Contrat de sous-traitance (DPA)

1. Parties

Le responsable de traitement est le Client, c'est-à-dire la structure équestre titulaire d'un espace EQUIROL, qui détermine les finalités et les moyens des traitements réalisés avec le Service.

Le sous-traitant est Jérémy Meurin, entrepreneur individuel exerçant sous le nom commercial JC2MSC (marque EQUIROL), SIREN 981 176 142, 4 C rue Guy Mocquet, 59263 Houplin-Ancoisne, France (ci-après « EQUIROL »), qui traite les données uniquement pour le compte du Client.

2. Objet et durée

Le présent contrat a pour objet de définir les conditions dans lesquelles EQUIROL effectue, pour le compte du Client, les opérations de traitement décrites ci-dessous dans le cadre de la fourniture du Service.

Il s'applique pendant toute la durée du contrat d'abonnement, essai gratuit compris, puis jusqu'à la restitution et la suppression effective des données prévues à l'article 11.

3. Nature et finalités des traitements

Opérations réalisées : collecte (formulaires d'inscription en ligne, saisie par le Client), enregistrement, organisation, structuration, conservation, hébergement, consultation, modification, mise à disposition aux Utilisateurs autorisés, génération de documents (factures, devis, dossiers d'inscription au format PDF), envoi d'e-mails de service, recueil de signatures électroniques, transmission aux prestataires de paiement choisis par le Client, sauvegarde, effacement et anonymisation.

• Gestion administrative des cavaliers, familles, tiers payeurs et propriétaires (fiches, adhésions, licences, inscriptions et ré-inscriptions)
• Organisation des activités : planning, reprises, présences, pensions et demi-pensions, suivi des chevaux et de leurs soins
• Facturation, panier, encaissements et paiements en ligne lorsque le Client les active
• Signature électronique de documents (règlement intérieur, contrats, autorisations)
• Communication entre le Client et ses cavaliers, familles, propriétaires et moniteurs (e-mails, espaces dédiés, application mobile)

4. Catégories de personnes concernées

• Cavaliers, y compris mineurs
• Représentants légaux et tiers payeurs
• Propriétaires de chevaux et demi-pensionnaires
• Moniteurs, salariés et bénévoles du Client disposant d’un accès
• Personnes déposant une demande d’inscription via le lien ou le QR code public du Client

5. Catégories de données traitées

Le Service n'est pas conçu pour traiter des données de santé des personnes ni d'autres catégories particulières de données (article 9 du RGPD). Le Client s'engage à ne pas en saisir, notamment dans les champs de notes libres.

• Identité : nom, prénom, date de naissance, catégorie d’âge, photo le cas échéant
• Coordonnées : adresse postale, e-mail, téléphone
• Données équestres : niveau (galop), numéro et validité de licence, formule d’adhésion, cheval associé, planning et présences
• Données économiques : panier, factures, devis, avoirs, statut et référence des paiements (jamais le numéro complet de carte bancaire, saisi directement chez le prestataire de paiement)
• Documents et signatures électroniques : tracé de signature, nom du signataire, date et heure, adresse IP, empreinte numérique du document signé
• Consentements : droit à l’image, confirmation de la qualité de représentant légal
• Données de connexion des Utilisateurs : identifiant, date et heure, adresse IP, navigateur, informations techniques de l’appareil pour l’application mobile
• Chevaux : identité, soins, rappels et documents, rattachés à leur propriétaire
• Notes libres saisies par le Client, sous sa responsabilité

6. Obligations du Client

• Disposer d’une base légale pour chaque traitement et informer les personnes concernées, en précisant qu’EQUIROL intervient comme sous-traitant
• Recueillir les consentements nécessaires, notamment celui du représentant légal pour les mineurs et le consentement au droit à l’image
• Donner à EQUIROL des instructions documentées, lesquelles résultent des CGV, du présent contrat et du paramétrage du Service par le Client
• Définir les durées de conservation applicables à ses traitements et gérer les accès de ses Utilisateurs
• Veiller au respect du RGPD par ses propres Utilisateurs

7. Obligations d’EQUIROL

• Traiter les données uniquement pour les finalités décrites et sur instruction documentée du Client, y compris pour les transferts hors de l’Union européenne ; informer immédiatement le Client si une instruction lui paraît contraire à la réglementation
• Ne pas utiliser les données à ses propres fins, ne jamais les vendre ni les louer
• Garantir la confidentialité des données : seules les personnes autorisées d’EQUIROL y accèdent, dans la limite de leurs missions (support, maintenance), et sont soumises à une obligation de confidentialité
• Tracer les accès du support : la fonction « se connecter en tant que » est réservée au personnel habilité et chaque utilisation est journalisée
• Mettre en œuvre les mesures de sécurité décrites à l’article 10
• Tenir un registre des traitements effectués pour le compte du Client (article 30.2 du RGPD)
• Aider le Client, dans la mesure du possible, à réaliser une analyse d’impact et, le cas échéant, la consultation préalable de la CNIL
• Mettre à disposition du Client la documentation nécessaire pour démontrer le respect de ses obligations

8. Sous-traitants ultérieurs

Le Client autorise EQUIROL à recourir aux sous-traitants ultérieurs listés ci-dessous. EQUIROL impose à chacun, par contrat, des obligations de protection des données au moins équivalentes à celles du présent contrat et reste responsable envers le Client de leur exécution.

EQUIROL informe le Client par e-mail de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif lié à la protection des données ; à défaut de solution, il peut résilier le contrat sans pénalité avant l'entrée en vigueur du changement.

• ANCELADE SAS

  Prestation

  Hébergement du Service et des données (serveur privé virtuel)

  Localisation et garanties

  France

• OVHcloud (messagerie equirol.fr)

  Prestation

  Acheminement des e-mails de service (invitations, liens d’inscription, notifications)

  Localisation et garanties

  France

• Google (reCAPTCHA v3)

  Prestation

  Protection anti-robot des formulaires publics, dont l’inscription en ligne

  Localisation et garanties

  Union européenne et États-Unis : Data Privacy Framework UE–États-Unis et clauses contractuelles types

8 bis. Prestataires de paiement choisis par le Client

Lorsque le Client active le paiement en ligne (Stripe) avec son propre compte marchand, ces prestataires sont liés directement au Client par leurs propres conditions et ne sont pas des sous-traitants d'EQUIROL. EQUIROL se limite à leur transmettre les informations nécessaires à la transaction (montant, référence, e-mail du payeur). Les données de carte bancaire sont saisies directement chez le prestataire et ne transitent jamais par les serveurs d'EQUIROL.

Stripe peut traiter des données aux États-Unis ; ces transferts sont encadrés par le Data Privacy Framework UE–États-Unis et les clauses contractuelles types.

9. Droits des personnes concernées

Le Client reste l'interlocuteur des personnes concernées. EQUIROL l'aide à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, opposition, portabilité) en mettant à sa disposition dans le Service des fonctions de consultation, de modification, d'export et de suppression des données, et, à défaut, en l'assistant sur demande.

Si une personne concernée s'adresse directement à EQUIROL, EQUIROL transmet sa demande au Client sans délai et n'y répond pas elle-même, sauf instruction du Client.

10. Sécurité des données

• Hébergement en France sur un serveur dédié au sein d’un prestataire professionnel
• Chiffrement des échanges (HTTPS/TLS) entre les navigateurs, l’application mobile et le Service
• Mots de passe stockés sous forme hachée, jamais en clair ; liens d’invitation et de réinitialisation à durée limitée
• Cloisonnement des données par centre et contrôle des accès par rôle et par module
• Journalisation des connexions et des actions sensibles, conservée 1 an
• Protection des formulaires publics contre les robots et limitation des tentatives abusives
• Sauvegardes quotidiennes, conservées 1 an

11. Violation de données personnelles

EQUIROL notifie au Client toute violation de données personnelles sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l'administrateur de l'espace du Client.

La notification précise, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, le point de contact, les conséquences probables et les mesures prises ou envisagées pour y remédier. Les informations qui ne sont pas disponibles immédiatement sont communiquées dès que possible. Il appartient au Client, responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées ; EQUIROL l'assiste dans ces démarches.

12. Sort des données en fin de contrat

À la fin du contrat, EQUIROL met à la disposition du Client un export complet de ses données dans un format structuré et couramment utilisé. EQUIROL supprime ensuite l'ensemble des données traitées pour le compte du Client, y compris les copies, dans un délai de 30 jours, sauf si le droit de l'Union européenne ou le droit français impose leur conservation. Les copies de sauvegarde sont effacées au fil de leur cycle de rotation, au plus tard 1 an après la fin du contrat.

Sur demande, EQUIROL remet au Client une attestation de suppression.

13. Durées de conservation appliquées par défaut

Sauf instruction contraire du Client, le Service applique les durées suivantes, que le Client reste libre d'ajuster à ses propres obligations.

• Fiche cavalier ou tiers payeur

  Durée

  Anonymisée 3 ans après la dernière activité

• Factures, devis et avoirs

  Durée

  10 ans (obligation comptable du Client)

• Documents et contrats signés, avec leur preuve de signature

  Durée

  Durée du contrat, puis 5 ans

• Demandes d’inscription refusées ou abandonnées

  Durée

  6 mois

• Comptes utilisateurs inactifs

  Durée

  Supprimés après 2 ans sans connexion

• Journaux de connexion

  Durée

  1 an

• File d’envoi des e-mails

  Durée

  3 mois

14. Audits

Le Client peut vérifier le respect du présent contrat, en priorité sur la base de la documentation fournie par EQUIROL. Il peut en outre faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret, au maximum une fois par an sauf violation de données, avec un préavis de 30 jours, à ses frais, sans perturber le Service et sans accès aux données des autres clients.

15. Dispositions générales

Le présent contrat suit le sort des CGV auxquelles il est annexé. En cas de contradiction, ses stipulations prévalent pour tout ce qui concerne la protection des données personnelles. Il est soumis au droit français.

• Conditions générales de vente