Accord de Sous-traitance de données personnelles (DPA)

1. Parties

Sous-traitant : CZSYN SAS, Société par Actions Simplifiée, SIREN 933 357 071, dont le siège social est sis 69 rue du Rouet, 13008 Marseille, France, représentée par son représentant légal, éditeur du logiciel SaaS Padelovia.

Responsable de traitement : le Client, c'est-à-dire la personne morale exploitant un centre ou club de padel ayant ouvert un compte centre sur le logiciel Padelovia (ci-après le "Client").

2. Objet et qualification

Le présent accord (ci-après "DPA" pour Data Processing Agreement) a pour objet de définir les conditions dans lesquelles CZSYN SAS, en sa qualité de sous-traitant au sens de l'article 28 du RGPD, traite les données à caractère personnel pour le compte du Client, responsable de traitement vis-à-vis de ses joueurs, coachs, collaborateurs et partenaires.

Ce DPA constitue une annexe contractuelle aux Conditions Générales de Vente du logiciel Padelovia. Il est réputé accepté par le Client lors de l'ouverture de son compte.

En cas de contradiction entre le présent DPA et tout autre document contractuel, les stipulations du DPA prévalent pour ce qui concerne la protection des données à caractère personnel.

3. Description du traitement

Nature des opérations : collecte, enregistrement, organisation, structuration, conservation, consultation, modification, extraction, communication, transmission, effacement et destruction des données à caractère personnel, ainsi que toute opération technique nécessaire au fonctionnement du Service.

Finalité principale : permettre au Client la gestion opérationnelle de son centre de padel (planning des courts, réservations, cours, tournois, fiche joueurs et coachs, encaissements via Stripe Connect, communication par notifications push et emails).

Finalités accessoires : support technique, sécurité (logs, détection de fraude), calcul et perception de la commission de mise en relation due par le Client, statistiques agrégées et anonymisées pour l'amélioration du Service.

4. Catégories de données et personnes concernées

Catégories de personnes concernées :

• Joueurs licenciés ou occasionnels du centre du Client
• Coachs et professeurs de padel exerçant au sein du centre
• Gérants, administrateurs et collaborateurs du Client
• Le cas échéant, partenaires commerciaux du Client

Catégories de données traitées :

• Données d'identification : nom, prénom, date de naissance, adresse email, numéro de téléphone, photo de profil
• Données professionnelles : qualification, numéro de licence FFT (fédération française de tennis)
• Données de jeu : niveau FFT, classement, historique des réservations, matchs joués, cours suivis, participations à tournois, performances
• Données de paiement : historique des transactions (les coordonnées bancaires sont traitées exclusivement par Stripe et ne transitent ni ne sont stockées chez CZSYN SAS)
• Données techniques : adresse IP, identifiants d'appareil, jetons de notification push, journaux de connexion
• Données du centre : raison sociale, SIRET, adresse postale, RIB (transmis à Stripe pour Stripe Connect)

Aucune donnée de catégorie particulière au sens de l'article 9 du RGPD (données de santé, opinions politiques, religieuses, etc.) n'est traitée dans le cadre du Service. Le Client s'engage à ne pas en introduire dans le Service.

5. Durée du traitement

Le traitement est effectué pendant toute la durée du contrat liant le Client à CZSYN SAS (utilisation du Service Padelovia), augmentée de la période de conservation post-contractuelle prévue à l'article 14.

6. Obligations du sous-traitant (CZSYN SAS)

CZSYN SAS s'engage à :

• Traiter les données uniquement sur instruction documentée du Client (les instructions du Client découlant de la configuration et de l'usage qu'il fait du Service)
• Garantir la confidentialité des données traitées, notamment en s'assurant que les personnes autorisées à les traiter sont tenues à une obligation de confidentialité
• Mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 10
• Aider le Client à répondre aux demandes d'exercice de droits des personnes concernées
• Notifier au Client toute violation de données dans les conditions de l'article 11
• Mettre à disposition les informations nécessaires pour démontrer le respect des obligations découlant de l'article 28 du RGPD
• À la fin du contrat, supprimer ou restituer les données au Client selon ses instructions (article 14)
• Tenir un registre des catégories d'activités de traitement effectuées pour le compte du Client
• Informer immédiatement le Client si une instruction reçue lui paraît constituer une violation du RGPD ou de toute autre disposition relative à la protection des données

7. Obligations du Client (responsable de traitement)

Le Client s'engage à :

• Documenter par écrit toute instruction concernant le traitement des données par CZSYN SAS, complémentaire aux fonctionnalités standard du Service
• Veiller, au préalable et pendant toute la durée du traitement, au respect des obligations prévues par le RGPD de son côté (information des personnes concernées, recueil et conservation des consentements, établissement et maintien d'un registre des traitements, réalisation d'analyses d'impact si requises)
• Désigner un point de contact unique pour toute question relative aux traitements
• S'assurer qu'il dispose d'une base légale appropriée pour le traitement de chaque donnée qu'il importe dans le Service
• Répondre, en sa qualité de responsable de traitement, aux demandes des personnes concernées
• Ne pas introduire dans le Service de données sensibles au sens de l'article 9 du RGPD

8. Sous-traitants ultérieurs

Le Client autorise expressément CZSYN SAS à recourir aux sous-traitants ultérieurs suivants pour l'exécution du Service :

CZSYN SAS informera le Client par email ou via le Service de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, au moins trente (30) jours avant que ce changement ne devienne effectif. Le Client dispose alors d'un droit d'opposition motivé. En cas d'opposition légitime ne permettant pas la poursuite du Service dans des conditions raisonnables, chaque partie pourra résilier le contrat sans indemnité.

CZSYN SAS se porte fort du respect par ses sous-traitants ultérieurs d'obligations contractuelles équivalentes à celles du présent DPA.

9. Localisation des données

Les données personnelles traitées dans le cadre du Service sont hébergées au sein de l'Union européenne (serveurs applicatifs en Allemagne, base de données principale en région UE).

Certains sous-traitants ultérieurs (Cloudflare, Expo, Apple, Google) peuvent traiter des données techniques (adresses IP, jetons de notification) hors UE. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, le cas échéant, par les mesures supplémentaires requises par la jurisprudence Schrems II.

10. Mesures techniques et organisationnelles de sécurité

CZSYN SAS met en œuvre les mesures suivantes :

• Chiffrement des communications en transit (TLS 1.2 minimum)
• Hachage des mots de passe au moyen de l'algorithme bcrypt avec sel unique
• Authentification par jetons JWT à courte durée de vie (15 minutes) avec mécanisme de refresh sécurisé
• Gestion des rôles et des autorisations (RBAC) limitant strictement l'accès aux données selon le profil utilisateur (gérant, coach, joueur)
• Accès aux serveurs de production restreint à un nombre limité de collaborateurs habilités, par authentification à clé
• Journalisation des accès et des actions administratives, conservation des logs pendant douze (12) mois
• Sauvegardes quotidiennes automatisées de la base de données, conservées pendant au moins trente (30) jours, chiffrées au repos
• Politique de mots de passe forts pour les comptes administrateurs internes
• Mises à jour de sécurité appliquées régulièrement aux dépendances logicielles et au système d'exploitation
• Tests de robustesse périodiques (analyse statique, dépendances vulnérables)
• Procédure documentée de gestion des incidents de sécurité

11. Notification de violation

En cas de violation de données personnelles, CZSYN SAS notifiera le Client dans les meilleurs délais et au plus tard dans un délai de soixante-douze (72) heures après en avoir pris connaissance.

La notification contient au minimum :

• La description de la nature de la violation
• Les catégories et le nombre approximatif de personnes concernées
• Les conséquences probables de la violation
• Les mesures prises ou envisagées pour y remédier et en atténuer les effets
• Le point de contact auprès duquel des informations complémentaires peuvent être obtenues

Il appartient au Client, en sa qualité de responsable de traitement, de notifier le cas échéant la violation à la CNIL et, si nécessaire, aux personnes concernées, conformément aux articles 33 et 34 du RGPD.

12. Droits des personnes concernées

Les demandes d'exercice des droits (accès, rectification, effacement, limitation, opposition, portabilité) émises par les personnes concernées doivent être adressées au Client, responsable de traitement.

CZSYN SAS apporte son assistance technique au Client pour répondre à ces demandes, notamment via les fonctionnalités du Service (export de données, suppression de compte, modification de fiche). En cas de demande complexe nécessitant une intervention sur les systèmes, le Client peut contacter CZSYN SAS à privacy@padelovia.com.

13. Audit et documentation

CZSYN SAS met à disposition du Client, sur demande écrite, toute documentation utile permettant de démontrer le respect des obligations découlant de l'article 28 du RGPD (description technique des mesures de sécurité, attestations de ses sous-traitants ultérieurs, registre des traitements).

Le Client peut réaliser un audit, par lui-même ou via un tiers indépendant agréé par CZSYN SAS, dans la limite d'un audit par année civile, sur préavis raisonnable d'au moins trente (30) jours et pendant les heures ouvrées, sans perturber l'activité de CZSYN SAS. Les coûts de l'audit sont à la charge du Client, sauf en cas de non-conformité avérée imputable à CZSYN SAS.

14. Sort des données en fin de contrat

À la cessation du contrat, pour quelque cause que ce soit, le Client dispose d'un délai de trente (30) jours pour exporter ses données au moyen des fonctionnalités prévues à cet effet dans le Service.

À l'expiration de ce délai, CZSYN SAS procède à la suppression définitive de l'ensemble des données personnelles du Client de ses systèmes de production, dans un délai maximum de soixante (60) jours.

Les sauvegardes contenant ces données sont conservées pendant la durée maximale de rotation des sauvegardes (au plus six (6) mois, les sauvegardes quotidiennes étant conservées trente (30) jours), puis écrasées ou supprimées. Les données pouvant faire l'objet d'une obligation légale de conservation (notamment les factures et les logs) sont conservées pendant la durée légale applicable et ne sont accessibles qu'à des fins de respect de cette obligation.

15. Droit applicable

Le présent DPA est régi par le droit français et le RGPD. Tout différend relatif à son interprétation ou son exécution relève de la compétence du Tribunal de Commerce de Marseille, conformément aux CGV.