Accord de sous-traitance des données personnelles
Article 28 du règlement (UE) 2016/679 (RGPD). Version du 18 septembre 2026. Politique de confidentialité · Conditions d'utilisation
Le présent accord fait partie des conditions d'utilisation de Volunteo pour tout organisateur qui y gère des bénévoles. Il s'applique sans signature. Un organisateur qui a besoin d'un exemplaire signé pour ses propres obligations télécharge la version PDF, la signe, et nous la renvoie par le formulaire de contact ; nous la retournons contresignée.
1. Parties et rôles
Le responsable du traitement : l'organisateur, personne morale ou physique, qui crée un événement sur Volunteo et y invite des bénévoles.
Le sous-traitant : Anthony Lannuzel, éditeur de Volunteo (volunteo.com), 4 rue Choquet de Lindu, 29200 Brest, France.
Le sous-traitant traite les données des bénévoles uniquement pour le compte de l'organisateur et selon ses instructions documentées, c'est-à-dire l'usage des fonctionnalités de Volunteo tel que paramétré par l'organisateur. Les données du compte de l'organisateur lui-même (identifiants, facturation) relèvent de la politique de confidentialité, pour laquelle l'éditeur est responsable du traitement.
2. Objet, durée, nature et finalité du traitement
Objet : gestion des bénévoles d'un événement — inscription, informations demandées par l'organisateur, équipes, disponibilités, créneaux, affectations, communication par email, badges et documents, exports.
Durée : tant que l'organisateur conserve son événement sur Volunteo, puis les délais de la section 7.
Nature : collecte, enregistrement, organisation, conservation, consultation, communication aux responsables désignés par l'organisateur, extraction (exports), effacement.
Personnes concernées : les bénévoles et les responsables de l'événement.
Catégories de données : identité et coordonnées, date de naissance, photo, informations complémentaires définies par l'organisateur (y compris fichiers déposés), disponibilités et affectations, journal des actions. L'organisateur s'engage à ne pas demander de données sensibles au sens de l'article 9 du RGPD (santé, opinions, etc.) sans base légale propre ; s'il en collecte via un champ personnalisé, il en assume seul la licéité.
3. Obligations du sous-traitant
- Ne traiter les données que sur instruction de l'organisateur ; informer l'organisateur si une instruction lui paraît contraire au RGPD.
- Garantir la confidentialité : les personnes autorisées à accéder aux données (l'éditeur, pour l'assistance et la maintenance) sont tenues à une obligation de confidentialité.
- Mettre en œuvre les mesures de sécurité de la section 6.
- Aider l'organisateur à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, limitation, portabilité, opposition) : les bénévoles peuvent exercer la plupart de ces droits eux-mêmes depuis leur profil ; pour le reste, le sous-traitant fournit les données ou procède aux opérations demandées dans un délai compatible avec le mois légal.
- Notifier à l'organisateur toute violation de données à caractère personnel dans les meilleurs délais après en avoir eu connaissance, et au plus tard sous 48 heures, avec les informations nécessaires à sa propre notification à la CNIL.
- Aider l'organisateur, sur demande et dans la mesure du possible, pour les analyses d'impact et les consultations préalables de l'autorité de contrôle.
- Tenir un registre des catégories d'activités de traitement effectuées pour le compte des organisateurs.
4. Sous-traitants ultérieurs
L'organisateur autorise de manière générale le recours aux sous-traitants ultérieurs suivants, liés par des obligations équivalentes à celles du présent accord :
| Sous-traitant ultérieur | Rôle | Localisation |
|---|---|---|
| Gandi SAS | Hébergement du serveur (VPS) de l'application et de la base de données ; sauvegardes chiffrées sur un second espace | France |
| Stripe Payments Europe Ltd | Paiement par carte des organisateurs (données de l'organisateur uniquement) | Irlande ; transferts vers Stripe Inc. (États-Unis) encadrés par les clauses contractuelles types |
| Functional Software Inc. (Sentry) | Rapports d'erreurs applicatives, sans adresse IP ni cookies | Union européenne (Allemagne) |
Tout changement de cette liste est annoncé sur la politique de confidentialité au moins 30 jours avant ; l'organisateur peut s'y opposer par écrit, auquel cas il peut résilier son usage du service et exporter ses données avant la prise d'effet.
5. Localisation et transferts
Les données sont hébergées et sauvegardées en France. Aucun transfert de données de bénévoles hors de l'Union européenne n'a lieu. Le seul transfert hors UE concerne les données de paiement de l'organisateur chez Stripe, encadré par les clauses contractuelles types de la Commission européenne.
6. Mesures de sécurité
- Chiffrement des connexions (HTTPS), mots de passe stockés hachés.
- Droits d'accès par rôle : chaque responsable ne voit que les équipes que l'organisateur lui confie ; accès administrateur restreint à l'éditeur, journalisé.
- Journal des actions sur chaque événement, consultable par l'organisateur.
- Sauvegardes quotidiennes chiffrées, hors site, fenêtre glissante de 30 jours ; procédure de restauration testée.
- Mises à jour de sécurité du système et des dépendances ; surveillance des erreurs et de la délivrabilité des emails.
- Suppression automatique des fichiers déposés par les bénévoles dans les champs personnalisés 12 mois après la fin de l'édition ; anonymisation des comptes de bénévoles dormants après 3 ans, précédée d'un avertissement par email 30 jours avant ; les comptes d'organisateurs ne sont jamais anonymisés.
7. Sort des données à la fin du traitement
À la suppression de l'événement par l'organisateur, ou à la résiliation, les données des bénévoles rattachées à cet événement sont supprimées de la base ; les fichiers déposés le sont au plus tard sous 30 jours ; les sauvegardes s'effacent par roulement sous 30 jours. Avant suppression, l'organisateur peut exporter l'intégralité de ses données depuis l'application (exports Excel et CSV, photos). Les données de facturation de l'organisateur sont conservées 10 ans au titre des obligations comptables.
8. Audit
Le sous-traitant met à disposition de l'organisateur les informations nécessaires pour démontrer le respect du présent accord : cette page, la politique de confidentialité, le registre des traitements sur demande. Un audit sur place, à la charge de l'organisateur et sur préavis raisonnable d'un mois, est possible une fois par an au plus, sans accès aux données des autres organisateurs.
9. Divers
Le présent accord est régi par le droit français. En cas de contradiction avec les conditions d'utilisation, le présent accord prévaut pour ce qui concerne les données personnelles. Il est mis à jour au besoin ; la version en vigueur est celle publiée à cette adresse, datée en tête.