Accord sur le traitement des données de VolleyClub
Dernière mise à jour : 22 octobre 2026.
1. Parties, champ d'application et primauté
Cet accord (le « DPA ») fait partie du Bon de commande signé entre le Club qui y est identifié (le « Responsable du traitement ») et PSG, Borut Grauf s.p., Pod gonjami 85, 2391 Prevalje, Slovénie, numéro d'immatriculation 8519471000, numéro de TVA SI54246679 (le « Sous-traitant »).
Il s'applique aux données personnelles traitées pour le compte du Club pour fournir VolleyClub, y compris un site hébergé convenu. Il ne modifie pas les rôles pour les traitements réalisés par l'exploitant à ses propres fins, décrits dans la Notice de confidentialité.
Les termes du RGPD ont le sens prévu par le règlement (UE) 2016/679. Ce DPA prévaut sur les clauses commerciales contradictoires relatives au traitement des données personnelles. Le droit impératif prévaut.
2. Instructions documentées et responsabilités
Le Sous-traitant traite les données personnelles uniquement sur les instructions documentées du Responsable du traitement, notamment ce DPA, le Bon de commande et les réglages et actions autorisés dans le Service. Cela vaut aussi pour les transferts internationaux. Si le droit de l'UE ou d'un État membre impose un autre traitement, le Sous-traitant en informe le Responsable du traitement avant d'y procéder, sauf interdiction légale de le faire.
Le Responsable du traitement définit les finalités licites et bases juridiques, fournit les notices nécessaires, établit les instructions de conservation et contrôle les utilisateurs autorisés. Il doit déterminer toute condition supplémentaire nécessaire aux catégories particulières de données et ne doit pas donner d'instructions de traitement illicite.
Le Sous-traitant informe immédiatement le Responsable du traitement si une instruction lui paraît contraire au droit applicable de la protection des données. Il peut suspendre le traitement concerné le temps d'obtenir une clarification ou une alternative licite, en protégeant de façon proportionnée les données et la continuité du service.
3. Confidentialité et sécurité
Les personnes autorisées à traiter les données doivent être soumises à une obligation de confidentialité ou à une obligation légale appropriée. L'accès est limité aux besoins de leur rôle.
Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées au titre de l'article 32, compte tenu des risques, notamment pour les enfants et les informations de santé. L'annexe B décrit ces mesures. Le Sous-traitant peut les améliorer, mais ne doit pas réduire substantiellement le niveau de protection convenu pendant le traitement.
4. Sous-traitants ultérieurs et transferts
Le Responsable du traitement donne une autorisation écrite générale pour les prestataires de la Liste des sous-traitants ultérieurs, selon les finalités et conditions qui y figurent. Avant de nommer un sous-traitant ultérieur supplémentaire ou de remplacement, le Sous-traitant donne un préavis écrit d'au moins 14 jours, précisant son rôle, sa localisation et la date de début proposée.
Le Responsable du traitement peut s'y opposer dans ce délai pour des motifs raisonnables de protection des données. Les parties recherchent une alternative ou des garanties appropriées. À défaut de résolution, le Responsable du traitement peut mettre fin au Service concerné avant le début du traitement proposé et obtenir le remboursement des frais prépayés non utilisés pour ce Service. Le Sous-traitant ne doit pas interpréter le silence avant la fin du préavis comme une autorisation de commencer plus tôt.
Chaque sous-traitant ultérieur est lié par un accord écrit imposant les obligations applicables de protection des données requises par l'article 28. Le Sous-traitant reste responsable de l'exécution de ces obligations par le sous-traitant ultérieur.
Les transferts internationaux soumis à restrictions nécessitent un mécanisme licite et, si nécessaire, des garanties supplémentaires appropriées. Le Sous-traitant met les informations pertinentes sur ce mécanisme et ces garanties à la disposition du Responsable du traitement.
5. Demandes des personnes concernées
Compte tenu de la nature du traitement, le Sous-traitant aide le Responsable du traitement à répondre aux demandes d'exercice des droits par des mesures techniques et organisationnelles appropriées. Il l'informe rapidement des demandes concernant les données dont celui-ci est responsable, sauf instruction documentée du Responsable du traitement pour une catégorie convenue de demandes.
Le Responsable du traitement autorise la réception et la vérification d'identité par le canal central de demandes de la plateforme. Ce canal n'autorise pas à lui seul toute divulgation ou tout effacement. Le Sous-traitant coordonne la portée et les instructions licites avec le Responsable du traitement concerné, ne divulgue pas les données d'un autre Club et ne décide pas des fondements juridiques invoqués par le Responsable du traitement pour conserver les dossiers. Lorsque l'exploitant est lui-même responsable du traitement ou que la loi lui impose directement d'agir, il remplit ses propres obligations.
Aucune partie ne peut utiliser son processus interne pour retarder une demande au-delà des délais applicables. Les parties conviennent des mesures urgentes nécessaires lorsqu'une demande concerne plusieurs comptes, un enfant, les droits d'autres personnes ou des obligations de conservation légale.
6. Incidents et assistance
Le Sous-traitant informe le Responsable du traitement dans les meilleurs délais après avoir pris connaissance d'une violation des données personnelles concernées. Il fournit, à mesure qu'ils sont disponibles, la nature de la violation, les données et personnes touchées, les conséquences probables, le point de contact et les mesures prises ou proposées. Les informations peuvent être fournies par étapes sans retard supplémentaire injustifié.
Le Sous-traitant prend des mesures raisonnables pour contenir la violation et y remédier, et aide le Responsable du traitement pour les notifications requises. Il l'assiste aussi pour les obligations de sécurité, les analyses d'impact et la consultation préalable des autorités, compte tenu du traitement et des informations dont il dispose. La notification n'est pas reportée jusqu'à ce que tous les détails soient établis.
7. Informations et audits
Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permet les audits, y compris les inspections, du Responsable du traitement ou de son auditeur mandaté, et y contribue. Les parties organisent un préavis raisonnable, la confidentialité et les garanties pour les informations des autres clients. Des incidents urgents, demandes d'autorités ou indices crédibles de non-conformité peuvent nécessiter un accès plus rapide.
Les éléments existants ou rapports indépendants peuvent répondre à un besoin d'audit lorsqu'ils sont adaptés, mais ne suppriment pas les droits légaux d'audit du Responsable du traitement. Ce DPA n'affirme pas que le Service détient une certification particulière.
8. Restitution, suppression et durée
Ce DPA s'applique dès le début du traitement au titre du contrat signé et jusqu'à ce que le Sous-traitant ait restitué ou supprimé les données comme requis.
Au choix du Responsable du traitement, le Sous-traitant restitue ou supprime les données personnelles après la fin des services de traitement et supprime les copies existantes, sauf conservation imposée par le droit de l'UE ou d'un État membre. L'instruction standard du Responsable du traitement prévoit une conservation à accès restreint pendant 90 jours après la résiliation, puis la suppression, copies comprises, comme décrit dans les Conditions, section 13. Le Responsable du traitement peut demander une suppression anticipée ou une restitution avant la suppression programmée. Aucun export automatique n'est préparé ; toute restitution demandée est organisée de manière sécurisée. Les droits impératifs de restitution et de récupération restent préservés, et les données nécessaires à une demande valable de restitution en cours sont protégées jusqu'à son achèvement.
Les sauvegardes restent protégées et isolées des traitements ordinaires. Elles expirent dans les 90 jours suivant leur création et sont aussi soumises au délai de suppression de fin de service. En cas de restauration, les instructions de suppression applicables sont réappliquées. Toute conservation imposée par la loi est documentée, limitée à cette finalité et communiquée lorsque cela est permis. Le Sous-traitant confirme l'achèvement sur demande raisonnable.
9. Contacts et droit applicable
Le contact du Responsable du traitement est le représentant désigné dans le Bon de commande ou notifié ultérieurement. Celui du Sous-traitant est support@volleyclub.app. Les dispositions des Conditions sur le droit applicable et les litiges s'appliquent sans restreindre les droits des personnes ou des autorités au titre du droit applicable.
Annexe A — Description du traitement
Objet et finalité : fournir les services convenus de gestion du club et de site web : administration des membres et équipes, liens avec les représentants légaux, calendriers, présences, matchs, évaluations, communications, gestion des frais de participation, publication publique, demandes d'adhésion, assistance, exports, suppression et sécurité réalisés pour le compte du Club.
Opérations : collecte, enregistrement, organisation, conservation, extraction, accès autorisé, transmission, publication sur instruction, export, rectification, limitation et suppression.
Personnes : membres et candidats à l'adhésion, joueurs dont les enfants, représentants légaux, entraîneurs, salariés, bénévoles, officiels, visiteurs du site et personnes contactant le Club.
Données : identité et coordonnées ; dates de naissance ; photos et fichiers ; données d'équipe, de rôle et d'adhésion ; liens de représentation légale ; présence et participation ; résultats ; évaluations et dossiers de progression ; communications ; données de cotisation ; demandes ; instructions de publication et données techniques nécessaires au traitement.
Informations sensibles : une fonction activée et appropriée peut traiter des informations de santé limitées relatives aux absences. Le Responsable du traitement doit établir la base juridique et la condition relative aux catégories particulières nécessaires, limiter la collecte et l'accès et donner des instructions. Les notes générales et fichiers téléversés ne doivent pas servir de dossier médical sans restriction. Les autres catégories sensibles nécessitent une évaluation séparée et un périmètre expressément convenu avant traitement.
Durée et fréquence : continues pendant l'utilisation des fonctions concernées, puis les périodes convenues de restitution/suppression et de sauvegarde. Le Club doit donner des instructions appropriées pour les dossiers devenus inutiles avant la fin de son abonnement.
Annexe B — Mesures de sécurité
- Séparation des données des Clubs et accès contrôlé selon les rôles autorisés.
- Contrôles d'authentification, mots de passe protégés et gestion appropriée des identifiants et jetons.
- Transport chiffré pour l'accès au service et accès administratif restreint.
- Journalisation et surveillance adaptées à la sécurité et à la recherche des pannes, avec minimisation des données.
- Sauvegardes protégées, chiffrement avant transfert hors site et restauration contrôlée.
- Procédures de modification des accès, de gestion des incidents, de demandes de données personnelles et de suppression.
- Obligations de confidentialité et accès limité au personnel et aux prestataires autorisés.
- Révision et entretien des mesures adaptées aux risques du traitement.
Le Sous-traitant fournit des précisions pertinentes sur demande raisonnable, sous réserve de garanties contre l'exposition d'informations sensibles pour la sécurité ou de données d'autres clients.
Annexe C — Prestataires
La version de la Liste des sous-traitants ultérieurs fournie avec le Bon de commande est intégrée à ce DPA. Les modifications ultérieures suivent la section 4.