Accord de sous-traitance (article 28 RGPD)

Le présent accord fixe les engagements pris en application de l’article 28 du règlement (UE) 2016/679 (RGPD) pour les données personnelles traitées dans le cadre de l’abonnement Horstable. Il complète les conditions générales de vente (article 12) et le contrat d’abonnement.

1. Parties et objet

Le Prestataire : SPARROW DÉVELOPPEMENT, SAS au capital de 1 000 €, RCS Lisieux 920 384 617, 781 Route de Caen, 14130 Pont-l'Évêque, exerçant sous la marque Horsplace. Il agit en qualité de sous-traitant.

Le Client : l’écurie, la pension, le centre équestre ou la structure titulaire de l’abonnement Horstable. Il agit en qualité de responsable de traitement : il détermine les finalités et les moyens des traitements qu’il réalise avec l’application.

Le Prestataire traite les données personnelles que le Client et ses utilisateurs enregistrent dans l’application Horstable, pour le compte du Client et uniquement pour fournir le service souscrit.

2. Nature, finalité et durée du traitement

Nature : hébergement, enregistrement, consultation, modification, organisation, transmission et suppression de données, dans une application web accessible à l’adresse app.horstable.fr.

Finalité : fournir au Client les fonctions de l’abonnement, soit la gestion de l’écurie (chevaux, rations et compléments, soins et traitements, sorties, plan des boxes, demandes des propriétaires, cours et réservations, facturation et paiement en ligne s’il est activé, registre d’élevage, suivi FFE), l’envoi de notifications aux utilisateurs, ainsi que la génération et l’envoi des affichages vers les écrans e-ink des boxes.

Durée : pendant toute la durée de l’abonnement, puis jusqu’à la restitution et à la suppression des données prévues à l’article 13.

3. Personnes concernées

• membres de l’équipe de l’écurie : dirigeants, gérants, moniteurs, personnel ;
• propriétaires de chevaux ;
• cavaliers, y compris des mineurs, et leurs représentants légaux ;
• contacts d’urgence désignés par les cavaliers ;
• clients facturés par l’écurie, acheteurs et bénéficiaires de bons cadeaux ;
• toute personne citée par le Client dans les champs de texte libre (notes, consignes, messages).

L’application distingue six rôles au sein d’une écurie : propriétaire de l’écurie, gérant, moniteur, personnel, propriétaire de cheval et cavalier.

4. Catégories de données

• Identification et contact : nom, prénom, nom d’utilisateur, adresse e-mail, téléphone, adresse postale.
• Compte et accès : mot de passe (stocké sous forme d’empreinte), rôle et permissions dans l’écurie, préférences de consentement, abonnements aux notifications push (adresse technique et clés de l’appareil).
• Profil cavalier : date de naissance, niveau, numéro et date d’expiration de la licence FFE, nom et téléphone du contact d’urgence, représentant légal, notes.
• Certificat médical : fichier téléversé et date d’expiration. Il s’agit d’une donnée concernant la santé au sens de l’article 9 du RGPD.
• Relation avec les chevaux : propriété et parts de propriété, demandes et messages adressés à l’écurie, participation aux cours, abonnements et forfaits.
• Facturation : nom, adresse et e-mail du client facturé, lignes, montants, dates d’émission et de paiement ; coordonnées de l’écurie émettrice (SIRET, TVA, IBAN, BIC).
• Texte libre : notes, consignes et commentaires saisis par les utilisateurs, qui peuvent nommer des personnes.
• Journal d’audit : auteur, date et nature des modifications et des connexions (voir l’article 7).
• Affichage e-ink : nom du cheval et nom de son propriétaire, qui figurent sur les gabarits standard des écrans.

Les données relatives aux chevaux (identité, rations, soins, ordonnances vétérinaires) ne sont pas des données personnelles en elles-mêmes, mais le deviennent lorsqu’elles sont rattachées à un propriétaire identifié.

5. Instructions documentées

Le Prestataire ne traite les données que sur instruction documentée du Client. Constituent ces instructions : le présent accord, le contrat d’abonnement, et les actions effectuées par le Client et ses utilisateurs dans l’application (saisie, modification, suppression, activation d’une fonction, invitation d’un membre).

Le Prestataire ne transfère pas les données vers un pays tiers ou une organisation internationale, sauf dans les cas indiqués à l’article 17 ou s’il y est tenu par le droit de l’Union ou d’un État membre ; dans ce dernier cas, il en informe le Client avant le traitement, sauf si ce droit l’interdit.

Si le Prestataire estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données, il en informe immédiatement le Client.

6. Confidentialité du personnel

Le Prestataire veille à ce que les personnes autorisées à traiter les données s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité.

L’accès au back-office de l’application, qui permet de consulter les données de toutes les écuries et d’agir à la place d’un utilisateur, est réservé aux comptes d’administration du Prestataire. Ces accès servent uniquement au support, à la maintenance et à la sécurité du service. À la date du présent accord, seul le dirigeant du Prestataire dispose de cet accès. Toute personne habilitée par la suite signera au préalable un engagement écrit de confidentialité.

7. Sécurité du traitement

Le Prestataire met en œuvre les mesures techniques et organisationnelles prévues à l’article 32 du RGPD. Les mesures en place à la date de mise à jour de cet accord sont les suivantes.

Chiffrement des échanges et protection des pages

• accès à l’application uniquement en HTTPS, avec redirection automatique depuis HTTP et HSTS d’un an ;
• en-têtes de sécurité : politique de sécurité du contenu (CSP), interdiction d’intégrer l’application dans un cadre, protection contre l’interprétation erronée des types de contenu, politique de référent restrictive ;
• jeton anti-CSRF sur le formulaire de connexion et sur les actions sensibles, dont la suppression de compte.

Authentification et contrôle d’accès

• mots de passe stockés sous forme d’empreinte, avec l’algorithme de hachage recommandé par le framework Symfony ;
• limitation du nombre de tentatives : 5 connexions par minute, 5 demandes de réinitialisation de mot de passe par heure ; une alerte est adressée au Prestataire lors des demandes de réinitialisation ;
• cloisonnement par écurie : chaque utilisateur n’accède qu’aux écuries dont il est membre, selon son rôle et douze permissions distinctes (membres, factures, paramètres, chevaux, santé, alimentation, exercices, boxes, cours, catalogues…) ;
• back-office réservé aux comptes d’administration du Prestataire.

Fichiers téléversés

• types de fichiers limités à une liste autorisée, avec vérification du contenu réel et non de la seule extension, taille maximale, nom de fichier aléatoire ;
• fichiers stockés hors de l’espace public du serveur et servis après contrôle des droits ; téléversements et téléchargements d’ordonnances limités en nombre.

Traçabilité

• journal d’audit des connexions et des modifications des données sensibles (chevaux, soins, ordonnances, notes, sorties, factures, cours, abonnements, membres de l’écurie, boxes…), conservé 365 jours ; le contenu des notes, des traitements et des ordonnances n’y est jamais enregistré en clair ;
• journal d’intégrité des factures : chaque émission, règlement et annulation est scellé par une signature cryptographique chaînée, ce qui rend toute modification a posteriori détectable.

Infrastructure, sauvegardes et supervision

• base de données placée sur un réseau interne, non exposée à Internet ; application déployée sous forme de conteneurs construits et testés par une chaîne d’intégration continue ;
• sauvegarde quotidienne de la base de données, des fichiers téléversés et des PDF de factures, avec conservation des 14 dernières sauvegardes ; sauvegarde supplémentaire de la base avant chaque mise à jour de l’application ;
• suivi des erreurs applicatives configuré pour ne pas transmettre les données personnelles par défaut (adresse IP, cookies, identité de l’utilisateur).

Chiffrement des données au repos : les sauvegardes sont chiffrées avant d’être copiées hors du serveur de production ; la clé de déchiffrement est conservée hors des serveurs. Les échanges entre les utilisateurs et l’application sont chiffrés (HTTPS).

Lieu de stockage des sauvegardes : les sauvegardes sont écrites sur le serveur de production, puis copiées chaque nuit sur un second serveur OVH SAS situé à Gravelines (France) et chaque jour sur un serveur de sauvegarde exploité par le Prestataire en France. Toutes restent dans l’Union européenne.

Le Prestataire peut faire évoluer ces mesures, à condition de ne pas diminuer le niveau de sécurité global.

8. Sous-traitants ultérieurs

Le Client donne au Prestataire une autorisation écrite générale de recourir aux sous-traitants ultérieurs listés à l’article 17.

Le Prestataire informe le Client par e-mail de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours avant qu’il ne prenne effet, en indiquant son identité, son pays de traitement et les données concernées. Le Client peut s’y opposer par écrit pendant ce délai, en motivant son opposition. Si les parties ne trouvent pas de solution, le Client peut résilier l’abonnement sans frais avant la date d’effet du changement.

Le Prestataire impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du présent accord, notamment des garanties suffisantes quant aux mesures de sécurité. Il demeure pleinement responsable envers le Client de l’exécution de leurs obligations.

9. Droits des personnes concernées

Le Prestataire aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition). Dans l’application :

• chaque utilisateur peut modifier les données de son profil ;
• chaque utilisateur peut télécharger depuis son profil un export de ses données au format JSON (compte, profil cavalier, adresses, appartenance aux écuries, propriétés de chevaux, demandes, notifications, consentements, abonnements, participations aux cours) ;
• chaque utilisateur peut supprimer son compte depuis son profil : ses données d’identification sont anonymisées immédiatement et le compte est définitivement purgé 30 jours plus tard.

Lorsqu’une personne concernée adresse directement une demande au Prestataire, celui-ci la transmet au Client sans délai et n’y répond pas lui-même, sauf instruction du Client.

10. Assistance au Client

Compte tenu de la nature du traitement et des informations dont il dispose, le Prestataire aide le Client à respecter ses obligations prévues aux articles 32 à 36 du RGPD : sécurité du traitement, notification et communication des violations de données, analyse d’impact relative à la protection des données et consultation préalable de la CNIL. Il lui fournit notamment, sur demande, la description des traitements et des mesures de sécurité nécessaire à sa propre documentation.

11. Violations de données

Le Prestataire notifie au Client toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, par e-mail à l’adresse de contact du Client. La notification comprend, dans la mesure où ces informations sont disponibles :

• la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
• le nom et les coordonnées du point de contact du Prestataire ;
• les conséquences probables de la violation ;
• les mesures prises ou proposées pour y remédier et en limiter les effets.

Les informations qui ne sont pas disponibles au moment de la notification sont communiquées ensuite, de manière échelonnée. Il appartient au Client, responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées.

12. Durées de conservation

Pendant l’abonnement, les données sont conservées tant que le Client ne les supprime pas, à l’exception des purges automatiques suivantes :

• comptes supprimés : anonymisation immédiate, purge définitive après 30 jours ;
• notifications lues : supprimées 30 jours après leur lecture ;
• journal d’audit : entrées supprimées après 365 jours ;
• mesures d’analyse d’usage (voir l’article 16) : supprimées après 90 jours ;
• sauvegardes : les 14 dernières sont conservées, les plus anciennes sont supprimées au fil des nouvelles.

Journaux techniques du serveur : douze mois au plus.

Sauvegardes réalisées avant chaque mise à jour de l’application : trente jours.

13. Sort des données en fin de contrat

À la fin de l’abonnement, le Prestataire remet au Client, à sa demande formulée au plus tard à la date de fin, un export de ses données dans un format structuré et couramment utilisé. Cet export prend la forme d’une archive ZIP que le propriétaire de l’écurie peut aussi produire lui-même depuis les paramètres de l’écurie. Elle contient un fichier CSV (UTF-8, séparateur point-virgule) par catégorie de données : écurie, membres, chevaux, boxes, rations et compléments, soins, ordonnances, carnet, cours, réservations, factures, ainsi que les fichiers déposés (ordonnances, factures PDF, plan du domaine) et un fichier descriptif.

Le Prestataire supprime ensuite les données du Client et les copies existantes dans un délai de trente jours après la fin de l’abonnement. Les données présentes dans les sauvegardes disparaissent au fil de leur rotation (article 12). Le Prestataire confirme la suppression par écrit à la demande du Client.

Cette suppression ne s’applique pas aux données dont la conservation est imposée au Prestataire par le droit de l’Union ou d’un État membre. La conservation des factures émises par le Client au titre de ses propres obligations comptables relève du Client, qui doit les exporter avant la fin de l’abonnement.

14. Documentation et audits

Le Prestataire met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD.

Le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret professionnel, au plus une fois par an, sauf violation de données avérée. Il en informe le Prestataire par écrit au moins 30 jours à l’avance et en précise le périmètre. L’audit se déroule pendant les heures ouvrées, sans perturber le service et sans donner accès aux données des autres clients. Ses frais sont à la charge du Client. Le Prestataire peut d’abord y répondre par la fourniture de documents, si ceux-ci suffisent à l’objectif de l’audit.

15. Obligations du Client

Le Client s’engage à :

• disposer d’une base légale pour chacun des traitements qu’il réalise avec l’application, et informer les personnes concernées (membres de l’équipe, propriétaires, cavaliers, clients) conformément aux articles 13 et 14 du RGPD ;
• ne collecter un certificat médical que si une condition de l’article 9 du RGPD le permet, et recueillir l’accord du représentant légal lorsque la loi l’exige pour un cavalier mineur ;
• ne saisir que les données nécessaires à ses finalités, notamment dans les champs de texte libre ;
• attribuer les rôles et permissions de ses utilisateurs au plus juste, et retirer les accès des personnes qui quittent l’écurie ;
• vérifier l’opportunité d’afficher le nom du propriétaire sur les écrans placés sur les boxes ;
• donner ses instructions par écrit et répondre aux demandes d’exercice des droits des personnes concernées ;
• tenir son registre des activités de traitement.

16. Traitements réalisés pour le compte du Prestataire

L’application propose deux traitements facultatifs, que le Prestataire réalise pour son propre compte et dont il est responsable. Ils ne relèvent pas du présent accord. Ils n’ont lieu qu’avec le consentement individuel de chaque utilisateur, décoché par défaut et révocable à tout moment depuis son profil :

• Analyse d’usage : mesure des pages consultées, avec un identifiant remplacé par une empreinte qui change chaque jour ; les mesures sont supprimées après 90 jours.
• Étude comportementale équine : extraction de comptages mensuels sur les chevaux (sorties, soins, séances), sans nom, date précise ni commentaire, avec des identifiants pseudonymisés ; un cheval n’est retenu que si tous ses propriétaires ont donné leur accord.

17. Liste des sous-traitants ultérieurs

Hébergement du serveur de production

• Fournisseur : OVH SAS (Roubaix, France), serveur privé virtuel situé dans le centre de données de Gravelines (France)
• Prestation : serveur sur lequel fonctionnent l’application, la base de données, les fichiers téléversés, les PDF de factures, les images des écrans e-ink et les sauvegardes locales.
• Données : toutes les catégories de l’article 4.

Brevo (Sendinblue SAS), Paris, France

• Prestation : envoi des e-mails de l’application (réinitialisation de mot de passe, notifications) et, si la fonction est activée, des SMS transactionnels.
• Données : adresse e-mail ou numéro de téléphone du destinataire, contenu du message.

Stripe

• Prestation : paiement en ligne par carte bancaire et prélèvement SEPA des factures et des cours, uniquement si le paiement en ligne est activé pour l’écurie. Les données de carte et de compte bancaire sont saisies directement sur la page de paiement de Stripe ; elles ne transitent pas par l’application.
• Données : montant, nom de l’écurie, numéro de la facture ou type, date et heure du cours, identifiants techniques de la facture, du cours et du cavalier, adresse e-mail du client facturé ou du cavalier.
• Entité et pays : Stripe Payments Europe Limited (Irlande). Les transferts éventuels vers Stripe, Inc. (États-Unis) sont encadrés par le Data Privacy Framework UE–États-Unis et les clauses contractuelles types de la Commission européenne

Autres destinataires techniques

• Notifications push : elles sont acheminées par le service de notification de l’éditeur du navigateur choisi par l’utilisateur (par exemple Google, Mozilla ou Apple). Leur contenu est chiffré de bout en bout selon le protocole Web Push : ce service ne peut pas le lire.
• Services publics de cartographie : pour produire le fond du plan de l’écurie, l’adresse de l’écurie est envoyée à la Base Adresse Nationale (api-adresse.data.gouv.fr), puis les photographies aériennes sont téléchargées depuis la Géoplateforme de l’IGN. Aucune donnée relative aux personnes concernées n’est transmise.
• Affichage e-ink : les images des écrans sont générées et envoyées aux stations de base par l’API e-ink et le service de rendu de Horsplace. Ces services, ainsi que le serveur de messagerie MQTT auquel se connectent les stations de base, sont exploités par le Prestataire sur son serveur de production. Le Prestataire ne transmet aucune donnée au fabricant des écrans.

18. Durée et modification de l’accord

Le présent accord s’applique pendant toute la durée de l’abonnement et jusqu’à la suppression des données prévue à l’article 13. En cas de contradiction avec les conditions générales de vente ou le contrat d’abonnement sur la protection des données personnelles, le présent accord prévaut.

Le Prestataire informe le Client de toute modification de cet accord au moins 30 jours avant son entrée en vigueur. Les modifications rendues nécessaires par une évolution de la réglementation s’appliquent à la date fixée par celle-ci.

Contact pour toute question relative à cet accord ou à la protection des données : gallop@horsplace.com.