Accord de sous-traitance de données personnelles (DPA)
Version 1.0 — 18 juillet 2026.
Le présent accord de sous-traitance (« DPA ») est conclu entre :
• le Club : l'organisation qui souscrit au service ScoreSide Football et y enregistre ses équipes et ses membres, agissant en qualité de responsable du traitement au sens de l'article 4.7 du RGPD ;
• ScoreSide : ScoreSide Football, Wallonie, Belgique (football@scoreside.be), éditeur du service, agissant en qualité de sous-traitant au sens de l'article 4.8 du RGPD.
Il constitue une annexe des Conditions générales d'utilisation et est accepté par le Club lors de la souscription au service. En cas de contradiction avec les CGU concernant le traitement de données personnelles, le présent DPA prévaut.
1. Objet
Le présent DPA encadre, conformément à l'article 28.3 du RGPD, les traitements de données personnelles que ScoreSide réalise pour le compte du Club dans le cadre de la fourniture du service ScoreSide Football (application web et fonctionnalités associées : calendrier et convocations, encodage et statistiques de match, tournois, messagerie d'équipe, synchronisation fédérale, carnet d'adresses, notifications). Il ne s'applique pas aux traitements dont ScoreSide est lui-même responsable (compte du souscripteur, demandes de contact, mesure d'audience du site), décrits dans la Politique de confidentialité.
2. Définitions
Les termes « données personnelles », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens que leur donne l'article 4 du RGPD. Les « Données du Club » désignent l'ensemble des données personnelles que le Club saisit, importe ou fait saisir dans le service au sujet de ses membres.
3. Durée
Le présent DPA s'applique pendant toute la durée d'utilisation du service par le Club. Les obligations relatives à la confidentialité, à la sécurité et au sort des données à la fin du traitement survivent à sa résiliation.
4. Description du traitement
La description détaillée du traitement (nature, finalités, catégories de personnes concernées et de données) figure en Annexe 1, qui fait partie intégrante du présent DPA.
5. Instructions du Club
5.1. ScoreSide traite les Données du Club uniquement sur instruction documentée du Club. Constituent des instructions documentées : les CGU, le présent DPA, ainsi que les paramétrages et actions effectués par les utilisateurs autorisés du Club dans l'application (saisie, modification, suppression, réglages de visibilité, gestion des rôles).
5.2. Si ScoreSide estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données, il en informe immédiatement le Club.
5.3. ScoreSide ne traite pas les Données du Club pour son propre compte et ne les utilise pas à des fins commerciales, publicitaires ou de profilage.
6. Obligations du Club
Le Club, en qualité de responsable du traitement, s'engage à :
• disposer d'une base légale valable pour chaque catégorie de données qu'il enregistre dans le service ;
• recueillir et conserver le consentement du titulaire de l'autorité parentale avant d'enregistrer les données d'un membre mineur (identité, photo, présences, participation à la messagerie) ;
• informer les personnes concernées (membres, parents) du traitement de leurs données et de leurs droits ;
• veiller à l'exactitude et à la minimisation des données saisies, et à ne pas enregistrer de données relevant des catégories particulières de l'article 9 du RGPD (le service n'est pas conçu pour de telles données) ;
• utiliser les réglages de visibilité et de rôles conformément à ses obligations, en particulier pour les catégories de jeunes ;
• répercuter sans délai à ScoreSide toute instruction nécessaire à l'exercice des droits des personnes concernées.
7. Obligations de ScoreSide
ScoreSide s'engage à :
• garantir que les personnes autorisées à traiter les Données du Club sont soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, conformément à l'article 32 du RGPD ;
• appliquer la minimisation et le cloisonnement des accès : les Données du Club ne sont accessibles qu'aux membres autorisés du Club, selon leur rôle et leur équipe ;
• tenir le registre des catégories d'activités de traitement prévu à l'article 30.2 du RGPD ;
• ne pas créer de copie des Données du Club en dehors de ce qui est nécessaire au service (sauvegardes comprises).
8. Sous-traitants ultérieurs
8.1. Le Club autorise de manière générale le recours au sous-traitant ultérieur suivant : Supabase — hébergement de la base de données et stockage des fichiers (photos, images) — Union européenne, Allemagne, région de Francfort.
8.2. ScoreSide ne recourt à aucun autre sous-traitant ultérieur. En cas d'ajout ou de remplacement envisagé, ScoreSide en informe le Club préalablement ; le Club dispose d'un délai de trente (30) jours pour formuler une objection motivée. En cas d'objection et à défaut de solution alternative raisonnable, le Club peut résilier le service.
8.3. ScoreSide impose à tout sous-traitant ultérieur, par contrat, des obligations équivalentes à celles du présent DPA et demeure pleinement responsable envers le Club de leur exécution.
9. Transferts hors Union européenne
L'ensemble des Données du Club est hébergé et traité dans l'Union européenne. Aucune donnée n'est transférée vers un pays tiers hors UE/EEE. Tout transfert futur ne pourrait intervenir qu'avec les garanties appropriées prévues au chapitre V du RGPD et après information préalable du Club.
10. Assistance au Club
10.1. Droits des personnes concernées : compte tenu de la nature du traitement, ScoreSide assiste le Club, par des mesures techniques et organisationnelles appropriées, dans la réponse aux demandes d'exercice des droits (accès, rectification, effacement, limitation, opposition, portabilité). Les demandes reçues directement par ScoreSide et portant sur des Données du Club sont transmises au Club sans retard injustifié ; ScoreSide n'y répond que sur instruction du Club. L'application fournit en outre des outils directs : modification du profil, suppression de compte, anonymisation de joueur.
10.2. Sécurité, violations et analyses d'impact : ScoreSide assiste le Club dans le respect de ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact et consultations préalables), compte tenu de la nature du traitement et des informations dont il dispose.
11. Violation de données personnelles
En cas de violation de données personnelles affectant les Données du Club, ScoreSide en informe le Club sans retard injustifié après en avoir pris connaissance, à l'adresse de contact du Club. Cette notification décrit, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, et les mesures prises ou proposées pour y remédier. ScoreSide documente la violation et coopère avec le Club pour lui permettre de respecter ses propres obligations de notification (Autorité de protection des données, personnes concernées).
12. Sort des données à la fin du traitement
12.1. À la fin du service (résiliation, suppression de l'organisation, ou expiration du délai d'inactivité de deux ans prévu par la Politique de confidentialité), ScoreSide supprime les Données du Club, sous réserve des obligations légales de conservation applicables.
12.2. Avant cette suppression, le Club et ses membres peuvent récupérer les contenus qu'ils souhaitent conserver au moyen des fonctionnalités de l'application (notamment le téléchargement des contenus de messagerie).
12.3. Les données de messagerie suivent la durée de conservation spécifique prévue par la Politique de confidentialité (suppression six mois après la fin de la saison concernée). L'historique sportif d'un joueur suit les règles de conservation et d'anonymisation prévues par la Politique de confidentialité ; il est supprimé ou anonymisé sur instruction du Club ou sur demande fondée d'une personne concernée relayée par le Club.
13. Audit
ScoreSide met à la disposition du Club les informations nécessaires pour démontrer le respect du présent DPA. Le Club peut, au maximum une fois par an et moyennant un préavis écrit de trente (30) jours, faire réaliser un audit portant sur le respect du présent DPA, à ses frais, par un auditeur indépendant soumis à confidentialité. L'audit ne peut donner accès ni aux données d'autres clubs, ni aux informations confidentielles de tiers ; il s'exerce en priorité sur base documentaire.
14. Responsabilité
Chaque partie est responsable conformément à l'article 82 du RGPD. ScoreSide n'est responsable que des dommages causés par un traitement pour lequel il n'a pas respecté les obligations du RGPD incombant spécifiquement aux sous-traitants, ou pour lequel il a agi en dehors des instructions licites du Club. Le Club demeure seul responsable de la licéité des données qu'il choisit d'enregistrer et des instructions qu'il donne.
15. Dispositions finales
15.1. Le présent DPA est régi par le droit belge ; tout litige relève des juridictions belges.
15.2. ScoreSide peut mettre à jour le présent DPA, notamment pour refléter l'évolution du service ou du cadre légal. Les modifications substantielles sont notifiées au Club ; la version applicable et sa date sont publiées avec les documents contractuels du service.
15.3. La nullité d'une clause n'affecte pas la validité des autres.
Annexe 1 — Description du traitement
Nature du traitement : hébergement, stockage, structuration, mise à disposition, sauvegarde et suppression des données saisies ou importées dans le service ; envoi de notifications push sur activation par les utilisateurs ; import de données depuis les fédérations belges (RBFA — FFA / Voetbal Vlaanderen) à l'initiative du Club.
Finalité : permettre au Club de gérer la vie de ses équipes — calendrier et convocations, présences, encodage et statistiques de match, tournois, messagerie d'équipe, carnet d'adresses, partage encadré des informations selon les rôles.
Catégories de personnes concernées : joueurs du Club, y compris des mineurs (catégories de jeunes, U6 et au-delà) ; membres du staff ; parents et titulaires de l'autorité parentale ; contacts du carnet d'adresses du Club.
Catégories de données : identité (nom, prénom), catégorie d'âge, photos ; coordonnées (email, téléphone, adresses postales) ; identifiants fédéraux (RBFA / FFA / Voetbal Vlaanderen) ; rattachements familiaux (lien parent–enfant) ; présences, assiduité et participation aux événements ; statistiques sportives et historique de matchs ; contenus de la messagerie d'équipe (messages, images jointes, participations) ; rôles, droits d'accès et abonnements aux notifications. Le service n'est pas destiné aux données relevant des catégories particulières de l'article 9 du RGPD.
Durée : pendant l'utilisation du service, selon les durées de conservation de la Politique de confidentialité (inactivité de l'organisation : 2 ans ; messagerie : 6 mois après la fin de saison).
Annexe 2 — Mesures techniques et organisationnelles (art. 32 RGPD)
• Cloisonnement des accès par organisation et par équipe (Row Level Security au niveau de la base de données) ;
• contrôle d'accès par rôle (propriétaire, administrateur, coach, assistant, joueur, parent, spectateur), avec réglages de visibilité des statistiques par le staff ;
• chiffrement en transit (HTTPS/TLS) pour l'ensemble des échanges ;
• chiffrement des mots de passe (jamais stockés en clair) ;
• hébergement dans l'Union européenne (Allemagne — région de Francfort) chez un hébergeur soumis à un accord de sous-traitance ;
• règles de protection des mineurs dans la messagerie : pas d'échange privé entre joueurs, échanges limités au staff, modération par le staff ;
• outils d'effacement et d'anonymisation : suppression de compte, anonymisation de joueur avec purge des fichiers de stockage associés ;
• minimisation : seules les données nécessaires aux fonctionnalités activées sont collectées.
Version 1.0 — 18 juillet 2026.
Le présent accord de sous-traitance (« DPA ») est conclu entre :
• le Club : l'organisation qui souscrit au service ScoreSide Football et y enregistre ses équipes et ses membres, agissant en qualité de responsable du traitement au sens de l'article 4.7 du RGPD ;
• ScoreSide : ScoreSide Football, Wallonie, Belgique (football@scoreside.be), éditeur du service, agissant en qualité de sous-traitant au sens de l'article 4.8 du RGPD.
Il constitue une annexe des Conditions générales d'utilisation et est accepté par le Club lors de la souscription au service. En cas de contradiction avec les CGU concernant le traitement de données personnelles, le présent DPA prévaut.
1. Objet
Le présent DPA encadre, conformément à l'article 28.3 du RGPD, les traitements de données personnelles que ScoreSide réalise pour le compte du Club dans le cadre de la fourniture du service ScoreSide Football (application web et fonctionnalités associées : calendrier et convocations, encodage et statistiques de match, tournois, messagerie d'équipe, synchronisation fédérale, carnet d'adresses, notifications). Il ne s'applique pas aux traitements dont ScoreSide est lui-même responsable (compte du souscripteur, demandes de contact, mesure d'audience du site), décrits dans la Politique de confidentialité.
2. Définitions
Les termes « données personnelles », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens que leur donne l'article 4 du RGPD. Les « Données du Club » désignent l'ensemble des données personnelles que le Club saisit, importe ou fait saisir dans le service au sujet de ses membres.
3. Durée
Le présent DPA s'applique pendant toute la durée d'utilisation du service par le Club. Les obligations relatives à la confidentialité, à la sécurité et au sort des données à la fin du traitement survivent à sa résiliation.
4. Description du traitement
La description détaillée du traitement (nature, finalités, catégories de personnes concernées et de données) figure en Annexe 1, qui fait partie intégrante du présent DPA.
5. Instructions du Club
5.1. ScoreSide traite les Données du Club uniquement sur instruction documentée du Club. Constituent des instructions documentées : les CGU, le présent DPA, ainsi que les paramétrages et actions effectués par les utilisateurs autorisés du Club dans l'application (saisie, modification, suppression, réglages de visibilité, gestion des rôles).
5.2. Si ScoreSide estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données, il en informe immédiatement le Club.
5.3. ScoreSide ne traite pas les Données du Club pour son propre compte et ne les utilise pas à des fins commerciales, publicitaires ou de profilage.
6. Obligations du Club
Le Club, en qualité de responsable du traitement, s'engage à :
• disposer d'une base légale valable pour chaque catégorie de données qu'il enregistre dans le service ;
• recueillir et conserver le consentement du titulaire de l'autorité parentale avant d'enregistrer les données d'un membre mineur (identité, photo, présences, participation à la messagerie) ;
• informer les personnes concernées (membres, parents) du traitement de leurs données et de leurs droits ;
• veiller à l'exactitude et à la minimisation des données saisies, et à ne pas enregistrer de données relevant des catégories particulières de l'article 9 du RGPD (le service n'est pas conçu pour de telles données) ;
• utiliser les réglages de visibilité et de rôles conformément à ses obligations, en particulier pour les catégories de jeunes ;
• répercuter sans délai à ScoreSide toute instruction nécessaire à l'exercice des droits des personnes concernées.
7. Obligations de ScoreSide
ScoreSide s'engage à :
• garantir que les personnes autorisées à traiter les Données du Club sont soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, conformément à l'article 32 du RGPD ;
• appliquer la minimisation et le cloisonnement des accès : les Données du Club ne sont accessibles qu'aux membres autorisés du Club, selon leur rôle et leur équipe ;
• tenir le registre des catégories d'activités de traitement prévu à l'article 30.2 du RGPD ;
• ne pas créer de copie des Données du Club en dehors de ce qui est nécessaire au service (sauvegardes comprises).
8. Sous-traitants ultérieurs
8.1. Le Club autorise de manière générale le recours au sous-traitant ultérieur suivant : Supabase — hébergement de la base de données et stockage des fichiers (photos, images) — Union européenne, Allemagne, région de Francfort.
8.2. ScoreSide ne recourt à aucun autre sous-traitant ultérieur. En cas d'ajout ou de remplacement envisagé, ScoreSide en informe le Club préalablement ; le Club dispose d'un délai de trente (30) jours pour formuler une objection motivée. En cas d'objection et à défaut de solution alternative raisonnable, le Club peut résilier le service.
8.3. ScoreSide impose à tout sous-traitant ultérieur, par contrat, des obligations équivalentes à celles du présent DPA et demeure pleinement responsable envers le Club de leur exécution.
9. Transferts hors Union européenne
L'ensemble des Données du Club est hébergé et traité dans l'Union européenne. Aucune donnée n'est transférée vers un pays tiers hors UE/EEE. Tout transfert futur ne pourrait intervenir qu'avec les garanties appropriées prévues au chapitre V du RGPD et après information préalable du Club.
10. Assistance au Club
10.1. Droits des personnes concernées : compte tenu de la nature du traitement, ScoreSide assiste le Club, par des mesures techniques et organisationnelles appropriées, dans la réponse aux demandes d'exercice des droits (accès, rectification, effacement, limitation, opposition, portabilité). Les demandes reçues directement par ScoreSide et portant sur des Données du Club sont transmises au Club sans retard injustifié ; ScoreSide n'y répond que sur instruction du Club. L'application fournit en outre des outils directs : modification du profil, suppression de compte, anonymisation de joueur.
10.2. Sécurité, violations et analyses d'impact : ScoreSide assiste le Club dans le respect de ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact et consultations préalables), compte tenu de la nature du traitement et des informations dont il dispose.
11. Violation de données personnelles
En cas de violation de données personnelles affectant les Données du Club, ScoreSide en informe le Club sans retard injustifié après en avoir pris connaissance, à l'adresse de contact du Club. Cette notification décrit, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, et les mesures prises ou proposées pour y remédier. ScoreSide documente la violation et coopère avec le Club pour lui permettre de respecter ses propres obligations de notification (Autorité de protection des données, personnes concernées).
12. Sort des données à la fin du traitement
12.1. À la fin du service (résiliation, suppression de l'organisation, ou expiration du délai d'inactivité de deux ans prévu par la Politique de confidentialité), ScoreSide supprime les Données du Club, sous réserve des obligations légales de conservation applicables.
12.2. Avant cette suppression, le Club et ses membres peuvent récupérer les contenus qu'ils souhaitent conserver au moyen des fonctionnalités de l'application (notamment le téléchargement des contenus de messagerie).
12.3. Les données de messagerie suivent la durée de conservation spécifique prévue par la Politique de confidentialité (suppression six mois après la fin de la saison concernée). L'historique sportif d'un joueur suit les règles de conservation et d'anonymisation prévues par la Politique de confidentialité ; il est supprimé ou anonymisé sur instruction du Club ou sur demande fondée d'une personne concernée relayée par le Club.
13. Audit
ScoreSide met à la disposition du Club les informations nécessaires pour démontrer le respect du présent DPA. Le Club peut, au maximum une fois par an et moyennant un préavis écrit de trente (30) jours, faire réaliser un audit portant sur le respect du présent DPA, à ses frais, par un auditeur indépendant soumis à confidentialité. L'audit ne peut donner accès ni aux données d'autres clubs, ni aux informations confidentielles de tiers ; il s'exerce en priorité sur base documentaire.
14. Responsabilité
Chaque partie est responsable conformément à l'article 82 du RGPD. ScoreSide n'est responsable que des dommages causés par un traitement pour lequel il n'a pas respecté les obligations du RGPD incombant spécifiquement aux sous-traitants, ou pour lequel il a agi en dehors des instructions licites du Club. Le Club demeure seul responsable de la licéité des données qu'il choisit d'enregistrer et des instructions qu'il donne.
15. Dispositions finales
15.1. Le présent DPA est régi par le droit belge ; tout litige relève des juridictions belges.
15.2. ScoreSide peut mettre à jour le présent DPA, notamment pour refléter l'évolution du service ou du cadre légal. Les modifications substantielles sont notifiées au Club ; la version applicable et sa date sont publiées avec les documents contractuels du service.
15.3. La nullité d'une clause n'affecte pas la validité des autres.
Annexe 1 — Description du traitement
Nature du traitement : hébergement, stockage, structuration, mise à disposition, sauvegarde et suppression des données saisies ou importées dans le service ; envoi de notifications push sur activation par les utilisateurs ; import de données depuis les fédérations belges (RBFA — FFA / Voetbal Vlaanderen) à l'initiative du Club.
Finalité : permettre au Club de gérer la vie de ses équipes — calendrier et convocations, présences, encodage et statistiques de match, tournois, messagerie d'équipe, carnet d'adresses, partage encadré des informations selon les rôles.
Catégories de personnes concernées : joueurs du Club, y compris des mineurs (catégories de jeunes, U6 et au-delà) ; membres du staff ; parents et titulaires de l'autorité parentale ; contacts du carnet d'adresses du Club.
Catégories de données : identité (nom, prénom), catégorie d'âge, photos ; coordonnées (email, téléphone, adresses postales) ; identifiants fédéraux (RBFA / FFA / Voetbal Vlaanderen) ; rattachements familiaux (lien parent–enfant) ; présences, assiduité et participation aux événements ; statistiques sportives et historique de matchs ; contenus de la messagerie d'équipe (messages, images jointes, participations) ; rôles, droits d'accès et abonnements aux notifications. Le service n'est pas destiné aux données relevant des catégories particulières de l'article 9 du RGPD.
Durée : pendant l'utilisation du service, selon les durées de conservation de la Politique de confidentialité (inactivité de l'organisation : 2 ans ; messagerie : 6 mois après la fin de saison).
Annexe 2 — Mesures techniques et organisationnelles (art. 32 RGPD)
• Cloisonnement des accès par organisation et par équipe (Row Level Security au niveau de la base de données) ;
• contrôle d'accès par rôle (propriétaire, administrateur, coach, assistant, joueur, parent, spectateur), avec réglages de visibilité des statistiques par le staff ;
• chiffrement en transit (HTTPS/TLS) pour l'ensemble des échanges ;
• chiffrement des mots de passe (jamais stockés en clair) ;
• hébergement dans l'Union européenne (Allemagne — région de Francfort) chez un hébergeur soumis à un accord de sous-traitance ;
• règles de protection des mineurs dans la messagerie : pas d'échange privé entre joueurs, échanges limités au staff, modération par le staff ;
• outils d'effacement et d'anonymisation : suppression de compte, anonymisation de joueur avec purge des fichiers de stockage associés ;
• minimisation : seules les données nécessaires aux fonctionnalités activées sont collectées.
Version 1.0 — 18 juillet 2026.