Annexe · Accord de traitement des données (DPA)
Traduction fournie à titre d’information. En cas de divergence, la version espagnole fait foi.
Le présent Accord de traitement des données (ci-après, le « DPA ») régit le traitement des données personnelles entre ENES Estrategia Conjunta SL (ci-après, « DEKKO ») et le club ou l'école de plongée signataire (ci-après, « le Club ») dans le cadre du contrat de services SaaS conclu entre eux. Il constitue une annexe obligatoire des Conditions du Service DEKKO et est complété par la Politique de confidentialité. Modèle de base : clauses types de la Décision 2021/914/UE, adapté au modèle de responsabilité conjointe (art. 26 du RGPD) de DEKKO.
1 · Parties et définitions
Les termes « Responsable du traitement », « Sous-traitant », « Responsables conjoints (Joint Controllers) », « Données personnelles », « Traitement », « Personne concernée » et « Catégories particulières » s'interprètent conformément au RGPD (Règlement UE 2016/679).
- DEKKO · ENES Estrategia Conjunta SL · CIF B22468284 · Partida Valls, s/n · 43350 Les Borges del Camp, Tarragona (Espagne) · privacidad@dekko.club
- Le Club · la personne physique ou morale identifiée dans le contrat spécifique, exerçant à titre professionnel une activité de plongée loisir ou technique.
2 · Objet et nature du traitement
Les données des plongeurs (clients finaux du Club) sont traitées sous le régime de la responsabilité conjointe (Joint Controller · art. 26 du RGPD) : le Club détermine les finalités opérationnelles (la plongée, la formation, l'activité), et DEKKO détermine les finalités de service inter-clubs (cross-club), de profil de plongeur persistant et d'analyse statistique, soumises au consentement explicite du plongeur.
- Les données de l'exploitant du Club sont traitées par DEKKO en qualité de Responsable unique.
- Les données du reste du personnel du Club sont traitées par le Club en qualité de Responsable, DEKKO agissant en qualité de Sous-traitant lorsqu'elles sont stockées dans le dashboard.
3 · Catégories de données et de personnes concernées
Personnes concernées : plongeurs (clients finaux), exploitants du Club et personnel du Club.
Données traitées : données d'identification (nom, DNI/passeport, date de naissance), de contact (e-mail, téléphone, adresse), de plongée (certification, assurance, équipement de location, historique des plongées), économiques (métadonnées de paiement · l'encaissement est traité par Stripe), de communication (WhatsApp, e-mails, images de documents) et catégorie particulière (art. 9 du RGPD) : la déclaration médicale du questionnaire SSI/PADI/RSTC et, le cas échéant, le certificat médical.
4 · Répartition des responsabilités
Le Club est principalement responsable de : informer le plongeur du traitement dans le cadre du service réservé ; recueillir le consentement de la première case à cocher du checkout ; traiter les données médicales pour fournir le service ; respecter les obligations légales de l'activité (manifestes, listes, réglementation locale) ; encaisser et facturer ; et conserver les factures pendant 6 ans.
DEKKO est principalement responsable de : informer du traitement inter-clubs (cross-club) ; recueillir le consentement opt-in de la deuxième case à cocher ; tenir le profil de plongeur en cas d'opt-in ; les communications émises au nom de DEKKO ; et la sécurité technique de l'infrastructure commune.
Les deux parties sont conjointement responsables de : les mesures techniques et organisationnelles ; la notification des violations à l'AEPD (<72 h) et aux personnes concernées le cas échéant ; la réponse aux demandes d'exercice des droits des personnes concernées (<30 jours) ; le registre des activités de traitement ; et les analyses d'impact (DPIA) lorsqu'elles s'appliquent.
5 · Point de contact unique pour la personne concernée
La personne concernée peut exercer ses droits auprès de l'une ou l'autre des deux parties : en écrivant à privacidad@dekko.club (ou au DPO à dpo@dekko.club) ou à l'e-mail du Club. La partie qui reçoit la demande en informe l'autre dans un délai de moins de 48 heures et elles se coordonnent pour apporter une réponse unique dans le délai légal.
6 · Double consentement opt-in granulaire
Lors de la première réservation du plongeur (site web public, agent WhatsApp ou inscription), le plongeur donne deux consentements distincts, granulaires et NON pré-cochés : (1) obligatoire, pour la gestion de la réservation et les obligations légales du Club ; (2) facultatif, pour le profil DEKKO transversal inter-clubs (cross-club). Règles intangibles : pas de case pré-cochée, pas de regroupement, rien de caché, et chaque consentement est enregistré avec horodatage, IP anonymisée, user-agent, version du document et identifiant du plongeur.
7 · Mesures techniques et organisationnelles (art. 32 du RGPD)
- Chiffrement en transit (TLS 1.3 · HSTS) et au repos (AES-256).
- Isolation multi-tenant au niveau de la base de données (Row Level Security de PostgreSQL).
- Séparation des jeux de données entre les données opérationnelles du Club et le profil de plongeur DEKKO.
- Authentification par magic link (aucun mot de passe stocké) et contrôle d'accès par rôles.
- Surveillance des accès aux catégories particulières (données médicales) avec des journaux auditables pendant 12 mois.
- Sauvegardes quotidiennes sur une infrastructure située dans l'UE avec conservation de 30 jours et plan de reprise documenté.
- DPO désigné (dpo@dekko.club), formation annuelle du personnel et procédure de réponse aux incidents.
8 · Sous-traitants ultérieurs autorisés
DEKKO a recours aux sous-traitants ultérieurs suivants, tous liés par un DPA signé. Le Club les autorise expressément par la signature du présent DPA ; les changements sont notifiés avec un préavis de 30 jours et le Club peut s'y opposer de manière motivée.
| Sous-traitant ultérieur | Fonction | Localisation | Transfert international |
|---|---|---|---|
| Supabase Inc. | Base de données + Auth + Storage | Irlande (UE) | N/A |
| Cloudflare Inc. | CDN, hébergement, DNS | États-Unis + UE | CCT 2021/914 |
| Stripe Payments Europe Ltd. | Traitement des paiements | Irlande (UE) | N/A |
| Brevo (Sendinblue) | E-mails transactionnels et marketing | France (UE) | N/A |
| Manychat Inc. | Orchestration du bot WhatsApp | États-Unis | CCT 2021/914 |
| Anthropic, PBC | API Claude (IA du bot) | États-Unis | CCT 2021/914 |
| Netelip Telecom SL | Téléphonie VoIP | Espagne (UE) | N/A |
9 · Durées de conservation
| Catégorie | Durée |
|---|---|
| Données de réservation et de paiement | 6 ans (Code de commerce espagnol) |
| Données médicales | 30 jours après la plongée, sauf incident |
| Profil DEKKO transversal (opt-in) | Jusqu'à l'effacement demandé par la personne concernée |
| Journaux de sécurité | 12 mois |
| Registre des consentements exercés | Indéfinie (défense en justice) |
10 · Droits de la personne concernée
Les deux parties garantissent l'exercice de l'ensemble des droits prévus par le RGPD (accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement) dans un délai maximal de 30 jours, prolongeable de 2 mois dans les cas complexes, avec information de la personne concernée. Le droit à l'effacement (art. 17) est intangible, sauf obligation légale de conservation (données comptables) ou défense contre des réclamations : dans tous les autres cas, il est exécuté sans contestation, les données étant supprimées de la production sous 30 jours et des sauvegardes dans les 90 jours suivants.
11 · Notification des violations de données
La partie qui détecte une violation en informe immédiatement l'autre et elles se coordonnent pour la notifier à l'AEPD en moins de 72 heures (art. 33 du RGPD) et, si elle engendre un risque élevé, aux personnes concernées dans les meilleurs délais (art. 34). Toute violation, y compris celles qui ne sont pas soumises à notification, est documentée en interne.
12 · Audit
Le Club peut auditer le respect du présent DPA une fois par an, moyennant un préavis de 30 jours et dans le respect de la confidentialité des autres clients de DEKKO, au moyen d'un questionnaire documentaire, d'un auditeur externe (à ses frais) ou de l'examen des rapports SOC2/ISO27001 lorsque DEKKO les aura obtenus.
13 · Résiliation
À la résiliation du contrat SaaS, le présent DPA cesse de s'appliquer aux nouveaux traitements, mais les obligations de confidentialité, de conservation légale, de réponse aux demandes d'exercice des droits et de notification des violations relatives aux données préexistantes demeurent en vigueur. DEKKO remettra au Club, dans un délai maximal de 30 jours, l'ensemble de ses données opérationnelles au format CSV ou JSON structuré. Les données du profil DEKKO transversal (en cas d'opt-in) restent chez DEKKO conformément au consentement du plongeur, jusqu'à ce que celui-ci exerce son droit à l'effacement.
14 · Publicité, modifications et droit applicable
Conformément à l'art. 26.2 du RGPD, les grandes lignes du présent DPA sont mises à la disposition de la personne concernée via la Politique de confidentialité. Le présent DPA peut être modifié d'un commun accord entre les parties ou pour des raisons réglementaires, moyennant un préavis de 30 jours. Il est régi par le droit espagnol et le RGPD ; pour tout litige, les parties se soumettent aux cours et tribunaux de Tarragona.