Accord de traitement des données

Date d'entrée en vigueur : juin 2026

La présente Annexe fait partie intégrante des Conditions de service Service Club pour les clients professionnels ou des Conditions générales pour les clients, selon celles qui sont applicables. Elle s'applique automatiquement lorsque, et dans la mesure où, Service Club traite des données à caractère personnel pour le compte du Client en qualité de sous-traitant aux fins de l'article 28 du Règlement (UE) 2016/679. Elle ne s'applique pas aux traitements effectués par Service Club en qualité de responsable du traitement indépendant, ni à tout traitement pour lequel les parties sont des responsables du traitement indépendants ou des responsables conjoints du traitement, sauf mention expresse contraire.

1. Statut et intégration

• 1.1. Le présent Accord de traitement des données (DPA) fait partie de l'accord conclu entre Service Club et le Client lorsque, et dans la mesure où, Service Club traite des données à caractère personnel pour le compte du Client en qualité de sous-traitant au sens de l'article 4, point 8), et de l'article 28 du RGPD.
• 1.2. Le présent DPA ne s'applique qu'aux activités de traitement pour lesquelles le Client détermine les finalités et les moyens essentiels du traitement et pour lesquelles Service Club agit sur instructions documentées du Client.
• 1.3. Lorsque Service Club agit en qualité de responsable du traitement indépendant, le présent DPA ne s'applique pas à ce traitement. Ce traitement en qualité de responsable du traitement est régi par la notice de confidentialité de Service Club et par la législation applicable en matière de protection des données. Lorsque les parties déterminent conjointement les finalités et les moyens, elles concluent un accord distinct au titre de l'article 26 du RGPD.

2. Objet, durée, nature et finalité

• 2.1. L'objet, la durée, la nature et la finalité du traitement sont ceux requis pour fournir les services Service Club concernés au titre des Conditions applicables, du Bon de commande et de l'Annexe A du présent DPA.
• 2.2. Le traitement se poursuit pendant la durée des services concernés et pendant toute période postérieure à la résiliation nécessaire à la suppression, à la restitution, à la conservation légale, à la gestion des litiges, à la sécurité, à l'audit ou aux obligations de conformité.

2.3. Description du traitement

3. Catégories de personnes concernées et de données à caractère personnel

• 3.1. Les personnes concernées peuvent inclure les Travailleurs, coursiers, travailleurs logistiques, employés d'entrepôt, préparateurs de commandes, caristes, stagiaires, candidats, administrateurs des clients, personnel des clients, formateurs, contacts d'assistance et toute autre personne dont les données sont traitées dans le cadre des services.
• 3.2. Les catégories de données à caractère personnel peuvent inclure les données d'identification, les coordonnées, les informations de CV/profil, les preuves du droit de travailler, les informations relatives au véhicule, les données d'éligibilité, les données de fonction/localisation, les données de compte, la présence aux formations, les données VR et télématiques, les indicateurs liés à l'attention, les analyses de l'apprentissage assistées par IA, les données d'utilisation des avantages, les données de candidature, les métadonnées documentaires, les communications, les registres d'assistance, les journaux de sécurité, les indicateurs de fraude et toute autre donnée convenue dans l'Annexe A.
• 3.3. Les données relevant de catégories particulières, les données relatives aux infractions pénales, les données de santé, les données relatives à l'appartenance syndicale, les données biométriques aux fins d'identification, les données des enfants ou d'autres données à haut risque ne sont pas traitées, sauf accord exprès écrit, stricte nécessité et existence d'une base juridique et de garanties appropriées.

4. Obligations du Client

• 4.1. Le Client veille à ce que les instructions de traitement soient licites, documentées, spécifiques et conformes au RGPD, à la LOPDGDD et à la législation applicable.
• 4.2. Il incombe au Client de déterminer la base juridique, de fournir les informations de transparence requises, de traiter ses propres demandes d'exercice des droits des personnes concernées, de définir les durées de conservation, d'assurer la minimisation des données, d'évaluer les traitements à haut risque et de réaliser toute DPIA requise par l'article 35 du RGPD pour les finalités relevant du Client.
• 4.3. Le Client ne doit pas donner à Service Club l'instruction de traiter des données à caractère personnel de manière illicite, excessive, opaque ou discriminatoire, ni d'une manière contraire aux règles applicables en matière de droit du travail, de protection des données, de communications électroniques, d'IA ou de droits fondamentaux.

5. Obligations du sous-traitant

• 5.1. Service Club ne traite les données à caractère personnel que sur instructions documentées du Client, y compris en ce qui concerne les transferts vers un pays tiers ou une organisation internationale, à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit d'un État membre. Dans ce cas, Service Club informe le Client de cette obligation juridique avant le traitement, sauf si le droit applicable interdit une telle information pour des motifs importants d'intérêt public.
• 5.2. Service Club veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
• 5.3. Service Club met en œuvre des mesures techniques et organisationnelles appropriées conformément à l'article 32 du RGPD, compte tenu de la nature du traitement, des risques, de l'état des connaissances, des coûts de mise en œuvre et des catégories de données à caractère personnel.
• 5.4. Service Club aide le Client, compte tenu de la nature du traitement et des informations dont dispose Service Club, pour les demandes des personnes concernées, la sécurité, les notifications de violation, les DPIA et les consultations des autorités de contrôle, dans la mesure requise par les articles 28, 32 à 36 du RGPD.

5.5. Sous-traitants ultérieurs

1. Le Client autorise Service Club à désigner des sous-traitants ultérieurs pour l'hébergement, les communications, l'analyse, le paiement, l'assistance, la sécurité, l'infrastructure, le CRM, le LMS, les plateformes VR, la fourniture de modèles d'IA, la télématique, la messagerie, la gestion documentaire et les services similaires nécessaires à la fourniture des services.
2. Service Club impose aux sous-traitants ultérieurs des obligations en matière de protection des données qui ne sont pas moins protectrices que celles prévues par le présent DPA, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.
3. Service Club tient une liste à jour des sous-traitants ultérieurs importants et la met à la disposition du Client (par exemple au moyen d'un lien dédié, d'une section de la plateforme ou sur demande). Service Club notifie au Client tout changement important envisagé au moins quatorze (14) jours avant sa prise d'effet, en donnant au Client la possibilité de s'y opposer pour des motifs raisonnables tenant à la protection des données.

5.6. Transferts internationaux

1. Service Club ne transfère pas de données à caractère personnel en dehors de l'EEE, sauf si le transfert est conforme au chapitre V du RGPD, y compris au moyen d'une décision d'adéquation, des clauses contractuelles types, de mesures supplémentaires lorsque cela est requis, de dérogations ou d'un autre mécanisme de transfert licite.
2. Le Client reconnaît que certains fournisseurs peuvent fournir des services d'assistance, de communications ou d'infrastructure depuis l'extérieur de l'EEE. Le cas échéant, Service Club met en place des garanties applicables aux transferts et fournit au Client des informations raisonnables sur demande.

5.7. Mesures de sécurité

1. Service Club maintient des mesures adaptées au risque, qui peuvent inclure des contrôles d'accès, l'authentification, des autorisations fondées sur les rôles, le chiffrement en transit, des sauvegardes, la journalisation, la ségrégation, des pratiques de développement sécurisé, la gestion des vulnérabilités, des engagements de confidentialité, la réponse aux incidents et des procédés de suppression sécurisée.
2. Les mesures spécifiques peuvent évoluer dans le temps, sous réserve que le niveau de protection ne soit pas substantiellement réduit. L'Annexe B décrit les mesures de référence.

5.8. Violation de données à caractère personnel

1. Service Club notifie au Client, sans retard injustifié après en avoir pris connaissance, toute violation de données à caractère personnel affectant des données à caractère personnel traitées pour le compte du Client.
2. La notification comprend, dans la mesure où ces éléments sont connus et disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées et un point de contact. Le Client demeure responsable des notifications aux autorités de contrôle ou aux personnes concernées lorsqu'il est responsable du traitement.

5.9. Droits des personnes concernées

1. Service Club aide le Client, compte tenu de la nature du traitement et dans la mesure du possible, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité, d'opposition et aux droits relatifs à la prise de décision automatisée.
2. Si Service Club reçoit une demande relative à un traitement dont le Client est responsable, Service Club peut réorienter la personne concernée vers le Client ou informer le Client, sauf interdiction légale.

5.10. IA, outils automatisés et traitements à haut risque

1. Lorsque Service Club utilise des outils assistés par IA ou automatisés en qualité de sous-traitant pour le compte du Client, il incombe au Client de confirmer la finalité poursuivie, la base juridique, la transparence, la proportionnalité, le contrôle humain et toute évaluation requise au titre du RGPD, de la LOPDGDD, du droit du travail et de l'AI Act.
2. Service Club n'est pas tenu de configurer des outils d'IA ou automatisés à des fins de prise de décision liée à l'emploi, de classement, de licenciement, d'accès au travail ou à des fins similaires ayant une portée juridique significative, sauf accord distinct et évaluation licite. Lorsque le Client utilise les outils d'IA ou automatisés de Service Club à de telles fins, le Client demeure seul responsable du respect de l'article 22 du RGPD, du droit du travail applicable et de l'AI Act.

6. Droits d'audit et d'information

• 6.1. Service Club met à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de l'article 28 du RGPD et du présent DPA.
• 6.2. Les audits sont soumis à un préavis raisonnable, à la confidentialité, à des restrictions de sécurité, à des limitations aux heures ouvrables et à l'obligation d'éviter toute perturbation. Le Client ne peut pas accéder aux données d'autres clients, à l'architecture confidentielle de la plateforme, aux secrets d'affaires ni aux informations qui compromettraient la sécurité.

7. Suppression et restitution

• 7.1. Au choix du Client et sous réserve de la faisabilité technique, de la conservation légale et des obligations de Service Club en qualité de responsable du traitement, Service Club supprime ou restitue les données à caractère personnel traitées pour le compte du Client après la fin des services.
• 7.2. Service Club peut conserver des copies lorsque le droit de l'Union ou le droit d'un État membre l'exige, à des fins de réclamations juridiques, de journaux de sécurité, de comptabilité, de prévention de la fraude ou de conformité, sous réserve que les données ainsi conservées demeurent protégées et ne soient pas traitées à des fins incompatibles.

8. Responsabilité et prévalence

• 8.1. La responsabilité au titre du présent DPA est régie par les clauses de responsabilité des Conditions applicables ou de l'accord écrit applicable, sans préjudice des règles impératives de responsabilité du RGPD auxquelles il ne peut être dérogé.
• 8.2. En cas de conflit entre le présent DPA et les Conditions en ce qui concerne les obligations du sous-traitant, le présent DPA prévaut pour le traitement concerné.

9. Droit applicable

Le présent DPA est régi par le droit espagnol et par la législation applicable de l'Union européenne en matière de protection des données. Les juridictions désignées dans les Conditions applicables sont compétentes, sans préjudice des pouvoirs impératifs des autorités de contrôle et des droits des personnes concernées.

Annexe A - Détails du traitement

La présente Annexe fait partie de l'Accord de traitement des données et décrit le traitement de données à caractère personnel effectué par Service Club pour le compte du Client.

1. Objet et durée du traitement

• Objet : Le traitement de données à caractère personnel est effectué afin de fournir la Plateforme Service Club et les services connexes (y compris Perks, Jobs, Academy, Micro Academy, Marketplace et Shop), tels que convenus dans le Bon de commande ou les Conditions de service applicables.
• Durée : Le traitement se poursuit pendant la durée des services concernés et pendant toute période postérieure à la résiliation strictement nécessaire à la suppression, à la restitution, à la conservation légale, à la gestion des litiges, à la sécurité, à l'audit ou aux obligations de conformité.

2. Nature et finalité du traitement

La nature du traitement comprend la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation, l'extraction, l'utilisation, la communication et l'effacement de données à caractère personnel. Les finalités incluent :

• La création de comptes, le contrôle d'accès et la gestion de l'éligibilité.
• L'appui au recrutement, la mise en relation des candidats et l'appui à l'intégration.
• La dispense de formations (y compris les formations en salle, virtuelles, en VR, au volant et assistées par IA).
• Les communications de la plateforme, le reporting, l'assistance, la sécurité et la prévention de la fraude.

3. Catégories de personnes concernées

Les données à caractère personnel transférées concernent les catégories de personnes concernées suivantes :

• Les Travailleurs, coursiers, livreurs, employés d'entrepôt, préparateurs de commandes et caristes.
• Les stagiaires, candidats et travailleurs logistiques.
• Les administrateurs des clients, le personnel des clients, les formateurs et les contacts d'assistance.

4. Types de données à caractère personnel traitées

Les données à caractère personnel transférées concernent les catégories de données suivantes :

• Données d'identification et de contact : Prénom, nom, adresse électronique, numéro de téléphone, localisation et identifiants de compte.
• Données de profil et d'éligibilité : Informations de CV, parcours professionnel, disponibilité, critères d'éligibilité, permis et preuves du droit de travailler lorsque cela est demandé.
• Données de formation et de performance : Registres d'inscription, présence, résultats de formation, données VR et télématiques, indicateurs liés à l'attention et analyses de l'apprentissage assistées par IA.
• Données opérationnelles : Données d'utilisation des avantages Perks, statuts des candidatures, métadonnées documentaires, tickets d'assistance, communications, journaux de sécurité et indicateurs de fraude.

5. Données sensibles / catégories particulières de données

• Service Club ne traite pas de données relevant de catégories particulières, de données relatives aux infractions pénales, de données biométriques aux fins d'identification ni de données de santé pour le compte du Client, sauf accord exprès écrit, stricte nécessité et existence d'une base juridique et de garanties appropriées.

Annexe B - Mesures techniques et organisationnelles (TOMs)

La présente Annexe fait partie de l'Accord de traitement des données et décrit les mesures techniques et organisationnelles de sécurité mises en œuvre par Service Club afin de garantir un niveau de sécurité adapté au risque, comme l'exige l'article 32 du RGPD. Ces mesures de référence peuvent être complétées par une documentation interne plus détaillée en matière de sécurité de l'information, que Service Club peut mettre à la disposition du Client sur demande raisonnable, sous réserve de restrictions de confidentialité.

1. Mesures visant à garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement

• Contrôles d'accès : Mise en œuvre de contrôles d'accès fondés sur les rôles (RBAC), garantissant que le personnel n'a accès qu'aux données nécessaires à sa fonction.
• Chiffrement : Les données à caractère personnel sont chiffrées en transit au moyen de TLS 1.3 et au repos au moyen d'un chiffrement AES-256.
• Résilience des systèmes : L'infrastructure est hébergée sur AWS (Irlande). Afin de garantir la résilience, les systèmes sont configurés pour reprendre leur fonctionnement dans une zone de disponibilité alternative en cas de panne, conformément aux SLA applicables.

2. Mesures permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique

• Sauvegardes : Des sauvegardes automatisées et chiffrées des bases de données critiques sont réalisées quotidiennement et conservées pendant une durée de 7 jours.

3. Procédures visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles

• Gestion des vulnérabilités : Mise en œuvre d'une analyse de sécurité dans le pipeline CI/CD ; le code fait l'objet d'une analyse automatique des vulnérabilités avant la mise en production, et les déploiements sont bloqués si des vulnérabilités sont détectées.
• Tests d'intrusion : Tests d'intrusion annuels de la Plateforme Service Club réalisés par un tiers.
• Journaux de sécurité : Journalisation active des actions système et des événements de sécurité au sein de l'infrastructure principale.

4. Mesures d'identification et d'autorisation des utilisateurs

• Mise en œuvre de comptes utilisateurs et d'identifiants distincts et individuels pour l'ensemble du personnel.
• Procédures documentées de listes de contrôle informatiques d'entrée et de sortie visant à garantir que les accès aux systèmes sont accordés de manière appropriée et révoqués manuellement lors du départ d'un salarié ou d'un changement de fonction.

5. Mesures de protection des données lors de leur transmission

• Toutes les données à caractère personnel transmises sur des réseaux externes sont sécurisées au moyen des protocoles de chiffrement TLS 1.3.

6. Mesures visant à garantir la sécurité physique des lieux dans lesquels des données à caractère personnel sont traitées

• Service Club recourt à des fournisseurs cloud et SaaS de premier plan (AWS, Google Workspace, Holded) qui maintiennent des mesures de sécurité physique rigoureuses de niveau entreprise (par exemple, accès biométrique, agents de sécurité 24h/24 et 7j/7) dans leurs centres de données respectifs.
• Les bureaux de Service Club exigent un accès par badge afin d'empêcher toute entrée physique non autorisée.