Le présent contrat de sous-traitance (ci-après, «le contrat») fait partie des conditions de contrat et régit le traitement des données personnelles que 21points réalise pour le compte du client lorsque celui-ci utilise la plateforme pour gérer des tournois et des tableaux de score. Il est conclu conformément à l'article 28 du RGPD.
1. Parties et rôles
Le client (utilisateur qui souscrit ou utilise le service) est le responsable du traitement. Lajana Sistemas S.L., titulaire de 21points, est le sous-traitant.
2. Objet, nature et finalité
Le sous-traitant traitera des données personnelles pour le compte du responsable dans le seul but de fournir le service 21points : hébergement, stockage et traitement des données de tournois, d'équipes et de joueurs que le responsable introduit dans la plateforme.
3. Durée
Le traitement se maintiendra pendant la durée de la relation de service entre les parties. À son terme s'appliquera ce qui est prévu en matière de restitution ou de suppression.
4. Types de données personnelles
Données d'identification et sportives des joueurs, équipes, arbitres et personnel de l'organisateur : nom, numéro de maillot, catégorie, âge ou date de naissance, statistiques et résultats. Elles peuvent inclure des données de mineurs.
5. Catégories de personnes concernées
Joueurs (y compris d'éventuels mineurs), équipes, arbitres et personnel lié à l'organisateur.
6. Obligations du sous-traitant
Conformément à l'art. 28.3 RGPD, le sous-traitant s'engage à :
- Traiter les données uniquement selon les instructions documentées du responsable, y compris en matière de transferts internationaux, sauf obligation légale.
- Garantir que les personnes autorisées à traiter les données se sont engagées à respecter la confidentialité.
- Adopter les mesures techniques et organisationnelles de sécurité exigées par l'art. 32 RGPD.
- Respecter les conditions pour recourir à un autre sous-traitant (sous-traitant ultérieur) prévues à la clause 7.
- Aider le responsable à répondre aux demandes d'exercice des droits des personnes concernées.
- Aider le responsable à respecter les obligations des art. 32 à 36 RGPD (sécurité, notification de violations et analyses d'impact), compte tenu des informations disponibles.
- Au choix du responsable, supprimer ou restituer les données à la fin de la prestation et supprimer les copies existantes, sauf obligation légale de conservation.
- Mettre à la disposition du responsable les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits ou des inspections.
- Informer immédiatement le responsable s'il estime qu'une instruction enfreint la réglementation sur la protection des données.
7. Sous-traitants ultérieurs
Le responsable autorise de manière générale le sous-traitant à recourir à des sous-traitants ultérieurs pour la prestation du service. Actuellement, le sous-traitant utilise IONOS (hébergement et infrastructure, avec des serveurs dans l'Union européenne). Le sous-traitant imposera à ses sous-traitants ultérieurs, par contrat, les mêmes obligations de protection des données. Il informera le responsable de tout changement relatif à l'ajout ou au remplacement de sous-traitants ultérieurs, en lui donnant la possibilité de s'y opposer.
8. Transferts internationaux
Le sous-traitant ne transférera pas les données du responsable en dehors de l'Espace économique européen sans garanties appropriées (décision d'adéquation, clauses contractuelles types ou autre garantie du RGPD) et sans en informer préalablement le responsable. L'infrastructure qui héberge les données de tournois et de joueurs se trouve dans l'Union européenne.
9. Violations de la sécurité
Le sous-traitant notifiera au responsable, sans retard injustifié, toute violation de la sécurité des données personnelles dont il aurait connaissance, en fournissant les informations nécessaires pour que le responsable puisse remplir, le cas échéant, ses obligations de notification auprès de l'autorité de contrôle et des personnes concernées.
10. Restitution ou suppression des données
Une fois la prestation du service terminée, et au choix du responsable, le sous-traitant restituera ou supprimera les données personnelles et leurs copies, sauf s'il doit les conserver en vertu d'une obligation légale.
11. Responsabilité
Chaque partie répond des dommages qu'elle cause par le manquement à ses obligations, conformément à l'art. 82 RGPD. Le responsable garantit disposer d'une base légale pour le traitement et, le cas échéant, du consentement des titulaires de l'autorité parentale ou de la tutelle concernant les données de mineurs.
12. Droit applicable
Le présent contrat est régi par le RGPD, la loi organique 3/2018 (LOPDGDD) et le reste de la législation espagnole applicable en matière de protection des données.