Annexe aux conditions générales de vente, conclue en application de l'article 28 du Règlement général sur la protection des données (RGPD).
1. Parties et objet
L'organisateur de la course (« le Responsable de traitement ») utilise Serak, édité par Thibaut MONOT EI, micro-entreprise, SIRET 883 807 190 00037 (« le Sous-traitant »), pour publier le site de sa course. Dans ce cadre, le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement. Le présent accord fixe les conditions de ce traitement. Il est accepté en même temps que les CGV et s'applique pendant toute la durée de l'abonnement, puis jusqu'à la suppression des données.
2. Description du traitement
| Élément | Description |
|---|---|
| Finalités | Permettre aux coureurs de demander à être prévenus (annonce de la course, ouverture des inscriptions, liste d'attente) ; leur envoyer les alertes et relances correspondantes ; répondre aux messages reçus via le formulaire de contact du site ; produire des statistiques agrégées de fréquentation et de clics |
| Nature des opérations | Collecte via les formulaires du site, hébergement, envoi d'e-mails, mise à disposition dans l'espace organisateur, export, suppression |
| Personnes concernées | Coureurs et visiteurs du site de la course ; personnes figurant dans les contenus publiés par l'organisateur (résultats, photographies, contacts de l'organisation) |
| Données traitées | Adresse e-mail ; prénom et nom si demandés ; course ou distance choisie ; date et preuve de la demande ; état de l'abonnement aux alertes ; contenu des messages de contact ; données de résultats publiées par l'organisateur |
| Données sensibles | Aucune. Le Responsable de traitement s'interdit de collecter via Serak des données de santé, notamment des certificats médicaux |
| Durée | Durée de l'abonnement, puis 12 mois au plus, sauf suppression anticipée demandée par le Responsable de traitement |
3. Obligations du Sous-traitant
Le Sous-traitant s'engage à :
- traiter les données uniquement pour les finalités ci-dessus et sur instruction documentée du Responsable de traitement, les CGV, les CGU et les réglages effectués dans l'espace organisateur constituant ces instructions ;
- informer le Responsable de traitement s'il estime qu'une instruction est contraire à la réglementation ;
- ne pas utiliser les données des coureurs pour son propre compte, ne pas les céder ni les louer. Seule exception : le coureur qui coche la case distincte « Recevoir aussi les nouvelles de Serak » donne son accord directement à Serak, qui devient responsable de ce seul traitement ;
- garantir la confidentialité des données et limiter l'accès aux seules personnes qui en ont besoin ;
- mettre en œuvre des mesures de sécurité appropriées : chiffrement des échanges, cloisonnement des données entre organisateurs, contrôle et journalisation des accès, sauvegardes, mises à jour de sécurité ;
- aider le Responsable de traitement à répondre aux demandes des personnes concernées, en lui fournissant dans son espace les outils de recherche, d'export, de rectification et de suppression, et en lui transmettant sans délai toute demande reçue directement ;
- notifier au Responsable de traitement toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec les informations utiles à sa propre notification à la CNIL ;
- l'aider, dans la mesure du raisonnable, pour la réalisation d'analyses d'impact et la consultation de l'autorité de contrôle ;
- tenir un registre des traitements effectués pour son compte.
4. Sous-traitants ultérieurs
Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs suivants, liés au Sous-traitant par des engagements de protection des données équivalents :
| Sous-traitant ultérieur | Rôle | Localisation des données |
|---|---|---|
| Vercel Inc. | Hébergement et diffusion du site | Union européenne pour l'exécution ; réseau de diffusion mondial pour les pages publiques |
| Supabase Inc. | Base de données et stockage | Union européenne |
| Brevo (Sendinblue SAS) | Envoi des e-mails aux coureurs | France et Union européenne |
Le Sous-traitant informe le Responsable de traitement par e-mail de tout ajout ou remplacement au moins 30 jours à l'avance. Le Responsable de traitement peut s'y opposer pour un motif légitime ; à défaut de solution, il peut résilier son abonnement et être remboursé au prorata de la période restante.
5. Transferts hors de l'Union européenne
Les données sont stockées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur établi hors de l'Union européenne est susceptible d'y accéder, le transfert est encadré par le Data Privacy Framework ou par les clauses contractuelles types de la Commission européenne.
6. Obligations du Responsable de traitement
Le Responsable de traitement s'engage à :
- informer les coureurs du traitement de leurs données, notamment en publiant la politique de confidentialité de son site, dont Serak fournit un modèle pré-rempli qu'il lui appartient de vérifier et de compléter ;
- n'utiliser les alertes et relances que pour écrire aux personnes qui en ont fait la demande via son site, et pour l'objet qu'elles ont accepté ;
- ne pas importer dans Serak de listes de contacts recueillies sans l'accord des personnes ;
- répondre aux demandes d'exercice de droits des coureurs ;
- tenir son propre registre des traitements.
7. Sort des données en fin de contrat
À la fin de l'abonnement, le Responsable de traitement peut exporter ses listes dans un format courant pendant 12 mois. Les données sont ensuite supprimées, ou plus tôt sur simple demande. Les sauvegardes sont purgées dans un délai maximal de 90 jours après la suppression. Le Sous-traitant confirme la suppression par écrit sur demande.
8. Audit
Le Sous-traitant met à la disposition du Responsable de traitement, sur demande, les informations nécessaires pour démontrer le respect du présent accord. Un audit peut être réalisé une fois par an au plus, avec un préavis de 30 jours, aux frais du Responsable de traitement, sous engagement de confidentialité, et sans accès aux données des autres organisateurs. Il est réalisé en priorité sur pièces.
9. Contact
Toute question relative au présent accord : support@serak.fr.