Accord de sous-traitance

Le présent accord est conclu entre :

• Le club qui souscrit à Cl’hub, désigné « le responsable de traitement ». C’est lui qui décide quels licenciés sont inscrits, quelles données sont saisies, et à quoi elles servent ;
• Clément Kerviche EI, entrepreneur individuel immatriculé sous le numéro 130 097 991 R.C.S. Lille Métropole, dont l’établissement est situé 266 rue Nationale, 59800 Lille, éditeur de Cl’hub, désigné « le sous-traitant ». Il fournit l’outil et exécute les traitements pour le compte du club.

Cette répartition n’est pas un choix de rédaction : elle découle de qui décide. Un club décide de convoquer un joueur ; l’éditeur ne fait qu’exécuter. À l’inverse, pour les comptes utilisateurs et la sécurité des connexions, la facturation de l’abonnement, les devis, les messages adressés au support, la lettre d’information, le procès-verbal d’assemblée générale reçu pour un changement de président, et les signalements qui lui sont transmis, c’est l’éditeur qui décide — il y est alors responsable de traitement, et le présent accord ne s’applique pas. C’est le cas du prestataire de paiement de l’abonnement, qui pour cette raison ne figure pas parmi les sous-traitants ultérieurs.

Cet accord est indissociable des conditions générales de vente : il est accepté en même temps qu’elles, à la création du club, ou, pour un club ouvert par l’éditeur, à la première connexion de la personne qui l’engage — l’administration du club lui reste fermée d’ici là. Il s’applique quel que soit le forfait, Gratuit compris, et prend fin avec l’effacement définitif des données du club. Ses obligations continuent de s’appliquer à ce qui en subsiste dans les sauvegardes et les archives, jusqu’à leur effacement.

Le sous-traitant n’a pas désigné de délégué à la protection des données. Toute question relative au présent accord s’adresse à contact@cl-hub.fr.

Le sous-traitant traite des données personnelles pour le seul compte du club, dans le but de lui fournir le service décrit aux CGV : gestion des effectifs et des équipes, organisation des événements, des lieux et des convocations, calendrier, messagerie d’équipe et modération des signalements, notifications et communications du club, partage de documents, suivi des cotisations, de la trésorerie, des sponsors et des subventions, organisation du covoiturage.

Les opérations réalisées sont la collecte, l’enregistrement, la conservation, la consultation, la modification, la mise à disposition des personnes autorisées par le club, l’archivage et l’effacement.

Le traitement dure aussi longtemps que le club existe sur le service, avec ou sans abonnement. Les suites de la fin d’un abonnement et de la suppression du club sont décrites à la section « Fin du contrat ».

Aucune donnée sensible

Le service n’est pas conçu pour recevoir de données de santé — certificat médical, aptitude, blessure — ni aucune autre donnée dite sensible au sens de l’article 9 du RGPD. Le club s’engage à ne pas en déposer, notamment dans les documents partagés et les messages.

Cette exclusion n’est pas de la prudence rédactionnelle : héberger des données de santé en France suppose un agrément d’hébergeur de données de santé, que l’éditeur n’a pas et ne prétend pas avoir.

Le sous-traitant ne traite les données que sur instruction du club. Les instructions permanentes sont constituées par les CGV, le présent accord, la politique de confidentialité et l’usage normal des fonctionnalités du service : un dirigeant qui crée une convocation donne une instruction.

Le sous-traitant ne traite les données, y compris pour un transfert hors de l’Union européenne, que sur instruction du club, sauf si le droit de l’Union ou le droit français l’y oblige — une réquisition judiciaire, par exemple. Il en informe alors le club avant le traitement, sauf si ce même droit l’interdit.

Si une instruction du club paraît constituer une violation du RGPD, le sous-traitant en informe le club sans délai et peut refuser de l’exécuter.

Le sous-traitant n’utilise jamais les données d’un club à ses propres fins : ni prospection, ni revente, ni cession, ni entraînement de modèles d’intelligence artificielle. Il n’en tire aucune statistique nominative. Des indicateurs d’usage strictement anonymes et agrégés, qui ne permettent d’identifier aucune personne, peuvent servir à améliorer le service.

Le sous-traitant garantit que toute personne autorisée à traiter les données — salarié, prestataire, administrateur technique — s’engage à la confidentialité et reçoit la formation nécessaire. L’accès aux données d’un club est limité à ce qui est strictement nécessaire à l’exploitation et au support, et fait l’objet d’une traçabilité.

Pour répondre à une demande d’assistance, l’équipe de l’éditeur dispose d’écrans qui présentent les données d’un club : son organisation, ses équipes et leurs effectifs, ses événements avec les convocations, les réponses et les compositions, son historique d’actions, son forfait et son abonnement.

Ces écrans ne donnent pas accès au Vestiaire — messages, groupes et sondages — ni au contenu des documents déposés, ni au contenu des communications envoyées, sous les deux exceptions décrites ci-dessous. L’éditeur n’emprunte jamais l’identité d’un membre du club : il agit sous sa propre identité, qui est enregistrée à chaque action.

Première exception : un message signalé et transmis à l’éditeur. Un signalement lui est transmis lorsque la personne qui signale le choisit, lorsque le Bureau le décide, ou faute de décision du club au bout de sept jours. L’éditeur peut alors lire ce message, avec ce qu’il faut de contexte pour en juger ; il ne voit, pour les autres signalements du club, ni le message ni son auteur. Il agit sur ce point en responsable de traitement, au titre des obligations que le règlement (UE) 2022/2065 sur les services numériques fait peser sur lui en tant qu’hébergeur, et non sur instruction du club. Chaque lecture est enregistrée.

Seconde exception : les archives. Passé un an, le journal d’audit, l’historique des communications du club — contenu des emails envoyés compris — et celui des relances quittent la base active pour des archives compressées ; les notifications, passé six mois. Une archive regroupe plusieurs clubs dans un même fichier, et son contenu ne s’affiche dans aucun écran. L’éditeur peut en revanche la télécharger, pour répondre à une demande portant sur la période qu’elle couvre. Chaque téléchargement est enregistré dans le journal de l’éditeur ; il n’apparaît pas dans l’historique du club, puisque l’archive n’est pas propre à un club.

L’équipe Cl’hub peut aussi consulter les données du club de sa propre initiative, dans deux cas : vérifier que les données du club remontent correctement, ou examiner une anomalie détectée par ses outils de surveillance — nommés dans la liste des sous-traitants ultérieurs. Ces vérifications se limitent aux mêmes écrans, suivent les mêmes règles, et ne modifient rien.

Chaque ouverture d’un club est enregistrée, qu’elle réponde à une demande ou serve une vérification : qui, quel club, quand. Cette trace est visible par le club, quel que soit son forfait, dans son historique — sous « Interventions de Cl’hub » quand l’historique complet n’est pas compris dans son forfait.

Depuis ces écrans, l’éditeur peut également corriger certaines données à la demande du club : créer ou modifier un membre, une équipe ou un événement ; attribuer les fonctions du Bureau ; rattacher un compte au club ; rattacher un parent à son enfant ou l’en détacher, ce qui lui ouvre ou lui ferme l’accès aux données de l’enfant ; mettre un élément à la corbeille ou l’en sortir. La présidence n’est transférée à la place du président en place que sur le procès-verbal de l’assemblée générale qui l’a décidée, à la demande d’un membre du Bureau. Ces corrections respectent les mêmes règles que si le club les faisait lui-même, apparaissent dans son historique au nom de l’éditeur, quel que soit son forfait, et n’envoient ni convocation ni notification.

À la demande du club, ou en cas de manquement grave aux conditions d’utilisation, l’éditeur peut aussi désactiver un compte, désactiver le club ou le mettre à la corbeille — dans ce dernier cas, aux conditions décrites à la section « Fin du contrat ». Il répond enfin aux demandes que les personnes concernées lui adressent directement, dans les limites fixées à la section « Assistance sur les droits des personnes ».

Deux gestes envoient un courriel : créer depuis ces écrans le compte d’un membre en l’invitant, et renvoyer l’invitation d’un membre qui ne s’est jamais connecté. Ce courriel, signé de l’équipe Cl’hub, invite la personne à choisir son mot de passe ; il ne part qu’à une adresse connue, jamais à un membre qui a déjà le sien.

Ces accès sont couverts par les instructions permanentes du club et par les obligations de confidentialité ci-dessus. Le club peut à tout moment, quel que soit son forfait, en demander le relevé.

Compte tenu de l’état des connaissances, des coûts et de la nature des données, le sous-traitant met en œuvre :

• chiffrement des communications (HTTPS obligatoire, redirection automatique) ;
• mots de passe stockés hachés avec un algorithme à coût paramétrable et un secret serveur — un vol de base ne révèle aucun mot de passe ;
• blocage temporaire d’un compte après plusieurs échecs de connexion, avec un seuil distinct par adresse IP, et journal de ces échecs conservé trente jours ;
• cloisonnement par club et par rôle : chaque accès aux données est contrôlé côté serveur, indépendamment de ce que l’interface affiche ;
• base de données et cache non exposés sur le réseau public, seul le serveur web étant accessible depuis internet ;
• sauvegardes quotidiennes de la base, sous forme d’une copie complète compressée, stockées chez Cloudflare dans l’Union européenne et chiffrées par Cl’hub avant leur envoi, avec une clé que cet hébergeur n’a pas — il les chiffre aussi au repos. La restauration est éprouvée sur l’environnement de préproduction ;
• journalisation des actions sensibles, consultable par le club dans son historique pour les forfaits qui le comprennent — les accès et corrections de l’éditeur, eux, quel que soit son forfait ;
• détection quotidienne des activités anormales — exports en rafale, suppressions en masse, échecs de connexion répétés — avec alerte de l’éditeur ;
• accès de l’éditeur par des comptes distincts de ceux du service, protégés par un second facteur ;
• authentification obligatoire pour tout accès, et invalidation des sessions à la révocation d’un accès.

Cette liste décrit l’état actuel. Le sous-traitant peut la faire évoluer, à condition de ne pas réduire le niveau de protection.

Le club autorise le recours aux sous-traitants ultérieurs listés ci-dessous.

Le sous-traitant impose à chacun, par contrat, des obligations de protection des données au moins équivalentes à celles du présent accord. Il demeure pleinement responsable devant le club de leur exécution.

Les services de notification des navigateurs — Google pour Chrome, Mozilla pour Firefox, Apple pour Safari, Microsoft pour Edge — ne sont pas des sous-traitants : ce sont des intermédiaires techniques de transport, imposés par le navigateur où un membre a activé les notifications et non choisis par l’éditeur. Le contenu des notifications leur parvient chiffré de bout en bout : ils le transportent sans pouvoir le lire, et ne reçoivent en clair que l’adresse technique d’abonnement du navigateur.

Stripe, qui encaisse l’abonnement du club, n’est pas un sous-traitant au titre du présent accord : la facturation relève de l’éditeur, en responsable de traitement. Il est mentionné ici pour information. Seules les coordonnées de facturation du club lui sont transmises, jamais les données des licenciés.

Tout ajout ou remplacement donne lieu à une nouvelle version du présent accord, annoncée au moins trente jours avant son entrée en vigueur, par courriel aux personnes qui engagent le club et dans l’application. Le club qui la refuse peut résilier sans frais : la part de l’abonnement déjà payée pour la période qui suit l’entrée en vigueur lui est remboursée au prorata. Un club au forfait Gratuit, qui n’a rien à résilier, peut partir avec ses données : il en demande la copie complète, remise sous trente jours (voir « Fin du contrat »), puis le club est supprimé ; aucune somme n’est due, ni d’un côté ni de l’autre. Toute autre modification substantielle du présent accord suit la même procédure, avec les mêmes recours.

Les demandes d’accès, de rectification, d’effacement, d’opposition, de limitation ou de portabilité s’adressent au club, qui en est responsable et doit y répondre dans le mois.

Le sous-traitant assiste le club : les fonctionnalités de l’application permettent au club de consulter, corriger et retirer les données d’un membre sans intervention technique. Pour ce que l’interface ne couvre pas, le sous-traitant répond à la demande du club dans un délai raisonnable et sans frais.

Pour l’accès et la portabilité, l’outil comprend en outre un export en libre-service : chaque membre peut télécharger lui-même, depuis ses réglages, une copie des données qui le concernent. C’est une fonctionnalité du service, que le sous-traitant met en œuvre sur instruction du club, au même titre que les autres ; elle ne remplace pas la réponse que le club doit à une demande qui lui est adressée.

Une personne concernée peut aussi s’adresser directement au sous-traitant. Le club l’autorise à y répondre en son nom, dans le délai d’un mois, après avoir vérifié l’identité de la personne :

• pour l’accès et la portabilité, il prépare lui-même la copie de ses données, qu’il transmet à la personne — ou, pour un mineur, à son représentant légal — et jamais au club. Le Président de chaque club concerné en est avisé par courriel, sans recevoir la copie ni rien de son contenu, et la préparation apparaît dans l’historique du club ;
• pour l’effacement, il efface son compte, ce qui la retire de ses clubs et efface ses coordonnées de payeur, le montant et la date des cotisations restant dans la comptabilité du club. L’effacement apparaît dans l’historique de chaque club concerné.

Toute autre demande portant sur les données du club lui est transmise, et le sous-traitant n’y répond pas de sa propre initiative.

En cas de violation de données personnelles — perte, altération, divulgation ou accès non autorisé — le sous-traitant en informe le club dans les meilleurs délais et au plus tard sous 48 heures après en avoir pris connaissance.

La notification précise, dans la mesure du possible :

• la nature de la violation, les catégories et le nombre de personnes touchées ;
• les conséquences probables ;
• les mesures prises ou proposées pour y remédier et en limiter les effets ;
• le point de contact chez le sous-traitant, auprès duquel obtenir des informations complémentaires.

Elle est adressée par courrier électronique au Président et aux dirigeants du club. Ce qui n’est pas encore connu est communiqué par étapes, sans retarder la première notification.

C’est au club qu’il revient de notifier la CNIL sous 72 heures et, le cas échéant, d’informer les personnes concernées. Le sous-traitant lui fournit tous les éléments nécessaires.

Le sous-traitant met à la disposition du club les informations nécessaires pour démontrer le respect de l’article 28 : le présent accord, la politique de confidentialité, la liste à jour des sous-traitants ultérieurs et la description des mesures de sécurité.

Le sous-traitant aide le club à garantir la sécurité du traitement, à notifier une violation et, s’il y a lieu, à mener une analyse d’impact et à consulter la CNIL : il lui communique sur demande la description des traitements, celle des mesures de sécurité, et la synthèse de sa propre analyse d’impact, qui porte précisément sur les données des licenciés, mineurs compris.

Le club peut faire réaliser un audit, par lui-même ou par un auditeur qu’il mandate, tenu au secret professionnel, une fois par an, moyennant un préavis de trente jours. L’audit se déroule aux heures ouvrées, ne doit pas perturber le service, et ne peut porter sur les données d’autres clubs. Ses frais sont à la charge du club, sauf s’il révèle un manquement caractérisé du sous-traitant.

Les messages du Vestiaire sont conservés deux ans, puis effacés définitivement par un traitement automatique. Le dernier message de chaque conversation échappe à cet effacement : sans lui, une conversation dormante disparaîtrait de la liste sans que personne l’ait supprimée. Un message signalé y échappe aussi tant qu’un signalement attend une décision du club, ou de l’éditeur lorsqu’il lui a été remonté, et, s’il a été porté aux autorités, un an après la date de ce signalement.

Le sous-traitant efface aussi de lui-même, par le même traitement automatique quotidien, les données suivantes :

Le reste est conservé tant que le club existe sur le service — l’historique sportif, notamment, comme une feuille de match.

La fin d’un abonnement n’efface rien. Le club repasse au forfait Gratuit, ses données restent en place, et le présent accord continue de s’appliquer. Les fonctionnalités payantes deviennent inaccessibles, avec les exports qu’elles comprennent ; l’export de la liste des membres reste ouvert à tous les forfaits, comme le téléchargement par chaque membre de ses propres données.

Restitution des données

À tout moment, le club peut demander à contact@cl-hub.fr une copie complète de ses données, dans un format courant et lisible par machine : membres, familles, équipes, événements, convocations et réponses, groupes du Vestiaire, finances, documents et l’historique des actions du club — à l’exception des conversations privées entre deux membres, auxquelles le club n’a jamais accès, et de ce qu’il a lui-même mis à la corbeille. Le sous-traitant la prépare et la remet, sans frais, à la personne qui engage le club et l’a demandée, dans un délai de trente jours. Les exports de l’application restent par ailleurs disponibles en libre-service : la liste des membres à tous les forfaits, et ceux que comprend le forfait souscrit.

Suppression du club

Hors des durées de conservation ci-dessus, les données ne sont effacées que lorsque le Président supprime le club — suppression refusée tant qu’un abonnement est en cours. Le club devient aussitôt inaccessible à ses membres, exports compris. Il peut néanmoins demander la copie complète de ses données dans les trente jours qui suivent la suppression : elle lui est remise avant l’effacement. Les données sont conservées pendant soixante jours, durant lesquels le club peut être rétabli sur demande à contact@cl-hub.fr.

Ceux qui engagent le club — Président, Vice-président, Trésorier, dirigeants — sont prévenus deux fois par courrier électronique : au moment de la suppression, avec la date exacte d’effacement, puis une semaine avant l’échéance. Si c’est l’éditeur qui met le club à la corbeille, le délai est le même, mais seul le second courriel part : celui d’une semaine avant l’échéance.

À l’issue de ce délai, les données sont supprimées définitivement — base de données et fichiers déposés, justificatifs de dépense et pièces jointes des communications compris — par un traitement automatique quotidien, sans intervention humaine. En sont exceptées les données que la loi impose de conserver, notamment les pièces comptables liées à la facturation de l’abonnement, pour lesquelles l’éditeur est responsable de traitement et non sous-traitant.

Les comptes des membres suivent deux règles. Un compte que la personne a activé — en choisissant son mot de passe ou en se connectant — lui appartient : il n’est pas effacé avec le club, puisqu’elle peut être membre d’autres clubs ; ce qui disparaît, c’est son appartenance au club et tout ce qui s’y rattache. Un compte que la personne n’a jamais activé — créé par le club, par import ou par invitation, sans connexion — n’existe que par le club : il est effacé avec lui, nom compris, sauf s’il est encore rattaché à un autre club, ou à un parent ou un enfant dont le compte subsiste.

Deux réserves, énoncées ici parce qu’elles sont inhérentes à l’exploitation. Les sauvegardes de la base suivent un cycle de rotation de quatorze jours : les données supprimées y subsistent jusqu’à leur écrasement. Les archives — journal d’audit, historique des communications et des relances, notifications déjà sortis de la base active — regroupent plusieurs clubs au sein d’un même fichier compressé et suivent leur propre durée de conservation de trois ans ; une demande portant sur cette période est traitée au cas par cas. Le présent accord continue de s’appliquer à ces données jusqu’à leur effacement.

Le sous-traitant atteste de cette suppression sur demande écrite du club.

Chaque partie répond des manquements qui lui sont propres. Le club garantit que les données transmises ont été collectées licitement, que les personnes concernées ont été informées, et que les autorisations nécessaires ont été recueillies — singulièrement pour les mineurs et pour la publication de leur image.

Les plafonds de responsabilité fixés par les CGV — le montant payé par le club au cours des douze derniers mois, et au minimum 500 €, y compris au forfait Gratuit — s’appliquent, sauf lorsque la loi les écarte. Ils ne limitent pas les droits que les personnes concernées tiennent de l’article 82 du RGPD.

Le présent accord est soumis au droit français. Tout litige relève des juridictions françaises compétentes.