Addendum Biométrique au DPA

Version 2.0 — 5 mai 2026
Module Sport — Reconnaissance faciale — Article 9 du RGPD

Préambule

Le présent addendum (ci-après « l'Addendum ») complète l'Accord de Traitement des Données (ci-après « le DPA ») conclu entre Attimo (Sous-traitant) et le photographe abonné à la Plateforme (Responsable de traitement, ci-après « le Client »).

Il concerne exclusivement les traitements de données biométriques mis en œuvre dans le cadre du module Sport de la Plateforme Attimo, lesquels relèvent des catégories particulières de données au sens de l'article 9 du RGPD.

Le présent Addendum s'applique uniquement lorsque le module Sport est activé sur le compte du Client et que celui-ci utilise les fonctionnalités de reconnaissance faciale. Il est accepté par le Client lors de la première utilisation du module par le biais d'une case à cocher distincte.

Article 1 — Objet de l'Addendum

L'Addendum a pour objet de définir les conditions spécifiques dans lesquelles Attimo traite, pour le compte du Client, des données biométriques des personnes apparaissant sur les photographies téléversées dans le cadre du module Sport.

Ces traitements ont pour finalité de permettre aux clients finaux (sportifs, spectateurs) de retrouver facilement les photographies sur lesquelles ils apparaissent, par le biais de :

• La reconnaissance optique de caractères (OCR) sur les dossards.
• La reconnaissance faciale (selfie-search) pour les sportifs souhaitant retrouver leurs photos par envoi d'un selfie.

Article 2 — Nature et finalité du traitement biométrique

2.1 Données traitées

Les données biométriques traitées dans le cadre du module Sport sont les suivantes :

• Empreintes biométriques faciales extraites des photographies par le service Amazon Rekognition (vecteurs mathématiques représentant les caractéristiques du visage).
• Empreintes biométriques faciales extraites des selfies soumis par les sportifs pour la recherche.
• Métadonnées associées (scores de similarité, horodatage, identifiants techniques).

Attimo ne conserve ni ne stocke les photographies originales des selfies soumis : ces images sont traitées en mémoire vive uniquement, envoyées à AWS Rekognition pour analyse, puis immédiatement effacées. Aucun selfie n'est jamais écrit sur disque.

2.2 Finalités

Les traitements biométriques ont pour unique finalité la facilitation de la recherche de photographies par les personnes concernées. Ils ne sont utilisés à aucune autre fin, notamment :

• Aucune finalité commerciale ou publicitaire.
• Aucune transmission à des tiers à des fins de profilage.
• Aucune utilisation pour l'identification policière, administrative ou judiciaire.
• Aucun entraînement de modèles d'intelligence artificielle.

Article 3 — Base légale du traitement

Conformément à l'article 9, paragraphe 2, point a) du RGPD, le traitement de données biométriques nécessite le consentement explicite de la personne concernée.

Le Client s'engage à recueillir, pour chaque traitement biométrique, le consentement explicite, libre, spécifique, éclairé et univoque de chaque personne concernée, par le biais :

• D'une information claire et visible sur le site de l'événement sportif (panneau d'affichage, mention sur le site web de l'organisateur, mention dans le règlement de l'épreuve).
• D'une case à cocher non pré-cochée lors de l'inscription à l'événement ou lors de l'accès à la galerie photo.
• D'une possibilité simple et effective de retrait du consentement à tout moment (opt-out).

Article 4 — Sous-traitant ultérieur : Amazon Web Services

4.1 Recours à AWS Rekognition

Pour la mise en œuvre des fonctionnalités de reconnaissance faciale, Attimo recourt au service Amazon Rekognition, fourni par Amazon Web Services EMEA SARL.

• Prestataire : Amazon Web Services EMEA SARL
• Service : Amazon Rekognition (analyse d'images et reconnaissance faciale)
• Localisation des traitements : Région Europe — Irlande (eu-west-1)
• Site web : https://aws.amazon.com

4.2 Garanties

Les traitements effectués par AWS Rekognition dans le cadre du module Sport sont configurés selon les paramètres suivants :

• Traitement exclusivement réalisé dans la région européenne eu-west-1 (Irlande).
• Aucun transfert de données vers les États-Unis ou hors Union Européenne.
• Activation explicite de l'option de non-utilisation des données pour l'amélioration des services AWS.
• Chiffrement des données en transit (TLS).
• Chiffrement des données au repos par AWS (AES-256) conformément aux standards AWS.
• Suppression automatique des collections biométriques à l'issue de la durée de conservation prévue.

Article 5 — Obligations spécifiques d'Attimo

Dans le cadre du présent Addendum, Attimo s'engage à :

1. Effectuer les traitements biométriques exclusivement sur des infrastructures situées dans l'Union Européenne (AWS région Irlande).
2. Ne pas utiliser les données biométriques à d'autres fins que celles prévues dans le présent Addendum.
3. Mettre en œuvre les mesures techniques renforcées prévues à l'Article 7.
4. Permettre à toute personne concernée d'exercer son droit à l'effacement dans les conditions prévues à l'Article 8.
5. Supprimer automatiquement les collections biométriques à l'issue de la durée de conservation prévue à l'Article 6.
6. Ne pas réaliser d'entraînement de modèles d'intelligence artificielle sur les données biométriques.
7. Fournir au Client, sur demande, les informations techniques nécessaires à la réalisation d'une Analyse d'Impact relative à la Protection des Données (AIPD) telle que prévue à l'Article 9.

Article 6 — Durée de conservation

Les durées de conservation des données biométriques sont strictement limitées à ce qui est nécessaire à la finalité du traitement.

6.1 Empreintes biométriques des sportifs

Les empreintes biométriques générées à partir des photographies téléversées sont conservées pour la durée de vie de la galerie sportive correspondante, fixée par le Client.

Conformément à la politique de cycle de vie des galeries Attimo, cette durée est plafonnée contractuellement à douze (12) mois maximum par cycle de vie, suivie d'une période de grâce de trente (30) jours.

À l'issue de cette période, deux scénarios sont possibles :

• Renouvellement payant de la galerie (prolongation de 12 mois supplémentaires via paiement) : les empreintes sont conservées pour la nouvelle période.
• Absence de renouvellement : les empreintes biométriques sont supprimées automatiquement et de manière irréversible, en même temps que la galerie correspondante.

6.2 Empreintes biométriques des selfies soumis pour recherche

Les empreintes biométriques générées à partir des selfies envoyés par les sportifs pour la recherche sont traitées en mémoire vive et supprimées immédiatement après traitement de la requête. Elles ne font l'objet d'aucun stockage persistant.

6.3 Photographies originales

Les photographies originales demeurent soumises au cycle de vie de la galerie défini par le Client. Leur conservation ou leur suppression est indépendante du traitement biométrique.

Article 7 — Mesures de sécurité renforcées

Compte tenu du caractère sensible des données biométriques, Attimo met en œuvre des mesures de sécurité renforcées :

7.1 Mesures techniques

• Chiffrement des données biométriques en transit via TLS sur l'ensemble des communications (navigateur → Attimo → AWS).
• Chiffrement des données au repos assuré par AWS (AES-256) conformément aux standards AWS pour le service Rekognition.
• Isolation stricte des collections biométriques par événement et par Client : chaque événement sportif dispose de sa propre collection AWS nommée de manière unique (format technique « attimo_event_{id} »). Aucun croisement n'est possible entre événements ou entre Clients.
• Traitement des selfies en mémoire vive uniquement : les fichiers ne sont jamais écrits sur le disque du serveur Attimo. Le cycle navigateur → RAM → AWS → suppression est exécuté sans persistance.
• Restriction des accès aux API AWS Rekognition aux seuls processus automatisés nécessaires. Aucun accès humain direct aux empreintes biométriques.
• Journalisation exhaustive de tous les appels aux API AWS via le service dédié (logUsage).
• Utilisation de clés d'accès AWS dédiées (utilisateur IAM attimo-rekognition) avec permissions strictement limitées au service Rekognition.
• Mise en œuvre de seuils de confiance élevés pour limiter les faux positifs : seuil minimum de 93% pour la reconnaissance faciale AWS (FaceMatchThreshold), configurable par tenant.

7.2 Mesures organisationnelles

• Accès aux données biométriques strictement limité aux fonctions techniques automatisées de la Plateforme.
• Aucune visualisation ni manipulation manuelle des empreintes biométriques par quelque personne que ce soit.
• Procédure documentée de gestion des incidents de sécurité spécifiques aux données biométriques.

Article 8 — Droit à l'effacement (opt-out)

Toute personne concernée dispose d'un droit à l'effacement de ses données biométriques, qui s'exerce comme suit :

8.1 Demande directe à Attimo

La personne concernée peut adresser sa demande directement à Attimo par email à l'adresse : [email protected]. Attimo procède à la suppression de toutes les empreintes biométriques correspondantes dans un délai maximum de 72 heures à compter de la réception de la demande vérifiée.

8.2 Demande via le Client (photographe)

La personne concernée peut également adresser sa demande au Client (photographe), qui la transmet à Attimo pour exécution. Le Client s'engage à transmettre la demande sans délai.

8.3 Confirmation

Attimo confirme la suppression par email à la personne concernée (ou au Client si la demande a transité par lui).

Article 9 — Analyse d'Impact (AIPD)

Le traitement systématique et à grande échelle de données biométriques peut constituer un traitement à risque élevé au sens de l'article 35 du RGPD, nécessitant la réalisation d'une Analyse d'Impact relative à la Protection des Données (AIPD).

Le Client est responsable de l'évaluation de la nécessité d'une AIPD compte tenu de l'ampleur et des spécificités de son activité. Cette évaluation dépend notamment du nombre d'événements photographiés, du nombre de personnes concernées et de la nature du public (mineurs, sportifs professionnels, grand public, etc.).

À la demande du Client, Attimo met à sa disposition les informations techniques nécessaires à la réalisation de cette AIPD, fournies sous forme d'une fiche technique standard comprenant :

• La description technique détaillée des traitements biométriques (pipeline de traitement, flux de données, durées).
• Les mesures de sécurité techniques et organisationnelles mises en œuvre par Attimo (telles que décrites à l'Article 7).
• Les durées de conservation appliquées (telles que décrites à l'Article 6).
• La liste des sous-traitants ultérieurs impliqués et leur localisation (tels que décrits à l'Article 4).
• La description de la chaîne de responsabilité RGPD.

Cette fiche technique est transmise au Client par email sur simple demande adressée à [email protected].

Article 10 — Obligations spécifiques du Client

Dans le cadre du présent Addendum, le Client s'engage à :

1. Recueillir le consentement explicite des personnes concernées préalablement à tout traitement biométrique, conformément à l'Article 3.
2. Mettre en place les mesures d'information suffisantes (panneaux sur le site de l'événement, mentions sur les sites web, etc.).
3. Permettre aux personnes concernées d'exercer facilement leur droit à l'effacement (opt-out).
4. Ne pas activer la reconnaissance faciale pour des événements impliquant majoritairement des mineurs sans autorisation parentale explicite.
5. Réaliser, le cas échéant, une Analyse d'Impact (AIPD) avant le déploiement à grande échelle.
6. Tenir à jour un registre des traitements conforme à l'article 30 du RGPD.
7. Notifier Attimo de toute demande d'exercice de droits ou de réclamation reçue directement de personnes concernées.

Article 11 — Notification de violation

En cas de violation concernant spécifiquement des données biométriques, Attimo notifie le Client dans un délai maximum de 24 heures (au lieu de 48 heures prévues par le DPA principal), compte tenu du caractère sensible de ces données.

La notification comporte une évaluation précise de l'impact potentiel sur les personnes concernées et des mesures d'urgence prises.

Article 12 — Responsabilité

Chaque Partie demeure responsable du respect de ses obligations respectives prévues par le présent Addendum et par le RGPD.

Le Client reconnaît qu'il est seul responsable du recueil du consentement explicite des personnes concernées et de la conformité de son activité avec les obligations légales applicables au traitement de données biométriques.

En cas de sanction prononcée à l'encontre d'une Partie suite à un manquement de l'autre Partie aux obligations du présent Addendum, la Partie fautive pourra être tenue d'indemniser l'autre dans les conditions prévues au DPA principal.

Article 13 — Durée et cessation

Le présent Addendum entre en vigueur à compter de la première utilisation des fonctionnalités de reconnaissance faciale du module Sport par le Client et demeure en vigueur tant que celui-ci utilise ces fonctionnalités.

L'activation et la désactivation du module Sport sur le compte du Client relèvent de la seule compétence d'Attimo, sur la base du plan d'abonnement souscrit par le Client et des décisions administratives prises par Attimo (désactivation d'un module spécifique via l'interface d'administration Attimo).

En cas de désactivation du module Sport sur le compte du Client, quelle qu'en soit la cause (changement de plan, décision d'Attimo, résiliation du Contrat Principal), les effets suivants s'appliquent :

• Arrêt immédiat de tout nouveau traitement biométrique.
• Suppression dans un délai de 30 jours de l'ensemble des collections biométriques existantes.
• Cessation d'effet du présent Addendum.

Article 14 — Articulation avec le DPA principal

Le présent Addendum est annexé au DPA principal conclu entre les Parties et en fait partie intégrante. Les dispositions du DPA principal s'appliquent à l'ensemble des traitements non spécifiquement régis par le présent Addendum.

En cas de contradiction entre le DPA principal et le présent Addendum, les dispositions du présent Addendum prévalent s'agissant des traitements biométriques.