Accord de sous-traitance des données (RGPD, article 28)

1. Parties et objet

Le présent accord, annexé aux conditions générales, est conclu entre le coach (responsable de traitement) et Rayan Salhi (sous-traitant). Il encadre le traitement, par Movenza, des données personnelles des élèves du coach, pour la durée d'utilisation du service.

2. Description du traitement

• Nature et finalité : hébergement et mise à disposition d'un outil de suivi sportif (programmes, séances, réservations, messagerie, retours vidéo, nutrition, habitudes, facturation des élèves).
• Personnes concernées : élèves et prospects du coach.
• Catégories de données : identité et coordonnées, données de suivi sportif, messages, vidéos et photos, données de nutrition et de mesures, réponses au questionnaire de santé (données de santé), données de facturation.
• Lieu : serveur de l'éditeur situé en France (base de données, fichiers et sauvegardes).
• Durée : celle de l'utilisation du service, puis restitution et suppression (article 7).

3. Obligations du sous-traitant

• Ne traiter les données que sur instruction documentée du coach, matérialisée par son utilisation du service.
• Garantir la confidentialité : seules les personnes habilitées y accèdent, tenues au secret ; les accès de support sont en lecture seule et journalisés.
• Mettre en œuvre des mesures de sécurité appropriées (chiffrement des échanges, isolation des données de chaque coach, contrôle des accès, sauvegardes).
• Aider le coach à répondre aux demandes d'exercice des droits des élèves et à ses obligations (sécurité, analyses d'impact).
• Notifier au coach toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance.
• Mettre à disposition les informations nécessaires pour démontrer le respect du présent accord.

4. Sous-traitants ultérieurs

Le coach autorise le recours aux sous-traitants ultérieurs suivants, tenus aux mêmes obligations :

• Cloudflare, Inc. : Acheminement sécurisé du trafic (chiffrement HTTPS, protection contre les attaques, tunnel vers le serveur). Les données transitent par son réseau mais n'y sont pas stockées (Réseau mondial, dont l'Union européenne ; société américaine, transferts encadrés (clauses contractuelles types, Data Privacy Framework)).
• Resend, Inc. : Envoi des e-mails transactionnels (connexion, notifications, rappels) (Serveurs d'envoi en Union européenne (Irlande) ; société américaine, transferts encadrés (clauses contractuelles types, Data Privacy Framework)).

Tout ajout ou remplacement est notifié au coach, qui peut s'y opposer et fermer son compte.

5. Transferts hors Union européenne

Les transferts éventuels hors de l'Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne ou une décision d'adéquation (Data Privacy Framework).

6. Obligations du coach

• Disposer d'une base légale pour chaque traitement et informer ses élèves.
• Recueillir le consentement explicite de ses élèves pour leurs données de santé ; Movenza propose ce recueil lors de la première connexion de l'élève et de la signature du PAR-Q.
• N'enregistrer que les données nécessaires au suivi.

7. Fin du contrat

À la fermeture de son compte, le coach peut demander l'export de ses données. Elles sont ensuite supprimées, y compris les fichiers (vidéos, photos), sauf obligation légale de conservation.