1. Identification du Responsable du Traitement
Conformément au Règlement (UE) 2016/679 relatif à la protection des données (RGPD) et à la Loi organique 3/2018 espagnole sur la protection des données personnelles et la garantie des droits numériques (LOPDGDD), nous vous informons que les données personnelles collectées via la plateforme Nextaur sont traitées par :
Titulaire : Erik Armenteros del Castillo
NIF : 51988106X
Domicile fiscal : Calle Pico de los Artilleros, Madrid, 28030, Espagne
Contact confidentialité et juridique : legal@nextaur.com
2. Notre rôle dans la protection des données (SaaS B2B)
Nextaur est une plateforme de logiciel en tant que service (SaaS B2B). Il est essentiel de distinguer notre rôle juridique selon l'origine et le type de données :
Nextaur en tant que Responsable du traitement : Nous traitons en qualité de responsables les données de compte des utilisateurs (email, nom), les données de facturation des Organisations et les données analytiques d'utilisation de la plateforme.
Nextaur en tant que Sous-traitant (DPA B2B) : Lorsqu'une Organisation téléverse des vidéos, des clips ou génère des activités d'évaluation incluant des données de tiers (par exemple, élèves, sportifs, employés ou mineurs), l'Organisation est seule Responsable de ces données. Nextaur se limite à les héberger et les traiter selon ses instructions. Les conditions de ce traitement pour le compte de tiers sont détaillées dans l'Annexe 1 : Accord de sous-traitance (DPA) à la fin de ce document.
3. Quelles données traitons-nous, pourquoi et sur quelle base légale ?
| Catégorie de données | Finalité du traitement | Base légale (RGPD) |
|---|---|---|
| Données de compte : email, nom, date de naissance, pays, langue préférée. | Créer le compte, authentifier l'utilisateur et fournir le service SaaS de manière personnalisée. | Art. 6.1.b (Exécution du contrat / précontrat) |
| Données d'Organisation et de facturation : nom de l'entreprise/club, rôles des membres, données gérées via Stripe. | Gestion des abonnements, limites des plans, paiements, impayés et support technique. | Art. 6.1.b (Exécution du contrat) et Art. 6.1.c (Obligation légale comptable/fiscale) |
| Données d'usage et télémétrie : journaux de session, utilisation des fonctionnalités, temps actif par module. | Maintien de la sécurité de la plateforme (prévention des abus, MFA) et analyse interne pour l'amélioration du service. | Art. 6.1.f (Intérêt légitime) |
| Données marketing : email et préférences. | Envoi de communications commerciales, actualités et mises à jour de Nextaur. | Art. 6.1.a (Consentement explicite — révocable à tout moment) |
4. Durées de conservation des données
| Scénario | Durée de conservation et action |
|---|---|
| Compte actif | Conservation pendant toute la durée de la relation contractuelle ou jusqu'à la suppression du compte par l'utilisateur. |
| Suppression de compte (personnel) | La demande de suppression de votre compte ouvre une période de grâce récupérable de 14 jours : votre compte est désactivé immédiatement, mais vous pouvez le réactiver via le lien que nous vous envoyons par e-mail. À défaut de réactivation sous 14 jours, votre compte et les données associées (y compris les organisations dont vous êtes l'unique propriétaire) sont supprimés de façon définitive et irréversible. |
| Résiliation de l'Organisation | Conservation de sécurité de 30 jours pour les Organisations en plan payant avant purge définitive et irréversible. Pour le plan Free inactif plus de 30 jours, la suppression de l'organisation sera automatique. |
| Facturation et paiements | Au moins 5 ans en vertu d'une obligation légale (Législation fiscale générale espagnole). |
| Télémétrie produit et journaux internes | Conservation pendant 24 mois. Ensuite, anonymisation complète pour produire des statistiques agrégées. |
5. Fournisseurs, serveurs et transferts internationaux
Pour fournir le service avec la meilleure qualité et sécurité, Nextaur s'appuie sur des fournisseurs d'infrastructure technologique de premier plan. Nous garantissons que le cœur de nos serveurs et le stockage vidéo sont situés dans l'Espace économique européen (EEE), conformément aux garanties de la réglementation européenne :
- Stockage vidéo et images (AWS S3) et base de données (Supabase) : hébergés sur des serveurs dans l'Union européenne.
- Paiements et facturation (Stripe) : traitement sécurisé avec certification PCI-DSS. Nextaur ne stocke ni n'a accès à votre numéro complet de carte bancaire.
- Envoi d'emails (Brevo) : fournisseur européen pour les communications transactionnelles.
6. Âge minimum et mineurs
Pour s'inscrire en tant qu'utilisateur individuel sur Nextaur, il faut avoir au moins 14 ans. Pour enregistrer une Organisation en tant qu'« Owner » et souscrire un plan, l'utilisateur doit avoir au moins 18 ans et la capacité juridique de contracter.
Si une Organisation utilise l'infrastructure Nextaur pour traiter des données, vidéos ou évaluations de mineurs de moins de 14 ans, il incombe exclusivement et de manière indéléguable à cette Organisation d'obtenir au préalable le consentement explicite des parents ou tuteurs légaux.
7. Vos droits en matière de confidentialité
Vous pouvez exercer vos droits de protection des données en envoyant un email à legal@nextaur.com. Vous avez le droit de :
- Accès et rectification : connaître les données que nous détenons et les corriger depuis votre profil.
- Effacement (droit à l'oubli) : supprimer votre compte de manière autonome depuis les paramètres ou sur demande par email.
- Opposition et limitation : retirer votre consentement marketing ou vous opposer aux traitements fondés sur l'intérêt légitime.
- Portabilité : demander une copie de vos données personnelles fournies dans un format structuré et lisible.
Si vous estimez que vos droits ont été violés, vous pouvez déposer une réclamation auprès de l'autorité de contrôle compétente, qui en Espagne est l'Agence espagnole de protection des données (AEPD).
8. Modifications de cette politique
Nextaur se réserve le droit de modifier cette politique pour l'adapter aux évolutions législatives, jurisprudentielles ou structurelles du service. Toute modification substantielle sera notifiée aux utilisateurs inscrits dans un délai raisonnable.
Annexe 1 : Accord de sous-traitance (DPA B2B)
Cette Annexe fait partie intégrante et indissociable des Conditions générales et de la Politique de confidentialité de Nextaur, et régit le traitement des données personnelles par Nextaur (le « Sous-traitant ») pour le compte et au nom de l'Organisation contractante (le « Responsable »).
1. Objet et nature du traitement
Le Responsable contracte Nextaur pour utiliser sa plateforme SaaS. Dans ce processus, le Responsable peut téléverser, héberger et gérer des vidéos, images, métadonnées (arbitrage ou sport) et données d'évaluation contenant des données personnelles de tiers (élèves, sportifs, personnel). Nextaur agira uniquement en qualité de Sous-traitant, en fournissant l'hébergement, la gestion des accès et les fonctionnalités logicielles demandées.
2. Obligations de Nextaur (Le Sous-traitant)
- Traiter les données personnelles uniquement selon les instructions documentées du Responsable. La configuration et l'utilisation de la plateforme par l'Organisation constituent des instructions documentées.
- Garantir que les personnes autorisées à traiter les données se sont engagées à respecter la confidentialité.
- Adopter toutes les mesures de sécurité techniques et organisationnelles exigées par l'art. 32 du RGPD, y compris le chiffrement en transit (HTTPS), des bases de données sécurisées avec contrôle d'accès par rôles (RLS) et des URL signées pour l'accès aux médias audiovisuels.
- Ne pas faire appel à un autre sous-traitant sans autorisation préalable. En acceptant cet accord, le Responsable autorise généralement Nextaur à utiliser Amazon Web Services (AWS) et Supabase comme sous-traitants d'hébergement dans l'UE.
- Assister le Responsable, via les outils techniques de la plateforme ou le support manuel, pour répondre aux demandes d'exercice des droits des personnes concernées (élèves, sportifs).
- Notifier le Responsable, sans retard indu et dans un délai maximum de 48 heures après en avoir connaissance, de toute violation de sécurité des données personnelles.
- Une fois le service terminé (résiliation volontaire, inactivité du plan Free ou impayé prolongé), supprimer toutes les données personnelles du Responsable (y compris les copies) conformément aux délais définis dans les Conditions générales, sauf obligation légale de conservation.
3. Obligations de l'Organisation (Le Responsable)
- Garantir disposer d'une base légale valide (consentement ou exécution d'un contrat) pour traiter les données personnelles téléversées sur la plateforme.
- Obtenir et conserver les droits à l'image et les autorisations de confidentialité nécessaires de toutes les personnes identifiables dans les vidéos, en accordant une attention particulière aux mineurs.
- Garantir Nextaur contre toute réclamation de tiers ou sanction administrative découlant de l'absence de base légale du Responsable pour le traitement des données téléversées.