Accord de sous-traitance des données

Dernière mise à jour : 27 octobre 2026

1. Parties et durée

Cet accord lie l’association cliente (l’« Association »), responsable de traitement, et Burdigo, société par actions simplifiée en cours d’immatriculation (« Burdigo »), sous-traitant, identifié à l’article 1 des conditions générales. Il complète les conditions générales (les « Conditions »), dont il fait partie, et en reprend les définitions (Espace, Bureau, Membres). Il dure autant que l’abonnement, plus le délai de restitution de l’article 9.

2. Description du traitement

• Objet et finalité : fournir l’Espace (site, espace membre, gestion de l’association) selon la formule souscrite.
• Opérations : hébergement, enregistrement, consultation, modification, envoi de messages pour le compte de l’Association, export, effacement.
• Personnes concernées : membres, adhérents et leurs représentants légaux, bénévoles, donateurs, personnes inscrites aux activités, partenaires, visiteurs qui écrivent via le site, personnes du Bureau.
• Données : identité et coordonnées ; date de naissance ; données d’adhésion, de licence, de cotisation et de paiement (jamais le numéro de carte, traité par Stripe ou HelloAsso) ; dons et reçus fiscaux ; inscriptions, présences, performances ; photos ; messages ; données de connexion.
• Données sensibles possibles, si l’Association les enregistre : pièces médicales (certificat ou attestation de santé pour une licence), informations utiles en cas d’urgence.
• Mineurs : possibles, notamment via leurs représentants légaux.
• Durée : celle de l’abonnement, puis l’article 9.

3. Instructions

Burdigo ne traite les données que sur instruction documentée de l’Association : les Conditions, les réglages qu’elle fait dans l’Espace et ses demandes écrites. Burdigo ne les vend, ne les loue et ne les utilise jamais à ses propres fins (prospection, publicité, revente). Si une instruction lui paraît contraire au RGPD ou au droit français, Burdigo en informe immédiatement l’Association.

4. Confidentialité

Seules les personnes de Burdigo qui en ont besoin accèdent aux données, avec des comptes nominatifs, et elles sont tenues au secret. Burdigo n’accède au contenu d’un Espace que pour l’assistance demandée par l’Association ou pour la sécurité du service.

5. Sécurité

Burdigo met en œuvre des mesures adaptées au risque (article 32 du RGPD) : hébergement de la base de données dans l’Union européenne (Paris), connexions chiffrées, accès par rôle et cloisonnés par association, journal des actions du Bureau, sauvegardes régulières, mises à jour de sécurité.

6. Sous-traitants ultérieurs

L’Association autorise Burdigo à recourir aux sous-traitants ci-dessous. Burdigo l’informe par e-mail au moins trente jours avant tout ajout ou remplacement ; l’Association peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier sans frais. Burdigo impose à chacun des obligations équivalentes à celles de cet accord et reste responsable de leur exécution.

Prestataire	Rôle	Lieu des données	Encadrement hors de l’Union européenne
Supabase Inc.	Base de données, fichiers et comptes de l’Espace	Union européenne (Paris)	Société établie aux États-Unis : clauses contractuelles types
Vercel Inc.	Diffusion des pages et de l’application du site ; journaux techniques de connexion	Réseau de serveurs mondial	Société établie aux États-Unis : clauses contractuelles types
Service d’envoi d’e-mails (fournisseur indiqué sur demande)	Envoi des e-mails de l’Espace (convocations, lettres d’information, reçus, rappels)	Indiqué sur demande	Indiqué sur demande
Google Ireland Ltd (Google Workspace)	Messagerie de l’assistance de Burdigo, et envoi d’une partie des e-mails	Irlande, et serveurs de Google	Clauses contractuelles types
Stripe Payments Europe Ltd	Paiements en ligne des Membres, si l’Association active le paiement Burdigo	Union européenne (Irlande)	Clauses contractuelles types pour les éventuels transferts
OVH SAS	Noms de domaine achetés pour les associations (formules avec site)	France	—

HelloAsso n’est pas un sous-traitant de Burdigo : l’Association qui l’utilise contracte directement avec lui. Les notifications sur téléphone passent, chiffrées, par le service de notification du navigateur de chaque membre (Google, Apple, Mozilla…), qui n’en lit pas le contenu.

7. Droits des personnes

L’Espace permet à l’Association de répondre elle-même aux demandes d’accès, de rectification, d’export et d’effacement de ses Membres. Si une demande arrive chez Burdigo, il la transmet à l’Association sans délai et l’aide à y répondre.

8. Violation de données

Burdigo notifie à l’Association toute violation de données la concernant dans un délai maximal de 48 heures après en avoir pris connaissance, avec les éléments utiles pour notifier la CNIL (article 33 du RGPD) et, si nécessaire, informer les personnes concernées (article 34).

9. Fin du contrat

À la fin de l’abonnement, l’Association peut exporter librement toutes ses données pendant 30 jours (article 13 des Conditions). Les données sont ensuite supprimées, à l’exception de ce que la loi oblige à conserver ; les sauvegardes sont effacées à leur rotation. Burdigo confirme la suppression par écrit sur demande.

10. Aide et contrôle

Burdigo aide l’Association pour ses analyses d’impact et ses échanges avec la CNIL, et met à sa disposition les informations nécessaires pour démontrer le respect de ses obligations. Il permet un audit, une fois par an au plus, à la charge de l’Association, avec un préavis de trente jours, mené par l’Association ou par un auditeur tenu au secret qu’elle désigne.

11. Registre et contact

Burdigo tient le registre des traitements qu’il effectue pour le compte de ses clients (article 30.2 du RGPD). Pour toute question sur cet accord ou sur les données : contact@burdigo.fr.

Voir aussi les conditions générales et la politique de confidentialité de Burdigo.