Accord de sous-traitance des données

Dernière mise à jour : 12 octobre 2026

Traduction fournie pour information. En cas de divergence, la version espagnole prévaut.

Le présent accord (art. 28.3 du règlement (UE) 2016/679, RGPD, et art. 33 de la loi organique espagnole 3/2018, LOPDGDD) fait partie des conditions générales du service et est accepté avec elles. Les parties sont :

• Responsable du traitement : le client (le club, la structure ou la personne titulaire du compte).
• Sous-traitant : Tomás Hernández, NIF 02648307H, Calle Padre Antonio Salelles 7, Oliva, Valencia, éditeur de HandBrain.

1. Objet, durée, nature et finalité

• Objet : les données personnelles que le client saisit dans HandBrain.
• Opérations de traitement : hébergement, enregistrement, consultation, calcul des statistiques, génération et export de rapports, envoi au fournisseur d'IA configuré par le client (uniquement lorsqu'il utilise ces fonctions) et effacement.
• Finalité : uniquement fournir le service au client.
• Durée : celle du compte ; à son terme, l'article 10 s'applique.

2. Types de données et personnes concernées

• Données :
  • données d'identification de base (nom ou surnom, numéro, poste) ;
  • données sportives et statistiques (actions de jeu, minutes, compositions) ;
  • e-mail des utilisateurs du club.
  Aucune catégorie particulière de données (santé, etc.) n'est traitée, et le client ne doit pas en saisir.
• Personnes concernées : joueurs et joueuses (y compris mineurs), encadrement technique et utilisateurs du club, et joueurs adverses identifiés par leur numéro ou leur nom.

3. Obligations du client

• Disposer d'une base légale pour le traitement. Pour les mineurs, obtenir l'autorisation des parents ou tuteurs lorsque la loi l'exige ; en France, pour les mineurs de moins de 15 ans dans les cas prévus par la loi Informatique et Libertés.
• Informer les personnes concernées.
• Ne saisir que les données nécessaires.
• Donner des instructions conformes à la réglementation.
• Répondre aux demandes d'exercice des droits.

4. Obligations de HandBrain en tant que sous-traitant

1. Ne traiter les données que sur instruction documentée du client : les présentes conditions et l'usage qu'il fait de l'application. Cela inclut les transferts internationaux. Si une instruction lui paraît contraire à la réglementation, HandBrain en informe immédiatement le client.
2. Veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité.
3. Appliquer les mesures de sécurité de l'article 5 (art. 32 RGPD).
4. Ne recourir à des sous-traitants ultérieurs que dans les conditions de l'article 6.
5. Aider le client, dans la mesure du possible, à répondre aux demandes des personnes concernées. Si HandBrain reçoit une demande directement, il la transmet sans délai.
6. Aider le client pour la sécurité, la notification des violations, les analyses d'impact et la consultation préalable (art. 32 à 36 RGPD).
7. Notifier au client toute violation de données le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles.
8. À la fin du service, effacer les données comme prévu à l'article 10.
9. Mettre à la disposition du client les informations nécessaires pour démontrer la conformité et permettre des audits raisonnables. Les audits sont demandés avec un préavis de 30 jours, au plus une fois par an sauf violation, et leur coût est à la charge du client.
10. Ne pas communiquer les données à des tiers, sauf aux sous-traitants ultérieurs autorisés ou en cas d'obligation légale.
11. Tenir le registre des activités de traitement en tant que sous-traitant (art. 30.2 RGPD).

5. Mesures de sécurité

• Communications chiffrées (HTTPS).
• Mots de passe conservés sous forme de hachage (bcrypt).
• Cookies de session protégés.
• Clés de tiers chiffrées dans la base de données.
• Séparation logique des données de chaque client et contrôle d'accès par utilisateur.
• Accès du personnel de HandBrain limité au nécessaire pour l'assistance ou une demande du client.
• Mise à jour des dépendances et revue des modifications avant publication.

6. Sous-traitants ultérieurs

Le client donne une autorisation générale de recourir à des sous-traitants ultérieurs. HandBrain informe par e-mail de tout ajout ou remplacement au moins 15 jours à l'avance. Le client peut s'y opposer pour des motifs raisonnables et, à défaut d'accord, mettre fin au contrat. Chaque sous-traitant ultérieur est soumis aux mêmes obligations en matière de protection des données. Sous-traitants ultérieurs actuels :

Le fournisseur d'IA (Anthropic, OpenAI ou Azure OpenAI) est choisi et contracté directement par le client, avec sa propre clé et selon ses propres conditions. HandBrain ne lui transmet des données que lorsque le client utilise ces fonctions, sur son instruction ; ce fournisseur n'est pas un sous-traitant ultérieur de HandBrain.

7. Transferts internationaux

Les transferts hors de l'Espace économique européen ne s'effectuent qu'avec les garanties du chapitre V du RGPD : décision d'adéquation (cadre de protection des données UE-États-Unis) ou clauses contractuelles types de la Commission européenne.

8. Accès pour l'assistance

Le personnel de HandBrain n'accède aux données du client que lorsque c'est nécessaire pour résoudre un incident, répondre à une demande du client ou respecter une obligation légale, et sous obligation de confidentialité.

9. Responsabilité

Chaque partie répond de ses manquements conformément à l'article 82 du RGPD, dans les limites des conditions générales du service, dans la mesure permise par la loi.

10. Fin de la sous-traitance

Avant de fermer le compte, le client peut exporter ses données (PDF et Excel). Une fois le compte fermé, HandBrain efface les données dans un délai maximal de 30 jours. Les sauvegardes conservées par l'hébergeur sont supprimées selon leurs cycles ordinaires. Seules les données que la loi impose de conserver le sont, de manière bloquée, pendant la durée requise.