Contrat de sous-traitance

1. Parties

Le Responsable de traitement : l'écurie cliente, telle qu'identifiée par son compte sur le service.

Le Sous-traitant : Antuela MICELI EI, exerçant sous l'enseigne TURMEX LABS, Entreprise individuelle, 47 rue Vivienne, 75002 Paris, immatriculée sous le numéro SIRET 108 307 760 00018 (RCS Paris 108 307 760).

2. Objet, durée, nature et finalité

Le Sous-traitant traite des données à caractère personnel pour le compte du Responsable de traitement dans le cadre de la fourniture du service HorsePlan, logiciel de gestion de centre équestre.

Nature des opérations : collecte, enregistrement, organisation, structuration, conservation, adaptation, extraction, consultation, utilisation, communication par transmission, effacement.

Finalités : gestion des cavaliers et des chevaux, planification des cours et des réservations, suivi des présences, facturation et encaissement, communication avec les membres, tenue du registre d'élevage.

Durée : la durée du contrat d'abonnement, augmentée des durées de conservation énoncées à l'article 9.

3. Catégories de personnes concernées

Gérants et personnel de l'écurie ; moniteurs ; cavaliers, dont des mineurs ; titulaires de l'autorité parentale ; propriétaires de chevaux ; contacts d'urgence désignés par les personnes.

4. Catégories de données

Identité (nom, prénom, date de naissance, genre) ; coordonnées (adresse postale, adresse électronique, téléphone) ; données de compte (identifiant, rôles, date de dernière connexion) ; données d'activité (réservations, présences, niveaux fédéraux, licences, notes pédagogiques) ; données de facturation (factures, paiements, cartes de séances) ; coordonnées du titulaire de l'autorité parentale pour un mineur ; nom et téléphone d'un contact d'urgence ; adresses IP et agents utilisateurs, pour la sécurité et la traçabilité contractuelle.

Aucune donnée de santé de personne physique n'est collectée par le service. Les données de santé présentes dans le produit concernent exclusivement les CHEVAUX (soins, vaccinations, actes vétérinaires) et ne sont pas des données à caractère personnel. Le Responsable de traitement s'interdit de saisir des données de santé de personnes dans les champs de commentaire libre.

5. Instructions documentées

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Constituent une telle instruction : le présent contrat, les conditions générales, et l'utilisation des fonctionnalités du service par les utilisateurs habilités.

Le Sous-traitant informe immédiatement le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données.

6. Confidentialité du personnel

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité, par une clause contractuelle ou une obligation légale appropriée, y compris après la fin de leurs fonctions. L'accès aux données de production est limité aux personnes qui en ont besoin pour l'exploitation du service.

7. Mesures de sécurité (article 32)

• Chiffrement des données en transit (TLS) et au repos.
• Cloisonnement applicatif strict entre écuries clientes : chaque requête est filtrée par l'identifiant de l'écurie.
• Authentification déléguée à un prestataire spécialisé, avec mots de passe jamais détenus par le Sous-traitant.
• Politique de sécurité de contenu à nonce, en-têtes de sécurité, limitation de débit sur les points d'entrée sensibles.
• Journal des actions sensibles (création, modification et suppression sur les factures, les dépenses, les rôles et les comptes).
• Vérification automatisée, à chaque livraison, des invariants d'isolation entre écuries.

8. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants. Le Sous-traitant l'informe de tout ajout ou remplacement au moins trente jours avant, et le Responsable peut s'y opposer, l'opposition valant résiliation sans frais.

La liste nominative figure dans le tableau « Sous-traitants ultérieurs » ci-dessus.

9. Sort des données en fin de contrat

À la fin de la prestation, le Responsable de traitement dispose de 30 jours pour exporter ses données. Passé ce délai, le Sous-traitant les supprime ou les anonymise, à l'exception de la liste ci-dessous — la même que celle des CGV et de la politique de confidentialité :

• Factures, avoirs et registre comptable (journal des ventes, paiements), avec le nom et l’adresse du client tels qu’ils figurent sur la pièce — 10 ans à compter de la clôture de l’exercice (article L123-22 du code de commerce).
• Registre d’élevage clôturé — 10 ans (obligation de tenue du registre d’élevage).
• Preuve d’acceptation des CGV (date, auteur, version acceptée) — 5 ans après la fin du contrat (prescription de droit commun, article 2224 du code civil).
• Journal d’audit des actions sensibles — 1 an glissant (sécurité et preuve en cas de litige).
• Raison sociale et SIREN de l’écurie cliente — 10 ans (mentions des factures d’abonnement, article L123-22 du code de commerce).

Ces éléments sortent du périmètre de l'effacement, y compris en cas de demande fondée sur l'article 17 du RGPD, dont le paragraphe 3.b réserve les traitements nécessaires au respect d'une obligation légale. Une pièce comptable conservée l'est telle qu'elle a été émise : elle garde le nom et l'adresse du client, qui ne sont ni pseudonymisés ni remplacés.

Le Responsable de traitement peut exporter l'intégralité de ses données, dans un format structuré et lisible par machine, à tout moment et avant toute suppression.

10. Assistance au Responsable de traitement

Le Sous-traitant met à disposition les fonctionnalités permettant de répondre aux demandes d'exercice des droits (accès, rectification, effacement, portabilité, opposition, limitation) et assiste le Responsable de traitement, compte tenu de la nature du traitement, pour y donner suite dans le délai d'un mois prévu à l'article 12.3.

11. Notification des violations

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous vingt-quatre heures, en lui fournissant les éléments de l'article 33.3 nécessaires à sa propre notification à l'autorité de contrôle dans le délai de soixante-douze heures.

Point de contact : contact@horseplan.fr.

12. Éléments de conformité et audit

Le Sous-traitant met à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect des obligations du présent article, et permet la réalisation d'audits, y compris d'inspections, par le Responsable ou un auditeur qu'il mandate, sous réserve d'un préavis raisonnable et de la confidentialité des données des autres clients.