ACCORD DE TRAITEMENT DES DONNÉES PERSONNELLES

Article 1 — Objet

Le Sous-traitant fournit au Responsable de traitement le service Coach Cap (page publique, espace client, agenda et réservation en ligne, envoi de contenus, rappels par e-mail et SMS, outils de communication), ci-après « le Service ». Dans ce cadre, il traite pour le compte du Responsable de traitement les données personnelles des clients et prospects de ce dernier, ci-après « les Données ».

Article 2 — Description du traitement (Annexe 1)

Article 3 — Obligations du Sous-traitant

Le Sous-traitant s'engage à :

1. ne traiter les Données que sur instruction documentée du Responsable de traitement, les présentes et l'usage normal du Service valant instruction ; l'informer si une instruction lui paraît contraire au RGPD ;
2. garantir la confidentialité des Données et s'assurer que les personnes autorisées à y accéder sont tenues à une obligation de confidentialité ;
3. mettre en œuvre les mesures de sécurité décrites à l'Annexe 2 ;
4. ne pas utiliser les Données à d'autres fins que l'exécution du Service, ni pour de la publicité, de la revente ou l'entraînement de modèles d'intelligence artificielle ;
5. aider le Responsable de traitement, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, opposition). Le Service permet au Coach d'exporter et de supprimer lui-même les données d'un client ;
6. l'aider à respecter ses obligations en matière de sécurité, de notification des violations et, le cas échéant, d'analyse d'impact ;
7. tenir à sa disposition les informations nécessaires pour démontrer le respect du présent accord.

Article 4 — Obligations du Responsable de traitement

Le Responsable de traitement s'engage à :

1. disposer d'une base légale pour le traitement des Données et informer ses clients conformément aux articles 13 et 14 du RGPD ;
2. ne saisir dans le Service que les données nécessaires au suivi de ses clients et aucune donnée de santé ou donnée sensible, y compris dans les champs de texte libre et les objectifs ;
3. garder confidentiels ses identifiants de connexion et ne pas partager les liens d'accès personnels de ses clients ;
4. traiter les demandes d'exercice des droits adressées par ses clients.

Article 5 — Sous-traitants ultérieurs (Annexe 3)

Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs listés en Annexe 3. Le Sous-traitant l'informe par e-mail de tout ajout ou remplacement au moins 30 jours avant sa prise d'effet. Le Responsable de traitement peut s'y opposer par écrit dans ce délai ; à défaut d'accord, il peut résilier le Service sans frais. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes aux présentes et demeure responsable envers le Responsable de traitement.

Article 6 — Transferts hors de l'Union européenne

Certaines Données sont traitées aux États-Unis (hébergement et génération assistée de textes, Annexe 3). Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914), intégrées aux accords de traitement conclus entre le Sous-traitant et les prestataires concernés, et par les mesures de sécurité de l'Annexe 2. Le Sous-traitant ne transfère pas les Données vers d'autres pays tiers sans en informer préalablement le Responsable de traitement.

Article 7 — Violation de données

En cas de violation de Données personnelles, le Sous-traitant en informe le Responsable de traitement dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous 48 heures, par e-mail à l'adresse du compte, en précisant la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. Cette information permet au Responsable de traitement de notifier la CNIL dans les 72 heures prévues à l'article 33 du RGPD.

Article 8 — Audit

Le Responsable de traitement peut demander, une fois par an au maximum et avec un préavis de 30 jours, les informations nécessaires pour vérifier le respect du présent accord. Le Sous-traitant y répond par écrit (description des mesures, attestations de ses sous-traitants ultérieurs). Un audit sur place n'est envisageable qu'à la demande motivée d'une autorité de contrôle.

Article 9 — Fin du contrat et sort des Données

À la fin du Service (résiliation ou clôture du compte), le Responsable de traitement dispose de 30 jours pour exporter ses Données depuis le Service. Passé ce délai, le Sous-traitant supprime les Données et leurs copies, sauf obligation légale de conservation (pièces comptables liées aux paiements : 10 ans, sans nom ni coordonnées). Les Données déjà transmises aux sous-traitants ultérieurs pour l'envoi de messages ou le paiement (Annexe 3) sont supprimées selon les délais propres à chacun. Les sauvegardes techniques sont purgées selon leur cycle normal, sous 90 jours au plus.

Article 10 — Responsabilité

Chaque partie est responsable des dommages causés par un traitement effectué en violation du RGPD qui lui est imputable, dans les conditions de l'article 82 du RGPD. La responsabilité du Sous-traitant au titre du présent accord est limitée aux montants versés par le Responsable de traitement au cours des douze derniers mois, sauf faute lourde ou intentionnelle.

Article 11 — Durée, modification, droit applicable

Le présent accord s'applique pendant toute la durée d'utilisation du Service. Le Sous-traitant peut le modifier pour tenir compte de l'évolution du Service ou de la réglementation ; la nouvelle version est portée à la connaissance du Responsable de traitement dans le Service et par e-mail, et s'applique 30 jours après. Droit français ; tribunaux compétents : ceux du ressort du siège du Sous-traitant.

Acceptation : l'acceptation s'effectue par la case à cocher à l'inscription ou à la connexion ; la version acceptée et la date sont enregistrées dans le compte du Coach et consultables dans Réglages › Compte.

Annexe 2 — Mesures de sécurité

• Chiffrement des communications (HTTPS/TLS) ; base de données et stockage de fichiers chiffrés au repos par l'hébergeur.
• Cloisonnement : règles de sécurité au niveau des lignes de la base (Row Level Security) limitant chaque coach à ses propres données ; accès des clients par lien personnel contrôlé côté serveur.
• Moindre privilège : clés et secrets techniques uniquement côté serveur ; back-office protégé par authentification, rôles et double authentification pour le propriétaire ; actions administratives journalisées.
• Connexion Google Agenda : jetons gérés hors des serveurs Coach Cap, clé de connexion chiffrée (AES-256-GCM), lecture limitée aux plages occupées et aux identifiants/horaires des événements, révocation possible à tout moment.
• Génération assistée de textes : seules les saisies du Coach et, pour un programme individuel, le prénom et l'objectif du client sont transmis au fournisseur d'IA ; jamais d'e-mail, de téléphone, d'adresse ni de nom de famille.
• Minimisation et purge : adresses et coordonnées géographiques des séances effacées 90 jours après la séance ; suppression des données d'un client supprimé (fiche, photos, liens d'accès, contenus, inscriptions, retours, fiche prospect d'origine anonymisée).
• Sauvegardes gérées par l'hébergeur (Lovable Cloud).

Annexe 3 — Sous-traitants ultérieurs