Accord de traitement des données

Cet accord fait partie du contrat entre le Client (la société d'agents ou l'agent abonné), responsable du traitement, et HELLOFIDY (Sfairo), sous-traitant, conformément à l'article 28 du RGPD.

1. Objet et durée

Le sous-traitant traite des données personnelles pour le compte du Client, uniquement pour fournir le service Sfairo, pendant toute la durée de l'abonnement et jusqu'à la restitution ou la suppression prévue à l'article 9.

2. Description du traitement

• Finalités : gestion des joueurs et des prospects, des contrats et des mandats, des commissions et de leurs relances, suivi des matchs et alertes, notes de frais, travail en équipe.
• Personnes concernées : joueurs et prospects du Client, représentants et contacts des clubs, Utilisateurs du Client.
• Données :
  • identité et coordonnées (nom, prénom, date de naissance, téléphone, email, adresse) ;
  • vie professionnelle : club, poste, contrat de travail saisi par le Client (salaire, primes, avantages, dates), mandats, commissions, partenariats, notes de suivi ;
  • statistiques et comptes rendus de match issus de sources publiques ; ils peuvent mentionner une blessure possible, information susceptible de concerner la santé ;
  • pour les notes de frais : photo des justificatifs et montants ;
  • pour les Utilisateurs : nom, email, rôle, journal des modifications.
• Mineurs : des prospects peuvent être mineurs. Le Client s'assure de l'information de leurs représentants légaux et limite les données saisies au nécessaire.

3. Obligations du Client

Le Client détermine les finalités, dispose d'une base légale pour chaque traitement (notamment pour les informations liées à la santé), informe les personnes concernées, ne saisit que les données nécessaires et donne ses instructions par l'utilisation du service et par écrit.

4. Obligations du sous-traitant

Le sous-traitant :

• ne traite les données que sur instruction documentée du Client, y compris pour les transferts hors de l'Union européenne, et l'informe si une instruction lui paraît contraire à la réglementation ;
• garantit la confidentialité : les personnes autorisées à accéder aux données sont tenues au secret ;
• met en œuvre les mesures de sécurité de l'annexe ;
• n'utilise jamais les données pour son propre compte, ne les vend pas et ne les utilise pas pour entraîner des modèles d'intelligence artificielle ;
• aide le Client à répondre aux demandes d'exercice des droits des personnes et à réaliser, si nécessaire, une analyse d'impact ;
• tient un registre des traitements effectués pour le compte du Client.

Accès par le support : à la demande du Client ou pour résoudre un incident, un membre habilité de l'équipe Sfairo peut consulter le compte en lecture seule, pendant 2 heures au plus. Chaque accès est inscrit dans le journal du compte, visible par le Client.

5. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants suivants :

Le sous-traitant impose à chacun des obligations équivalentes à celles du présent accord. Il informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais.

6. Transferts hors de l'Union européenne

Lorsqu'un sous-traitant ultérieur traite des données hors de l'Union européenne, le transfert est encadré par une décision d'adéquation de la Commission européenne ou par ses clauses contractuelles types, et les données transmises sont réduites au strict nécessaire.

7. Violation de données

Le sous-traitant notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles pour que le Client puisse, s'il y a lieu, la notifier à la CNIL dans les 72 heures et informer les personnes concernées.

8. Audit

Le sous-traitant met à disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut réaliser un audit une fois par an, à ses frais, avec un préavis de 30 jours, par un auditeur tenu au secret et sans accès aux données des autres clients.

9. Fin du contrat

À la fin du contrat, le Client peut demander pendant 90 jours la restitution de ses données dans un format courant. Les données sont ensuite supprimées ; les sauvegardes sont effacées au terme de leur cycle de conservation (14 jours), sauf obligation légale de conservation.

Annexe : mesures de sécurité

• Hébergement sur un serveur dédié en France ; base de données sans aucune exposition sur internet.
• Connexions chiffrées (HTTPS, HSTS) ; en-têtes de sécurité stricts ; limitation du nombre de tentatives de connexion.
• Mots de passe chiffrés et refusés s'ils figurent dans des fuites connues ; double authentification proposée à tous les utilisateurs, obligatoire pour l'équipe Sfairo (accès d'administration).
• Cloisonnement des données de chaque société directement dans la base (Row Level Security), vérifié par des tests automatiques qui tentent des accès croisés.
• Droits par rôle (administrateur, agent) ; un agent ne voit pas la gestion des commissions.
• Journal de chaque modification (qui, quoi, quand, avant et après).
• Clés et secrets uniquement sur le serveur, jamais dans le code.
• Sauvegarde quotidienne de la base, conservée 14 jours.
• Mises à jour de sécurité régulières.

Version du 20 octobre 2026.