DÉCLARATION DE PROTECTION DES DONNÉES SELON ART. 28 RGPD Accord sur le traitement des données à caractère personnel

1. Magicline fournit les services suivants au club de sport :

(i) Les informations suivantes donnent un aperçu simple de ce qui arrive à vos données à caractère personnel lorsque vous visitez ce site web. Les données à caractère personnel sont toutes les données avec lesquelles vous pouvez être personnellement identifié. Pour des informations détaillées sur le sujet de la protection des données, veuillez vous référer à notre déclaration sur la protection des données qui figure sous ce texte.

(ii) Traitement des données fournies par le club de sport en vue de la réalisation d'analyses de marché anonymes

2. Magicline est tenu de traiter toutes les données personnelles auxquelles Magicline a accès dans le cadre de l'exécution des services dus au titre du présent contrat, en les séparant strictement de toutes les données de Magicline ainsi que des données de tiers conformément aux spécifications du club de sport.

3. Les données des groupes de personnes suivants sont concernées par le traitement des données de commande :

(i) les employés du club de sport et

(ii) Les clients du club de sport (ci-après "les membres du club de sport "). Sans exception, les données personnelles suivantes du cercle de personnes concernées susmentionné sont concernées.

(iii) En ce qui concerne les employés du club de sport :

• Nom, adresse, IBAN, BIC de l'employé concerné
• Date de naissance de l'employé concerné
• Photo de l'employé concerné
• Durée du contrat et conditions de paiement de l'employé concerné
• Les dettes impayées de l'employé concerné
• Données sur le type et l'étendue de l'utilisation des services offerts par le club de sport par les employés (fréquence et durée d'utilisation)

(iv) En ce qui concerne les membres du club de sport :

• Nom, adresse, IBAN, BIC du membre concerné
• Date de naissance du membre concerné
• Photo du membre respectif
• Durée du contrat et conditions de paiement du membre concerné
• Les engagements ouverts du membre concerné
• Données sur le type et l'étendue de l'utilisation des services offerts par le club de sport par le membre (fréquence et durée d'utilisation)

4. Le traitement des données susmentionnées a pour but, d'une part, d'aider le club de sport à gérer les contrats conclus avec les membres du club de sport (gestion des membres). D'autre part, l'objectif est de fournir au club de sport des données sur le marché intérieur et extérieur pour ses analyses de marché sous forme anonyme en utilisant les données des membres du club de sport. Le traitement des données des employés a pour but de fournir au club de sport un soutien technique dans l'administration du personnel.

(1) Magicline traite les données exclusivement conformément aux dispositions du contrat conclu avec le club de sport et dans le cadre des instructions émises par le club de sport. Magicline n'utilisera pas les données fournies pour le traitement des données d'une autre manière et ne conservera pas les données plus longtemps que le club de sport ne l'aura déterminé.

(2) Le client est seul responsable de la recevabilité du traitement des données et de la sauvegarde des droits des personnes dont les données sont traitées (les personnes concernées) conformément aux articles 12 à 22 RGPD.

(3) Magicline soutient le client dans l'accomplissement de ses obligations envers les personnes concernées.

(4) Le mandataire donne toutes les instructions, en règle générale par écrit ou par courrier électronique. Les instructions données oralement doivent être immédiatement confirmées par écrit ou par courrier électronique.

(1) Chez Magicline est désigné comme responsable de la protection des données de l'entreprise : Marc Althaus, DS Extern GmbH, Bredkamp 53a, 22589 Hamburg, https://www.dsextern.de/anfragen

(2) Le délégué à la protection des données veille à la mise en œuvre des RGPD de l'UE et des autres dispositions relatives à la protection des données en ce qui concerne la relation contractuelle. À cette fin, le délégué à la protection des données effectue des contrôles réguliers. Un procès-verbal des contrôles est établi. Si le délégué à la protection des données découvre des irrégularités dans le traitement des données dans le cadre de ses fonctions, il en informe immédiatement la direction de Magicline. Un changement de responsable de la protection des données sera immédiatement communiqué au club de sport.

(1) Magicline ne peut pas transmettre les données personnelles fournies à des tiers sans instructions écrites du club.

(2) Magicline doit traiter tous les dossiers, documents et autres supports d'information fournis dans le cadre de la commande avec une confidentialité absolue. Cela s'applique également à toutes les autres informations qui sont portées à la connaissance de Magicline pendant l'exécution de l'ordre. Cette obligation s'applique pendant et aussi après la fin du contrat.

(3) Magicline s'engage à maintenir la confidentialité au sens de l'art. 28 al. 3 b) RGPD lors du traitement des données personnelles du client conformément à la commande. Le contractant garantit qu'il familiarisera le personnel chargé de l'exécution des travaux avec les dispositions relatives à la protection des données qui lui sont applicables avant de commencer à travailler et l'obligera à maintenir la confidentialité d'une manière appropriée pendant la durée de son travail ainsi qu'après la fin de la relation de travail. Le contractant veille au respect des dispositions de la loi sur la protection des données dans son entreprise.

En ce qui concerne la correction, le blocage et la suppression des données, Magicline n'agira que sur instructions du club. Dans la mesure où une personne concernée doit contacter directement Magicline afin de corriger ou de supprimer ses données, Magicline transmettra cette demande au club sans délai.

(1) Au moment de la conclusion du présent accord, les sociétés énumérées à l'annexe 2 sont des sous-traitants pour des services partiels pour le contractant et traitent et/ou utilisent également les données de la commande directement dans ce contexte. Pour ces sous-traitants, le consentement à agir est accordé. Les sous-traitants dans les pays tiers ne peuvent être mandatés que si les exigences particulières des articles 44 et suivants de la RGPD sont respectées (par exemple, décision de la Commission sur le caractère approprié, clauses types de protection des données, règles de conduite approuvées).

(2) Le contractant informe le pouvoir adjudicateur de tout changement prévu concernant le recours à des sous-traitants autres que ceux visés à l'appendice 2 ou leur remplacement, en donnant au pouvoir adjudicateur la possibilité de s'opposer à ces changements. Il en va de même si le contractant, afin de remplir ses obligations de performance contractuellement assumées, fait appel à d'autres tiers. Dans ce cas, chaque nouveau sous-traitant doit être notifié au client par écrit avant que la commande ne soit passée, afin que le client puisse s'opposer à la commande dans un délai d'une semaine à compter de la réception de la notification.

(3) Si le client refuse de donner son consentement par son objection pour des raisons autres que la bonne cause, le contractant peut résilier le contrat avec le client au moment de l'utilisation prévue du sous-traitant sans que le client puisse prétendre à des dommages-intérêts ou à d'autres demandes de paiement contre le contractant à cet égard.

(4) Le contractant doit choisir consciencieusement chaque sous-traitant en tenant particulièrement compte de son aptitude à remplir les mesures techniques et organisationnelles convenues entre le client et le contractant.

(5) Lorsque, aux fins du présent accord, le contractant est autorisé à recourir aux services d'un sous-traitant pour effectuer certaines activités de traitement en vue de remplir des obligations de performance à l'égard du donneur d'ordre, les mêmes obligations que celles prévues dans le contrat entre le donneur d'ordre et le contractant sont imposées à ce sous-traitant par voie contractuelle. Cela s'applique en particulier aux exigences de confidentialité, de protection et de sécurité des données ainsi qu'aux droits de contrôle et d'inspection du client décrits dans le présent accord. En outre, des garanties suffisantes doivent être fournies pour que les mesures techniques et organisationnelles appropriées soient prises de telle sorte que le traitement soit effectué conformément aux exigences des RGPD.

(6) Sur demande écrite, le client est en droit d'obtenir du sous-traitant des informations sur ses obligations en matière de protection des données, le cas échéant en consultant également les documents contractuels pertinents. Dans les conditions prévues au § 8 de ce contrat, des inspections sur place du client dans les locaux du sous-traitant doivent être possibles.

(7) Une relation de sous-traitance nécessitant une approbation n'existe pas si le contractant fait appel à des tiers à titre de service accessoire au service principal, tels que des services de personnel, de poste et d'expédition. Le contractant est toutefois tenu de conclure des accords contractuels appropriés et conformes à la loi et de prendre des mesures de contrôle pour assurer la protection et la sécurité des données du client, même dans le cas de services auxiliaires sous-traités à des tiers. Les services auxiliaires doivent être spécifiés en détail à l'avance.

(1) Si Magicline estime qu'une instruction enfreint la RGPD ou d'autres règlements sur la protection des données, Magicline doit en informer immédiatement le club de sport.

(2) Les obligations du contractant en cas de perturbations, de suspicion de violations de la protection des données ou d'autres irrégularités dans le traitement découlent de l'article 10 du présent contrat.

(1) Le client est autorisé à vérifier, par l'intermédiaire d'un mandataire tenu au secret, avant le début du service et régulièrement pendant la durée du service à des intervalles appropriés, le respect des mesures techniques et organisationnelles de protection des données et de traitement des données de Magicline et de ses sous-traitants.

(2) Au lieu d'une inspection sur place, Magicline peut également fournir la preuve de la conformité avec les mesures techniques et organisationnelles en présentant un rapport d'inspection actuel approprié de personnes indépendantes (par exemple des auditeurs, un responsable de la protection des données ou des auditeurs de qualité) ou une certification appropriée par un audit de sécurité informatique ou de protection des données - par exemple conformément à la protection numérique BSI - ("rapport d'inspection"). Le rapport d'audit doit permettre au club de sport de s'assurer de manière appropriée que les mesures techniques et organisationnelles ont été respectées.

(1) Le contractant prend les mesures techniques et organisationnelles appropriées pour assurer un niveau de protection proportionnel au risque pour les droits et libertés des personnes concernées. Pour ce faire, il faut tenir compte de l'état de la technique, des coûts de mise en œuvre et de la nature, de l'étendue et des objectifs du traitement ainsi que de la probabilité variable d'occurrence et de la gravité du risque au sens de l'art. 32 al. 1 RGPD. Les mesures techniques et organisationnelles concrètes prises par le contractant sont énumérées à l'annexe 1.

(2) Les mesures techniques et organisationnelles étant soumises au progrès technique et au développement technologique, le contractant peut mettre en œuvre d'autres mesures et des mesures équivalentes, à condition que le niveau de sécurité des mesures spécifiées à l'annexe 1 ne soit pas compromis. Les modifications importantes apportées aux mesures doivent être documentées par le contractant et mises à la disposition du client sur demande.

(1) Le contractant doit informer le client sans délai si lui-même ou une personne employée par lui a violé les règles de protection des données personnelles, les spécifications du présent accord ou une instruction donnée par la personne responsable, s'il existe des indications qu'un tiers - pour quelque raison que ce soit - a pu avoir connaissance de données contractuelles de manière illicite, ou si une menace pour l'intégrité ou la confidentialité des données contractuelles s'est produite de toute autre manière ("incident de sécurité des données").

(2) Les informations sur l'incident de sécurité des données contiennent des indications sur le moment et la nature de l'incident (y compris des informations sur l'ordre dans lequel les données sont concernées et sous quelle forme), le système informatique concerné, les personnes concernées, le moment de la découverte, les conséquences négatives éventuelles de l'incident de sécurité des données, ainsi que les mesures prises par le contractant et toutes les autres informations prévues à l'art. 33 al. 3 OODS. En outre, le mandataire doit indiquer expressément si une violation de la protection des données personnelles est susceptible d'entraîner un risque pour les droits et libertés des personnes physiques au sens de l'art. 33 al. 1 phrase 1 DSGVO et si ce risque est susceptible d'être élevé au sens de l'art. 34 al. 1 DSGVO.

(3) Une information initiale du client doit être fournie immédiatement, une information dédiée, qui doit contenir toutes les informations conformément au paragraphe (2) ci-dessus, si possible, dans les 24 heures après que l'incident de sécurité des données a été connu.

(4) Après avoir pris connaissance d'un incident relatif à la sécurité des données, le contractant prend immédiatement toutes les mesures raisonnables pour réduire au minimum et éliminer les menaces qui en résultent pour l'intégrité ou la confidentialité des données de la commande, pour sécuriser les données de la commande et pour prévenir ou limiter autant que possible toute conséquence négative pour les personnes concernées.

(5) En cas d'incident de sécurité des données, le contractant est tenu de soutenir le client dans ses efforts pour clarifier la situation et y remédier, y compris toutes les actions visant à remplir les obligations légales, à la première demande, dans les limites du raisonnable.

(6) Le contractant est tenu de procéder à une analyse des causes immédiatement après avoir pris connaissance d'un incident de sécurité des données, de documenter ces causes et de remettre la documentation au client sur demande. Si le contractant constate au cours de l'analyse que les mesures techniques et organisationnelles prises jusqu'à présent pour protéger les données de la commande ne sont pas suffisantes pour établir un niveau de protection approprié, il met en œuvre à ses frais les mesures techniques et organisationnelles supplémentaires nécessaires.

(1) Le présent accord commence dès sa signature et est conclu pour la durée de l'accord principal (limitation résolutoire).

(2) Les droits de résiliation des parties sans préavis restent inchangés. Le club de sport est autorisé à résilier ce contrat sans préavis en cas de violation grave par Magicline des réglementations applicables en matière de protection des données ou des obligations découlant de ce contrat, si Magicline ne peut ou ne souhaite pas exécuter une instruction du club de sport ou refuse l'exercice des droits de contrôle par le club de sport en violation du contrat.

(3) Chaque partie a le droit de résilier le présent contrat avec un préavis de deux semaines à la fin d'un mois civil si l'exécution du contrat principal et/ou l'exécution du présent contrat est contestée par une autorité de contrôle compétente en la matière (notamment l'autorité compétente en matière de protection des données) et qu'un délai fixé par cette autorité pour remédier aux défauts constatés par celle-ci expire sans succès ou qu'au moins une des parties se voit interdire par l'autorité compétente en la matière de poursuivre l'exécution du contrat de partenariat et/ou du présent contrat.

(4) Toute résiliation doit être faite par écrit.

(1) Magicline doit corriger, supprimer ou bloquer les données personnelles du contractant si celui-ci l'exige par le biais d'une instruction et si les intérêts justifiés du contractant ne s'y opposent pas.

(2) A la fin de ce contrat ou plus tôt sur demande du client, Magicline doit remettre au client tous les documents et données en rapport avec la relation contractuelle ou les détruire conformément aux règles de protection des données avec un accord préalable.

(3) Les documents qui servent à Magicline de preuve du traitement ordonné et correct des données peuvent être conservés par Magicline conformément aux périodes de conservation respectives au-delà de la fin du contrat.

(1) Aucun accord de garantie oral n'a été conclu. Les modifications et compléments de ce contrat nécessitent la forme réglementée au § 28 al. 9 DSGVO. Cela s'applique également à toute modification de l'exigence de forme écrite elle-même.

(2) Si une disposition du contrat est ou devient invalide, les parties s'engagent à remplacer la disposition invalide par une disposition valide qui se rapproche le plus possible de l'intention économique des parties. Il en va de même en cas de lacune dans la réglementation.

(3) Le lieu de juridiction exclusif pour tous les litiges découlant du présent contrat et en rapport avec celui-ci est Hambourg. Les parties s'accordent sur l'applicabilité du droit allemand.