Contrat de sous-traitance

Article 28 du règlement (UE) 2016/679 — version 2026-08.1

Sous-traitants ultérieurs

Liste nominative et localisation, exigées par l'article 28.3.d.

Texte intégral

# Contrat de sous-traitance

*Article 28 du règlement (UE) 2016/679 (RGPD)*

**Version 2026-08.1**

> **Texte à faire valider par un professionnel du droit.** Il est rédigé à
> partir du traitement réellement mis en œuvre par le service et couvre les
> points exigés par l'article 28.3. Il n'a pas été relu par un juriste.

## 1. Parties

**Le Responsable de traitement** : l'écurie cliente, telle qu'identifiée par
son compte sur le service.

**Le Sous-traitant** : Antuela MICELI EI, exerçant sous
l'enseigne TURMEX LABS, Entreprise individuelle, 47 rue Vivienne,
75002 Paris, immatriculée sous le numéro SIRET 108 307 760 00018
(RCS Paris 108 307 760).

## 2. Objet, durée, nature et finalité

Le Sous-traitant traite des données à caractère personnel pour le compte du
Responsable de traitement dans le cadre de la fourniture du service HorsePlan,
logiciel de gestion de centre équestre.

**Nature des opérations** : collecte, enregistrement, organisation, structuration,
conservation, adaptation, extraction, consultation, utilisation, communication
par transmission, effacement.

**Finalités** : gestion des cavaliers et des chevaux, planification des cours et
des réservations, suivi des présences, facturation et encaissement,
communication avec les membres, tenue du registre d'élevage.

**Durée** : la durée du contrat d'abonnement, augmentée des durées de
conservation énoncées à l'article 9.

## 3. Catégories de personnes concernées

Gérants et personnel de l'écurie ; moniteurs ; cavaliers, **dont des mineurs** ;
titulaires de l'autorité parentale ; propriétaires de chevaux ; contacts
d'urgence désignés par les personnes.

## 4. Catégories de données

Identité (nom, prénom, date de naissance, genre) ; coordonnées (adresse postale,
adresse électronique, téléphone) ; données de compte (identifiant, rôles, date de
dernière connexion) ; données d'activité (réservations, présences, niveaux
fédéraux, licences, notes pédagogiques) ; données de facturation (factures,
paiements, cartes de séances) ; coordonnées du titulaire de l'autorité parentale
pour un mineur ; nom et téléphone d'un contact d'urgence ; adresses IP et agents
utilisateurs, pour la sécurité et la traçabilité contractuelle.

**Aucune donnée de santé de personne physique n'est collectée par le service.**
Les données de santé présentes dans le produit concernent exclusivement les
CHEVAUX (soins, vaccinations, actes vétérinaires) et ne sont pas des données à
caractère personnel. Le Responsable de traitement s'interdit de saisir des
données de santé de personnes dans les champs de commentaire libre.

## 5. Instructions documentées

Le Sous-traitant ne traite les données que sur instruction documentée du
Responsable de traitement. Constituent une telle instruction : le présent
contrat, les conditions générales, et l'utilisation des fonctionnalités du
service par les utilisateurs habilités.

Le Sous-traitant informe immédiatement le Responsable de traitement s'il estime
qu'une instruction constitue une violation du RGPD ou d'une autre disposition
relative à la protection des données.

## 6. Confidentialité du personnel

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données
s'engagent à en respecter la confidentialité, par une clause contractuelle ou
une obligation légale appropriée, y compris après la fin de leurs fonctions.
L'accès aux données de production est limité aux personnes qui en ont besoin
pour l'exploitation du service.

## 7. Mesures de sécurité (article 32)

- Chiffrement des données en transit (TLS) et au repos.
- Cloisonnement applicatif strict entre écuries clientes : chaque requête est
  filtrée par l'identifiant de l'écurie.
- Authentification déléguée à un prestataire spécialisé, avec mots de passe
  jamais détenus par le Sous-traitant.
- Politique de sécurité de contenu à nonce, en-têtes de sécurité, limitation de
  débit sur les points d'entrée sensibles.
- Journal des actions sensibles (création, modification et suppression sur les
  factures, les dépenses, les rôles et les comptes).
- Sauvegardes de la base de données, avec restauration à un instant donné.
- Vérification automatisée, à chaque livraison, des invariants d'isolation entre
  écuries.

## 8. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs
suivants. Le Sous-traitant l'informe de tout ajout ou remplacement au moins
trente jours avant, et le Responsable peut s'y opposer, l'opposition valant
résiliation sans frais.

| Sous-traitant | Rôle | Localisation du traitement | Mécanisme de transfert |
|---|---|---|---|
| Clerk, Inc. | Authentification et gestion des comptes | États-Unis | Clauses contractuelles types de la Commission européenne |
| Supabase, Inc. | Base de données PostgreSQL et stockage des fichiers | Union européenne (région de l'instance) | Traitement dans l'Union ; clauses contractuelles types pour le support |
| Vercel, Inc. | Hébergement de l'application et exécution des fonctions | États-Unis, avec exécution en région européenne | Clauses contractuelles types de la Commission européenne |
| Stripe Payments Europe, Ltd. | Encaissement de l'abonnement de l'écurie | Irlande, avec transferts vers Stripe, Inc. (États-Unis) | Clauses contractuelles types de la Commission européenne |
| Resend, Inc. | Acheminement des courriers électroniques transactionnels | États-Unis | Clauses contractuelles types de la Commission européenne |
| Functional Software, Inc. (Sentry) | Supervision des erreurs applicatives | Union européenne (instance de collecte européenne) | Traitement dans l'Union |
| Cloudflare, Inc. | Protection anti-robot des formulaires d'authentification (Turnstile) | États-Unis, avec traitement en périphérie | Clauses contractuelles types de la Commission européenne |
| Upstash, Inc. | Compteurs de limitation de débit (adresse IP, ou identifiant de compte pour un utilisateur connecté ; durée courte) | Union européenne (région de l'instance) | Traitement dans l'Union |
| Anthropic PBC | Assistance facultative au rapprochement des colonnes lors d'un import de fichier (intitulés de colonnes uniquement, jamais le contenu des lignes) | États-Unis | Clauses contractuelles types de la Commission européenne |

## 9. Sort des données en fin de contrat

À la fin de la prestation, et selon le choix du Responsable de traitement, le
Sous-traitant supprime ou restitue les données. À défaut de choix exprimé dans
les trente jours suivant la fin du contrat, les données sont supprimées ou
anonymisées.

**Exception, et elle est légale, non commerciale** : les pièces comptables —
factures, avoirs, paiements, registre d'élevage clôturé — sont conservées dix
ans (article L123-22 du code de commerce) et six ans au titre de l'article
L102 B du livre des procédures fiscales. Elles sortent du périmètre de
l'effacement, y compris en cas de demande fondée sur l'article 17 du RGPD, dont
le paragraphe 3.b réserve les traitements nécessaires au respect d'une
obligation légale. Les identifiants directs des personnes y sont remplacés par
une référence non signifiante, sans rompre les liens ni fausser les totaux.

Le Responsable de traitement peut exporter l'intégralité de ses données, dans un
format structuré et lisible par machine, à tout moment et **avant** toute
suppression.

## 10. Assistance au Responsable de traitement

Le Sous-traitant met à disposition les fonctionnalités permettant de répondre
aux demandes d'exercice des droits (accès, rectification, effacement,
portabilité, opposition, limitation) et assiste le Responsable de traitement,
compte tenu de la nature du traitement, pour y donner suite dans le délai d'un
mois prévu à l'article 12.3.

## 11. Notification des violations

Le Sous-traitant notifie au Responsable de traitement toute violation de données
à caractère personnel **dans les meilleurs délais** après en avoir pris
connaissance, et au plus tard sous vingt-quatre heures, en lui fournissant les
éléments de l'article 33.3 nécessaires à sa propre notification à l'autorité de
contrôle dans le délai de soixante-douze heures.

Point de contact : contact@horseplan.fr.

## 12. Éléments de conformité et audit

Le Sous-traitant met à disposition du Responsable de traitement les informations
nécessaires pour démontrer le respect des obligations du présent article, et
permet la réalisation d'audits, y compris d'inspections, par le Responsable ou
un auditeur qu'il mandate, sous réserve d'un préavis raisonnable et de la
confidentialité des données des autres clients.