Contrat de sous-traitance des données personnelles (CST)

1. Objet et durée

1.1 Le présent CST a pour objet le traitement de données personnelles par espressino pour le compte du club dans le cadre de la fourniture de strokebook conformément aux CG. L'étendue, la nature et la finalité du traitement, les catégories de données personnelles et les catégories de personnes concernées sont décrites à l'Annexe 1.

1.2 La durée du présent CST suit celle du contrat principal conformément aux CG. En cas de doute, la résiliation du contrat principal vaut également résiliation du présent CST. Le présent CST ne peut pas être résilié séparément pendant la durée du contrat principal.

1.3 La gestion du contenu des données du club et la responsabilité de la licéité du traitement des données incombent au club. espressino traite les données du club exclusivement pour le compte et sur instruction du club.

2. Droit de la protection des données applicable

2.1 La loi fédérale suisse sur la protection des données (LPD) et son ordonnance sont déterminantes. Dans la mesure où le règlement (UE) 2016/679 (RGPD) s'applique en outre au traitement de données du club, le présent CST satisfait au même moment aux exigences de l'art. 28 RGPD ; les notions du présent CST doivent alors être interprétées au sens du RGPD (les termes « traitement » et « données personnelles » au sens de la LPD correspondent respectivement aux termes « traitement » et « données à caractère personnel » au sens du RGPD).

3. Délimitation des rôles : contexte du club et comptes personnels des membres

3.1 Le présent CST s'applique aux données personnelles traitées dans le contexte du club, c'est-à-dire aux données que le club ou ses membres saisissent dans strokebook dans le cadre de l'organisation du club ou qui sont générées à cette occasion (en particulier les entrées du livre de bord, les réservations de bateaux et les données de base des membres gérées par le club). Dans cette mesure, le club est responsable du traitement et espressino sous-traitant. Le présent CST s'applique également au traitement de données personnelles dans le contexte du club dans le cadre de fonctions désignées comme « bêta » ou « expérimentales » (ch. 3.4 des CG) ; les prestataires auxquels il est fait appel pour de telles fonctions sont considérés comme des sous-traitants ultérieurs au sens du ch. 7.

3.2 Ne font pas l'objet du présent CST les données personnelles qu'un membre saisit ou génère dans son compte personnel dans le contexte personnel (par exemple les paramètres personnels du compte ainsi que les futures fonctions personnelles telles que les données d'entraînement individuelles). Dans cette mesure, espressino est responsable du traitement indépendante ; les conditions d'utilisation des comptes personnels et la déclaration de confidentialité d'espressino s'appliquent. Les comptes personnels sont liés à l'affiliation au club ; si l'affiliation ou le contrat principal du club prend fin, le compte est fermé conformément aux conditions d'utilisation.

3.3 Lorsque le même enregistrement est utilisé dans les deux contextes (par exemple une sortie qui figure à la fois dans le livre de bord du club et dans le compte personnel du membre), ce qui suit s'applique : pour la copie, respectivement la vue, dans le contexte du club, le club est responsable du traitement ; pour la copie, respectivement la vue, dans le contexte personnel, c'est espressino. La suppression dans l'un des contextes est sans effet sur l'autre contexte.

4. Instructions

4.1 espressino traite les données personnelles exclusivement dans le cadre des accords conclus et selon les instructions documentées du club (y compris la communication de données personnelles à l'étranger), sauf s'il existe une obligation légale de traitement. Dans un tel cas, espressino informe le club de l'exigence légale avant le traitement, sauf si la loi interdit une telle information.

4.2 Le club donne ses instructions générales au moyen des fonctionnalités, des saisies et des configurations mises à disposition dans strokebook. espressino n'est pas tenue d'exécuter des instructions individuelles d'une autre nature ; fait exception l'instruction de supprimer l'ensemble des données traitées pour le compte du club, qu'espressino exécute toujours lorsqu'il est établi qu'elle émane d'une personne habilitée à représenter le club. Les instructions de suppression doivent au moins être données sous forme de texte.

4.3 Si espressino estime qu'une instruction est contraire au droit de la protection des données, elle en informe le club sans délai et peut en suspendre l'exécution jusqu'à ce que l'instruction soit confirmée ou modifiée.

4.4 Sont habilitées à donner des instructions les personnes qui peuvent valablement représenter le club ainsi que les personnes définies dans strokebook comme administrateurs du club. En cas d'instructions contradictoires, le ch. 6.7 des CG s'applique.

5. Confidentialité

5.1 espressino n'affecte au traitement que des personnes qui se sont engagées à la confidentialité ou qui sont soumises à une obligation légale de secret et qui ont été préalablement familiarisées avec les dispositions de protection des données qui les concernent.

6. Mesures techniques et organisationnelles

6.1 espressino prend les mesures techniques et organisationnelles décrites à l'Annexe 2 afin de garantir un niveau de protection adapté au risque en ce qui concerne la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes.

6.2 Les mesures sont soumises au progrès technique. espressino peut mettre en œuvre des mesures alternatives adéquates, pour autant que le niveau de sécurité des mesures définies ne soit pas abaissé. espressino communique au club les modifications substantielles sous forme de texte.

6.3 espressino contrôle régulièrement l'efficacité des mesures et tient un registre des catégories d'activités de traitement effectuées pour le compte du club.

7. Sous-traitants ultérieurs

7.1 Le club consent au recours aux sous-traitants ultérieurs énumérés à l'Annexe 3. Sont considérés comme sous-traitants ultérieurs les prestataires dont la prestation se rapporte directement à la fourniture de la prestation principale ; les prestations accessoires (par exemple les télécommunications ou l'élimination de supports de données) ne sont pas considérées comme des rapports de sous-traitance ultérieure, espressino prenant également à cet égard des mesures appropriées de confidentialité et de contrôle.

7.2 espressino conclut avec chaque sous-traitant ultérieur un accord qui impose à celui-ci pour l'essentiel les mêmes obligations en matière de protection des données que celles que le présent CST impose à espressino. Si un sous-traitant ultérieur ne respecte pas ses obligations en matière de protection des données, espressino répond envers le club du respect des obligations de ce sous-traitant ultérieur comme de son propre comportement.

7.3 Nouveaux sous-traitants ultérieurs. Si espressino entend faire appel à un nouveau sous-traitant ultérieur ou remplacer un sous-traitant ultérieur existant, elle en informe le club sous forme de texte au moins 30 jours à l'avance. Le club peut s'opposer à la modification dans ce délai, sous forme de texte, pour des motifs légitimes relevant du droit de la protection des données. Si, en cas d'opposition, les parties ne parviennent pas à un accord, le club peut résilier le contrat principal de manière extraordinaire pour la date prévue du recours au nouveau sous-traitant ultérieur ; jusqu'à cette date, espressino n'utilise pas le nouveau sous-traitant ultérieur pour les données du club.

8. Lieu du traitement et exportations de données

8.1 Le traitement a lieu en Suisse et dans l'Espace économique européen (EEE) ainsi que, pour certaines prestations indiquées à l'Annexe 3 (notamment la diffusion de l'application web via un CDN mondial ainsi que les accès de support et d'exploitation depuis des pays tiers), dans des États situés hors de Suisse et de l'EEE ; le ch. 8.2 est réservé. La région d'hébergement des systèmes productifs est indiquée à l'Annexe 3.

8.2 La communication de données personnelles vers des États ne disposant pas d'un niveau de protection des données adéquat n'a lieu que sur la base de garanties appropriées, en particulier les clauses contractuelles types adoptées par la Commission européenne et reconnues par le PFPDT, assorties des adaptations nécessaires pour la Suisse, ou sur la base d'un autre mécanisme de transfert admis par la loi. Si espressino entend se fonder à l'avenir sur un autre mécanisme, elle en informe préalablement le club.

9. Assistance au club

9.1 Si une personne concernée (par exemple un membre du club) s'adresse directement à espressino au sujet de ses droits dans le contexte du club, espressino transmet la demande au club, respectivement renvoie la personne concernée au club et l'en informe. espressino ne statue pas elle-même sur de telles demandes.

9.2 espressino assiste le club, dans la mesure de ses possibilités et par des mesures techniques et organisationnelles appropriées, dans l'exécution des droits des personnes concernées (en particulier l'accès, la rectification, l'effacement, la remise des données) ainsi que dans le respect des obligations relatives à la sécurité des données, à l'annonce des violations de la sécurité des données, aux analyses d'impact relatives à la protection des données et aux éventuelles consultations de l'autorité de surveillance.

9.3 Pour les prestations d'assistance qui vont au-delà des fonctionnalités mises à disposition dans strokebook et qui ne sont pas imputables à un manquement d'espressino, espressino peut exiger une rémunération supplémentaire appropriée en fonction du temps consacré.

10. Annonce des violations de la sécurité des données

10.1 espressino annonce sans délai au club toute violation de la sécurité des données touchant des données personnelles relevant du domaine de responsabilité du club. L'annonce indique, dans la mesure où ils sont connus, la nature de la violation, les catégories de données et de personnes concernées, les conséquences probables ainsi que les mesures prises et proposées.

10.2 L'appréciation et l'éventuelle annonce à l'autorité de surveillance compétente ainsi que l'information des personnes concernées incombent au club en sa qualité de responsable du traitement. espressino assiste le club à cet égard conformément au ch. 9.

11. Preuve et droits de contrôle

11.1 espressino met à la disposition du club, sur demande, les informations nécessaires pour démontrer le respect des obligations découlant du présent CST.

11.2 Le club peut vérifier le respect du présent CST au plus une fois par an ainsi qu'en cas de motif concret, ou le faire vérifier par un tiers approprié, tenu à la confidentialité et qui n'est pas en situation de concurrence avec espressino. Les contrôles ont lieu sur annonce préalable, en règle générale d'au moins quatre semaines, pendant les heures d'ouverture habituelles, aux frais du club et sans perturbation de l'exploitation.

11.3 espressino peut en lieu et place apporter cette preuve au moyen d'attestations, de rapports ou de certifications actuels d'organismes indépendants (par exemple ISO 27001 ou SOC 2 des fournisseurs d'infrastructure utilisés), pour autant que ceux-ci permettent au club une appréciation appropriée. Les secrets d'affaires d'espressino et les données d'autres clients sont exclus du contrôle. Pour l'assistance lors de contrôles, espressino peut exiger une rémunération supplémentaire appropriée en fonction du temps consacré.

12. Effacement et restitution

12.1 espressino ne crée des copies ou des duplicatas des données du club que dans la mesure nécessaire à la fourniture régulière des prestations (par exemple copies de sauvegarde, tests dans le cadre de mises en production, analyse d'erreurs).

12.2 À la fin du contrat, la fenêtre d'exportation de 60 jours prévue au ch. 10.5 des CG s'applique. À l'expiration de celle-ci, espressino efface l'ensemble des données personnelles traitées pour le compte du club dans un délai technique raisonnable ; les copies de sauvegarde sont écrasées selon le cycle de rotation ordinaire de sept jours au maximum. espressino confirme l'effacement au club sur demande, sous forme de texte. Sont exceptées les données qu'espressino doit continuer de conserver en raison d'obligations légales de conservation, ainsi que les données figurant dans les comptes personnels des membres (ch. 3.2) ; pour ces dernières, espressino est responsable du traitement indépendante et leur effacement est régi par la déclaration de confidentialité. Si le contrat principal prend fin, les comptes personnels des membres du club sont également fermés ; les membres en sont informés au préalable conformément aux conditions d'utilisation des comptes personnels et les données sont effacées dans un délai de 30 jours, sous réserve d'obligations légales de conservation.

13. Responsabilité

13.1 La responsabilité découlant du présent CST ou en relation avec celui-ci est régie par les règles de responsabilité des CG, en particulier la limitation de responsabilité prévue au ch. 13 des CG. Les dispositions légales impératives en matière de responsabilité sont réservées.

13.2 Si une personne concernée s'adresse directement à espressino et obtient de celle-ci des dommages-intérêts, le club doit indemniser espressino du dommage qui en résulte, dans la mesure où espressino n'aurait pas répondu envers le club de la violation en question en vertu du présent CST et des CG, en particulier lorsque espressino s'est conformée aux accords et aux instructions du club.

14. Dispositions finales

14.1 Dans la mesure où le présent CST ne contient pas de règles particulières, les CG s'appliquent. Les modifications du présent CST interviennent selon la procédure prévue au ch. 17 des CG.

14.2 Le présent CST est soumis au droit suisse, à l'exclusion des règles de conflit de lois et de la Convention des Nations Unies sur les contrats de vente internationale de marchandises. Le for judiciaire exclusif est à Zurich.

Annexe 1 : objet du traitement

Annexe 2 : mesures techniques et organisationnelles (MTO)

Annexe 3 : sous-traitants ultérieurs

Les sous-traitants ultérieurs autorisés sont énumérés dans la liste des sous-traitants ultérieurs strokebook séparée, qui fait partie intégrante du présent CST. La version en vigueur est consultable sur strokebook.club. Le ch. 7.3 du présent CST s'applique à l'ajout de nouveaux sous-traitants ultérieurs.