1. Objet et rôles. Pour les données des joueurs traitées sur instructions du Client, celui-ci est responsable de traitement et l’Éditeur est sous-traitant au sens de l’article 28 du RGPD. L’Éditeur est responsable de ses propres traitements de gestion du compte professionnel, de facturation, de sécurité et de mesure d’usage ; ces traitements sont décrits dans la politique de confidentialité et ne deviennent pas des instructions du Client par la seule présente annexe.
2. Opérations et personnes concernées. La sous-traitance couvre la collecte, l’enregistrement, l’hébergement, la consultation autorisée, l’export, la transmission des e-mails de gain, l’assistance, la restitution et l’effacement nécessaires à l’organisation des jeux du Client. Elle concerne ses joueurs et contacts. Selon le parcours, les données comprennent les coordonnées fournies, les identifiants techniques de participation, le résultat, les dates et conditions du gain, la preuve du retrait et le choix de prospection avec ses éléments de preuve. Le Client ne doit pas introduire de données sensibles non nécessaires dans les champs libres.
3. Instructions et durée. Le contrat, le paramétrage du jeu et les demandes écrites du Client constituent les instructions documentées. L’Éditeur ne réutilise pas les données des joueurs pour sa propre prospection. Il informe immédiatement le Client si une instruction lui paraît contraire aux règles de protection des données ; si une obligation légale impose un autre traitement, il l’en informe préalablement sauf interdiction légale. La sous-traitance dure pendant la fourniture du service puis le temps nécessaire à la restitution ou à l’effacement demandé, sous réserve des obligations légales applicables.
4. Confidentialité et sécurité. L’Éditeur limite l’accès aux personnes habilitées, tenues à la confidentialité, et met en œuvre des mesures appropriées au risque conformément à l’article 32 du RGPD. Ces mesures comprennent le contrôle serveur des accès, le cloisonnement par établissement, la protection des secrets et des transmissions, ainsi que des procédures de gestion des incidents et de restauration. Les mesures et limites opérationnelles sont décrites sur la page Sécurité et données ; aucune certification ou disponibilité chiffrée n’est déduite de cette annexe.
5. Sous-traitants ultérieurs. Pour les données des jeux, le Client autorise le recours à Vercel (hébergement), Supabase (base, fichiers et services techniques) et Resend (e-mails et notifications). L’Éditeur impose par écrit à ces prestataires les obligations de protection applicables aux traitements confiés et reste responsable envers le Client de leurs obligations de sous-traitance. Il informe le Client par écrit de tout ajout ou remplacement envisagé afin de lui permettre d’exprimer des objections motivées avant la mise en œuvre ; les parties recherchent une solution compatible avec la protection des données avant la poursuite du traitement concerné.
6. Fournisseurs des traitements propres à Okado. Stripe intervient pour les paiements et l’abonnement, Brevo pour la relation avec les utilisateurs marchands, et PostHog ainsi que Vercel Analytics pour la mesure du service selon le choix du visiteur. La synchronisation d’un compte marchand vers Brevo ne constitue pas un consentement à la prospection. Les rôles et obligations de chaque fournisseur dépendent de la prestation concernée ; Stripe ne reçoit pas par ce seul contrat les données des joueurs.
7. Transferts. Un hébergement principal en Europe ne garantit pas l’absence de traitement ou d’accès depuis un autre pays. Tout transfert hors de l’Espace économique européen réalisé dans le cadre de la sous-traitance doit suivre les instructions documentées et être couvert par un mécanisme applicable du chapitre V du RGPD, avec les évaluations et mesures complémentaires nécessaires. Le Client peut demander à contact@okado.app les prestataires, localisations et garanties applicables à son traitement ; la région EU de PostHog ne constitue pas à elle seule une garantie pour les autres prestataires.
8. Droits et assistance. L’Éditeur transmet au Client les demandes des joueurs qui lui sont adressées et l’assiste, compte tenu de la nature du traitement, pour l’accès, la rectification, la limitation, l’opposition, la portabilité et l’effacement applicables. Il fournit les informations et l’assistance nécessaires aux obligations des articles 32 à 36 du RGPD, notamment aux analyses d’impact et à la consultation de l’autorité lorsque celles-ci sont requises. Le contact est contact@okado.app ; une demande du joueur ne donne aucun accès à l’espace marchand.
9. Violations. L’Éditeur notifie au Client toute violation des données sous-traitées sans délai indu après en avoir pris connaissance. Il communique les éléments disponibles sur la nature de la violation, les personnes et enregistrements concernés, les conséquences probables, le point de contact et les mesures prises ou proposées, puis complète ces informations au fur et à mesure. Le Client apprécie ses obligations de notification à l’autorité et aux personnes, avec l’assistance de l’Éditeur.
10. Fin du service et conservation. Au choix documenté du Client, l’Éditeur restitue ou supprime les données sous-traitées à la fin de la prestation et détruit les copies existantes, sauf obligation légale de conservation. Une conservation résiduelle doit être justifiée, limitée et inaccessible aux usages courants. Les sauvegardes suivent leur cycle documenté ; elles ne sont pas réutilisées pour l’activité courante et les effacements sont réappliqués après une restauration. Les demandes sont traitées avec vérification du périmètre, des gains encore valables et des éventuelles obligations de preuve. Aucun délai générique de trois ou cinq ans ni aucune purge automatique n’est garanti par cette annexe pour l’ensemble des finalités.
11. Informations et audits. L’Éditeur met à disposition du Client les informations nécessaires pour démontrer le respect de cette annexe et permet les audits, y compris les inspections, réalisés par le Client ou l’auditeur mandaté, et y contribue. Les modalités pratiques sont convenues selon le risque, dans le respect de la confidentialité, de la sécurité et des données des autres clients, sans supprimer les droits d’audit prévus par l’article 28 du RGPD.
12. Obligations du Client et priorité. Le Client détermine les finalités, la base légale, les données nécessaires, les durées et les mentions adaptées à chaque jeu. Il distingue l’exécution du jeu de la prospection et documente les instructions correspondantes. Ces responsabilités ne dispensent pas l’Éditeur de ses propres obligations légales. En cas de contradiction portant sur la protection des données sous-traitées, la présente annexe prévaut sur les autres clauses contractuelles, sans écarter une disposition impérative applicable.