Contrat de sous-traitance des données à caractère personnel

Version du 2026-09-23

Conclu en application de l'article 28 du Règlement (UE) 2016/679 (RGPD).

---

Entre les soussignés

Le Responsable de traitement

Le club utilisateur du service Rounders, désigné ci-après « le Club ».

Le Sous-traitant

ARETI, EURL au capital de 1 000 €, immatriculée sous le numéro SIREN 934 660 887 (SIRET 934 660 887 00019), dont le siège est 42 B rue de l'Amiral Duperré, 17000 La Rochelle, France, représentée par Julien Leprou en qualité de gérant, éditrice du service Rounders accessible à l'adresse rounders.fr.

Contact pour toute question relative à la protection des données : contact@areti.fr

---

Article 1. Objet

Le présent contrat définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Club, les données à caractère personnel nécessaires au fonctionnement du service Rounders.

Il ne couvre que les traitements pour lesquels le Club détermine les finalités et les moyens, c'est-à-dire ceux qui relèvent de la gestion de ses adhérents et de ses activités.

Il ne couvre pas les traitements pour lesquels ARETI agit en qualité de responsable de traitement pour son propre compte : la création et la gestion du compte Rounders d'un joueur, la mesure d'audience du site, la prospection commerciale, et les classements inter-clubs de la plateforme. Ces traitements sont décrits dans la politique de confidentialité publiée à l'adresse rounders.fr/confidentialite.

Cette répartition est substantielle. Un même joueur peut être concerné par les deux : son compte Rounders relève d'ARETI, son adhésion au Club relève du Club.

Article 2. Description des traitements confiés

Nature et finalité. Héberger, structurer et rendre accessible au Club les données de ses adhérents, afin de lui permettre de tenir son registre des membres, de gérer les adhésions et les cotisations, d'organiser ses tournois et d'établir ses classements.

Durée. Le présent contrat prend effet à la date de création de l'espace du Club sur Rounders et demeure en vigueur tant que cet espace existe.

Catégories de personnes concernées. Les membres du Club, les personnes ayant demandé à adhérer, les personnes invitées par le Club, et les personnes ayant fait l'objet d'une mesure de modération du Club.

Catégories de données traitées.

Aucune donnée relevant de l'article 9 du RGPD (données dites sensibles) n'est collectée par le service. Le Club s'interdit d'en saisir dans les champs de texte libre mis à sa disposition.

Article 3. Obligations du Sous-traitant

Conformément à l'article 28.3 du RGPD, le Sous-traitant s'engage à ce qui suit.

3.1 Instructions documentées. Le Sous-traitant ne traite les données que sur instruction documentée du Club. Constituent une instruction documentée : le présent contrat, les conditions générales d'utilisation, et les actions accomplies par le Club dans l'interface du service.

Si le Sous-traitant est tenu de procéder à un transfert en vertu du droit de l'Union ou du droit d'un État membre, il en informe le Club avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public.

Le Sous-traitant informe immédiatement le Club si une instruction constitue selon lui une violation du RGPD.

3.2 Confidentialité. Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

3.3 Sécurité. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles prévues à l'article 32. Ces mesures sont détaillées à l'article 7.

3.4 Sous-traitance ultérieure. Le Sous-traitant recourt aux sous-traitants ultérieurs listés à l'article 8. Il en informe le Club et lui donne la possibilité d'émettre des objections avant tout ajout ou remplacement.

Le Sous-traitant impose à chacun d'eux, par contrat, les mêmes obligations que celles qui figurent au présent contrat. Il demeure pleinement responsable devant le Club de l'exécution de leurs obligations.

3.5 Droits des personnes. Le service met directement à la disposition des personnes concernées les moyens d'exercer leurs droits d'accès, de rectification, d'effacement, d'opposition et de portabilité, sans intervention du Club ni du Sous-traitant.

Lorsqu'une demande est adressée au Club et porte sur des données que seul le Sous-traitant peut atteindre, celui-ci apporte son concours dans un délai de quinze jours à compter de la demande, afin que le Club puisse répondre dans le délai d'un mois de l'article 12.3.

3.6 Concours au titre des articles 32 à 36. Le Sous-traitant aide le Club à satisfaire à ses obligations en matière de sécurité, de notification de violation de données et, le cas échéant, d'analyse d'impact, compte tenu de la nature du traitement et des informations dont il dispose.

Violation de données. Le Sous-traitant notifie au Club toute violation de données à caractère personnel dans les quarante-huit heures suivant le moment où il en a connaissance, par courrier électronique à l'adresse de contact indiquée en tête du présent contrat. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables, et les mesures prises ou envisagées.

Il appartient au Club, en qualité de responsable de traitement, de procéder le cas échéant à la notification à l'autorité de contrôle et à l'information des personnes concernées.

3.7 Sort des données au terme du contrat. Au choix du Club, exprimé au plus tard à la fin de la prestation, le Sous-traitant supprime toutes les données ou les lui renvoie.

Le Club peut à tout moment, et sans avoir à le demander, récupérer l'intégralité des données de son espace depuis l'interface du service, dans un format structuré, couramment utilisé et lisible par machine. Cette faculté est permanente et gratuite. Elle vaut restitution au sens du présent article.

Le Sous-traitant détruit les copies existantes, sauf obligation légale de conservation. Les sauvegardes chiffrées comportant les données sont écrasées par rotation dans un délai maximal de quatre-vingt-dix jours.

Réserve. Certaines données ne peuvent être supprimées sans porter atteinte aux droits d'autres personnes concernées : les résultats de tournoi et les écritures de classement d'un joueur déterminent le classement de l'ensemble des autres joueurs. Ces données sont, en pareil cas, anonymisées et non supprimées. Le procédé est décrit à l'adresse rounders.fr/confidentialite.

3.8 Documentation et audit. Le Sous-traitant met à la disposition du Club toute information nécessaire pour démontrer le respect des obligations du présent article, et permet la réalisation d'audits, y compris d'inspections, par le Club ou un auditeur qu'il mandate.

Les audits se déroulent pendant les heures ouvrables, sur préavis écrit de trente jours, dans la limite d'un audit par an sauf incident de sécurité avéré. Les frais sont à la charge du Club, sauf si l'audit révèle un manquement substantiel du Sous-traitant.

Article 4. Obligations du Club

Le Club, en qualité de responsable de traitement, s'engage à :

1. ne collecter et ne saisir que des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de ses finalités ;
2. informer les personnes concernées du traitement qu'il opère, de sa base légale et de leurs droits, au plus tard au moment de leur adhésion ;
3. recueillir, lorsque la base légale retenue l'exige, le consentement des personnes concernées, et en conserver la preuve ;
4. documenter par écrit toute instruction adressée au Sous-traitant ;
5. veiller au respect des obligations du présent contrat par ses propres préposés, en particulier par les personnes à qui il confie un rôle d'organisateur dans le service ;
6. tenir le registre de ses activités de traitement lorsque l'article 30 l'y oblige ;
7. répondre aux demandes d'exercice de droits qui lui sont adressées.

Le Club est seul responsable de l'exactitude et de la licéité des données qu'il saisit, en particulier dans les champs de texte libre.

Article 5. Localisation des données

Les données sont hébergées au sein de l'Union européenne :

• base de données, authentification et fichiers : centre de données de Francfort, Allemagne ;
• application web : serveur situé en France.

Certains sous-traitants ultérieurs sont établis hors de l'Union européenne. Les transferts correspondants sont encadrés dans les conditions de l'article 8.

Article 6. Registre et délégué

Le Sous-traitant tient le registre des catégories d'activités de traitement effectuées pour le compte du Club, conformément à l'article 30.2. Ce registre est publié et tenu à jour à l'adresse rounders.fr/confidentialite.

Aucune des parties n'est tenue de désigner un délégué à la protection des données au sens de l'article 37. Le point de contact du Sous-traitant est contact@areti.fr.

Article 7. Mesures de sécurité

Le Sous-traitant met en œuvre les mesures suivantes :

Cloisonnement des données. La séparation entre les clubs est assurée au niveau de la base de données elle-même, par des politiques de sécurité au niveau des lignes, et non par le code de l'application. Un membre d'un club ne peut atteindre les données d'un autre club, même en s'adressant directement à l'interface de programmation.

Minimisation à la lecture. Les données d'identité les plus sensibles, à savoir l'adresse électronique, le numéro de téléphone, la date et la ville de naissance, ne sont accessibles qu'aux organisateurs du club dont la personne est membre, et à l'administrateur de la plateforme. Les autres membres n'accèdent qu'à une projection restreinte, qui ne comporte pas ces colonnes.

Chiffrement. Les échanges sont chiffrés en transit (TLS). Les mots de passe sont stockés sous forme de condensats. Les sauvegardes sont chiffrées avant leur dépôt.

Contrôle des accès. L'accès administrateur à la plateforme est nominatif. Les clés de service ne sont jamais exposées au navigateur.

Journalisation. Les actions sensibles portant sur les tournois et la modération sont journalisées avec leur auteur et leur horodatage.

Sauvegardes. Sauvegarde quotidienne chiffrée, conservée quatre-vingt-dix jours, et exercice de restauration périodique.

Conservation. Les durées de conservation sont appliquées par un mécanisme de purge automatique, et non par un engagement déclaratif.

Article 8. Sous-traitants ultérieurs

Le Club autorise le recours aux sous-traitants ultérieurs suivants :

Le Sous-traitant informe le Club de tout ajout ou remplacement envisagé par courrier électronique, avec un préavis de trente jours. Le Club peut s'y opposer par écrit dans ce délai en motivant son objection. À défaut d'accord, le Club peut résilier sans frais et récupérer ses données dans les conditions de l'article 3.7.

Ne figurent pas dans ce tableau les prestataires qui n'interviennent pas dans les traitements opérés pour le compte du Club : le fournisseur de mesure d'audience du site, qui n'est activé qu'avec le consentement du visiteur, et le fournisseur des fonds de carte de l'annuaire public. Ils relèvent des traitements propres à ARETI.

Article 9. Responsabilité

Chaque partie répond des dommages causés par son propre manquement au présent contrat ou au RGPD, dans les conditions de l'article 82 du Règlement.

Article 10. Durée, modification et résiliation

Le présent contrat suit le sort du contrat de service. Toute modification substantielle est portée à la connaissance du Club par courrier électronique, avec un préavis de trente jours pendant lequel il peut résilier sans frais.

En cas de résiliation, quelle qu'en soit la cause, le Club dispose de trente jours pour récupérer ses données au moyen de la fonction d'export permanente prévue à l'article 3.7.

Article 11. Droit applicable et juridiction

Le présent contrat est soumis au droit français. Tout différend relève de la compétence des tribunaux du ressort du siège du défendeur, après tentative de résolution amiable.

---

Fait en deux exemplaires.

---

Ce document est le contrat type proposé par ARETI. Un club qui souhaite y apporter des modifications peut écrire à contact@areti.fr. Ce texte est rédigé pour être relu par un conseil avant signature et ne tient pas lieu d'avis juridique.