Accord de traitement des données

Entrée en vigueur : 13 octobre 2026.

Cet accord complète les conditions générales. Il s'applique dès que l'association crée son espace et l'accepte, et dure aussi longtemps que le contrat. En cas de contradiction avec les conditions générales sur la protection des données, cet accord l'emporte.

1. Les parties et leurs rôles

• Le responsable du traitement est l'association cliente. Elle décide pourquoi et comment les données de ses membres sont traitées.
• Le sous-traitant est l'éditeur de AssoCrew : OD Tech & More SRL, société à responsabilité limitée de droit belge, Nieuwerkerken-Dorp 6, 9320 Aalst, Belgique, numéro d'entreprise 1039.956.695. Il traite ces données uniquement pour le compte de l'association.

2. Objet et durée

Le sous-traitant traite les données personnelles nécessaires pour fournir AssoCrew : hébergement, affichage, calculs, envoi de messages, import de relevés, lecture des preuves de paiement et autres fonctions décrites dans les conditions générales. Le traitement dure le temps du contrat, puis le temps nécessaire à la restitution et à la suppression des données (article 11).

3. Nature et finalités du traitement

Collecte, enregistrement, organisation, conservation, consultation, rapprochement, calcul, transmission (e-mail, WhatsApp, notifications), export et suppression, dans le but de permettre à l'association de :

• gérer ses membres, leurs cotisations et leurs paiements ;
• communiquer avec eux (reçus, rappels, convocations) ;
• organiser sa vie associative (réunions, votes, comptes rendus, projets, bénévoles, solidarité, dons) ;
• remplir ses obligations légales et rendre des comptes à ses membres.

4. Personnes concernées

• les membres de l'association et les personnes qui demandent à le devenir ;
• leurs proches enregistrés dans le module de solidarité ;
• les administrateurs, membres du bureau et vérificateurs ;
• les donateurs, bénévoles, participants aux événements et acheteurs de billets ;
• les contacts des partenaires, sponsors et financeurs.

5. Catégories de données

• identité et coordonnées (nom, e-mail, téléphone, adresse) ;
• données d'adhésion et de rôle ;
• données financières : cotisations, paiements constatés, opérations bancaires lues en lecture seule, communications structurées, preuves de paiement, dons, défraiements ;
• numéro national des donateurs, uniquement pour les attestations fiscales belges ;
• informations sur des événements familiaux (naissance, mariage, décès et autres) et les aides décidées ;
• présences, votes, comptes rendus, documents et messages ;
• données de connexion et journal des actions.

L'association s'engage à ne pas saisir de données de santé, d'opinions religieuses ou politiques ou d'autres catégories particulières (article 9 du RGPD), sauf si elle dispose d'une base légale pour le faire et que c'est nécessaire.

6. Obligations du sous-traitant

Le sous-traitant s'engage à :

1. traiter les données uniquement sur instruction documentée de l'association : ces conditions, l'usage de l'application et ses demandes écrites. Si une instruction lui semble contraire au RGPD, il en informe l'association ;
2. garantir que les personnes autorisées à traiter les données sont tenues à la confidentialité ;
3. prendre les mesures de sécurité de l'article 7 ;
4. respecter les règles de l'article 8 pour faire appel à d'autres sous-traitants ;
5. aider l'association à répondre aux demandes d'exercice des droits des personnes (article 9) ;
6. aider l'association à garantir la sécurité, à notifier les violations et, si nécessaire, à réaliser une analyse d'impact ou à consulter l'autorité de contrôle ;
7. supprimer ou restituer les données à la fin du contrat (article 11) ;
8. mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits (article 12) ;
9. ne pas utiliser les données pour ses propres fins, ne pas les vendre et ne pas les utiliser pour entraîner des modèles d'IA.

7. Sécurité

Le sous-traitant met en œuvre au minimum :

• l'isolement de chaque association par des règles d'accès appliquées par la base de données (sécurité au niveau des lignes, par organisation) ;
• des niveaux d'accès (administrateur, bureau, membre, lecture) et le principe du moindre privilège ;
• le chiffrement des échanges (HTTPS) et des données stockées chez l'hébergeur ;
• une connexion par code à usage unique, sans mot de passe ;
• des notes privées lisibles uniquement par leur auteur ;
• un journal des actions sensibles en ajout seul, qui refuse toute modification et toute suppression ;
• des sauvegardes régulières, chiffrées, stockées dans l'Union européenne ;
• l'absence de secret dans le code et dans les journaux techniques ;
• des tests automatiques des règles d'accès à chaque évolution.

Ces mesures peuvent évoluer, à condition de ne jamais baisser le niveau de protection.

8. Sous-traitants ultérieurs

L'association autorise le sous-traitant à faire appel aux prestataires listés sur la page Sous-traitants. Certains n'interviennent que si l'association active le service correspondant (WhatsApp, banque, IA, billetterie, visio).

Le sous-traitant impose à chacun des obligations de protection au moins équivalentes à celles de cet accord, et reste responsable de leur respect envers l'association.

Avant d'ajouter ou de remplacer un prestataire, le sous-traitant prévient les administrateurs par e-mail au moins 30 jours à l'avance. L'association peut s'y opposer pour un motif raisonnable lié à la protection des données. Si aucune solution n'est trouvée, elle peut résilier sans frais et obtenir le remboursement de la part non utilisée de son abonnement.

9. Transferts hors de l'Union européenne

Les données sont hébergées dans l'Union européenne (Francfort). Si un prestataire traite des données hors de l'Espace économique européen, le transfert est encadré par une décision d'adéquation (dont le Data Privacy Framework UE-États-Unis pour les sociétés certifiées) ou par les clauses contractuelles types de la Commission européenne, complétées si nécessaire par des mesures supplémentaires. La page Sous-traitants indique la garantie retenue pour chacun.

10. Droits des personnes et violations de données

Demandes des personnes. Si une personne s'adresse au sous-traitant pour exercer ses droits, il transmet la demande à l'association sans délai et ne répond pas à sa place, sauf instruction. L'application permet à l'association de consulter, corriger, exporter et supprimer les données.

Violation de données. En cas de violation de données personnelles, le sous-traitant prévient l'association dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, pour lui permettre de notifier l'autorité de contrôle dans les 72 heures prévues par le RGPD. Il communique la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. Il complète ces informations au fur et à mesure.

11. Fin du contrat

À la fin du contrat, l'association garde pendant 30 jours un accès en lecture pour exporter ses données. Le sous-traitant supprime ensuite toutes les données personnelles de l'association dans un délai de 90 jours, copies de sauvegarde comprises au fil de leur rotation, sauf obligation légale de conservation. Sur demande, il confirme la suppression par écrit.

12. Audits

Le sous-traitant fournit sur demande la documentation qui démontre le respect de cet accord (description des mesures de sécurité, liste des sous-traitants, attestations de ses prestataires). L'association peut faire réaliser un audit, à ses frais, par un auditeur tenu au secret, une fois par an au plus, avec un préavis de 30 jours, sauf en cas de violation de données ou de demande d'une autorité. L'audit ne doit pas compromettre la sécurité ni la confidentialité des données des autres clients.

13. Responsabilité et droit applicable

La responsabilité des parties suit l'article 82 du RGPD et les limites prévues dans les conditions générales, dans la mesure où la loi le permet. Cet accord est soumis au droit belge ; les tribunaux de Bruxelles sont compétents.

14. Contact

Pour toute question sur cet accord : privacy@assocrew.com. Délégué à la protection des données ou contact : privacy@assocrew.com (aucun délégué à la protection des données n'est désigné).

La version française de cet accord fait foi.