Accord de traitement des données

Choralebase, service de gestion pour chorales

Version du 28 septembre 2026. Établi conformément à l’article 28 du Règlement (UE) 2016/679 (RGPD).

Le présent accord complète les Conditions générales d’utilisation de Choralebase. Il fixe les obligations du Client (la structure qui gère une chorale), responsable du traitement, et de PASSAGGIO SASU, sous-traitant, pour les données personnelles que le Service traite pour le compte du Client. Les termes définis dans les Conditions générales ont le même sens ici.

1. Rôles

Le Client décide pourquoi et comment les données de ses membres sont traitées : ce qu’il demande aux familles, ce qu’il importe, à qui il écrit, qui dans son équipe voit quoi. Il est le responsable du traitement.

Le Prestataire traite ces données uniquement pour fournir le Service et sur les instructions du Client. Il est sous-traitant. Il ne les utilise à aucune autre fin, et notamment ni pour ses propres statistiques, ni pour de la prospection, ni pour entraîner un modèle d’intelligence artificielle. S’il le faisait, il deviendrait responsable de ce traitement (article 28.10 du RGPD).

Le Prestataire est en revanche responsable des traitements qu’il réalise pour son propre compte (comptes des Administrateurs, sécurité, facturation éventuelle). Ils sont décrits dans sa Politique de confidentialité.

2. Description du traitement

La description détaillée (objet, nature, finalités, catégories de données et de personnes, durée) figure à l’Annexe C.

3. Instructions du Client

Les instructions du Client sont constituées :

• par le présent accord et les Conditions générales ;
• par l’utilisation que le Client et ses Administrateurs font des fonctionnalités du Service (par exemple : importer un fichier, ouvrir une fiche sanitaire, envoyer un courriel, supprimer un choriste) ;
• par toute instruction écrite adressée à support@choralebase.app.

Le Prestataire informe immédiatement le Client s’il estime qu’une instruction enfreint le RGPD ou une autre règle de protection des données.

4. Engagements du Prestataire

4.1 Confidentialité et personnes autorisées

À la date du présent accord, la seule personne du Prestataire qui a accès aux données est son président. Il est tenu à la confidentialité. Il n’accède aux données du Client que dans la mesure nécessaire pour assurer la maintenance, la sécurité ou l’assistance, en particulier à la demande du Client.

Si d’autres personnes devaient avoir accès aux données, le Prestataire en informerait le Client et les soumettrait à une obligation de confidentialité écrite.

4.2 Sécurité

Le Prestataire met en œuvre les mesures décrites à l’Annexe B, qui décrit ce qui est effectivement en place à la date du présent accord. Il les tient à jour et en informe le Client lorsqu’il les modifie de façon significative.

4.3 Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants ultérieurs listés à l’Annexe A. Le Prestataire leur impose, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et reste responsable envers le Client de leur respect.

Avant d’ajouter ou de remplacer un sous-traitant ultérieur, le Prestataire en informe le Client par courriel au moins trente (30) jours à l’avance. Le Client peut s’y opposer pour un motif lié à la protection des données dans les quinze (15) jours. Si aucune solution n’est trouvée, le Client peut mettre fin au contrat sans frais et récupérer ses données.

4.4 Transferts hors de l’Union européenne

Les données sont hébergées dans l’Union européenne. Certains sous-traitants ultérieurs sont toutefois des sociétés américaines ou situées aux États-Unis ; l’Annexe A indique, pour chacun, s’il y a transfert ou accès possible depuis les États-Unis et sur quelle garantie il repose (décision d’adéquation du « Data Privacy Framework » pour les sociétés certifiées, ou clauses contractuelles types de la Commission européenne).

4.5 Aide au Client

Le Prestataire aide le Client, dans la mesure de ce que le Service permet et de ce que la situation exige :

• à répondre aux demandes des personnes concernées : le Service permet de consulter, corriger et supprimer les données d’une personne ; pour une demande que ces fonctions ne couvrent pas (copie complète des données d’une personne, par exemple), le Prestataire la prépare dans un délai de quinze (15) jours ouvrés ;
• à assurer la sécurité du traitement et à gérer une violation de données (article 5) ;
• à réaliser l’analyse d’impact (AIPD) que le traitement de données de santé de mineurs rend en principe nécessaire : le Prestataire fournit au Client un modèle d’analyse d’impact prérempli pour les traitements du Service (fiche sanitaire, informations de garde, journal d’activité) et répond à ses questions pour le compléter.

Si une personne concernée s’adresse directement au Prestataire, celui-ci transmet sa demande au Client sans y répondre sur le fond, sauf instruction du Client.

4.6 Registre

Le Prestataire tient le registre des traitements qu’il effectue pour le compte de ses clients (article 30.2 du RGPD).

4.7 Audit

Le Prestataire met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord : description des mesures de sécurité, liste et contrats des sous-traitants ultérieurs, réponses à un questionnaire. Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, une fois par an au plus, par lui-même ou par un auditeur tenu au secret, avec un préavis de trente (30) jours et à ses frais. L’audit ne peut porter sur les données d’autres clients.

5. Violation de données

Le Prestataire notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir eu connaissance, à l’adresse de chacun des Administrateurs du Client ayant le rôle « administrateur », et à l’adresse de contact de la chorale.

La notification indique, dans la mesure où ces éléments sont connus (ils peuvent être complétés ensuite) : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et la personne à contacter.

C’est au Client, responsable du traitement, qu’il revient de décider s’il notifie la CNIL (dans les 72 heures) et s’il informe les personnes concernées. Le Prestataire l’y aide.

6. Données sensibles et mineurs

6.1 Données de santé

Le Service permet au Client de recueillir des données de santé, principalement par la fiche sanitaire (antécédents, allergies, traitements, vaccinations, médecin traitant, autorisations en cas d’urgence) et, s’il le choisit, par des renseignements qu’il marque comme sensibles.

Le Client détermine la base légale de ce traitement. À titre d’information :

• pour les répétitions et activités ordinaires, la fiche repose sur le consentement explicite d’un titulaire de l’autorité parentale (articles 6.1.a et 9.2.a du RGPD) et doit rester facultative ;
• pour un séjour avec hébergement qui constitue un accueil collectif de mineurs (article R.227-1 du Code de l’action sociale et des familles, en particulier le séjour spécifique artistique et culturel), les informations médicales sont exigées par l’article R.227-7 du même code et l’arrêté du 20 février 2003 : elles sont fournies par les représentants légaux du mineur. Il appartient au Client de vérifier si son séjour doit être déclaré.

Le Client ne recueille que ce qui est nécessaire. Les Administrateurs ayant le rôle « administrateur » consultent ces données d’office ; le Client décide lesquels de ses collaborateurs y ont aussi accès (réglage « Accès aux fiches sanitaires ») ; un rôle « consultation » n’y a jamais accès.

En plus des mesures de l’Annexe B, qui valent pour toutes les données, le Service applique aux données de santé des mesures qui leur sont propres. Il :

• réserve l’accès aux fiches sanitaires, ainsi qu’aux allergies et informations médicales portées sur la fiche du choriste, à ces seules personnes ; le journal d’activité, ouvert à toute l’équipe, note qu’une information de santé a été modifiée, par qui et quand, jamais son contenu ;
• journalise chaque consultation et chaque export d’une fiche sanitaire, ainsi que chaque affichage d’un renseignement marqué comme sensible : qui, quand, depuis quelle adresse IP ;
• fait remplir et certifier la fiche d’un séjour concernant un mineur par un de ses représentants légaux, jamais par le mineur lui-même, même s’il gère son propre compte ;
• conserve la trace de la certification de la fiche par la famille (attestation datée, avec adresse IP et navigateur) ;
• supprime les fiches sanitaires dont la finalité est éteinte, selon les règles décrites à l’Annexe C, et efface alors les données de santé de l’attestation, qui ne conserve que la preuve de la certification. Les allergies et informations médicales portées sur la fiche du choriste sont conservées tant que le Client les conserve.

Le Prestataire n’est pas un hébergeur certifié « données de santé » (HDS). Cette certification vise les données recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social (article L.1111-8 du Code de la santé publique) ; une chorale qui recueille une fiche sanitaire n’exerce aucune de ces activités. Pour la même raison, le Service ne propose pas de registre des soins, et le Client ne doit pas y consigner les soins donnés pendant un séjour.

6.2 Mineurs

Le Service permet de traiter des données de mineurs. Le Client recueille, lorsque la loi l’exige, l’accord des titulaires de l’autorité parentale, et informe les familles au moyen de la notice « Vos données ».

Par défaut, le portail est ouvert aux adultes rattachés au choriste (parents, tuteurs, autres responsables), et les courriels relatifs à un choriste mineur leur sont adressés. Un choriste peut toutefois disposer de son propre accès lorsque le Client le déclare « autonome » ; il reçoit alors les courriels qui le concernent. Le Client ne déclare autonome qu’un choriste âgé d’au moins quinze (15) ans. Un choriste de quinze ans ou plus peut exercer lui-même ses droits sur ses données ; ses parents conservent les leurs.

Le Client peut, pour chaque adulte rattaché, décider qu’il ne reçoit plus les communications ni l’accès aux données d’un choriste (par exemple dans une situation de séparation). Le Service applique ce réglage à tout ce qui concerne ce choriste.

Aucun profilage ni aucune décision automatisée n’est réalisé sur les données des mineurs.

7. Personnes rattachées à plusieurs chorales

Un même adulte peut être rattaché à des choristes de plusieurs clients du Service (par exemple un parent dont les enfants chantent dans deux chorales). Il dispose alors d’un seul compte de connexion et d’une seule fiche d’identité et de coordonnées (nom, prénom, adresse électronique, téléphones, adresse postale), que chacun de ces clients peut consulter et corriger. Les autres informations (liens avec les choristes, documents, renseignements, présences, paiements, fiches sanitaires) restent propres à chaque client et ne sont jamais visibles d’un autre. Les notes de l’équipe d’un client sur un adulte, en particulier, ne sont visibles que de ce client.

8. Fin du traitement

À la fin du contrat, le Prestataire conserve les données du Client le temps de leur récupération, dans les délais de l’article 6.4 des Conditions générales d’utilisation (au moins trente (30) jours après la fin du contrat, ou après la remise de l’export en cas de changement de prestataire). Passé ces délais, ou plus tôt sur demande du Client, il supprime les données du Client de la base de production, y compris son journal d’activité, et en confirme la suppression par écrit. Seule la preuve de l’acceptation des conditions (qui les a acceptées, quand, quelle version) est conservée, cinq (5) ans.

Les copies de sauvegarde ne sont pas modifiées une à une : elles disparaissent au terme de leur cycle de conservation (Annexe B), soit au plus tard trente et un (31) jours après la suppression. Elles ne sont pas utilisées entre-temps, sauf pour restaurer le Service après un incident, auquel cas les données supprimées le sont à nouveau.

Le Prestataire conserve uniquement ce que la loi l’oblige à conserver, pour la durée qu’elle fixe.

9. Durée, droit applicable

Le présent accord s’applique tant que le Prestataire traite des données pour le compte du Client. Les obligations de confidentialité et de suppression survivent à la fin du contrat.

Il est régi par le droit français. Toute modification est notifiée au Client au moins trente (30) jours à l’avance, dans les conditions de l’article 2 des Conditions générales.

Annexe A : Sous-traitants ultérieurs

Annexe B : Mesures de sécurité en place

Cette annexe décrit ce qui existe, pas ce qui est souhaité.

Accès aux comptes

• Mots de passe stockés sous forme hachée (algorithme par défaut de Django, PBKDF2).
• Les liens de création ou de changement de mot de passe expirent au bout de quinze minutes.
• Les sessions expirent au bout de deux heures sans activité.
• Rôles distincts pour l’équipe de la chorale (administrateur, collaborateur, consultation) ; un rôle « consultation » ne peut rien modifier.
• Les données de santé sont réservées aux administrateurs et aux collaborateurs que le Client y autorise ; jamais au rôle « consultation ».
• Chaque chorale ne voit que ses propres données ; ce cloisonnement est vérifié par des tests automatisés.

Transmission

• Toutes les connexions sont chiffrées (HTTPS).

Traçabilité

• Journal d’activité des créations, modifications et suppressions sur les principales données (choristes, adultes, liens, événements, présences, paiements, documents, droits de l’équipe), avec auteur, date et adresse IP. Il ne peut pas être modifié depuis l’application. Une modification d’une information de santé y est notée sans son contenu.
• La consultation et l’export d’une fiche sanitaire sont journalisés ; les autres consultations ne le sont pas.

Sauvegardes

• Base de données : sauvegarde quotidienne conservée 6 jours, et sauvegarde hebdomadaire conservée 1 mois, chez l’hébergeur (Railway), dans la même région. Pas de copie hors de chez l’hébergeur.
• Fichiers : stockés chez Scaleway, sans versionnement ni copie de sauvegarde séparée : un fichier supprimé ou remplacé ne peut pas être récupéré.
• Restauration : aucun essai de restauration d’une sauvegarde n’a encore été réalisé à la date du présent accord. Le Prestataire en réalisera un au plus tard le 31 octobre 2026 et en indiquera ici la date.

Chiffrement au repos

• Le Prestataire ne s’engage pas sur un chiffrement au repos au-delà de celui que ses hébergeurs appliquent par défaut.

Organisation

• Une seule personne administre la plateforme.
• Les modifications du code passent une suite de tests, lancée par l’administrateur de la plateforme avant chaque livraison, puis sont déployées sur un environnement de préproduction, qui ne contient que des données fictives, avant la production.
• En cas d’incident : une procédure écrite (constater, contenir, notifier le Client dans les 48 heures, corriger, consigner), tenue à la disposition du Client.

Annexe C : Description du traitement

Objet et nature. Hébergement, stockage, consultation, modification, envoi par courriel et suppression des données nécessaires à la gestion d’une chorale.

Finalités. Gestion des membres et de leurs familles ; organisation des événements et relevé des présences ; collecte et distribution de documents, dont la fiche sanitaire ; renseignements demandés aux familles ; suivi des cotisations ; communication avec les familles ; import de listes existantes ; portail des familles.

Personnes concernées. Choristes, dont des mineurs ; parents, tuteurs et autres adultes rattachés ; contacts d’urgence ; membres de l’équipe de la chorale.

Catégories de données.

Durées de conservation appliquées par le Service.

Durée du traitement. La durée du contrat, puis les délais de récupération de l’article 8.