Contrat de sous-traitance

Objet et durée

L'école confie à SurfPlanner l'hébergement et le traitement des données nécessaires à la gestion de son activité : planning, réservations, fiches clients, bulletins d'inscription, matériel et règlements.

Le contrat court pendant toute la durée de l'abonnement et s'éteint avec lui.

Nature des données traitées

• Identité et coordonnées des clients de l'école et de leurs représentants légaux.
• Données de mineurs : prénom, nom, date de naissance, taille, poids, niveau. Ces données sont collectées parce que la sécurité en dépend — le matériel se choisit sur ces mesures.
• Décharges de responsabilité, autorisation de droit à l'image et signature manuscrite du représentant légal.
• Réservations, séances, règlements.

Nos obligations

• Ne traiter les données que sur instruction documentée de l'école, y compris pour tout transfert hors Union européenne.
• N'utiliser ces données pour aucune finalité propre : ni analyse commerciale, ni entraînement de modèle, ni revente.
• Garantir la confidentialité : accès nominatifs, tracés, limités à ce que le support exige.
• Notifier l'école de toute violation de données sans délai injustifié, et au plus tard sous 48 heures après en avoir eu connaissance, avec les éléments dont elle a besoin pour notifier la CNIL.
• Aider l'école à répondre aux demandes d'exercice de droits et à ses analyses d'impact.
• Supprimer ou restituer l'intégralité des données à la fin du contrat, au choix de l'école.

Vos obligations d'école

• Informer vos clients de ce que vous collectez et pourquoi, et recueillir les consentements nécessaires — notamment celui du représentant légal pour le droit à l'image.
• Ne saisir que des données nécessaires : l'outil vous laisse choisir les champs demandés, servez-vous-en.
• Veiller à ce que vos comptes utilisateurs restent nominatifs, et retirer les accès des personnes qui quittent l'école.
• Répondre aux demandes de vos clients dans le mois. La page « Données personnelles » vous en donne les moyens.

Mesures de sécurité

• Chiffrement des échanges (TLS) et des sauvegardes.
• Mots de passe stockés sous forme d'empreintes non réversibles.
• Cloisonnement strict des écoles : une école n'accède jamais aux données d'une autre, y compris par manipulation d'identifiants. Cette garantie est vérifiée automatiquement à chaque modification du logiciel.
• Sauvegardes quotidiennes conservées trente jours, restauration testée.
• Journal des accès et des actions sensibles, consultable par l'école.

Sous-traitants ultérieurs

L'école autorise le recours aux prestataires ci-dessous. Toute addition ou remplacement lui est notifié avant mise en œuvre, avec un délai raisonnable pour s'y opposer.

Localisation et transferts

Les données sont hébergées dans l'Union européenne. Aucun transfert hors UE n'est effectué sans instruction de l'école et sans garanties appropriées au sens du chapitre V du RGPD.

Audit

L'école peut demander une fois par an les éléments nécessaires pour vérifier le respect de ce contrat, ou faire réaliser un audit par un tiers indépendant, moyennant un préavis de trente jours.

Nos sous-traitants