposant d’un compte KlubSport.

Il peut toutefois être enregistré sans compte comme participant, accompagnateur ou invité à un événement lorsque cela est nécessaire.

Dans ce cas, le Klub doit :

• limiter les données collectées au strict nécessaire ;
• informer le représentant légal ;
• recueillir les autorisations exigées par la loi ou l’événement ;
• ne collecter aucune donnée médicale dans les champs libres ;
• supprimer les données lorsqu’elles ne sont plus nécessaires.

Le Klub est responsable de la validité des autorisations parentales qu’il demande ou conserve.

10. Information des personnes concernées

Il appartient au Klub de fournir aux personnes concernées les informations requises par les articles 13 et 14 du RGPD.

Cette obligation concerne notamment :

• les candidats à l’adhésion ;
• les membres et adhérents ;
• les participants à un événement ;
• les accompagnateurs ;
• les clients d’une boutique ;
• les contacts d’un Klub ;
• les personnes importées depuis un fichier ;
• les partenaires et sponsors personnes physiques ;
• les représentants légaux de mineurs.

KlubSport met à disposition des champs, pages ou mécanismes permettant au Klub de publier :

• son identité ;
• ses coordonnées ;
• sa politique de confidentialité ;
• les finalités poursuivies ;
• les bases juridiques ;
• les destinataires ;
• les durées ;
• les droits des personnes ;
• les éventuels transferts hors Espace économique européen.

KlubSport peut proposer des modèles. Le Klub reste seul responsable de leur adaptation et de leur exactitude.

11. Confidentialité

KlubSport garantit la confidentialité des Données du Klub.

Les personnes autorisées à accéder aux données pour le compte de KlubSport :

• sont soumises à une obligation de confidentialité ;
• ne peuvent accéder qu’aux informations nécessaires à leurs missions ;
• reçoivent des instructions relatives à la protection des données ;
• voient leurs accès retirés à la fin de leurs fonctions ;
• ne peuvent utiliser les données à des fins personnelles.

Le Klub applique des obligations équivalentes à ses propriétaires, administrateurs et membres du Staff.

Chaque Utilisateur autorisé doit utiliser son propre compte. Les comptes partagés sont interdits.

12. Contrôle des accès

Le Klub est responsable :

• de l’attribution des rôles ;
• de la configuration des permissions ;
• de la vérification régulière des accès ;
• de la révocation des comptes qui n’ont plus à intervenir ;
• des actions effectuées par ses Utilisateurs autorisés.

KlubSport met en œuvre des contrôles d’accès fondés sur les rôles, les permissions et le rattachement au Klub.

KlubSport peut retirer ou suspendre un accès :

• en cas de risque de sécurité ;
• en cas de suspicion d’accès non autorisé ;
• à la demande du propriétaire du Klub ;
• en cas de violation contractuelle ;
• lorsqu’une autorité compétente l’exige.

13. Accès d’assistance par KlubSport

Certains administrateurs KlubSport expressément autorisés peuvent accéder aux données ou au compte d’un Utilisateur afin de :

• répondre à une demande d’assistance ;
• résoudre un incident ;
• prévenir ou analyser une fraude ;
• assurer la sécurité ;
• exécuter une obligation légale.

L’accès d’assistance :

• ne révèle pas le mot de passe ;
• nécessite un motif ou une référence de ticket ;
• est limité aux personnes habilitées ;
• est journalisé ;
• est signalé dans l’interface d’administration utilisée par KlubSport ;
• ne permet pas d’accepter un contrat, effectuer un paiement, exercer une rétractation ou supprimer un compte à la place de l’Utilisateur.

Les journaux peuvent comprendre :

• l’identité de l’administrateur ;
• le compte concerné ;
• le Klub concerné ;
• le motif ;
• les dates de début et de fin ;
• les principales actions sensibles réalisées.

Ils sont conservés pendant douze mois, sauf nécessité de preuve ou de sécurité plus longue.

L’Utilisateur est informé de l’accès, sauf lorsque cette information compromettrait une enquête, la sécurité, les droits d’un tiers ou une obligation légale.

14. Sécurité

KlubSport met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2 afin de garantir un niveau de sécurité adapté aux risques.

Ces mesures visent notamment à assurer :

• la confidentialité ;
• l’intégrité ;
• la disponibilité ;
• la résilience des systèmes ;
• la restauration des données après un incident ;
• la limitation des accès ;
• la traçabilité des opérations sensibles ;
• la protection des documents privés ;
• la séparation logique entre les Klubs.

Les mesures peuvent évoluer afin de tenir compte :

• de l’état des connaissances ;
• des risques ;
• des coûts de mise en œuvre ;
• des évolutions techniques ;
• des nouvelles menaces ;
• des exigences réglementaires.

Une modification ne doit pas réduire de manière substantielle le niveau global de protection pendant la durée du contrat.

15. Protection des données dès la conception et par défaut

Dans la mesure où il maîtrise les moyens techniques concernés, KlubSport prend en compte les principes de protection des données dès la conception et par défaut.

KlubSport prévoit notamment :

• des permissions limitées par rôle ;
• des données privées par défaut lorsqu’elles ne sont pas destinées à être publiques ;
• la séparation entre les médias publics et les documents privés ;
• la limitation des données affichées dans les annuaires ;
• des liens temporaires pour les documents privés ;
• la possibilité de supprimer ou exporter les données ;
• la désactivation par défaut des communications marketing non nécessaires.

Le Klub demeure responsable des paramètres, champs et publications qu’il choisit.

16. Sous-traitants ultérieurs

16.1 Autorisation générale

Le Klub autorise KlubSport à faire appel aux Sous-traitants ultérieurs figurant en Annexe 3.

KlubSport impose à chaque Sous-traitant ultérieur des obligations de protection des données offrant un niveau de garantie approprié au regard des traitements confiés.

KlubSport demeure responsable envers le Klub de l’exécution des obligations confiées à ses Sous-traitants ultérieurs, dans les conditions prévues par le RGPD et le contrat.

16.2 Ajout ou remplacement

KlubSport informe le Klub de l’ajout ou du remplacement d’un Sous-traitant ultérieur par :

• e-mail adressé au propriétaire ou au contact juridique du Klub ;
• notification dans l’administration ;
• mise à jour d’une liste accessible en ligne.

L’information précise, dans la mesure du possible :

• l’identité du prestataire ;
• le service concerné ;
• la nature des traitements ;
• les pays ou régions concernés ;
• la date prévue du changement.

16.3 Droit d’opposition

Le Klub dispose de quinze jours calendaires à compter de l’information pour présenter une objection motivée par des raisons sérieuses relatives à la protection des données.

Une objection doit expliquer les risques précis invoqués.

Les Parties recherchent de bonne foi une solution raisonnable, telle que :

• la mise en place de garanties complémentaires ;
• la désactivation de la fonctionnalité concernée ;
• une solution technique alternative ;
• le report du changement lorsque cela est raisonnablement possible.

Lorsqu’aucune solution raisonnable ne peut être trouvée, le Klub peut résilier le service payant directement affecté avant l’entrée en vigueur du changement, sans pénalité de résiliation, mais sans remboursement des services déjà fournis.

Une objection purement commerciale ou non motivée ne fait pas obstacle au changement.

17. Transferts hors de l’Espace économique européen

KlubSport ne transfère les Données du Klub hors de l’Espace économique européen que :

• sur instruction documentée ;
• lorsque cela est nécessaire à l’utilisation d’un Sous-traitant ultérieur autorisé ;
• lorsqu’une obligation légale l’impose ;
• avec un mécanisme reconnu par le RGPD.

Selon le prestataire et le pays, les garanties peuvent comprendre :

• une décision d’adéquation de la Commission européenne ;
• le cadre de protection des données UE–États-Unis pour une organisation certifiée ;
• les clauses contractuelles types de la Commission européenne ;
• des règles d’entreprise contraignantes ;
• des mesures techniques ou contractuelles complémentaires ;
• une autre garantie autorisée par le RGPD.

KlubSport tient à disposition les informations raisonnablement nécessaires sur les garanties applicables.

Accès depuis un Klub établi hors EEE

Lorsqu’un Klub est établi hors de l’Espace économique européen ou autorise des membres de son Staff situés hors EEE à accéder aux données, cet accès peut constituer un transfert relevant de la responsabilité du Klub.

Le Klub doit alors :

• déterminer le mécanisme juridique applicable ;
• informer les personnes concernées ;
• limiter les accès ;
• mettre en œuvre les garanties nécessaires ;
• décrire le transfert dans sa politique de confidentialité.

18. Demandes d’exercice des droits

Le Klub demeure responsable de la réponse aux demandes concernant les traitements qu’il décide.

KlubSport aide le Klub, dans la mesure du possible, à traiter les demandes relatives :

• au droit d’accès ;
• au droit de rectification ;
• au droit à l’effacement ;
• au droit à la limitation ;
• au droit d’opposition ;
• au droit à la portabilité ;
• au retrait du consentement ;
• au droit de ne pas faire l’objet d’une décision automatisée lorsque ce droit est applicable.

Lorsqu’une demande concernant exclusivement le Klub est reçue directement par KlubSport, KlubSport :

• ne répond pas sur le fond sans instruction du Klub ;
• transmet la demande au propriétaire ou contact désigné ;
• procède à cette transmission sans délai indu et, lorsque cela est raisonnablement possible, dans un délai de deux jours ouvrés.

KlubSport peut fournir au Klub :

• des outils de consultation ;
• des fonctions de rectification ;
• des fonctions de suppression ;
• des exports ;
• les documents appartenant à la personne ;
• les journaux ou informations techniques nécessaires.

Le Klub vérifie l’identité du demandeur de manière proportionnée et décide de la suite à donner.

19. Violation de données à caractère personnel

KlubSport informe le Klub de toute violation confirmée affectant les Données du Klub dans les meilleurs délais et, autant que possible, dans les vingt-quatre heures suivant sa confirmation.

La notification est adressée au propriétaire du Klub et au contact de protection des données enregistré dans l’administration.

Elle comprend, au fur et à mesure des informations disponibles :

• la nature de la violation ;
• la date ou période estimée ;
• les catégories de données concernées ;
• les catégories et le nombre approximatif de personnes concernées ;
• le nombre approximatif d’enregistrements ;
• les conséquences probables ;
• les mesures prises ou proposées ;
• les mesures permettant de limiter les conséquences ;
• un point de contact.

Lorsque toutes les informations ne sont pas immédiatement disponibles, elles peuvent être transmises en plusieurs fois sans retard indu.

KlubSport :

• prend les mesures relevant de son périmètre pour contenir et corriger l’incident ;
• conserve une documentation interne ;
• coopère avec le Klub ;
• fournit les informations raisonnablement nécessaires à son analyse des risques.

Le Klub demeure responsable de décider :

• si une notification à une autorité de contrôle est requise ;
• si les personnes concernées doivent être informées ;
• du contenu de ces notifications.

KlubSport ne notifie pas l’autorité ou les personnes au nom du Klub sans instruction écrite, sauf obligation légale propre.

Incident causé par le Klub

Le Klub informe immédiatement KlubSport de tout incident impliquant :

• un compte compromis ;
• un export perdu ou diffusé ;
• un accès non autorisé par un membre du Staff ;
• un lien Drive rendu public par erreur ;
• un document transmis au mauvais destinataire ;
• une utilisation frauduleuse des Services.

KlubSport peut suspendre les accès nécessaires à la maîtrise de l’incident.

20. Analyse d’impact et consultation préalable

KlubSport fournit au Klub une assistance raisonnable lorsqu’un traitement mis en œuvre au moyen de KlubSport nécessite :

• une analyse d’impact relative à la protection des données ;
• une consultation préalable de l’autorité de contrôle ;
• une analyse de risque particulière.

Cette assistance peut comprendre :

• une description des Services ;
• les catégories de données traitées ;
• les mesures de sécurité applicables ;
• la liste des Sous-traitants ultérieurs ;
• les localisations connues ;
• les mécanismes de suppression ;
• les informations relatives aux incidents connus.

KlubSport ne se substitue pas au Klub pour déterminer si une analyse d’impact est obligatoire ni pour réaliser l’analyse juridique propre à ses finalités.

21. Registre et coopération avec les autorités

KlubSport tient un registre des catégories d’activités de traitement réalisées en qualité de sous-traitant, dans les conditions prévues par le RGPD.

KlubSport coopère avec l’autorité de contrôle compétente lorsque celle-ci agit dans le cadre de ses pouvoirs légaux.

Le Klub tient son propre registre des activités de traitement lorsqu’il y est tenu et y inscrit les traitements réalisés au moyen de KlubSport.

22. Documentation et audits

22.1 Documentation

KlubSport met à disposition les informations raisonnablement nécessaires pour démontrer le respect de ses obligations, notamment :

• le présent Accord ;
• ses annexes ;
• la liste des Sous-traitants ultérieurs ;
• une description des mesures de sécurité ;
• les politiques pertinentes ;
• des réponses à un questionnaire raisonnable ;
• les éléments de certification ou d’audit disponibles.

22.2 Audit documentaire

Le Klub privilégie en premier lieu un audit documentaire ou un questionnaire à distance.

KlubSport répond dans un délai raisonnable compte tenu de la complexité de la demande.

22.3 Audit complémentaire

Lorsque les informations documentaires sont insuffisantes, le Klub peut demander un audit complémentaire.

Sauf incident, demande d’une autorité ou motif sérieux :

• l’audit est limité à une fois par période de douze mois ;
• un préavis d’au moins trente jours est respecté ;
• il intervient pendant les horaires habituels ;
• il ne doit pas perturber de manière disproportionnée les Services ;
• il est conduit par le Klub ou un auditeur indépendant tenu à la confidentialité ;
• il ne donne pas accès aux données d’autres clients, aux secrets d’affaires ou aux éléments de sécurité dont la divulgation créerait un risque.

Les coûts de l’audit sont supportés par le Klub, sauf si l’audit révèle un manquement substantiel imputable à KlubSport.

KlubSport peut proposer une autre méthode de vérification apportant des garanties équivalentes.

23. Sort des données à la fin du contrat

À la fin des Services, le Klub peut choisir :

• d’exporter ses données puis d’en demander la suppression ;
• de demander leur suppression directe ;
• de demander leur transmission à un autre prestataire lorsque cela est techniquement possible.

23.1 Export

Sauf suspension liée à un risque de sécurité ou aux droits d’un tiers, le Klub dispose par défaut de trente jours pour récupérer les données mises à disposition dans son espace.

L’export peut comprendre, selon les modules :

• membres et candidats ;
• profils d’adhésion ;
• événements et participants ;
• commandes et clients ;
• messages ;
• produits ;
• données financières accessibles ;
• contenus ;
• documents du Drive ;
• données structurées disponibles en CSV, JSON ou autre format courant.

23.2 Suppression des systèmes actifs

À l’expiration du délai d’export ou sur demande du Klub, KlubSport supprime ou anonymise les Données du Klub présentes dans les systèmes actifs, sous réserve :

• des obligations légales ;
• des litiges ;
• de la sécurité ;
• des données que KlubSport traite comme responsable distinct ;
• des données nécessaires à la preuve d’une opération.

23.3 Sauvegardes

Les données supprimées peuvent subsister temporairement dans des sauvegardes techniques isolées pendant une durée maximale de quatre-vingt-dix jours.

Pendant cette période :

• elles ne sont pas remises à disposition dans l’application ;
• elles ne sont pas utilisées pour une nouvelle finalité ;
• leur accès reste limité ;
• elles disparaissent au fil de la rotation des sauvegardes.

En cas de restauration d’une sauvegarde, KlubSport applique les mécanismes nécessaires pour ne pas réactiver durablement des données précédemment supprimées.

23.4 Justification

Sur demande raisonnable, KlubSport confirme par écrit la réalisation du processus de suppression, sans être tenu de fournir des informations compromettant la sécurité de ses systèmes ou d’autres clients.

24. Données conservées sous la responsabilité du Klub

La suppression d’un compte KlubSport par une personne ne contraint pas automatiquement le Klub à supprimer toutes les informations la concernant.

Le Klub peut conserver, sous sa responsabilité, les données nécessaires :

• à sa comptabilité ;
• à la preuve d’une adhésion ;
• au traitement d’une commande ;
• à la gestion d’un litige ;
• à une obligation légale ;
• à la défense de ses droits.

Le Klub doit :

• limiter les données conservées ;
• les placer en archivage lorsque cela est approprié ;
• définir une durée ;
• informer la personne ;
• répondre à ses demandes.

25. Responsabilité

Chaque Partie répond de ses propres obligations.

Le Klub répond notamment :

• de la licéité de ses finalités ;
• des données qu’il choisit de collecter ;
• de ses formulaires et imports ;
• de l’information des personnes ;
• de ses durées ;
• des accès de son Staff ;
• de ses décisions concernant les droits des personnes ;
• de ses communications ;
• des transferts résultant de ses propres accès hors EEE.

KlubSport répond notamment :

• du respect des instructions licites ;
• de la confidentialité de ses équipes ;
• de la sécurité relevant de son périmètre ;
• de la gestion de ses Sous-traitants ultérieurs ;
• de l’assistance prévue par le présent Accord ;
• de la suppression des données relevant de ses systèmes.

Les limitations de responsabilité prévues dans les Conditions générales des Klubs s’appliquent, sans préjudice des dispositions impératives du RGPD, des droits des personnes concernées et des pouvoirs des autorités de contrôle.

26. Durée et fin de l’Accord

Le présent Accord demeure applicable aussi longtemps que KlubSport traite des Données du Klub.

Les clauses relatives à la confidentialité, aux audits, aux violations, à la responsabilité et au sort des données continuent de produire leurs effets après la fin du contrat pour la durée nécessaire à leur objet.

27. Modification de l’Accord

KlubSport peut modifier le présent Accord afin de tenir compte :

• d’une évolution légale ;
• d’une décision d’une autorité ;
• d’un changement des Services ;
• d’une évolution des mesures de sécurité ;
• d’un changement de Sous-traitant ultérieur ;
• d’une évolution des transferts internationaux.

Une modification substantielle est annoncée au moins trente jours avant son entrée en vigueur, sauf urgence légale ou de sécurité.

Lorsque la modification nécessite une nouvelle acceptation, celle-ci est recueillie dans l’administration du Klub.

Le refus d’une modification nécessaire au maintien de la conformité peut entraîner la fin de la fonctionnalité ou du service concerné.

28. Contacts

KlubSport

Contact protection des données et incidents :
contact@klubsport.fr

Adresse postale :
KlubSport
Service exploité par Nexxtone SAS
6 chemin des Bornes
78620 L’Étang-la-Ville
France

Aucun délégué à la protection des données n’a été désigné à la date de la présente version.

Klub

Les notifications sont adressées :

• au propriétaire du Klub ;
• à l’adresse juridique renseignée dans son espace ;
• au contact de protection des données éventuellement configuré.

Le Klub doit maintenir ces informations à jour.

29. Droit applicable et juridiction

Le présent Accord est soumis au droit français.

Les Parties recherchent une solution amiable avant toute action judiciaire.

Pour un Klub agissant à titre professionnel, tout litige relatif au présent Accord relève des tribunaux compétents du ressort de Versailles, sous réserve d’une règle impérative contraire.

Annexe 1 — Description des traitements

1. Objet du traitement

Fourniture, hébergement, maintenance et sécurisation des fonctionnalités KlubSport utilisées par le Klub.

2. Durée

Pendant toute la durée d’utilisation des Services, augmentée :

• du délai d’export de trente jours ;
• des durées d’archivage justifiées ;
• de la rotation des sauvegardes, au maximum quatre-vingt-dix jours ;
• de toute durée imposée par la loi.

3. Nature des opérations

• collecte ;
• enregistrement ;
• organisation ;
• structuration ;
• conservation ;
• consultation ;
• modification ;
• extraction ;
• importation ;
• exportation ;
• transmission ;
• mise à disposition ;
• hébergement ;
• sauvegarde ;
• restauration ;
• restriction ;
• suppression.

4. Finalités

5. Catégories de personnes concernées

• candidats ;
• membres ;
• adhérents ;
• anciens membres ;
• propriétaires et administrateurs ;
• membres du bureau et du Staff ;
• participants aux événements ;
• accompagnateurs et invités ;
• mineurs participant sans compte ;
• parents et représentants légaux ;
• acheteurs et destinataires ;
• visiteurs ayant contacté le Klub ;
• partenaires et sponsors ;
• personnes importées depuis une billetterie ou autre source ;
• utilisateurs autorisés du Klub.

6. Catégories de données

Identité et coordonnées

• nom ;
• prénom ;
• date de naissance ;
• adresse ;
• pays ;
• e-mail ;
• téléphone ;
• avatar ;
• coordonnées d’un représentant légal ;
• contact d’urgence.

Vie du Klub

• statut de membre ;
• numéro d’adhérent ;
• rôle ;
• permissions ;
• date d’arrivée ;
• candidature ;
• motivation ;
• expérience ;
• acceptation d’une charte ;
• statut de cotisation ;
• historique administratif.

Véhicules

• marque ;
• modèle ;
• version ;
• année ;
• photographie ;
• immatriculation lorsqu’elle est nécessaire ;
• informations déclarées par le participant ;
• documents requis pour un événement.

Événements et billetterie

• événement ;
• formule ;
• numéro de billet ;
• statut d’inscription ;
• accompagnateurs ;
• réponses aux questions ;
• documents requis ;
• mode et statut du paiement ;
• présence ou contrôle du billet.

Boutique et transactions

• produits ;
• quantités ;
• montant ;
• taxes ;
• réduction ;
• statut de commande ;
• adresse de livraison ;
• coordonnées du destinataire ;
• paiement et référence de transaction ;
• remboursement ou litige.

Communications

• messages ;
• objet ;
• expéditeur ;
• destinataires ;
• date ;
• contenu ;
• journaux d’envoi.

Partenaires et sponsors

• identité ;
• fonction ;
• société ;
• coordonnées ;
• relation avec le Klub.

Documents

• justificatifs administratifs ;
• documents requis pour un événement ;
• fichiers déposés dans le Drive ;
• documents de structure ;
• documents transmis volontairement au Klub.

7. Données exclues

Sauf accord écrit spécifique :

• données de santé ;
• allergies et pathologies ;
• données biométriques d’identification ;
• opinions politiques ;
• religion ;
• appartenance syndicale ;
• orientation ou vie sexuelle ;
• données pénales ;
• autres catégories particulières de l’article 9 du RGPD.

8. Fréquence

Traitement continu pendant l’utilisation des Services, avec opérations ponctuelles d’import, export, suppression et sauvegarde.

9. Durées par défaut

Le Klub doit adapter et documenter les durées relevant de sa responsabilité.

Annexe 2 — Mesures techniques et organisationnelles

1. Gouvernance et confidentialité

• accès réservé aux personnes habilitées ;
• obligations de confidentialité ;
• limitation des privilèges ;
• révocation des accès à la fin des fonctions ;
• sensibilisation des personnes autorisées ;
• procédures de gestion des incidents.

2. Authentification

• authentification centralisée au moyen de Keycloak ;
• sessions sécurisées pour l’application web ;
• jetons d’accès pour les applications mobiles ;
• mécanismes de récupération contrôlés ;
• possibilité de déconnecter les sessions ;
• possibilité d’imposer une réinitialisation en cas de risque.

3. Autorisations et séparation logique

• rattachement des données à un Klub ;
• contrôles fondés sur les rôles et permissions ;
• limitation des modules accessibles ;
• vérification de l’autorisation sur les interfaces et API ;
• interdiction d’accéder aux données d’un autre Klub ;
• comptes individuels pour les membres du Staff.

4. Protection des échanges

• chiffrement des communications au moyen de protocoles sécurisés ;
• accès aux interfaces via HTTPS ;
• protection des sessions et jetons ;
• liens temporaires ou flux authentifiés pour les documents privés.

5. Stockage

• hébergement principal chez OVHcloud en France ;
• stockage privé des documents sensibles ;
• stockage S3 privé dans la région eu-west-3 lorsque ce service est utilisé ;
• chiffrement serveur AES-256 des objets privés S3 ;
• séparation entre les espaces publics et privés ;
• interdiction de diffuser les permis, pièces d’identité et documents privés par le CDN public.

6. Médias publics

• utilisation possible d’Amazon CloudFront pour les médias destinés à être publics ;
• suppression des métadonnées EXIF des images destinées à une publication publique ;
• mise en cache limitée par les paramètres techniques ;
• invalidation ou expiration des médias supprimés.

7. Sauvegardes et continuité

• sauvegardes des données et fichiers selon les composants concernés ;
• accès restreint aux sauvegardes ;
• rotation des sauvegardes ;
• conservation maximale de quatre-vingt-dix jours après suppression ;
• mécanismes de restauration ;
• prévention de la réactivation durable de données supprimées après restauration.

8. Journalisation

• journaux techniques et de sécurité ;
• journalisation des opérations d’administration sensibles lorsque disponible ;
• conservation limitée ;
• protection des journaux contre les accès non autorisés ;
• utilisation des journaux pour la sécurité, le support et les investigations.

9. Support et accès administrateur

• accès au moyen d’un mode d’assistance dédié ;
• absence d’accès au mot de passe ;
• justification par un motif ou ticket ;
• limitation aux administrateurs habilités ;
• journalisation des accès ;
• interdiction d’engager contractuellement ou financièrement l’Utilisateur à sa place.

10. Diagnostic

• région européenne pour Sentry ;
• désactivation des fonctions de Session Replay et de capture visuelle ;
• limitation des données envoyées aux outils de diagnostic ;
• conservation des événements Sentry pendant quatre-vingt-dix jours ;
• filtrage des mots de passe et documents.

11. Gestion des fichiers

• contrôle des formats et tailles admis selon les fonctionnalités ;
• nommage technique des objets ;
• séparation entre fichiers privés et médias publics ;
• suppression des fichiers actifs à l’expiration des délais ;
• restriction des liens de téléchargement ;
• possibilité de révocation des liens de partage.

12. Incidents

• mécanismes de détection et d’analyse ;
• limitation ou suspension des accès compromis ;
• conservation des preuves nécessaires ;
• notification du Klub ;
• mesures de correction et d’atténuation ;
• suivi de la résolution.

13. Maintenance et vulnérabilités

• mises à jour des composants ;
• suivi des dépendances ;
• correction des vulnérabilités selon leur criticité ;
• possibilité d’interrompre une fonctionnalité pour des raisons de sécurité ;
• contrôles et évaluations périodiques adaptés aux risques.

Annexe 3 — Sous-traitants ultérieurs autorisés

A. Sous-traitants ultérieurs

Anthropic

Lorsque l’analyse documentaire est utilisée :

• elle est déclenchée volontairement ;
• le document complet peut être transmis ;
• les API Messages et Files API peuvent être utilisées ;
• les fichiers temporaires créés dans la Files API sont supprimés après traitement ;
• les données ne sont pas utilisées par défaut pour entraîner les modèles dans le cadre commercial applicable ;
• une conservation technique pouvant aller jusqu’à trente jours peut s’appliquer selon les conditions du fournisseur.

B. Prestataires ou responsables distincts

Les acteurs suivants ne sont pas nécessairement des Sous-traitants ultérieurs de KlubSport pour les traitements décidés par le Klub. Leur rôle dépend du service et de leur relation directe avec le Klub ou la personne concernée.

Le Klub ne doit pas connecter un prestataire externe aux données KlubSport sans s’assurer :

• qu’il dispose d’une base juridique ;
• qu’un contrat approprié est conclu ;
• que les personnes sont informées ;
• que les transferts internationaux sont encadrés ;
• que les accès sont limités.

Annexe 4 — Répartition opérationnelle des responsabilités

Annexe 5 — Contacts et notifications

Contact KlubSport

E-mail général, protection des données et incidents :
contact@klubsport.fr

Adresse :
KlubSport
Service exploité par Nexxtone SAS
6 chemin des Bornes
78620 L’Étang-la-Ville
France

Contact du Klub

Par défaut :

• propriétaire du Klub ;
• adresse e-mail juridique enregistrée dans l’administration ;
• contact de protection des données configuré par le Klub.

Notification d’un nouveau Sous-traitant

• e-mail ;
• notification dans l’administration ;
• ou publication sur la liste des Sous-traitants avec alerte au propriétaire.

Notification d’une violation

• e-mail au propriétaire et au contact de protection des données ;
• notification dans l’administration lorsque cela est approprié ;
• échanges complémentaires par le canal sécurisé proposé par KlubSport.

Mise à jour obligatoire

Le Klub doit maintenir ses contacts à jour. Une notification envoyée aux dernières coordonnées enregistrées est réputée valablement adressée.