Avenant de Traitement des Données

Le présent Avenant de Traitement des Données (« ATD ») est incorporé par référence dans les Conditions Générales d'Utilisation conclues entre PadelEngine SAS et le Client. Les termes en majuscules non définis dans le présent ATD ont le sens qui leur est donné dans les Conditions Générales d'Utilisation.

1. Rôles et définitions

« Client » désigne l'organisateur, le club, le coach ou l'entité qui a accepté les Conditions Générales d'Utilisation et utilise le Service pour organiser des tournois de padel. S'agissant des données à caractère personnel décrites dans le présent ATD, le Client est le responsable du traitement — il détermine pourquoi et comment ces données sont collectées et utilisées.

« PadelEngine SAS » (ci-après désigné « nous » ou « Sous-traitant ») agit en qualité de sous-traitant — traitant les données à caractère personnel du Client uniquement sur les instructions documentées du Client, telles que décrites dans le présent ATD.

« Traitement » a le sens donné par l'article 4(2) du RGPD : toute opération effectuée sur des données à caractère personnel, notamment la collecte, l'enregistrement, le stockage, l'adaptation, l'extraction, l'utilisation, la transmission et la suppression.

« RGPD » désigne le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel.

« Sous-traitant ultérieur » désigne tout tiers mandaté par PadelEngine SAS pour réaliser des activités de traitement sur les données à caractère personnel du Client.

« Violation de données à caractère personnel » désigne une violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données à caractère personnel transmises, stockées ou autrement traitées, de manière accidentelle ou illicite.

Le présent ATD est conclu conformément à l'article 28(3) du RGPD et complète les Conditions Générales d'Utilisation. En cas de conflit entre l'ATD et les Conditions Générales d'Utilisation sur les questions de protection des données, l'ATD prévaut.

2. Objet, durée, nature et finalités du traitement

Objet. PadelEngine SAS traite les données à caractère personnel pour le compte du Client afin de fournir les services de gestion de tournois décrits dans les Conditions Générales d'Utilisation, notamment la planification des matchs, l'enregistrement des scores, la génération des classements, l'affichage des résultats en direct et l'exportation des données de tournois.

Durée. Le traitement se poursuit pendant la durée de vie du compte du Client, augmentée de toute période de conservation requise par la loi applicable ou indiquée dans la Politique de Confidentialité. Le journal d'audit (tournament_events) est conservé pendant 24 mois à compter de la date de chaque événement, quelle que soit la situation du compte, afin de respecter les obligations légales et opérationnelles.

Nature du traitement. Stockage, extraction, calcul, affichage et transmission de données à caractère personnel. Cela inclut la diffusion en temps réel des résultats aux spectateurs via l'URL de partage public, les exports PDF, ainsi que la surveillance des erreurs (les données personnelles sont filtrées avant transmission à Sentry — voir Annexe C).

Finalités du traitement. Permettre au Client d'organiser, de gérer et de consulter des tournois de padel à l'aide du Service. Aucune donnée à caractère personnel n'est utilisée à d'autres fins (notamment la publicité, le profilage ou l'analyse inter-services).

3. Catégories de personnes concernées et de données à caractère personnel

Les catégories de personnes concernées dont PadelEngine SAS traite les données à caractère personnel pour le compte du Client, ainsi que les catégories de données à caractère personnel correspondantes, sont définies à l'Annexe A.

En résumé :

• Comptes organisateurs — titulaires de comptes qui créent et gèrent des tournois.
• Joueurs figurant sur une liste — personnes dont les noms (et identifiants optionnels) sont saisis par l'organisateur.
• Marqueurs délégués — personnes autorisées par l'organisateur à saisir les scores des matchs via un lien de marqueur.
• Spectateurs anonymes — aucune donnée à caractère personnel collectée auprès des spectateurs publics.

4. Obligations du sous-traitant

PadelEngine SAS s'engage à respecter les obligations suivantes concernant les données à caractère personnel du Client :

(a) Traitement sur instructions documentées uniquement. Nous traitons les données à caractère personnel exclusivement sur les instructions documentées du Client. L'utilisation du Service par le Client — notamment la configuration des tournois, le téléversement des listes et l'activation des liens de marqueur — constitue ses instructions. Le Client peut également adresser des instructions écrites à privacy@padellito.com. Si nous sommes tenus de traiter des données à caractère personnel en vertu du droit de l'Union ou d'un État membre, nous en informerons le Client avant le traitement, sauf si ce droit interdit une telle divulgation pour des raisons d'intérêt public.

(b) Confidentialité du personnel autorisé. Nous nous assurons que toutes les personnes autorisées à traiter les données à caractère personnel du Client sont soumises à des obligations de confidentialité appropriées, que ce soit par le biais de contrats de travail, d'accords de non-divulgation ou d'obligations professionnelles de confidentialité. Ces obligations survivent à la cessation de leur engagement auprès de nous.

(c) Sécurité. Nous mettons en œuvre les mesures techniques et organisationnelles décrites à l'Annexe C pour protéger les données à caractère personnel du Client contre tout traitement non autorisé ou illicite et contre toute perte, destruction ou détérioration accidentelle, en tenant compte de l'état de l'art, du coût de mise en œuvre, ainsi que de la nature et des risques du traitement.

(d) Sous-traitants ultérieurs. Nous faisons appel à des sous-traitants ultérieurs uniquement conformément à la Section 6 du présent ATD. Le Client donne une autorisation générale pour les sous-traitants ultérieurs figurant à l'Annexe B. Nous imposons à chaque sous-traitant ultérieur des obligations de protection des données substantiellement équivalentes à celles du présent ATD.

(e) Assistance pour l'exercice des droits des personnes concernées. Nous aidons le Client à s'acquitter de ses obligations au titre des articles 15 à 22 du RGPD (droits des personnes concernées : accès, rectification, effacement, limitation, portabilité, opposition). Lorsque des demandes de personnes concernées peuvent être satisfaites via les outils du Service (tels que la suppression d'un tournoi ou la suppression d'un compte), nous fournissons ces outils directement. Pour les demandes nécessitant un traitement manuel, le Client peut adresser une demande à privacy@padellito.com et nous fournirons une assistance raisonnable dans le délai requis par l'article 12(3).

(f) Assistance pour les obligations de sécurité et de conformité. Nous notifions le Client sans retard injustifié dès que nous avons connaissance d'une violation de données à caractère personnel affectant ses données, comme décrit dans la présente section. La notification sera envoyée à l'adresse e-mail associée au compte du Client. Nous assistons le Client dans ses obligations au titre des articles 32 à 36 du RGPD (sécurité du traitement, analyses d'impact relatives à la protection des données et consultation préalable), dans la mesure où cette assistance est techniquement et opérationnellement réalisable pour nous en tant que Sous-traitant et où les informations requises relèvent de notre contrôle.

(g) Suppression ou restitution à la fin du traitement. À la résiliation des Conditions Générales d'Utilisation, ou plus tôt sur demande écrite du Client, nous procéderons — au choix du Client — soit (i) à la suppression de toutes les données à caractère personnel traitées pour son compte (y compris les copies, sauvegardes et copies chez les sous-traitants ultérieurs, dans la mesure techniquement réalisable compte tenu de nos calendriers de conservation), soit (ii) à la restitution des données au Client dans un format lisible par machine. Nous exécuterons cette action dans les 30 jours suivant la demande du Client. Nous pouvons conserver des données à caractère personnel lorsque la loi ou la réglementation applicable l'exige ; nous informerons le Client de toute telle obligation avant l'exécution.

(h) Droits d'audit. Le Client peut auditer notre conformité au présent ATD, directement ou via un auditeur tiers indépendant soumis à des obligations de confidentialité équivalentes à celles du présent ATD. Les audits sont limités à une fois par année civile et une fois supplémentaire en cas d'incident de sécurité significatif ou de modification substantielle de notre liste de sous-traitants ultérieurs. Le Client doit adresser un préavis écrit de 30 jours à privacy@padellito.com avant de commencer un audit. Les audits doivent être conduits pendant les heures normales d'ouverture et ne doivent pas perturber de manière déraisonnable nos activités. Les coûts de l'audit sont à la charge du Client. Si un audit révèle un manquement significatif de notre part, nous prenons en charge les coûts de la remédiation nécessaire. Ce droit d'audit ne limite aucun droit des personnes concernées en vertu de la loi applicable.

5. Confidentialité

Toutes les données à caractère personnel traitées dans le cadre du présent ATD sont considérées comme des Informations Confidentielles du Client. Nous ne divulguons pas les données à caractère personnel du Client à des tiers, sauf :

• au personnel autorisé au sein de PadelEngine SAS qui a besoin d'y accéder pour exercer ses fonctions, et qui est soumis aux obligations de confidentialité visées à la Section 4(b) ; et
• aux sous-traitants ultérieurs figurant à l'Annexe B, dans la stricte mesure nécessaire aux fins de la fourniture du Service, et dans le cadre des protections contractuelles décrites à la Section 6.

Nous n'utilisons pas les données à caractère personnel du Client à nos propres fins, notamment l'analyse, le développement de produits ou le marketing, sauf sous une forme entièrement anonymisée et ne pouvant pas être réidentifiée.

6. Sous-traitants ultérieurs

Autorisation générale. En acceptant le présent ATD, le Client autorise PadelEngine SAS à faire appel aux sous-traitants ultérieurs figurant à l'Annexe B pour les finalités qui y sont décrites.

Notification des modifications. Avant d'ajouter ou de remplacer un sous-traitant ultérieur, nous notifierons le Client au moins 30 jours à l'avance via une bannière de notification dans le produit ou par e-mail à l'adresse enregistrée du compte. La notification identifiera le sous-traitant ultérieur, la nature du traitement et la juridiction dans laquelle il opère.

Droit d'opposition. Le Client peut s'opposer à l'ajout ou au remplacement d'un sous-traitant ultérieur en nous le notifiant par écrit à privacy@padellito.com dans le délai de préavis de 30 jours. Nous nous efforcerons de bonne foi de prendre en compte les préoccupations du Client. Si l'opposition ne peut être résolue et que le changement de sous-traitant ultérieur est nécessaire à la poursuite de la fourniture du Service, le Client peut résilier la partie concernée du Service par notification écrite sans pénalité, à condition que cette notification soit donnée dans le délai d'opposition.

Obligations des sous-traitants ultérieurs. Nous concluons un accord écrit avec chaque sous-traitant ultérieur imposant des obligations de protection des données substantiellement équivalentes à celles du présent ATD. Nous demeurons pleinement responsables envers le Client de l'exécution par le sous-traitant ultérieur de ses obligations de protection des données, dans la mesure où nous sommes responsables en vertu du présent ATD.

7. Transferts internationaux

Notre infrastructure principale de base de données et d'authentification est hébergée dans l'UE (Francfort, Allemagne) via Supabase, ce qui signifie que les données principales du Client ne quittent pas l'Espace économique européen dans des conditions normales.

Lorsqu'un sous-traitant ultérieur est établi en dehors de l'EEE et qu'aucune décision d'adéquation ne s'applique, les transferts sont encadrés par les Clauses contractuelles types de l'UE adoptées en vertu de la Décision d'exécution de la Commission (UE) 2021/914 — spécifiquement :

• Module Deux (Responsable du traitement vers Sous-traitant) lorsque nous transférons des données en qualité de responsable du traitement à un sous-traitant ultérieur agissant en qualité de sous-traitant.
• Module Trois (Sous-traitant vers Sous-traitant) lorsque nous transférons les données du Client en qualité de sous-traitant à un sous-traitant ultérieur.

En pratique, les Modules Deux et Trois peuvent tous deux s'appliquer au même sous-traitant ultérieur selon que le transfert concerne les données du Client (Module Trois) ou les données du compte organisateur que nous contrôlons (Module Deux). L'Annexe B identifie les sous-traitants ultérieurs impliquant des transferts transfrontaliers hors EEE et le mécanisme de transfert applicable.

Nous révisons l'adéquation de ces mécanismes de transfert chaque fois que le cadre juridique évolue (notamment à la suite de toute décision de la CJUE ou de toute orientation d'une autorité de contrôle affectant les instruments sur lesquels nous nous appuyons) et nous mettrons à jour le présent ATD et notifierons le Client de toute modification significative.

Annexe A — Description du traitement

Le tableau suivant satisfait aux exigences de l'article 28(3) du RGPD pour une description de l'objet, de la nature, de la finalité et de la durée du traitement, ainsi que du type de données à caractère personnel et des catégories de personnes concernées.

Annexe B — Sous-traitants ultérieurs autorisés

Les sous-traitants ultérieurs suivants sont autorisés en vertu de la Section 6 du présent ATD. Nous maintenons cette liste à jour et la mettons à jour avec un préavis de 30 jours pour tout ajout ou remplacement.

Annexe C — Mesures techniques et organisationnelles (MTO)

Les mesures suivantes sont en place à la date lastUpdated du présent ATD. Nous révisons et mettons à jour ces mesures régulièrement ; toute réduction significative des protections sera communiquée au Client conformément à la procédure de notification des modifications prévue à la Section 6.

Chiffrement

• TLS 1.2 ou supérieur pour toutes les données en transit, appliqué via des certificats gérés par Vercel sur tous les points d'entrée publics.
• Chiffrement AES-256 au repos pour toutes les données Postgres, appliqué par Supabase par défaut au niveau de l'infrastructure.

Contrôle d'accès

• La sécurité au niveau des lignes (RLS) Postgres est activée sur chaque table de la base de données ; aucune table n'est accessible sans une politique RLS explicite.
• Les informations d'identification de base de données service-role sont exclusivement côté serveur et ne sont jamais transmises au code côté client ni aux bundles publics.
• Les rôles clients authentifiés sont limités à leurs propres données via les politiques RLS auth.uid() ; l'accès aux données d'un autre client est structurellement impossible.
• tournament_events (journal d'audit) : l'INSERT est refusé pour les rôles Postgres authenticated et anon depuis SP7 T28 ; seul le chemin d'écriture du moteur côté serveur (service-role) peut alimenter le journal d'audit.
• policy_acceptances (enregistrements de consentement légal) : caractère append-only appliqué via RLS — la mise à jour (UPDATE) est refusée à tous les rôles client pour éviter le retrait rétroactif du consentement sans création d'un nouvel enregistrement.

Pseudonymisation et minimisation des données

• Les adresses IP sont hachées via FNV-1a avant toute opération de stockage ; les adresses IP brutes ne sont jamais persistées dans la base de données.
• Les codes PIN des marqueurs ne sont stockés que sous forme de hachages bcrypt ; le PIN en clair n'est jamais écrit dans la base de données ni dans les journaux.
• Les identifiants déterministes de matchs, tours et phases sont dérivés sous forme d'UUIDv5 à partir de la graine de score du tournoi ; la graine elle-même est supprimée des RPC publics afin que les spectateurs ne puissent pas prédire ni reconstituer les identifiants internes.
• Les rapports d'erreurs Sentry sont filtrés selon une liste de refus PII (constante PII_FIELDS dans packages/observability/) avant de quitter le navigateur ; les champs incluant l'adresse e-mail, le nom du joueur, le jeton de session, les chaînes de slug et les jetons d'authentification sont remplacés par des espaces réservés avant transmission.

Audit et intégrité

• Une table tournament_events en écriture seule enregistre chaque action modifiant l'état (saisies de scores, modifications, forfaits, retraits, cascades de forfaits, synchronisations hors ligne) avec un horodatage, un libellé d'acteur et un contenu structuré. Ce journal est immuable par conception — RLS refuse toutes les mutations côté client.
• Toutes les modifications de schéma de base de données sont appliquées exclusivement via les migrations Drizzle ORM ; le schéma n'est jamais modifié manuellement dans Postgres.
• Les fichiers de migration sont versionnés et appliqués via CI, fournissant une piste d'audit complète de l'évolution du schéma.

Localisation géographique

• La base de données Postgres principale et l'infrastructure d'authentification sont situées dans l'UE (Francfort, Allemagne) via le déploiement eu-central-1 de Supabase.
• Le journal d'audit est conservé pendant 24 mois minimum afin de satisfaire aux exigences légales et de conformité opérationnelle.

Réponse aux incidents et notification de violation

• Dès la découverte d'une violation de données à caractère personnel affectant les données du Client, nous notifions le Client sans retard injustifié et au plus tard 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d'entraîner un risque pour les droits et libertés des personnes. La notification est envoyée à l'adresse e-mail figurant sur le compte du Client.
• La surveillance des erreurs Sentry fournit des alertes en temps réel sur les erreurs serveur critiques afin de permettre un triage rapide des incidents.
• Nous maintenons une procédure interne de réponse aux incidents couvrant l'identification, le confinement, la remédiation et le bilan post-incident.

Sauvegardes et restauration

• Supabase fournit des sauvegardes glissantes de 30 jours avec restauration à un instant donné (PITR) disponible dans la fenêtre de conservation.
• La restauration des sauvegardes est testée périodiquement dans le cadre de la maintenance de l'infrastructure.

Mesures personnelles et organisationnelles

• L'accès aux systèmes de production est limité au personnel autorisé selon le principe du besoin d'en connaître.
• Le personnel ayant accès aux données à caractère personnel est soumis aux obligations de confidentialité décrites à la Section 4(b).
• Nous n'accordons aux sous-traitants ultérieurs aucun accès au-delà de ce qui est nécessaire au service qu'ils fournissent (minimisation des données au niveau des sous-traitants ultérieurs).

Le présent ATD prend effet à la date lastUpdated indiquée en haut de la page. Toute modification significative de cet ATD sera communiquée aux Clients à l'avance, conformément à la procédure de notification des modifications prévue à la Section 6.

Pour toute question relative à la protection des données : privacy@padellito.com