Le présent Accord de traitement des données fait partie intégrante du contrat entre ZoppaBox et l'Association.
Article 1 – Rôles
- Pour les données personnelles que l'Association traite via ZoppaBox dans le cadre de ses propres activités associatives, l'Association est en principe responsable du traitement au sens du RGPD.
- ZoppaBox traite ces données personnelles au nom et sur instruction de l'Association et agit à ce titre en tant que sous-traitant.
- Pour les données personnelles que ZoppaBox traite à ses propres fins, notamment la gestion clientèle, la facturation, la sécurité, le support et le fonctionnement de l'entreprise, ZoppaBox peut être responsable du traitement à titre autonome.
Article 2 – Objet, nature, finalité et durée
- ZoppaBox traite des données personnelles dans la mesure nécessaire pour fournir, maintenir, sécuriser et assurer le support des fonctionnalités utilisées par l'Association.
- Le traitement peut notamment comprendre la collecte, l'enregistrement, l'organisation, la conservation, la consultation, la modification, la mise à disposition d'Utilisateurs autorisés, la synchronisation, la sécurisation, l'export et la suppression.
- La finalité du traitement est de soutenir l'organisation et les activités de l'Association.
- Le traitement dure aussi longtemps que le contrat entre ZoppaBox et l'Association est en vigueur et, si nécessaire, pendant les délais de suppression et de sauvegarde applicables qui suivent.
Article 3 – Personnes concernées
Selon l'utilisation de ZoppaBox, des données personnelles peuvent être traitées concernant notamment :
- les membres et anciens membres ;
- les membres du bureau et les bénévoles ;
- les chefs d'orchestre et la direction musicale ;
- les professeurs et les élèves ;
- les parents et tuteurs ;
- les musiciens invités ;
- les donateurs et les relations ;
- les visiteurs et les personnes de contact ;
- les participants aux événements et les acheteurs de billets ;
- les autres personnes enregistrées par l'Association dans ZoppaBox.
Article 4 – Données personnelles
Selon les fonctionnalités utilisées, peuvent notamment être traités :
- le nom et les coordonnées ;
- l'adresse postale ;
- la date de naissance ;
- les données d'adhésion ;
- l'instrument, le groupe, le pupitre, l'équipe ou la commission ;
- la présence et la disponibilité ;
- les rôles et autorisations ;
- les données de cours et de planification ;
- les données de relations et de donateurs ;
- les données d'événements et de billets ;
- les photos et médias ;
- les messages et réactions ;
- les documents ;
- les données des champs personnalisés ;
- les données techniques de compte, d'appareil, de journalisation et de sécurité ;
- les autres données saisies par l'Association ou ses Utilisateurs.
Les champs de texte libre, documents, photos, champs personnalisés et autres Contenus peuvent contenir des catégories particulières de données personnelles. L'Association est responsable de la licéité et de la nécessité de leur saisie.
Article 5 – Instructions
- ZoppaBox traite les données personnelles uniquement sur instruction documentée de l'Association, sauf si ZoppaBox est légalement tenue de les traiter.
- L'utilisation et la configuration des fonctionnalités choisies par l'Association valent instruction documentée.
- ZoppaBox n'utilise pas les données personnelles qu'elle reçoit en tant que sous-traitant à ses propres fins publicitaires ou de marketing.
- Si ZoppaBox estime qu'une instruction enfreint la législation applicable en matière de protection de la vie privée, elle en informe l'Association dans la mesure permise par la loi.
Article 6 – Confidentialité et accès
- Les personnes qui ont accès aux données personnelles pour le compte de ZoppaBox sont tenues à la confidentialité.
- L'accès est limité aux personnes et systèmes pour lesquels il est nécessaire à la fourniture, à la maintenance, à la sécurisation ou au support de ZoppaBox.
- ZoppaBox applique des mesures d'autorisation et d'accès appropriées.
Article 7 – Sécurité
- ZoppaBox prend des mesures techniques et organisationnelles appropriées conformément à l'article 32 du RGPD.
- Il est tenu compte à cet égard de l'état des connaissances, des coûts de mise en œuvre, de la nature et de la portée du traitement et des risques pour les personnes concernées.
- Les mesures peuvent notamment porter sur :
- le transfert chiffré des données ;
- l'authentification ;
- l'authentification à deux facteurs lorsqu'elle est disponible ou requise ;
- les rôles et autorisations ;
- la limitation de l'accès ;
- la sécurité des services cloud et de stockage ;
- les mises à jour de sécurité ;
- la journalisation et la surveillance, le cas échéant ;
- les dispositifs de sauvegarde et de restauration ;
- les procédures relatives aux incidents de sécurité.
- Les mesures de sécurité sont adaptées si nécessaire aux évolutions techniques et à l'évolution des risques.
Article 8 – Sous-traitants ultérieurs
- L'Association accorde à ZoppaBox une autorisation écrite générale de faire appel aux sous-traitants ultérieurs nécessaires au Service.
- ZoppaBox tient à disposition une liste à jour des sous-traitants ultérieurs pertinents.
- ZoppaBox informe les Associations des ajouts ou remplacements substantiels de sous-traitants ultérieurs.
- L'Association peut s'opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables liés à la protection de la vie privée.
- ZoppaBox impose aux sous-traitants ultérieurs des obligations appropriées en matière de protection des données.
- ZoppaBox reste responsable envers l'Association du respect des obligations applicables par ses sous-traitants ultérieurs, dans la mesure prévue par le RGPD.
- Si des données personnelles sont traitées en dehors de l'Espace économique européen, ZoppaBox veille à l'existence d'un mécanisme de transfert valable conformément au RGPD.
Article 9 – Violations de données et incidents de sécurité
- Lorsque ZoppaBox a connaissance d'une violation concernant des données personnelles traitées pour le compte de l'Association, elle en informe l'Association dans les meilleurs délais.
- ZoppaBox fournit, dans la mesure où elles sont disponibles, des informations sur :
- la nature de l'incident ;
- les données personnelles concernées ;
- les catégories et le nombre de personnes concernées, dans la mesure où ils sont connus ;
- les conséquences probables ;
- les mesures prises ou envisagées.
- Si toutes les informations ne sont pas immédiatement disponibles, ZoppaBox peut les fournir de manière échelonnée.
- ZoppaBox coopère raisonnablement à l'évaluation de l'incident.
- L'Association reste responsable d'une éventuelle notification à l'autorité de contrôle et aux personnes concernées, sauf convention écrite contraire.
- Une notification par ZoppaBox ne vaut pas reconnaissance de responsabilité.
Article 10 – Droits des personnes concernées
- Compte tenu de la nature du traitement, ZoppaBox assiste raisonnablement l'Association dans le traitement des demandes d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité des données.
- Lorsqu'une personne concernée s'adresse directement à ZoppaBox au sujet de données dont l'Association est responsable du traitement, ZoppaBox transmet la demande à l'Association le cas échéant.
Article 11 – Autres formes d'assistance
Compte tenu de la nature du traitement et des informations disponibles, ZoppaBox apporte une assistance raisonnable pour :
- les obligations de sécurité ;
- l'enquête et la notification des violations de données ;
- les analyses d'impact relatives à la protection des données (AIPD) ;
- une éventuelle consultation préalable d'une autorité de contrôle.
Article 12 – Information et audits
- ZoppaBox met à disposition les informations raisonnablement nécessaires pour démontrer le respect de l'article 28 du RGPD.
- Si ces informations sont insuffisantes, l'Association peut demander un audit.
- Un audit est annoncé à l'avance et a lieu en principe pendant les heures de bureau normales.
- Un audit se limite aux systèmes et processus pertinents pour le traitement effectué pour le compte de l'Association et ne doit pas porter atteinte à la sécurité ou à la confidentialité d'autres clients.
- Dans la mesure du possible, la documentation, les déclarations, les certifications ou les rapports d'audit disponibles sont utilisés en premier lieu.
- Les frais raisonnables d'un audit spécifiquement demandé par l'Association sont en principe à la charge de l'Association, sauf s'il révèle un manquement substantiel de ZoppaBox.
Article 13 – Résiliation, restitution et suppression
- Après la fin de la prestation de services, l'Association dispose de 30 jours pour exporter les données qui s'y prêtent et télécharger ses propres fichiers, dans la mesure où cela est techniquement disponible.
- À la demande de l'Association, ZoppaBox supprime les données personnelles ou, dans la mesure où cela est techniquement et raisonnablement possible, les met à la disposition de l'Association.
- À l'expiration du délai applicable, ZoppaBox peut supprimer les données personnelles de l'environnement actif.
- Les données peuvent ensuite subsister pendant 30 jours au maximum dans des sauvegardes techniques, jusqu'à ce qu'elles soient supprimées ou écrasées selon le cycle de conservation habituel.
- Les données contenues dans ces sauvegardes ne sont pas utilisées à d'autres fins que la sécurité, la restauration technique ou le respect d'obligations légales.
- Une obligation légale de conservation peut empêcher la suppression de certaines données.
Article 14 – Obligations de l'Association
L'Association :
- dispose d'une base juridique valable pour son traitement ;
- informe les personnes concernées lorsque la loi l'exige ;
- ne traite que des données nécessaires et licites ;
- gère avec soin les rôles et autorisations ;
- limite si nécessaire l'accès aux catégories particulières de données personnelles ;
- informe ZoppaBox des incidents de sécurité survenus de son côté qui peuvent avoir des conséquences pour le Service.
Article 15 – Responsabilité
La responsabilité entre ZoppaBox et l'Association est régie par les dispositions relatives à la responsabilité des Conditions générales de ZoppaBox, dans la mesure où cela n'est pas contraire à des dispositions impératives.
Article 16 – Durée et ordre de priorité
- Le présent Accord de traitement des données s'applique aussi longtemps que ZoppaBox traite des données personnelles pour le compte de l'Association.
- Les obligations destinées par nature à perdurer, notamment la confidentialité, restent en vigueur après la résiliation.
- En cas de contradiction entre le présent Accord de traitement des données et les Conditions générales, le présent Accord prévaut pour ce qui concerne le traitement des données personnelles.