Données de vos participants.

Ce contrat fait partie des conditions pour les organisateurs. Il s'applique dès que vous créez un événement sur Revena, et aussi longtemps que Revena traite des données de vos participants.

Responsable du traitement : vous, l'organisateur, tel que renseigné dans votre espace organisateur sous Paramètres. Sous-traitant : Revena, dénomination commerciale de Marco Castermans, entreprise individuelle, 3700 Tongeren-Borgloon, numéro d'entreprise 1036.559.717.

1. De quoi il s'agit

Finalité

Gérer les inscriptions à vos événements : tickets, suivi des paiements, liste de départ, check-in, caisse, bénévoles, résultats, e-mails à vos participants, participants qui reviennent, et l'import et l'export de vos participants.

Qui

Vos participants, les personnes qu'ils inscrivent, leurs contacts d'urgence, vos bénévoles et les membres de votre équipe.

Quelles données

Nom, adresse e-mail, date de naissance, catégorie, numéro de GSM, club, taille de t-shirt, numéro d'urgence, réponses à vos propres questions, commandes et statut de paiement, dossard, check-in, temps et place dans les résultats, désinscriptions des e-mails, et ce que vous importez vous-même.

Données sensibles

Aucune. Revena n'autorise pas de questions sur la santé.

Durée

Aussi longtemps que vous utilisez Revena, puis jusqu'à l'effacement des données comme prévu au point 9.

Ce que Revena fait en tant que responsable propre ne relève pas de ce contrat : le pass Revena, les points, le classement, la communauté, et la commande en tant que service au sportif. C'est décrit dans la déclaration de confidentialité de Revena.

2. Uniquement sur vos instructions

Revena traite les données uniquement pour fournir le service décrit dans les conditions, et selon ce que vous réglez dans l'espace organisateur. Ce sont vos instructions. Si Revena estime qu'une instruction est contraire à la loi, nous vous le signalons immédiatement.

Revena n'utilise pas les données pour lui-même, ne les vend pas et ne les donne à personne d'autre, sauf aux sous-traitants ultérieurs de l'annexe 1 ou si la loi l'impose. Si Revena doit remettre des données à une autorité, nous vous prévenons d'abord, sauf si la loi l'interdit.

3. Confidentialité

Les personnes qui ont accès aux données chez Revena sont tenues au secret et ne les consultent que si c'est nécessaire pour le service ou pour vous aider.

4. Sécurité

Revena prend les mesures de l'annexe 2. Nous les adaptons quand la technique ou les risques évoluent, et jamais de façon à affaiblir la protection.

5. Sous-traitants ultérieurs

Vous autorisez Revena à faire appel aux sous-traitants ultérieurs de l'annexe 1. Revena leur impose les mêmes obligations que dans ce contrat, et reste responsable de ce qu'ils font.

Si Revena veut ajouter ou remplacer un sous-traitant ultérieur, vous en êtes informé par e-mail au moins 30 jours à l'avance. Si vous avez une raison fondée de vous y opposer, faites-le-nous savoir dans ces 30 jours. Si nous ne trouvons pas de solution ensemble, vous pouvez arrêter sans frais.

6. Hors de l'UE

Revena conserve les données dans l'UE. Si un sous-traitant ultérieur hors de l'UE peut y accéder, ce n'est qu'avec une base valable prévue par le RGPD, comme les clauses contractuelles types de la Commission européenne ou le cadre de protection des données UE-États-Unis.

7. Aide pour les droits et les obligations

• Demandes de participants. Si un participant demande à Revena l'accès, la rectification ou l'effacement de données sur sa participation, nous vous transmettons cette demande dans les 3 jours ouvrables. Dans l'espace organisateur, vous pouvez vous-même rechercher, corriger, exporter et effacer des données.
• Une analyse d'impact (AIPD) ou une question de l'autorité de contrôle. Revena vous donne les informations dont vous avez besoin.

8. Une fuite de données

Si Revena constate une violation des données de vos participants, nous vous prévenons sans retard injustifié, et dans les 48 heures. Nous indiquons ce qui s'est passé, quelles données et combien de personnes sont concernées, quelles peuvent être les conséquences et ce que nous faisons. Vous pouvez ainsi prévenir l'Autorité de protection des données dans les 72 heures si nécessaire.

9. Quand ça s'arrête

Si vous arrêtez Revena, vous avez 30 jours pour exporter vos données. Dans les 60 jours qui suivent, Revena les efface, y compris chez les sous-traitants ultérieurs, sauf ce que la loi nous permet de garder. Les sauvegardes sont écrasées dans les 30 jours suivants. Sur demande, nous confirmons que tout a été effacé.

Pendant l'utilisation, ces délais s'appliquent, et vous ne pouvez pas les prolonger vous-même :

• le numéro d'urgence et le numéro de GSM : 30 jours après l'événement ;
• les participants d'éditions précédentes ne peuvent recevoir d'e-mails que s'ils ont participé au cours des trois dernières années ;
• la liste sur le scanner et la caisse : jusqu'à ce que tout soit envoyé, au maximum 7 jours après l'événement.

10. Contrôle

Sur demande, Revena vous donne les informations qui montrent qu'il respecte ce contrat. Si vous souhaitez un audit, c'est possible une fois par an, à vos frais, avec un préavis de 30 jours et par une personne tenue au secret. Après une fuite de données, c'est toujours possible.

11. Responsabilité

La responsabilité suit les conditions pour les organisateurs et l'article 82 du RGPD.

Annexe 1. Sous-traitants ultérieurs

• Supabase Inc.
  QuoiBase de données, connexion, stockage et fonctions serveur
  OùUE (Paris)
• Resend Inc.
  QuoiEnvoi des e-mails
  OùUE (Irlande), avec les clauses contractuelles types
• Vercel Inc.
  QuoiHébergement du site et des fonctions serveur
  OùUE (Paris), avec les clauses contractuelles types

Stripe Payments Europe Ltd. et Mollie B.V. ne sont pas des sous-traitants. Ils traitent les données de paiement en tant que responsables propres, sur la base de votre propre contrat avec Stripe ou Mollie.

Billit NV traite uniquement les factures que Revena vous adresse, et ne relève donc pas de ce contrat.

Annexe 2. Sécurité

• Tout ce qui circule entre l'appareil et le serveur est chiffré (TLS). La base de données et les sauvegardes sont chiffrées.
• Chaque organisateur ne voit que ses propres données. C'est fixé dans la base de données elle-même, avec des règles par ligne (row level security), pour qu'une erreur dans l'application ne puisse pas le contourner.
• Les membres de l'équipe ont un rôle : Administrateur ou Collaborateur. Chaque rôle ne voit que ce dont il a besoin. Les bénévoles à la caisse ou au scanner n'ont pas de compte mais un code PIN par édition, et ne voient que la liste de cette édition.
• La connexion se fait avec un code à usage unique envoyé par e-mail. Les bénévoles à la caisse et au scanner utilisent un code PIN qui ne fonctionne que pour cet événement.
• Un journal enregistre qui a fait quoi dans l'espace organisateur. Le journal est conservé deux ans.
• Les codes QR, les liens et les noms de fichiers ne contiennent pas de données personnelles, seulement des codes aléatoires.
• Les notifications de paiement de Stripe et de Mollie sont traitées une seule fois, même si elles arrivent deux fois.
• Les vraies données de participants n'entrent jamais dans des environnements de test, des journaux ou des exemples.
• Des sauvegardes quotidiennes, et un plan pour les restaurer.
• Les personnes qui ont accès aux données de production chez Revena utilisent une authentification forte à deux facteurs.
• Les mises à jour des logiciels et des dépendances sont suivies.