Accord de traitement des données DiveOpsHub

Le présent accord de traitement des données (« Accord de traitement des données ») fait partie du contrat entre :

• Responsable du traitement : le Client (école de plongée, centre de plongée ou autre entreprise) qui utilise DiveOpsHub (« Responsable ») ; et
• Sous-traitant : IJsselmuiden Management B.V., agissant sous le nom DiveOpsHub, Noorder Leidsevaart 1, 2182 NA Hillegom (« DiveOpsHub »).

Article 1 — Notions

Les notions telles que données à caractère personnel, traitement, personne concernée, données concernant la santé, violation de données à caractère personnel (fuite de données), sous-traitant ultérieur et autorité de contrôle ont le sens défini par le RGPD. Les autres notions ont le sens défini dans les Conditions générales de DiveOpsHub.

Article 2 — Objet, nature et finalité

2.1 DiveOpsHub traite les données à caractère personnel exclusivement aux fins de la fourniture du Service au Responsable, comme décrit à l'Annexe 1.

2.2 Le traitement consiste en la collecte (y compris via le portail client et la page d'inscription), le stockage, la consultation, la modification, la transmission (e-mail, connexions), la conservation et la suppression de données dans le Service.

2.3 DiveOpsHub ne traite les données que sur la base d'instructions écrites du Responsable. Le présent Accord de traitement des données, les paramètres que le Responsable choisit dans le Service (tels que les modules et connexions activés) et les actions de ses Utilisateurs valent instructions à cet égard. Si DiveOpsHub est légalement tenue d'effectuer un traitement, elle le signale au préalable, sauf si la loi l'interdit.

2.4 DiveOpsHub ne traite pas les données à ses propres fins et ne les vend pas. Les données d'utilisation anonymisées et agrégées qui ne permettent pas d'identifier des personnes ne relèvent pas de cette disposition.

Article 3 — Durée

3.1 Le présent Accord de traitement des données s'applique tant que DiveOpsHub traite des données à caractère personnel pour le Responsable, y compris pendant les durées de conservation après la résiliation (article 13).

3.2 Les obligations qui, par leur nature, perdurent (telles que la confidentialité) restent en vigueur après la résiliation.

Article 4 — Personnes concernées et données

4.1 Les catégories de personnes concernées et de données à caractère personnel, y compris les catégories particulières de données à caractère personnel (santé), figurent à l'
Annexe 1.

4.2 Le Responsable garantit qu'il dispose d'une base juridique valable pour chaque traitement, en particulier pour les données concernant la santé, les données de mineurs et les copies de pièces d'identité, et qu'il en informe les personnes concernées.

Article 5 — Obligations de DiveOpsHub

5.1 DiveOpsHub traite les données exclusivement conformément aux instructions du Responsable.

5.2 Toute personne ayant accès aux données pour le compte de DiveOpsHub est tenue à la confidentialité.

5.3 DiveOpsHub apporte une assistance raisonnable en ce qui concerne les demandes des personnes concernées (article 9), la sécurité (article 6), les violations de données (article 7) ainsi que les analyses d'impact relatives à la protection des données (AIPD) et les consultations préalables.

5.4 DiveOpsHub signale si, à son avis, une instruction enfreint le RGPD ou une autre législation.

5.5 DiveOpsHub tient un registre des traitements qu'elle effectue en tant que sous-traitant (article 30, paragraphe 2, du RGPD).

Article 6 — Sécurité

6.1 DiveOpsHub prend des mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, compte tenu de la nature des données, dont les données de santé. Un aperçu figure à l'Annexe 2.

6.2 DiveOpsHub peut actualiser les mesures tant que le niveau de protection reste au moins équivalent.

6.3 DiveOpsHub n'utilise pas de données à caractère personnel du Responsable pour des tests ou du développement, sauf si le Responsable y consent par écrit ; dans ce cas, cela se fait dans un environnement isolé et, si possible, avec des données pseudonymisées ou anonymisées.

Article 7 — Violations de données

7.1 DiveOpsHub informe le Responsable sans retard injustifié et, si possible, dans les 48 heures après en avoir pris connaissance, de toute violation de données concernant les données du Responsable.

7.2 DiveOpsHub fournit à cette occasion les informations dont le Responsable a raisonnablement besoin pour satisfaire à son obligation de notification auprès de l'Autoriteit Persoonsgegevens (autorité néerlandaise de protection des données) et, le cas échéant, des personnes concernées, et prend des mesures pour en limiter les conséquences.

7.3 La notification à l'autorité de contrôle et aux personnes concernées relève de la responsabilité du Responsable, sauf convention contraire.

Article 8 — Accès par DiveOpsHub

8.1 Les collaborateurs de DiveOpsHub et les outils auxquels elle fait appel (Annexe 3) n'ont accès aux données que dans la mesure nécessaire à la fourniture, à la gestion et à la sécurisation du Service et à la résolution des pannes.

8.2 L'accès au serveur s'effectue uniquement via des connexions personnelles sécurisées par des clés ; l'accès aux données est limité autant que possible à des comptages et des mesures, sans consulter le contenu.

8.3 DiveOpsHub n'utilise l'assistant IA (Annexe 3) que par l'intermédiaire d'un compte professionnel couvert par un accord de traitement des données avec le fournisseur. Seules les données nécessaires à la tâche sont demandées, si possible des comptages et des mesures plutôt que le contenu ; l'assistant ne stocke aucune donnée à caractère personnel sur le serveur. Les journaux de ces travaux se trouvent sur l'ordinateur d'administration de DiveOpsHub et sont supprimés après 30 jours.

Article 9 — Droits des personnes concernées

9.1 Le Service aide le Responsable à traiter les demandes des personnes concernées, notamment au moyen d'exports des données clients et équipements, de la modification et de la suppression de données et du portail client dans lequel un Client final peut consulter ses propres données, formulaires et rapports d'entretien.

9.2 DiveOpsHub apporte une assistance complémentaire raisonnable (accès, rectification, effacement, limitation, portabilité, opposition).

9.3 Si DiveOpsHub reçoit une demande directement d'une personne concernée, elle la renvoie vers le Responsable et en informe le Responsable ; elle ne traite pas la demande de manière autonome.

Article 10 — Sous-traitants ultérieurs

10.1 Le Responsable donne à DiveOpsHub une autorisation générale de faire appel à des sous-traitants ultérieurs. Les sous-traitants ultérieurs actuels figurent à l'Annexe 3.

10.2 DiveOpsHub impose aux sous-traitants ultérieurs des obligations au moins comparables à celles du présent Accord de traitement des données et reste responsable envers le Responsable de leurs agissements.

10.3 DiveOpsHub annonce tout sous-traitant ultérieur nouveau ou de remplacement au moins 30 jours à l'avance par e-mail. Le Responsable peut formuler une objection motivée dans ce délai ; si la concertation n'aboutit pas à une solution, il peut mettre fin au service concerné.

10.4 Les parties que le Responsable choisit et connecte lui-même (telles que son logiciel de comptabilité ou Google Drive) ne sont pas des sous-traitants ultérieurs de DiveOpsHub. DiveOpsHub leur transmet des données sur instruction du Responsable, qui conclut lui-même un contrat à cet effet avec cette partie.

Article 11 — Transfert hors de l'EEE

11.1 Le Service est hébergé au sein de l'Union européenne (Finlande).

11.2 Certains sous-traitants ultérieurs (Annexe 3) sont établis aux États-Unis ou peuvent y traiter des données. Dans ces cas, DiveOpsHub met en place un mécanisme de transfert approprié conformément au chapitre V du RGPD, tel que la certification au titre de l'EU-US Data Privacy Framework ou les clauses contractuelles types de l'UE.

Article 12 — Audits

12.1 Sur demande, DiveOpsHub met à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD.

12.2 Le Responsable peut effectuer (ou faire effectuer) un audit au maximum une fois par an, moyennant un préavis raisonnable et sans perturber inutilement l'activité. Les frais sont à la charge du Responsable, sauf si l'audit révèle un manquement substantiel de DiveOpsHub.

Article 13 — Conservation, restitution et suppression

13.1 Pendant la durée du Contrat, le Responsable détermine la durée de conservation des données, à l'exception des durées de conservation fixes figurant à l'Annexe 1, que le Service applique automatiquement.

13.2 À la fin du Service, le Responsable peut demander un export pendant 30 jours. Après la suppression de son environnement, DiveOpsHub conserve encore les fichiers et une copie de la base de données pendant trois mois civils, puis les supprime ; les copies figurant dans les sauvegardes expirent au plus tard 60 jours plus tard. Les obligations légales de conservation restent applicables.

Article 14 — Responsabilité

Le régime de responsabilité des Conditions générales de DiveOpsHub s'applique au présent Accord de traitement des données, sans préjudice du droit impératif et de l'article 82 du RGPD.

Article 15 — Dispositions finales

15.1 En cas de contradiction avec les Conditions générales, le présent Accord de traitement des données prévaut en ce qui concerne le traitement des données à caractère personnel.

15.2 Le présent Accord de traitement des données est régi par le droit néerlandais.

Annexe 1 — Aperçu du traitement

Finalité : l'administration et la gestion de l'activité du Responsable via le Service : gestion des clients, cours et formation, location, entretien et inspection des équipements, caisse et facturation, cartes de gonflage, cartes à séances et cartes cadeaux, formulaires et signature, communication avec les Clients finaux et les connexions choisies par le Responsable.

Catégories de personnes concernées :

• clients et élèves du Responsable, y compris des mineurs ;
• parents ou tuteurs qui signent pour un mineur ;
• personnes qui s'inscrivent via la page d'inscription du Responsable ;
• collaborateurs, instructeurs et autres Utilisateurs du Responsable ;
• personnes de contact des fournisseurs et relations d'affaires du Responsable.

Catégories de données à caractère personnel :

• données d'identification et de contact : nom, adresse, e-mail, téléphone, date de naissance, langue ;
• copie (photo) d'une pièce d'identité lors d'une location ;
• photo d'identité pour un brevet ;
• certifications et brevets de plongée, inscriptions aux cours, progression par leçon, notes des instructeurs ;
• données de santé (catégories particulières de données à caractère personnel) : questionnaires médicaux, déclarations d'aptitude, la date de la déclaration médicale, la nécessité ou non d'une autorisation médicale, ainsi que le numéro RDC et sa date d'expiration ;
• formulaires et déclarations signés, avec signature (sous forme d'image), horodatage, appareil et adresse IP ;
• équipements des clients, bons d'entretien, inspections, rapports d'entretien et photos ;
• données de location : remise, retour, caution ;
• achats, factures, paiements, devis et soldes des cartes de gonflage, cartes à séances et cartes cadeaux ;
• e-mails envoyés (destinataire, objet, horodatage, contenu) ;
• identifiants de connexion (mots de passe uniquement sous forme chiffrée), moments de connexion, adresses IP dans les journaux de sécurité et les journaux système.

Durées de conservation fixes que le Service applique automatiquement :

Les obligations fiscales de conservation (telles que 7 ans pour les factures) relèvent de la responsabilité du Responsable ; le Service ne supprime pas les factures de lui-même.

Annexe 2 — Mesures de sécurité

• Hébergement : Hetzner, centre de données d'Helsinki (Finlande), au sein de l'UE.
• Connexions : exclusivement chiffrées (HTTPS/TLS, certificats renouvelés automatiquement, HSTS).
• Séparation : chaque client dispose de sa propre base de données distincte ; les fichiers sont séparés par client.
• Accès : rôles et droits par module, y compris un droit distinct pour la consultation des formulaires médicaux ; les formulaires ne s'ouvrent que pour les personnes autorisées à enregistrer ; les sessions expirent en cas de désactivation, de changement de rôle ou de réinitialisation du mot de passe.
• Connexion : mots de passe stockés sous forme hachée ; limitation du nombre de tentatives de connexion et d'e-mails de connexion ; les liens de connexion au portail client ne fonctionnent qu'une fois et sont valables 30 minutes.
• Sécurité web : en-têtes de sécurité, dont une Content Security Policy ; protection contre la falsification de requête intersites (cross-site request forgery) ; limitation des téléversements (type et taille) ; récupération sécurisée des fichiers externes.
• Stockage des clés : clés d'accès pour les connexions (telles que Moneybird) chiffrées dans la base de données du client ; secrets du Service hors du code source, lisibles uniquement par le serveur.
• Serveur : l'application fonctionne de manière isolée du reste du système (droits limités, répertoire du programme en lecture seule) ; les fichiers téléversés ne sont lisibles que par l'application.
• Sauvegardes : quotidiennes, de toutes les bases de données et de tous les fichiers, sur le serveur et sur un site externe, avec une surveillance automatique qui avertit si une sauvegarde n'a pas lieu ; la restauration a été testée.
• Journal : les actions telles que la signature, la validation et la modification d'éléments de liste de contrôle sont enregistrées avec l'horodatage et le collaborateur.
• Maintenance : mises à jour de sécurité du système d'exploitation et des bibliothèques logicielles ; audit de sécurité périodique du code (le dernier en septembre 2026).
• Durées de conservation : appliquées automatiquement conformément à l'Annexe 1, avec une surveillance qui signale si une opération de nettoyage n'a pas lieu.

Annexe 3 — Sous-traitants ultérieurs

Pas un sous-traitant ultérieur (à titre de clarification) :

• Mollie B.V. : uniquement pour l'abonnement que le Client paie à DiveOpsHub ; ne traite aucune donnée des Clients finaux.
• Healthchecks.io : reçoit uniquement un signal technique indiquant qu'une tâche a été exécutée, sans données à caractère personnel.
• Moneybird, Google Drive et un ancien système de caisse du Client : connectés sur instruction du Client (article 10.4).