Accord de sous-traitance

1. Parties et rôles

Le présent accord de sous-traitance s’applique entre le club sportif qui utilise NaarDeMatch et Louis De Jaeger, Cornelis De Schepperestraat 36, 9810 Nazareth, numéro d’entreprise BE0642719921.

• Le club est responsable du traitement des données à caractère personnel présentes dans son environnement : supporters, abonnés, membres et ses propres collaborateurs. C’est lui qui détermine pourquoi et comment ces données sont traitées.
• NaarDeMatch est sous-traitant. Nous traitons ces données exclusivement pour le compte du club et jamais à nos propres fins.

Cette distinction figure également dans notre politique de confidentialité. Pour les données dont nous sommes nous-mêmes responsables du traitement — visiteurs de notre site, demandes de clubs et notre propre communication commerciale — c’est cette politique qui s’applique et non le présent accord.

Cet accord fait partie intégrante des conditions générales et y ajoute les obligations de l’article 28 RGPD. En cas de contradiction portant sur le traitement de données à caractère personnel, le présent accord prime.

2. Objet, durée, nature et finalité

Objet et finalité. Nous traitons des données à caractère personnel afin de permettre au club de vendre et de gérer des tickets et des abonnements : vente en ligne, traitement des paiements via le compte Mollie du club, livraison des tickets par e-mail et dans Apple et Google Wallet, contrôle d’accès à l’entrée, échange et remboursement, ainsi que la facturation et le reporting de ces ventes.

Nature du traitement. Collecte, enregistrement, conservation, consultation, modification, communication à des sous-traitants ultérieurs, exportation et effacement — chaque fois limités à ce que le service exige.

Durée. Cet accord court aussi longtemps que le club utilise NaarDeMatch et prend fin en même temps que les conditions générales. Les dispositions relatives à l’effacement, à la confidentialité et à la responsabilité restent applicables ensuite dans la mesure nécessaire.

3. Catégories de personnes concernées et de données

Catégorie de personnes concernées	Données à caractère personnel
Acheteurs de tickets	Nom, adresse e-mail, numéro de commande, tickets achetés, statut et référence de paiement, langue
Abonnés et titulaires d’une carte d’abonnement	Nom, adresse e-mail, type d’abonnement, période de validité, éventuellement une carte prêtée
Visiteurs à l’entrée	Moment du scan de leur ticket, et si l’accès a été autorisé ou refusé
Collaborateurs et administrateurs du club	Nom, adresse e-mail, rôle, données de connexion, actions dans le journal d’audit
Personnes de contact pour la facturation	Nom, adresse e-mail, adresse de facturation, numéro de TVA

Nous ne traitons aucune catégorie particulière de données à caractère personnel (article 9 RGPD) et la plateforme n’en demande pas. Si le club place malgré tout de telles données dans des champs de texte libre, cela relève de sa responsabilité.

Les données de paiement elles-mêmes — numéros de carte, numéros de compte — n’entrent jamais dans notre système. Elles sont traitées directement par Mollie, sous le contrat entre le club et Mollie. Nous ne voyons que le statut et la référence d’un paiement.

Le code QR d’un ticket ne contient aucune donnée à caractère personnel : il s’agit d’un code aléatoire qui ne renvoie à un ticket que dans la base de données du club.

4. Instructions du responsable du traitement

Nous traitons les données à caractère personnel uniquement sur instruction documentée du club. Le présent accord, les conditions générales et l’usage que le club fait des fonctions de la plateforme constituent ensemble cette instruction. Le club adresse ses instructions complémentaires à info@naardematch.be.

• Nous n’utilisons pas les données à nos propres fins, ne les revendons jamais et ne les utilisons pas pour démarcher les supporters d’un club au nom d’un autre.
• Si le droit de l’Union ou le droit belge nous oblige à effectuer un traitement pour lequel le club n’a pas donné d’instruction, nous l’en informons au préalable, sauf si cette législation interdit une telle information.
• Si nous estimons qu’une instruction est contraire au RGPD, nous en informons immédiatement le club.

5. Confidentialité

Toute personne qui, chez nous, a accès aux données du club est tenue à la confidentialité, y compris après la fin de la collaboration. L’accès n’est accordé que dans la mesure nécessaire à la fourniture du service ou au traitement d’une demande de support concrète.

6. Mesures de sécurité

Nous prenons des mesures techniques et organisationnelles appropriées (article 32 RGPD). La liste ci-dessous décrit ce que la plateforme fait effectivement aujourd’hui — et non des intentions :

• Transport chiffré. Tout le trafic vers la plateforme passe par TLS.
• Chiffrement au repos des champs sensibles. Les jetons de tickets et d’abonnés sont conservés chiffrés, tout comme les identifiants que le club nous confie : la clé API Mollie, les mots de passe SMTP et les clés d’accès des factures.
• Contrôle d’accès fondé sur les rôles. La plateforme connaît quatre rôles — administrateur du club, gestion des tickets, scanner et lecteur financier — et chaque rôle donne accès à exactement ce dont il a besoin. Le club gère lui-même cette attribution.
• Cloisonnement par club. Chaque club dispose de son propre environnement ; les données de clubs différents sont séparées à chaque couche.
• Journal d’audit. Les actions sur des objets sensibles sont journalisées avec leur auteur et leur horodatage, afin de pouvoir reconstituer après coup ce qui s’est passé.
• Hébergement dans l’Union européenne. La plateforme et la base de données tournent chez Scaleway à Paris.

Nous évaluons ces mesures périodiquement et les adaptons lorsque les risques ou l’état de la technique l’exigent. Cette liste peut donc évoluer, pour autant que le niveau de protection reste au moins équivalent.

Le club assume lui-même la part de la sécurité qui relève de son ressort : des mots de passe forts et uniques, le retrait en temps utile des accès des collaborateurs partis, et l’attribution du rôle le plus restreint qui convienne.

7. Sous-traitants ultérieurs

Le club nous donne une autorisation générale de faire appel à des sous-traitants ultérieurs. Nous imposons à chacun d’eux les mêmes obligations que celles du présent accord et restons responsables de leurs actes envers le club.

Voici la liste complète des sous-traitants avec lesquels nous travaillons :

Sous-traitant	Pourquoi	Où
Brevo (Sendinblue, FR)	E-mailings, gestion des contacts et traceur du site	UE (France, Allemagne, Belgique)
Scaleway (FR)	Hébergement de la plateforme et de la base de données	UE (Paris)
Scaleway Transactional Email (FR)	Envoi de nos e-mails	UE (Paris)
Cloudflare (US)	Protection anti-spam de nos formulaires	US, avec le Data Privacy Framework UE–US et des clauses contractuelles types
Mollie (NL)	Paiements dans les billetteries des clubs	UE (Pays-Bas)
Commission européenne (VIES)	Vérification des numéros de TVA	UE

Le flux de paiement via Mollie relève en outre du contrat propre entre le club et Mollie ; nous ne faisons que relier le compte du club à sa billetterie.

Si nous souhaitons ajouter ou remplacer un sous-traitant ultérieur, nous en informons au moins 30 jours à l’avance. Si le club formule une objection motivée, nous cherchons ensemble une solution ; à défaut d’accord, le club peut résilier le contrat pour la date d’entrée en vigueur de la modification, sans frais.

8. Assistance pour les droits des personnes concernées

Lorsque le club reçoit d’un supporter, d’un abonné ou d’un collaborateur une demande d’accès, de rectification, d’effacement, de limitation, d’opposition ou de portabilité, nous l’aidons à y répondre dans le délai légal.

• Pour la plupart des demandes, les fonctions de la gestion suffisent : le club consulte, corrige, exporte ou supprime les données lui-même.
• Si cela ne suffit pas, nous aidons sur simple demande et sans frais supplémentaires, pour autant que l’effort reste proportionné.
• Si une personne concernée s’adresse directement à nous, nous ne répondons pas nous-mêmes à sa demande : nous la renvoyons vers le club et en informons le club sans délai.

9. Assistance pour les obligations du responsable du traitement

Nous aidons le club, compte tenu de la nature du traitement et des informations dont nous disposons, à respecter ses obligations découlant des articles 32 à 36 RGPD : la sécurité du traitement, la notification des violations de données, et une analyse d’impact relative à la protection des données ou une consultation préalable lorsque celle-ci s’avère nécessaire.

10. Violations de données

Si nous constatons une violation de données à caractère personnel touchant les données du club, nous l’en informons sans délai après en avoir pris connaissance, à l’adresse de contact du club connue de nous — même si tous les détails ne sont pas encore établis.

La notification contient, dans la mesure de ce qui est alors disponible :

• la nature de la violation, les catégories de données concernées et une estimation du nombre de personnes concernées ;
• les conséquences probables ;
• les mesures que nous avons prises ou proposons pour remédier à la violation et en limiter les conséquences ;
• un point de contact pour plus d’informations.

Les éléments manquants sont communiqués dès que nous en disposons. Le club décide lui-même s’il faut notifier l’Autorité de protection des données et les personnes concernées ; nous ne faisons pas ces notifications à sa place. Nous lui fournissons les informations dont il a besoin pour cela.

11. Droit d’audit et d’information

Nous mettons à la disposition du club toutes les informations nécessaires pour démontrer le respect de l’article 28 RGPD et permettons la réalisation d’audits.

• Nous répondons à une demande d’information dans un délai raisonnable.
• Un audit ou une inspection est annoncé au moins 30 jours à l’avance, se déroule pendant les heures de bureau, ne perturbe pas le service et se fait sous confidentialité. Sauf motif concret — par exemple une violation de données — un audit par année civile est raisonnable.
• Le club supporte les frais d’un audit qu’il fait réaliser lui-même, sauf si celui-ci révèle un manquement de notre part.

12. Durées de conservation pendant le contrat

Nous ne conservons pas les données plus longtemps que nécessaire au regard de la finalité pour laquelle elles sont traitées :

Données	Durée
Commandes, billets, abonnements et données de facturation	7 ans, la durée imposée par la législation comptable
Scans à l’entrée et décisions d’accès	1 an après la date du match
Journal d’audit des actions dans l’administration	7 ans, au titre de l’obligation de rendre compte

Les données de scan et d’accès servent à contrôler l’accès à un seul match et à pouvoir clarifier une contestation peu après ; elles ne relèvent pas de la comptabilité et disparaissent donc plus vite. Le délai court à partir de la date du match lui-même, et non du moment du scan ou de l’achat.

Le club peut supprimer lui-même, depuis l’administration, les données qu’il ne souhaite plus conserver. Si sa propre politique de conservation impose une durée plus courte que celles ci-dessus, il en fait la demande à info@naardematch.be et nous examinons ensemble ce qui est réalisable. Pour les données que la loi nous impose de conserver — en pratique la facturation — nous ne pouvons pas descendre en dessous de ce que la loi autorise.

13. Effacement ou restitution en fin de contrat

À la fin du contrat, le club choisit si nous effaçons ou restituons les données à caractère personnel.

• Tant que l’environnement existe, le club exporte lui-même ses données depuis la gestion, au format CSV. Nous fournissons une exportation sur demande lorsque cela ne fonctionne pas.
• Si le club n’opère pas de choix dans les 30 jours suivant la fin du contrat, nous effaçons les données.
• Si un environnement est suspendu pour non-paiement, il est définitivement supprimé 30 jours après cette suspension, avec un avertissement préalable par e-mail. Les délais figurent à l’article 6 des conditions générales.
• Nous ne conservons que ce que le droit de l’Union ou le droit belge nous impose, en pratique les données de facturation pour notre obligation comptable. Celles-ci restent protégées par le présent accord aussi longtemps que nous les conservons.
• Les sauvegardes expirent également : elles sont écrasées selon leur propre cycle de rotation.

14. Transferts hors de l’Union européenne

Les données du club sont traitées dans l’Espace économique européen. L’hébergement, la base de données et l’envoi d’e-mails tournent chez Scaleway à Paris.

Le seul sous-traitant ultérieur hors UE est Cloudflare, pour la protection anti-spam de nos formulaires. Ce transfert repose sur le Data Privacy Framework UE–US et sur les clauses contractuelles types de la Commission européenne. Cloudflare n’a pas accès aux données de tickets ou d’abonnés du club.

Si nous souhaitons traiter des données ailleurs en dehors de l’EEE, la procédure relative aux sous-traitants ultérieurs de l’article 7 s’applique et nous veillons au préalable à disposer d’un mécanisme de transfert valable.

15. Dispositions finales

Le présent accord est soumis au droit belge ; les tribunaux compétents sont les mêmes que dans les conditions générales.

Si nous adaptons cet accord, la date en haut change et nous en informons le club par e-mail. L’environnement du club se trouve sur https://naardematch.app.

Une question sur cet accord de sous-traitance ? Écrivez à info@naardematch.be.