RGPD · Notre conformité
Comment Clybo’ respecte le règlement général sur la protection des données (RGPD), y compris le rôle de sous-traitant que nous assumons vis-à-vis de chaque club.
Cette page résume la manière dont Clybo’ respecte le règlement (UE) 2016/679 (RGPD) et la législation maltaise qui le complète (Data Protection Act, chapitre 586), et précise les rôles entre le club (responsable du traitement) et Clybo’ (sous-traitant).
1. Rôles RGPD
| Rôle | Qui l'assume | Ce qu'il décide |
|---|---|---|
| Responsable du traitement | Le club sportif | Les finalités du traitement des données des sportifs, des tuteurs et du staff. |
| Sous-traitant | FlamaTech Consulting LTD (Clybo’) | Traiter les données pour le compte du club en suivant ses instructions, conformément au DPA signé. |
| Sous-traitants ultérieurs | Les prestataires énumérés dans la politique de confidentialité (hébergement, authentification, paiements, e-mail, analyse et facturation) | Services précis encadrés par un contrat de sous-traitance conforme à l'article 28 du RGPD. L'AEAT (administration fiscale espagnole) n'est pas un sous-traitant ultérieur : elle reçoit des enregistrements fiscaux en vertu d'une obligation légale. |
2. Accord de sous-traitance (DPA)
Avant de créer le club, son administrateur doit accepter électroniquement les Conditions et le DPA en vigueur. Le système enregistre l'utilisateur, la date, les versions acceptées et une preuve technique de l'acceptation. Le DPA doit inclure les exigences de l'article 28 du RGPD :
- Objet, durée, nature et finalité du traitement.
- Type de données personnelles et catégories de personnes concernées.
- Obligations du sous-traitant : confidentialité, sécurité, assistance au responsable du traitement, notification des violations.
- Régime des sous-traitants ultérieurs avec autorisation générale préalable.
- Restitution ou suppression des données à la fin du contrat.
Si vous avez besoin d'une copie du DPA avant de souscrire, écrivez à dpo@clybo.app.
3. Mesures techniques et organisationnelles
- Chiffrement : AES-256 au repos, TLS 1.3 en transit.
- Contrôle d'accès : authentification par un fournisseur (Supabase Auth), contrôle par rôles, claims signés.
- Cloisonnement multi-tenant : isolation par
club_id+ Row-Level Security dans PostgreSQL. - Traçabilité : journalisation des opérations sensibles.
- Sauvegardes : copies quotidiennes chiffrées, conservées 30 jours.
- Revue des prestataires : évaluation préalable et réévaluation annuelle de chaque sous-traitant ultérieur.
4. Notification des violations de sécurité
En cas de violation de sécurité touchant des données personnelles, nous en informerons le club responsable du traitement dans un délai maximal de 72 heures après en avoir pris connaissance, conformément à l'article 33, paragraphe 2, du RGPD. La notification précisera la nature, les catégories et le volume des données concernées, les mesures prises et la personne à contacter.
5. Droits des personnes concernées
Lorsqu'un tuteur, un sportif ou un membre du staff exerce l'un de ses droits (accès, rectification, effacement, opposition, limitation, portabilité, appelés « droits ARCO+ » en Espagne), il doit s'adresser au club responsable du traitement. Clybo’ assistera le club avec les outils techniques nécessaires pour répondre à la personne concernée dans le délai légal.
6. Transferts internationaux
Les données sont principalement stockées sur une infrastructure située dans l'Union européenne. Certains sous-traitants ultérieurs pourraient traiter des données hors de l'EEE ; dans ce cas, nous appliquons des clauses contractuelles types approuvées par la Commission européenne ou une décision d'adéquation, garantissant un niveau de protection équivalent à celui du RGPD.
7. Contact et réclamations
Délégué à la protection des données : dpo@clybo.app.
L'autorité de contrôle chef de file de Clybo’ est l'Information and Data Protection Commissioner (IDPC) de Malte. Toute personne concernée peut également introduire une réclamation auprès de l'autorité de son État membre (en Espagne, l'AEPD).