Contrat de sous-traitance

Version du 19 octobre 2026. Selon l'art. 9 LPD et, dans la mesure où il est applicable, l'art. 28 RGPD. Traduction de la version allemande. En cas de divergence, la version allemande fait foi.

Le présent contrat s'applique entre le club qui utilise Clubhand (responsable du traitement, « club ») et Clubhand – Felix Bärtschi, entreprise individuelle, Kreuzstrasse 3A, 3052 Zollikofen, Suisse (sous-traitant, « Clubhand »). Il fait partie intégrante des CG, prend effet dès qu'un club est créé dans Clubhand et s'applique aussi longtemps que Clubhand traite des données du club. Sur demande, nous mettons à disposition une version signée.

1. Objet, nature et finalité

Clubhand traite des données personnelles sur mandat du club afin de lui permettre d'organiser la vie du club : liste des membres et groupes, événements et créneaux (y compris confirmation, liste d'attente, cession), inscriptions des participants, listes « qui apporte quoi », panneau d'affichage, sondages, présences et pointage, heures obligatoires, statistiques et exports, invitations et confirmations par e-mail, notifications push, flux de calendrier personnels ainsi que les pages d'inscription publiques pour les bénévoles sans app. Nature du traitement : collecte, enregistrement, affichage, communication (aux utilisateurs autorisés et aux sous-traitants ultérieurs mentionnés ci-dessous), analyse au sein du club, export et suppression.

2. Personnes concernées et catégories de données

Aucune donnée personnelle sensible n'est prévue. Le club ne saisit pas de telles données (p. ex. données sur la santé, allergies, convictions religieuses) dans des champs de texte libre, des questions à choix, des messages ou des sondages ; s'il le fait néanmoins, il est seul responsable de la base juridique.

Les données de compte, d'appareil et de paiement que Clubhand traite à ses propres fins (p. ex. connexion, jeton push, jeton du flux de calendrier, facturation) ne relèvent pas du présent contrat ; elles sont régies par la déclaration de protection des données.

3. Instructions

Clubhand ne traite les données que sur instruction documentée du club, à moins qu'une obligation légale n'exige autre chose ; dans ce cas, Clubhand en informe le club au préalable, dans la mesure où cela est permis. Les instructions découlent de manière exhaustive du présent contrat, des CG ainsi que des réglages et des actes des personnes autorisées du club dans l'app (p. ex. créer, supprimer, exporter des membres). Les instructions supplémentaires doivent être données par écrit (un e-mail suffit) ; Clubhand peut facturer de manière appropriée la charge dépassant l'étendue standard de Clubhand. Si Clubhand estime qu'une instruction est illicite, il en informe le club et peut en suspendre l'exécution.

4. Confidentialité

Seules ont accès aux données les personnes tenues à la confidentialité qui en ont besoin pour l'exploitation, le support, la sécurité ou la correction d'erreurs. Actuellement, il s'agit exclusivement du titulaire de Clubhand. Clubhand n'accède aux contenus d'un club que dans la mesure nécessaire à ces fins ou à la demande du club.

5. Mesures techniques et organisationnelles

Clubhand peut adapter les mesures aux progrès techniques, pour autant que le niveau de protection ne diminue pas.

6. Sous-traitants ultérieurs

Le club autorise le recours aux sous-traitants ultérieurs suivants :

Ne sont pas des sous-traitants ultérieurs : Stripe (Stripe Payments Europe, Ltd., Irlande, avec Stripe, Inc., États-Unis) traite les paiements des clubs. Ce faisant, aucune donnée de membres ou de bénévoles n'est traitée, mais uniquement les données de paiement et de facturation du club en tant que cocontractant. Clubhand en est lui-même responsable du traitement ; Stripe agit en tant que sous-traitant de Clubhand pour le traitement des paiements et en tant que responsable indépendant pour ses propres fins (p. ex. lutte contre la fraude, prescriptions en matière de blanchiment d'argent). De même, Google et Apple en tant que fournisseurs de la connexion (« Se connecter avec Google/Apple ») et des magasins d'applications ainsi que les applications de calendrier dans lesquelles les utilisateurs intègrent leur flux de calendrier sont des responsables indépendants, choisis par les utilisateurs eux-mêmes.

Communication à l'étranger : les données sont stockées en Suisse. Lorsque des sous-traitants ultérieurs traitent des données dans l'UE, un niveau de protection adéquat est garanti (annexe 1 OPDo). Lorsque des données peuvent parvenir aux États-Unis ou dans d'autres pays ne disposant pas d'un niveau de protection adéquat (p. ex. lors de notifications push, d'accès de support des prestataires ou via le réseau mondial de Cloudflare), Clubhand s'appuie sur la certification du destinataire au titre du Swiss-U.S. ou de l'EU-U.S. Data Privacy Framework, si elle existe, et sinon sur les clauses contractuelles types de la Commission européenne, avec les adaptations nécessaires pour la Suisse.

Clubhand oblige contractuellement les sous-traitants ultérieurs à une protection des données équivalente (en règle générale au moyen de leurs contrats standard de traitement des données). Clubhand informe les propriétaires de tout sous-traitant ultérieur nouveau ou remplacé au moins 30 jours à l'avance par e-mail ou dans l'app et met à jour la présente liste. Le club peut s'y opposer dans ce délai pour un motif important relevant de la protection des données. Si les parties ne trouvent pas de solution, le club peut résilier le contrat pour la date du changement et reçoit le remboursement au prorata des redevances payées d'avance pour la période postérieure. En cas d'urgence (p. ex. panne ou problème de sécurité d'un prestataire), Clubhand peut recourir immédiatement à un remplaçant et en informe ensuite.

7. Assistance au club

Le club peut traiter lui-même dans l'app la plupart des demandes des personnes concernées (accès, rectification, effacement, remise des données). Au-delà, Clubhand assiste le club, avec les moyens dont il dispose, pour répondre à de telles demandes, pour les annonces de violations de la sécurité des données et pour les analyses d'impact relatives à la protection des données. Si des personnes concernées s'adressent directement à Clubhand, Clubhand transmet la demande au club. Clubhand peut facturer de manière appropriée une charge extraordinaire.

8. Violations de la sécurité des données

Clubhand annonce au club toute violation de la sécurité des données concernant ses données dans les meilleurs délais (art. 24 al. 3 LPD), en règle générale dans les 72 heures après en avoir eu connaissance, à l'adresse e-mail des propriétaires, avec les informations disponibles sur la nature, l'ampleur, les conséquences possibles et les mesures prises. Clubhand prend sans délai les mesures appropriées pour en limiter les effets. L'annonce aux autorités et aux personnes concernées incombe au club ; Clubhand l'assiste à cet effet.

9. Suppression et restitution

Pendant l'utilisation, le club peut à tout moment télécharger ses données au moyen des fonctions d'export de l'app (restitution) et les supprimer lui-même. Si la ou le propriétaire supprime le club, celui-ci reste 30 jours dans la corbeille, puis est définitivement supprimé avec toutes les données qui s'y rapportent ; si l'utilisation prend fin d'une autre manière, les données sont supprimées conformément au chiffre 13 des CG. Les copies de sauvegarde sont écrasées selon le cycle ordinaire de l'hébergeur, en règle générale dans un délai de 30 jours. Si des personnes suppriment leur compte, les entrées de membre saisies par le club subsistent sans lien avec le compte jusqu'à ce que le club les supprime ; leurs inscriptions aux créneaux sont supprimées. Une conservation plus longue n'a lieu que si la loi l'exige.

10. Preuve et contrôle

Sur demande, Clubhand met à la disposition du club les informations nécessaires pour prouver le respect du présent contrat, en particulier une description des mesures selon le chiffre 5 et les justificatifs en matière de protection des données (p. ex. certifications, rapports) des sous-traitants ultérieurs. Des contrôles allant au-delà (p. ex. audits) ne sont admissibles que s'il est établi que ces informations ne suffisent pas, si une autorité les exige ou en cas de violation de la sécurité des données. Ils doivent être annoncés au moins 30 jours à l'avance, avoir lieu au plus une fois par an, pendant les heures de bureau habituelles, sans perturber l'exploitation, et être effectués par une ou un spécialiste indépendant tenu à la confidentialité. Les frais sont à la charge du club ; les contrôles auprès des sous-traitants ultérieurs sont régis par leurs contrats.

11. Responsabilité

Le chiffre 14 des CG régit également la responsabilité des parties au titre du présent contrat ; les limitations qui y figurent s'appliquent à l'ensemble des prétentions découlant des CG et du contrat de sous-traitance. Le club relève et garantit Clubhand conformément au chiffre 16 des CG, en particulier s'il saisit des données sans base juridique. Les dispositions impératives du droit de la protection des données en matière de responsabilité envers les personnes concernées sont réservées.

12. Dispositions finales

Pour le surplus, les CG s'appliquent. En cas de contradiction sur des questions de protection des données, le présent contrat prévaut. Les modifications sont régies par le chiffre 18 des CG. Le droit suisse est applicable ; le for exclusif est à Berne. La présente version est disponible en allemand, en anglais et en français ; en cas de divergence, la version allemande prévaut.