Annexe RGPD de sous-traitance Ludik Évasion

Version 1.0 - en vigueur à compter du 1er décembre 2026.

La présente annexe complète les conditions générales Exploitant Ludik Évasion (ci-après les « Conditions générales ») lorsque Ludik Evasion (ci-après l'« Éditeur ») traite des données personnelles pour le compte d'un Exploitant dans le cadre de la plateforme Ludik Évasion (ci-après la « Plateforme »).

Elle constitue le contrat de sous-traitance prévu à l'article 28 du règlement (UE) 2016/679 du 27 avril 2016 (ci-après le « RGPD ») pour ces traitements. Les termes commençant par une majuscule qui ne sont pas définis dans la présente annexe ont le sens qui leur est donné dans les Conditions générales.

1. Parties et qualifications

1.1 L'Exploitant agit en qualité de responsable de traitement pour les données personnelles des Participants traitées dans le cadre de ses Quêtes et de la vente de ses Inscriptions. Il détermine notamment les Quêtes qu'il exploite, leurs lieux, leurs dates, les fonctionnalités activées, les données de participant demandées et les conditions de participation.

1.2 L'Éditeur agit en qualité de sous-traitant de l'Exploitant pour ces traitements.

1.3 L'Éditeur demeure responsable de traitement distinct pour les traitements nécessaires au fonctionnement de la Plateforme, notamment la gestion des comptes, l'authentification, la sécurité, le Catalogue, les Licences d'exploitation, le calcul, la perception et le contrôle de la Commission, les indicateurs statistiques relatifs à ses Scénarios, le support, le diagnostic technique, le traitement des signalements, le respect de ses obligations légales et la défense de ses droits. Ces traitements sont décrits dans la politique de confidentialité de la Plateforme. Pour les indicateurs statistiques relatifs à ses Scénarios et le contrôle de la Commission, l'Éditeur n'utilise que les données nécessaires issues des Quêtes de l'Exploitant, sur le fondement de son intérêt légitime à suivre et améliorer ses Scénarios et à contrôler l'exécution des Licences d'exploitation, et ne les utilise jamais pour solliciter les Participants.

2. Objet, nature, finalités et durée des traitements

2.1 Les traitements confiés ont pour objet la fourniture technique de la Plateforme à l'Exploitant pour l'exploitation de ses Quêtes. Ils comprennent la collecte, l'enregistrement, la conservation, la consultation, la mise à disposition, la transmission, la synchronisation, la sauvegarde, l'export, l'anonymisation et la suppression des données.

2.2 Ils couvrent notamment :

• l'accès des Participants et des équipes aux Quêtes, par QR code, lien d'invitation, Inscription ou Catalogue
• le déroulement des parties, la progression, les réponses, les indices, les scores, les classements et les résultats
• la géolocalisation fonctionnelle et, lorsqu'elle est activée et acceptée, l'historique de parcours et le suivi en direct
• les photos, médias et albums de Quête, ainsi que les preuves des choix de publication
• le recueil des données de participant demandées par l'Exploitant et la preuve du consentement correspondant
• les retours de fin de partie et leur notification par e-mail aux destinataires désignés
• l'enregistrement des Inscriptions payantes et l'envoi de leur confirmation
• le support, la maintenance, la sécurité et les sauvegardes

2.3 Les traitements confiés durent pendant toute la relation entre l'Éditeur et l'Exploitant, puis pendant les opérations de fin de relation prévues à l'article 13.

3. Catégories de personnes concernées

Les traitements confiés concernent :

• les Participants, joueurs et membres d'équipe des Quêtes de l'Exploitant, y compris des mineurs lorsque l'Exploitant les admet
• les acheteurs d'Inscriptions
• les personnes apparaissant sur des photos ou vidéos transmises pendant une Quête
• les Membres de l'Exploitant et les destinataires des e-mails de retours qu'il désigne

4. Catégories de données

4.1 Les catégories de données traitées pour le compte de l'Exploitant sont :

• données de participation : équipe, nom et avatar d'équipe, horaires, progression, réponses, indices, scores, distance agrégée, classements
• données de participant, parmi les champs choisis par l'Exploitant : prénom, nom, adresse e-mail, date de naissance, code postal, téléphone
• historique de parcours, lorsque l'Exploitant l'active et que le Participant l'accepte : latitude, longitude, précision, altitude, cap, vitesse, horodatage et dernière position
• photos, vidéos, sons et avatars transmis pendant la Quête, avec leurs métadonnées de fichier
• preuves des choix des Participants : type de choix, décision, texte affiché et son empreinte, langue, contexte, identifiants techniques de session et d'appareil, empreintes de l'adresse IP et du navigateur
• retours de fin de partie
• données d'Inscription payante : adresse e-mail et langue de l'acheteur, données de participant et choix associés, identifiants et statut du paiement, montant, e-mail de confirmation
• données techniques nécessaires au fonctionnement et à la sécurité des traitements confiés

4.2 La Plateforme n'est pas conçue pour traiter des catégories particulières de données au sens de l'article 9 du RGPD ni des données relatives aux condamnations pénales et aux infractions au sens de l'article 10 du RGPD. L'Exploitant s'interdit d'en collecter par l'intermédiaire de la Plateforme, notamment dans les questions de ses Quêtes. Les photos ne font l'objet d'aucun traitement biométrique.

5. Instructions documentées

5.1 Les instructions documentées de l'Exploitant sont constituées par les Conditions générales, la présente annexe, les paramètres configurés par l'Exploitant sur la Plateforme et ses demandes écrites acceptées par l'Éditeur. L'Éditeur traite les données confiées uniquement sur ces instructions, y compris en ce qui concerne les transferts hors de l'Union européenne, sauf s'il est tenu d'y procéder en vertu du droit de l'Union ou du droit d'un État membre auquel il est soumis ; dans ce cas, il informe l'Exploitant de cette obligation juridique avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public.

5.2 L'Éditeur informe immédiatement l'Exploitant s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données.

5.3 Sauf instruction documentée différente de l'Exploitant acceptée par l'Éditeur, les règles de conservation et de suppression suivantes s'appliquent :

6. Confidentialité

L'Éditeur garantit que les personnes autorisées à traiter les données confiées, y compris le personnel de ses sous-traitants ultérieurs, se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité, et qu'elles n'accèdent aux données que dans la mesure nécessaire à leurs missions.

7. Sécurité

7.1 L'Éditeur prend toutes les mesures requises en vertu de l'article 32 du RGPD. Il met en œuvre, avec ses sous-traitants ultérieurs, les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités des traitements et des risques pour les droits et libertés des personnes.

7.2 Ces mesures comprennent notamment :

• le chiffrement des communications entre les applications et les serveurs
• le stockage des mots de passe et des secrets d'invitation sous forme hachée
• le contrôle des accès aux données selon l'appartenance aux organisations et les droits de chaque rôle
• des liens d'accès aux médias limités à une (1) heure après contrôle des droits
• le retrait des métadonnées de localisation et d'appareil des photos lors de leur traitement
• des comptes d'exploitation nominatifs, sans compte partagé, avec authentification multifacteur lorsque le fournisseur le permet, et le retrait des accès qui ne sont plus nécessaires
• des sauvegardes régulières de la base de données
• une journalisation technique conçue pour exclure les secrets, les coordonnées de géolocalisation brutes et les identifiants de paiement

7.3 Sans préjudice de l'article 7.1, les audits de sécurité renforcés, certifications, tests d'intrusion dédiés, niveaux de service renforcés ou chiffrements spécifiques ne sont fournis que s'ils sont prévus par un accord écrit distinct.

8. Sous-traitants ultérieurs

8.1 L'Exploitant autorise l'Éditeur à recourir aux sous-traitants ultérieurs suivants :

8.2 L'Éditeur impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations en matière de protection des données que celles fixées par la présente annexe, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Lorsqu'un sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, l'Éditeur demeure pleinement responsable devant l'Exploitant de l'exécution par ce sous-traitant ultérieur de ses obligations.

8.3 L'Éditeur informe préalablement l'Exploitant de tout ajout ou remplacement d'un sous-traitant ultérieur, au moins quinze (15) jours avant sa prise d'effet, par courrier électronique adressé aux contacts de l'Exploitant, en indiquant l'identité du sous-traitant ultérieur, la prestation confiée et la localisation des données, et publie une nouvelle version de la présente annexe. L'Exploitant peut formuler des objections pendant ce délai. En cas d'objection, les parties recherchent de bonne foi une solution. À défaut, l'Exploitant peut mettre fin sans pénalité aux services concernés par ce changement, y compris, le cas échéant, à la relation régie par les Conditions générales.

8.4 Les paiements d'Inscription sont traités par Stripe sur le compte connecté de l'Exploitant, en vertu du contrat conclu directement entre l'Exploitant et Stripe. Stripe, Apple, Google et les fournisseurs de cartographie agissent selon leurs propres conditions et ne sont pas des sous-traitants ultérieurs de l'Éditeur.

9. Transferts hors de l'Union européenne

Lorsqu'un sous-traitant ultérieur traite ou peut accéder à des données depuis un pays situé hors de l'Union européenne, l'Éditeur s'assure que le transfert est encadré par une décision d'adéquation de la Commission européenne, y compris, pour les entreprises certifiées, le cadre de protection des données entre l'Union européenne et les États-Unis, ou par des clauses contractuelles types adoptées par la Commission européenne. L'Éditeur communique à l'Exploitant, sur demande, les informations relatives à ces garanties.

10. Assistance pour les droits des personnes

10.1 Les Participants disposant d'un compte peuvent, depuis l'application mobile, obtenir un export de leurs données, modifier leur profil, supprimer leur compte, retirer leur accord à l'historique de parcours, supprimer l'historique de parcours de leur équipe, s'opposer à la publication de l'album et supprimer une photo de leur équipe. Ils peuvent également supprimer leur compte depuis les réglages de leur compte sur le site web.

10.2 Lorsque l'Éditeur reçoit directement une demande d'exercice de droits relative aux traitements confiés, il la transmet sans retard injustifié à l'Exploitant, sauf lorsque la demande peut être satisfaite par les fonctionnalités de la Plateforme décrites à l'article 10.1.

10.3 L'Éditeur aide l'Exploitant, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, notamment par l'extraction ou la suppression de données qui ne sont pas accessibles depuis la Plateforme.

11. Violations de données personnelles

11.1 L'Éditeur notifie à l'Exploitant toute violation de données personnelles affectant les traitements confiés dans les meilleurs délais après en avoir pris connaissance, par courrier électronique adressé aux contacts de l'Exploitant.

11.2 La notification comprend, lorsque ces éléments sont disponibles :

• la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés
• le nom et les coordonnées du point de contact de l'Éditeur
• les conséquences probables de la violation
• les mesures prises ou envisagées pour y remédier et en atténuer les effets

11.3 Lorsque ces informations ne peuvent être fournies en même temps, elles le sont de manière échelonnée. Il appartient à l'Exploitant, en sa qualité de responsable de traitement, de notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées.

12. Analyse d'impact et consultation préalable

L'Éditeur aide l'Exploitant à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature des traitements et des informations à sa disposition. Il lui fournit notamment les informations et la documentation nécessaires à la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de l'autorité de contrôle, en particulier lorsque les Quêtes de l'Exploitant combinent la participation de mineurs, l'historique de parcours ou la publication de photos.

13. Fin de la relation

13.1 Avant la clôture de son Compte Exploitant, l'Exploitant peut demander à l'Éditeur l'export des données disponibles relatives à ses Quêtes.

13.2 Après la clôture, et après la restitution des données prévue à l'article 13.1 lorsque l'Exploitant l'a demandée, l'Éditeur supprime ou anonymise les données personnelles traitées pour le compte de l'Exploitant dans un délai raisonnable communiqué à l'Exploitant lors de la clôture. Il n'en conserve aucune copie, y compris à des fins de preuve, sauf lorsque le droit de l'Union ou le droit d'un État membre en exige la conservation, notamment pour les pièces comptables relatives aux paiements d'Inscription ; ces données sont alors conservées pour la seule durée requise et demeurent protégées conformément à la présente annexe. Les données présentes dans les sauvegardes sont effacées au terme du cycle de rotation de celles-ci.

13.3 Sur demande écrite, l'Éditeur confirme à l'Exploitant la réalisation de ces opérations.

14. Information et audit

14.1 L'Éditeur met à la disposition de l'Exploitant les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD, notamment la liste à jour des sous-traitants ultérieurs et la description des mesures de sécurité.

14.2 L'Éditeur permet la réalisation d'audits, y compris d'inspections sur place, par l'Exploitant ou par un auditeur indépendant qu'il mandate, et y contribue. L'Exploitant en informe l'Éditeur par écrit au moins trente (30) jours à l'avance. L'auditeur est soumis à une obligation de confidentialité. Sauf violation de données personnelles affectant les traitements confiés, un audit peut être réalisé au plus une (1) fois par an. L'audit est réalisé aux frais de l'Exploitant, dans des conditions préservant la sécurité et la confidentialité des données des autres Exploitants et des Participants. Un audit documentaire ou par questionnaire peut être proposé en premier lieu.

15. Obligations de l'Exploitant

L'Exploitant s'engage notamment à :

• donner à l'Éditeur des instructions licites et documentées
• déterminer les bases légales de ses traitements et informer les Participants, y compris sur l'historique de parcours, le suivi en direct, la publication des photos et l'accès public aux classements lorsqu'il active ces fonctionnalités
• recueillir les consentements et autorisations nécessaires, notamment pour l'image des personnes et, pour les mineurs, auprès de leurs représentants légaux, y compris, pour un mineur de moins de quinze (15) ans, le consentement conjoint du mineur et du ou des titulaires de l'autorité parentale lorsque le traitement repose sur le consentement
• ne demander que les données de participant nécessaires à ses finalités
• réaliser, lorsqu'elle est requise, l'analyse d'impact relative à ses traitements
• répondre aux demandes d'exercice des droits relatives à ses traitements

16. Responsabilité, durée et modification

16.1 La responsabilité de chaque partie au titre de la présente annexe est régie par les Conditions générales et par le RGPD.

16.2 La présente annexe s'applique pendant toute la durée des traitements confiés. Ses stipulations relatives à la confidentialité, à la suppression et à l'information survivent pendant la durée nécessaire à leur exécution.

16.3 L'Éditeur peut modifier la présente annexe pour refléter une évolution légale, technique ou opérationnelle, dans les conditions de modification prévues par les Conditions générales.