Accord de traitement des données

Dernière mise à jour : 28/09/2026

Le présent accord de traitement des données (l'« Accord ») est conclu entre le club qui souscrit à CtrlCourt (le « Club », agissant en qualité de responsable de traitement) et DEVBOX (le « Sous-traitant »), conformément à l'article 28 du Règlement général sur la protection des données (RGPD).

1. Parties et acceptation

Le Sous-traitant est :

L'Accord fait partie intégrante des conditions générales d'utilisation et de vente. Il est accepté électroniquement par le Club lors de la création de son compte, en même temps que les conditions générales, et s'applique tant que le Sous-traitant traite des données personnelles pour le compte du Club.

2. Objet

L'Accord définit les conditions dans lesquelles le Sous-traitant traite des données personnelles pour le compte du Club afin de fournir le service CtrlCourt (le « Service »). Il ne couvre pas les données pour lesquelles le Sous-traitant est lui-même responsable de traitement (compte, abonnement et facturation du Club), régies par la politique de confidentialité.

3. Durée

L'Accord s'applique pendant toute la durée d'utilisation du Service par le Club (essai et abonnement) et jusqu'à la suppression ou la restitution des données conformément à l'article 11.

4. Nature et finalité du traitement

Le traitement consiste à héberger, conserver, organiser, consulter, modifier, afficher et supprimer des données au moyen du Service, ainsi qu'à envoyer des e-mails transactionnels, pour les finalités suivantes :

• gestion des comptes des joueurs, coachs et membres du personnel ;
• réservation de terrains, séances et cours de coaching, événements et tournois ;
• gestion des crédits prépayés (tokens) et enregistrement des modes de paiement choisis par le Club ;
• envoi d'e-mails de service (confirmations et rappels de réservation, réinitialisation du mot de passe) ;
• statistiques à l'usage exclusif du Club ;
• support, maintenance et sécurité du Service.

5. Catégories de personnes et de données

Personnes concernées : les joueurs et membres du Club, ses coachs, son personnel et ses administrateurs utilisant l'espace du Club.

Catégories de données :

• données d'identification et de contact : nom, adresse e-mail, téléphone ;
• données de compte : mot de passe (haché), rôle, langue, niveau de jeu facultatif ;
• données d'activité : réservations, présences, inscriptions aux cours et aux événements ;
• données financières relatives au club : solde et opérations de crédits, montants et modes de paiement enregistrés par le Club (aucune donnée de carte bancaire) ;
• pour les coachs : disponibilités, présentation, tarif horaire ;
• données techniques : adresse IP, journaux de connexion et de sécurité.

Le Service n'est pas conçu pour traiter des catégories particulières de données (santé, etc.). Le Club s'engage à ne pas y saisir de telles données.

6. Obligations du Club

Le Club, en qualité de responsable de traitement, est responsable : de la licéité du traitement et de sa base légale ; de l'information des personnes concernées ; de l'exactitude des données qu'il saisit ; de la réponse aux demandes des personnes concernées ; et des instructions qu'il donne au Sous-traitant. Ses instructions sont documentées par les conditions générales, le présent Accord et les paramètres qu'il applique dans le Service.

7. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• Instructions : ne traiter les données que sur instruction documentée du Club, y compris en ce qui concerne les transferts, sauf obligation légale ; dans ce cas, il en informe préalablement le Club, sauf si la loi l'interdit. Il informe le Club s'il estime qu'une instruction constitue une violation de la réglementation sur la protection des données.
• Confidentialité : veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et n'y accèdent qu'en cas de nécessité.
• Sécurité : mettre en œuvre les mesures techniques et organisationnelles requises par l'article 32 du RGPD, décrites à l'article 8.
• Sous-traitants ultérieurs : respecter les conditions de l'article 9.
• Droits des personnes : aider le Club, dans la mesure du possible, à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition), notamment au moyen des fonctionnalités du Service ou en fournissant un export sur demande. Si une personne concernée s'adresse directement au Sous-traitant, celui-ci transmet sa demande au Club sans délai et n'y répond pas lui-même, sauf instruction du Club.
• Assistance : aider le Club, compte tenu des informations à sa disposition, à respecter ses obligations de sécurité, à réaliser des analyses d'impact et à consulter l'autorité de contrôle lorsque cela est requis.
• Violations de données : notifier au Club toute violation de données personnelles dans un délai de 48 heures après en avoir pris connaissance, en fournissant les informations disponibles (nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises ou envisagées), puis les compléter au fur et à mesure.
• Registre : tenir un registre des activités de traitement effectuées pour le compte du Club.
• Transparence : mettre à la disposition du Club les informations nécessaires pour démontrer le respect du présent Accord (article 10).

8. Mesures de sécurité

• chiffrement des communications (HTTPS) ;
• base de données distincte pour chaque club, isolant ses données de celles des autres clubs ;
• mots de passe conservés sous forme hachée, jamais en clair ;
• sauvegardes régulières des bases de données ;
• contrôle d'accès par rôle au sein du Service (administrateur, coach, joueur) ;
• accès aux systèmes de production restreint aux personnes habilitées ;
• hébergement dans des centres de données situés en France (OVH SAS), dont la sécurité physique est assurée par l'hébergeur ;
• journaux de sécurité et mise à jour des composants logiciels.

Le Sous-traitant peut faire évoluer ces mesures à condition de ne pas réduire le niveau global de sécurité.

9. Sous-traitants ultérieurs

Le Club donne son autorisation générale au recours aux sous-traitants ultérieurs suivants :

Paddle.com traite uniquement la vente et le paiement de l'abonnement du Club, en qualité de vendeur officiel et de responsable de traitement indépendant ; il ne reçoit aucune donnée des joueurs et n'est donc pas un sous-traitant ultérieur au sens du présent Accord. Lorsque le Club active le paiement en ligne des réservations, CtrlCourt transmet, sur instruction du Club, les informations nécessaires au paiement (montant, e-mail du joueur) au propre compte Stripe du Club : Stripe agit alors pour le compte du Club, dans le cadre du contrat que le Club a conclu directement avec Stripe.

Le Sous-traitant informe le Club de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, par e-mail ou dans l'espace d'administration, au moins 30 jours à l'avance. Le Club peut s'y opposer pour des motifs raisonnables liés à la protection des données ; à défaut de solution, il peut résilier son abonnement avant la prise d'effet du changement. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent Accord et demeure responsable envers le Club de leur exécution. Tout transfert hors de l'Espace économique européen est encadré par des garanties appropriées (notamment les clauses contractuelles types de la Commission européenne).

10. Audits

Le Club peut demander les informations nécessaires pour vérifier le respect du présent Accord. Si ces informations ne suffisent pas, le Club peut réaliser un audit, à ses frais, au maximum une fois par an, moyennant un préavis écrit d'au moins 30 jours, lui-même ou par l'intermédiaire d'un auditeur indépendant tenu au secret, sans perturber le Service ni compromettre la sécurité ou la confidentialité des données des autres clubs. L'audit des sous-traitants ultérieurs s'effectue au moyen des certifications et rapports qu'ils mettent à disposition.

11. Fin du traitement

À la fin de l'abonnement, le Club peut demander un export de ses données dans le délai indiqué ci-après. Les données sont ensuite supprimées 30 jours après la fin de l'abonnement (ou d'un essai non converti), y compris la base de données du Club, sous réserve des conservations imposées par la loi ; les sauvegardes sont écrasées selon leur cycle normal de rotation. Le Sous-traitant confirme la suppression sur demande.

12. Responsabilité et primauté

La responsabilité de chaque partie est régie par les conditions générales, sans préjudice des dispositions du RGPD. En cas de contradiction entre le présent Accord et les conditions générales en matière de données personnelles, le présent Accord prévaut.

13. Contact

Pour toute question relative au présent Accord ou pour signaler un incident : contact@ctrlcourt.com.