Accord de traitement des données personnelles
Article 28 du règlement (UE) 2016/679 · version du 4 octobre 2026
Parties
Le présent accord est conclu entre, d’une part, l’association cliente du service Quoréom, représentée par le responsable de son compte (le « Responsable de traitement »), et, d’autre part, MAISON BURDIGALA, SAS au capital de 1 000 €, 5 rue Fénelon, 33000 Bordeaux, RCS Bordeaux 102 818 051, éditrice de Quoréom (le « Sous-traitant »).
Il fait partie intégrante des conditions générales d’utilisation et de vente et s’applique dès qu’une association enregistre des données personnelles dans le service. Il est accepté lors de la création du compte et de l’espace de l’association.
1. Objet
Le présent accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données personnelles que ce dernier enregistre dans Quoréom, conformément au règlement général sur la protection des données (RGPD) et à la loi n° 78-17 du 6 janvier 1978.
2. Description du traitement
| Nature et finalité | Hébergement, organisation, consultation, modification, export et suppression des données nécessaires à la gestion administrative de l’association : tenue du registre des adhérents et des cotisations, convocations et votes des assemblées, dons et reçus fiscaux, bénévolat, bureau et registre spécial, trésorerie, documents, communications par email, encaissements en ligne lorsqu’ils sont activés, fonctions d’assistance par intelligence artificielle à la demande de l’utilisateur. |
|---|---|
| Personnes concernées | Adhérents, membres du bureau et fondateurs, donateurs, bénévoles, participants aux assemblées, membres de l’équipe de l’association, et toute personne citée dans les documents de l’association. |
| Catégories de données | Identité, coordonnées (adresse postale, email, téléphone), date de naissance si renseignée, nationalité et profession des dirigeants, fonctions, dates d’adhésion, cotisations et dons (montants, dates, modes de paiement), reçus fiscaux, présences, procurations et votes, heures de bénévolat, contenus des documents et des échanges. Le service n’est pas conçu pour traiter des données sensibles au sens de l’article 9 du RGPD ; le Responsable de traitement s’abstient d’en enregistrer, sauf nécessité liée à son objet et sous sa responsabilité. |
| Durée | Durée d’utilisation du service par l’association, puis restitution et suppression dans les conditions de l’article 10. |
3. Obligations du Sous-traitant
Le Sous-traitant s’engage à :
- traiter les données uniquement pour les finalités ci-dessus et sur instruction documentée du Responsable de traitement, ces instructions résultant des présentes, des conditions générales et des actions effectuées par les utilisateurs dans le service ; il informe immédiatement le Responsable de traitement s’il estime qu’une instruction constitue une violation de la réglementation ;
- ne jamais vendre les données, ni les utiliser à ses propres fins, notamment publicitaires, ni pour entraîner des modèles d’intelligence artificielle ;
- garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter (salariés, experts Quoréom) soient soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire ;
- mettre en œuvre les mesures de sécurité décrites à l’annexe 1 ;
- tenir un registre des activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).
4. Sous-traitants ultérieurs
Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés à l’annexe 2. Le Sous-traitant leur impose, par contrat, des obligations de protection des données équivalentes à celles du présent accord et demeure responsable de leur respect. Il informe le Responsable de traitement de tout ajout ou remplacement par email ou dans le service au moins trente jours à l’avance ; le Responsable de traitement peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier son abonnement sans pénalité.
5. Transferts hors de l’Union européenne
Les données sont hébergées en France. Les transferts éventuels vers un pays tiers, liés aux sous-traitants ultérieurs de l’annexe 2, sont encadrés par une décision d’adéquation de la Commission européenne (Suisse ; États-Unis pour les entreprises certifiées au Data Privacy Framework) ou, à défaut, par les clauses contractuelles types de la Commission européenne.
6. Droits des personnes concernées
Le service permet au Responsable de traitement de consulter, rectifier, exporter et supprimer les données des personnes concernées. Le Sous-traitant l’assiste, dans la mesure du possible, pour répondre aux demandes d’exercice des droits ; s’il reçoit directement une demande, il la transmet sans délai au Responsable de traitement et n’y répond pas lui-même, sauf instruction.
7. Violation de données
Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, par email au responsable du compte. La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées. Il appartient au Responsable de traitement de notifier, le cas échéant, la CNIL et les personnes concernées ; le Sous-traitant lui fournit les informations nécessaires.
8. Assistance
Le Sous-traitant fournit au Responsable de traitement les informations raisonnablement nécessaires à la réalisation d’une analyse d’impact ou à la consultation préalable de la CNIL, compte tenu de la nature du traitement et des informations dont il dispose.
9. Audit
Le Sous-traitant met à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect du présent accord. Un audit peut être réalisé, au plus une fois par an et sauf violation avérée, par le Responsable de traitement ou un auditeur indépendant tenu au secret, moyennant un préavis de trente jours, aux frais du Responsable de traitement et sans perturber le service ni compromettre la sécurité ou la confidentialité des données des autres clients.
10. Fin du traitement
À la fin de l’utilisation du service, le Responsable de traitement exporte ses données à l’aide des fonctions d’export. Sur demande écrite, le Sous-traitant supprime les données de l’association dans un délai de trente jours, copies de sauvegarde comprises au terme de leur cycle de rotation, et en confirme la suppression. Sont conservées les seules données que le Sous-traitant doit garder au titre d’une obligation légale, notamment comptable.
11. Obligations du Responsable de traitement
Le Responsable de traitement s’engage à disposer d’une base légale pour les traitements qu’il confie, à informer les personnes concernées (par exemple dans son bulletin d’adhésion ou son règlement intérieur), à ne collecter que les données nécessaires, à gérer les accès qu’il accorde à son équipe, à définir ses durées de conservation et à documenter ses instructions.
12. Contact
Pour toute question relative au présent accord ou à la protection des données : [email protected], ou Maison Burdigala, 5 rue Fénelon, 33000 Bordeaux.
Annexe 1 — Mesures de sécurité
- Hébergement dans un centre de données situé en France ; serveurs isolés et pare-feu.
- Chiffrement des échanges (HTTPS) ; mots de passe stockés sous forme hachée ; jetons d’accès (espace adhérent, bénévole, vote, convocation) aléatoires et non devinables.
- Cloisonnement : chaque association n’accède qu’à ses propres données ; rôles (responsable, gestionnaire, lecture seule) ; accès des experts limité aux dossiers de création qui leur sont confiés.
- Vérification de l’adresse email des comptes ; limitation du nombre de tentatives de connexion et de requêtes.
- Sauvegardes de la base de données, notamment avant chaque mise à jour du service, conservées sur l’infrastructure de l’hébergeur.
- Journalisation des opérations sensibles (envoi des convocations avec empreinte, votes, émission et annulation des reçus fiscaux).
- Envoi à l’intelligence artificielle limité aux informations nécessaires à la tâche, après accord de l’utilisateur pour les documents ; aucune liste d’adhérents transmise.
- Données de carte bancaire traitées exclusivement par les prestataires de paiement certifiés PCI-DSS.
Annexe 2 — Sous-traitants ultérieurs
| Prestataire | Prestation | Localisation |
|---|---|---|
| Scaleway SAS | Hébergement des serveurs et des données | France |
| Cloudflare, Inc. | Diffusion du site et protection contre les attaques | États-Unis (Data Privacy Framework) ; réseau mondial |
| Infomaniak Network SA | Envoi des emails (convocations, appels à cotisation, reçus, rappels) | Suisse (décision d’adéquation) |
| Mistral AI | Fonctions d’intelligence artificielle, à la demande de l’utilisateur | France, Union européenne |
| Stripe Payments Europe, Ltd. | Encaissement des cotisations et des dons, si l’association l’active (Stripe agit alors sous sa propre responsabilité envers l’association) | Irlande, Union européenne |