Accord de traitement des données

Parties et champ d’application

Le présent Accord est conclu entre le Responsable de traitement (le club, l’entraîneur ou la personne qui crée un compte sur My Team Manager et y saisit des données de joueurs, de représentants légaux et du staff technique) et le Sous-traitant, qui fournit le service :

• Nom: João Carlos Neves Leonardo
• Numéro fiscal (NIF): 269514686
• Localité: Odivelas
• Forme juridique: Entrepreneur individuel (empresário em nome individual)
• E-mail: geral@myteammanager.pt

L’Accord fait partie des Conditions générales et est réputé conclu lors de la création du compte. Il s’applique à toutes les données personnelles que le Responsable saisit dans l’application et dont nous ne sommes que les dépositaires. Il ne s’applique pas aux données du compte lui-même (e-mail, facturation), dont nous sommes le responsable de traitement : celles-ci sont décrites dans la Politique de confidentialité.

Objet, nature et durée du traitement

• Objet : héberger, conserver, afficher, exporter et supprimer les données que le Responsable saisit pour gérer ses équipes, et envoyer en son nom les communications qu’il ordonne depuis l’application (par exemple, une convocation par e-mail aux représentants légaux).
• Nature : traitement automatisé, au moyen d’une application web hébergée au Portugal. Nous ne traitons pas les données manuellement, sauf pour l’assistance technique demandée par le Responsable.
• Finalité : exclusivement la fourniture du service décrit dans les Conditions. Jamais de publicité, de profilage commercial, d’entraînement de modèles ni de cession à des tiers.
• Personnes concernées : joueurs (pour la plupart mineurs), représentants légaux, entraîneurs adjoints, délégués et autres contacts de l’équipe.
• Catégories de données : celles énumérées dans la section « Quelles données sont traitées » de la Politique de confidentialité : identification, coordonnées, photographie, données sportives et documents téléversés par le Responsable. Des données de santé uniquement si le Responsable les téléverse sous forme de document, et dans ce cas avec un accès réservé à l’Entraîneur principal.
• Durée : tant que le compte existe, et pendant la période de 90 jours après la résiliation prévue à la section « Fin du traitement ».

Instructions du responsable

Nous traitons les données uniquement sur instruction documentée du Responsable. Ces instructions sont : les Conditions générales, la Politique de confidentialité, le présent Accord et les actions que le Responsable effectue dans l’application elle-même : créer une fiche, téléverser une photographie, envoyer une convocation, exporter, supprimer. Les instructions complémentaires sont données par écrit, à geral@myteammanager.pt.

Si une instruction nous semble constituer une violation du RGPD ou d’une autre disposition relative à la protection des données, nous en informons immédiatement le Responsable et pouvons en suspendre l’exécution jusqu’à ce qu’il la confirme ou la retire.

Nous ne traitons des données en dehors des instructions que lorsque le droit de l’Union européenne ou d’un État membre nous y oblige, et dans ce cas nous en informons le Responsable au préalable, sauf si ce même droit l’interdit.

Confidentialité

Toute personne qui travaille avec nous et a accès aux données est tenue à une obligation de confidentialité, contractuelle ou légale, et n’accède qu’à ce qui est strictement nécessaire pour exploiter le service ou répondre à une demande d’assistance du Responsable. L’accès administratif à l’infrastructure est restreint et les actions sensibles sont consignées dans un journal d’audit.

Mesures de sécurité

Nous appliquons les mesures techniques et organisationnelles décrites dans la section « Sécurité » de la Politique de confidentialité, réputées reproduites ici. En résumé :

• Isolement par compte imposé par la base de données elle-même (Row Level Security) ;
• Chiffrement en transit (HTTPS/TLS) pour tout le trafic ;
• Mots de passe conservés sous forme de hash ; session par cookie httpOnly ;
• Suppression des métadonnées (EXIF, GPS) des photographies téléversées ;
• Droits par rôle ; documents des joueurs visibles uniquement par l’Entraîneur principal ;
• Sauvegardes quotidiennes, chiffrées avant de quitter le serveur, avec une rotation de 7 copies quotidiennes, 4 hebdomadaires et 6 mensuelles ;
• Journal d’audit des actions sensibles, conservé 24 mois.

Nous pouvons améliorer ces mesures à tout moment ; nous ne les réduisons pas sans prévenir le Responsable 30 jours à l’avance.

Sous-traitants ultérieurs

Le Responsable nous donne une autorisation générale de faire appel à d’autres sous-traitants pour la fourniture du service, aux conditions suivantes :

• La liste en vigueur est toujours publiée dans la section « Avec qui nous les partageons » de la Politique de confidentialité ;
• Avant d’ajouter ou de remplacer un sous-traitant ultérieur, nous prévenons le Responsable par e-mail 30 jours à l’avance ;
• Le Responsable peut s’y opposer, par écrit, dans ce délai. Si l’opposition est fondée et qu’il n’existe pas d’alternative raisonnable, il peut résilier le contrat sans pénalité et exporter ses données avant que le changement ne prenne effet ;
• Nous imposons à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent Accord, et restons responsables envers le Responsable de leur respect.

Assistance au responsable

Compte tenu de la nature du traitement, nous aidons le Responsable à :

• Répondre aux personnes concernées : un représentant légal qui souhaite accéder aux données de son enfant, les rectifier ou les effacer s’adresse au Responsable ; l’application lui donne les outils pour le faire lui-même et, si une demande nous parvient, nous la transmettons et apportons notre aide, comme décrit dans la section Données des mineurs de la Politique de confidentialité ;
• Respecter les articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d’impact et consultation préalable) en fournissant les informations dont nous disposons sur le traitement ;
• Démontrer la conformité, dans les conditions de la section « Information et audit ».

Cette assistance est comprise dans le prix du service lorsque c’est raisonnable. Les demandes qui exigent un travail inhabituel peuvent faire l’objet d’un devis avant leur exécution.

Notification des violations de données

La notification comprend, dans la mesure de ce que nous savons à ce moment-là :

• La nature de la violation ainsi que les catégories et le nombre approximatif de personnes concernées et d’enregistrements ;
• Les conséquences probables ;
• Les mesures prises ou proposées pour y remédier et en atténuer les effets ;
• Un point de contact pour obtenir plus d’informations.

Si nous ne disposons pas de toutes les informations dans les premières 24 heures, nous envoyons ce que nous avons et complétons au fur et à mesure. Nous ne communiquons pas la violation aux personnes concernées ni aux autorités au nom du Responsable sans son instruction, sauf obligation légale qui nous est propre.

Fin du traitement : export et suppression

Lorsque le compte est résilié, le Responsable conserve pendant 90 jours l’accès en lecture et la possibilité d’exporter toutes les données dans un fichier, depuis l’application elle-même : équipes, joueurs, staff technique, séances, présences, matchs, convocations, tactiques et exercices. C’est la restitution des données prévue à l’article 28, paragraphe 3, point g).

À l’expiration de ce délai, ou avant si le Responsable le demande par écrit, nous supprimons définitivement les données et les copies existantes : les photographies et les documents sont effacés du stockage immédiatement, et les sauvegardes font l’objet d’une rotation selon la politique de 7 jours sur le serveur ; copies distantes chiffrées avec 7 quotidiennes, 4 hebdomadaires et 6 mensuelles, de sorte qu’elles ne contiennent plus les données à la fin de ce cycle.

Font exception les données que la loi nous oblige à conserver : les documents fiscaux relatifs à l’abonnement, pendant 10 ans. Il s’agit de données dont nous sommes le responsable de traitement, et non de données de joueurs.

Information et audit

Nous mettons à la disposition du Responsable les informations nécessaires pour démontrer le respect du présent Accord : la Politique de confidentialité, la description des mesures de sécurité, la liste des sous-traitants et, sur demande, des réponses écrites à un questionnaire raisonnable de sécurité et de protection des données, une fois par an.

Le Responsable, ou un auditeur mandaté par lui et tenu à la confidentialité, peut réaliser un audit documentaire moyennant un préavis de 30 jours, pendant les heures ouvrables et sans perturber le service fourni aux autres clients ni exposer leurs données. Les inspections sur place de l’infrastructure n’ont lieu que lorsque la loi ou une autorité de contrôle l’exige. Les audits au-delà d’un par an, ou qui exigent un travail inhabituel, sont à la charge du Responsable.

Transferts internationaux

Les données des joueurs sont hébergées au Portugal et ne sont pas transférées hors de l’Union européenne. Les seuls transferts hors de l’Espace économique européen concernent les données du compte lui-même (paiements avec Stripe, connexion facultative avec Google), reposent sur les clauses contractuelles types de la Commission européenne et sont décrits dans la section Où sont les données de la Politique de confidentialité. Nous ne transférons pas de données de joueurs vers des pays tiers sans instruction écrite du Responsable.

Responsabilité et primauté

Chaque partie répond des dommages qu’elle cause en manquant aux obligations que le RGPD lui attribue, conformément à l’article 82. La limitation de responsabilité des Conditions générales s’applique au présent Accord dans la mesure permise par la loi ; elle ne limite jamais la responsabilité envers les personnes concernées.

En cas de contradiction entre le présent Accord et les Conditions, le présent Accord prévaut en matière de protection des données. Il est régi par le droit portugais. Les modifications suivent le régime des Conditions : préavis par e-mail de 30 jours.

Contact

Pour les instructions, les demandes des personnes concernées, les notifications ou les exemplaires signés du présent Accord : geral@myteammanager.pt, au nom de João Carlos Neves Leonardo.

L’autorité de contrôle au Portugal est la Comissão Nacional de Proteção de Dados (CNPD), l’autorité portugaise de protection des données, www.cnpd.pt.