Accord de Traitement des Données (DPA)

Annexe aux Conditions Générales de Vente — Article 28 du RGPD (UE 2016/679)

Version 1.0 — 20 mai 2026

ℹ Relecture juriste recommandée avant signature de gros contrats. Ce document est un modèle conforme aux exigences de l'art. 28 RGPD, pré-rempli avec les informations de l'éditeur. Suffisant pour un démarrage commercial.

1. Parties

Le Responsable de traitement : la salle de sport cliente (ci-après « le Client »), qui détermine les finalités et moyens du traitement des données de ses adhérents.

Le Sous-traitant : SARL Devil Performance, société à responsabilité limitée, SIRET 984 167 247 00019, sise 32 rue Alexis Jaubert, 19100 Brive-la-Gaillarde, France, éditrice de la plateforme Binguo (ci-après « Binguo »), représentée par son gérant Charly, contact contact@binguo.fr, qui traite les données pour le compte du Client.

2. Objet

Le présent accord encadre le traitement par Binguo, en qualité de sous-traitant, des données à caractère personnel des adhérents et prospects du Client, dans le cadre de la fourniture du service Binguo CRM / Coach / Resa.

3. Nature et finalités du traitement

Élément	Description
Finalité	Gestion des adhérents, planning et réservations de cours, facturation, prélèvements SEPA, suivi des performances sportives, communication transactionnelle.
Catégories de personnes	Adhérents, prospects, coachs et personnel du Client.
Catégories de données	Identité (nom, email, téléphone, date de naissance, adresse), données de paiement (IBAN masqué, références mandats — l'IBAN complet est hébergé par GoCardless), données de santé déclaratives (objectifs, notes, contre-indications), données d'activité (réservations, présences, performances).
Durée	Pendant la durée du contrat. En fin de contrat : suppression sous 30 jours, sauf données comptables conservées 10 ans (obligation légale, art. L123-22 C. com.) sous forme anonymisée.

4. Obligations de Binguo (sous-traitant)

Ne traiter les données que sur instruction documentée du Client (l'usage de la plateforme valant instruction).
Garantir la confidentialité : accès limité au personnel habilité, soumis à une obligation de confidentialité.
Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées (voir art. 6).
Ne recourir à un sous-traitant ultérieur qu'avec information préalable du Client et garanties équivalentes (voir art. 5).
Aider le Client à répondre aux demandes d'exercice de droits des personnes (accès, rectification, effacement, portabilité) via les fonctions self-service intégrées (/api/rgpd).
Notifier le Client sans délai injustifié (et au plus tard sous 48h) en cas de violation de données.
Supprimer ou restituer les données en fin de contrat selon le choix du Client.
Mettre à disposition du Client toute information nécessaire pour démontrer la conformité et permettre des audits.

5. Sous-traitants ultérieurs autorisés

Le Client autorise Binguo à recourir aux sous-traitants suivants, présentant des garanties RGPD :

Sous-traitant	Rôle	Localisation données
Supabase	Base de données + authentification	UE (région EU)
Vercel	Hébergement applicatif / serverless	UE / mondiale (CDN) — clauses contractuelles types
Stripe	Paiement de l'abonnement de la salle	UE / USA — DPF + CCT
GoCardless	Prélèvements SEPA des adhérents	UE / UK — clauses contractuelles types
Resend	Envoi des emails transactionnels	UE / USA — CCT

Toute modification de cette liste sera notifiée au Client, qui peut s'y opposer pour motif légitime.

6. Mesures de sécurité

Chiffrement des données en transit (TLS) et au repos.
Isolation multi-tenant stricte par Row Level Security (chaque salle ne voit que ses données).
Authentification par jeton JWT, mots de passe hachés, sessions expirantes.
IBAN jamais stocké en clair (géré par GoCardless, conforme PSD2).
Sauvegardes quotidiennes avec restauration ponctuelle (PITR).
Journalisation des accès sensibles (audit trail).

7. Transferts hors UE

Les données sont hébergées prioritairement dans l'Union européenne. Les transferts éventuels vers des sous-traitants hors UE (Vercel, Stripe, Resend) sont encadrés par des Clauses Contractuelles Types de la Commission européenne et/ou le Data Privacy Framework.

8. Responsabilité et durée

Le présent DPA prend effet à la souscription et reste en vigueur pendant toute la durée du contrat principal. En cas de contradiction, les dispositions du présent DPA priment sur les CGV pour ce qui concerne la protection des données.

Dernière mise à jour : 20 mai 2026 · CGV · Politique de confidentialité · Mentions légales