Accord de sous-traitance des données (DPA)

Le présent accord est conclu en application de l'article 28 du RGPD entre le coach utilisateur (« le Responsable de traitement ») et CoachOS, éditeur de CoachOS (« le Sous-traitant »). Il complète les CGU et encadre le traitement des données personnelles des Élèves pour le compte du Responsable de traitement.

1. Objet et durée

Le Sous-traitant traite les données personnelles uniquement pour fournir le Service décrit dans les CGU, pendant toute la durée de l'abonnement et jusqu'à la suppression des données conformément à l'article 8.

2. Périmètre du traitement

• Nature et finalité : hébergement et fonctionnement d'une application de suivi sportif et nutritionnel (comptes, programmes, suivis, check-ins, messagerie, notifications).
• Catégories de personnes : le coach, ses co-coachs, ses Élèves.
• Catégories de données : identité et coordonnées, données de suivi sportif, données relatives à la santé et au corps (poids, mensurations, photos, nutrition — catégorie particulière, art. 9 RGPD), échanges, données techniques.

3. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• ne traiter les données que sur instruction documentée du Responsable de traitement (les présentes et l'usage du Service valant instructions) ;
• garantir la confidentialité et veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles décrites en annexe ;
• assister le Responsable de traitement pour répondre aux demandes d'exercice de droits des personnes concernées ;
• l'aider à respecter ses obligations de sécurité, de notification de violation et, le cas échéant, d'analyse d'impact (AIPD) ;
• mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permettre des audits raisonnables.

4. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants, soumis aux mêmes obligations de protection :

Le Sous-traitant informe le Responsable de tout changement prévu, lui laissant la possibilité de s'y opposer.

5. Transferts hors UE

Tout transfert hors de l'Union européenne est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne). Le Responsable de traitement est invité à vérifier la région d'hébergement de la base (France (Union européenne — région de Paris)).

6. Sécurité

Les mesures techniques et organisationnelles figurent en annexe et incluent notamment le chiffrement en transit et au repos, le cloisonnement par organisation au niveau de la base (Row Level Security) et la restriction des accès techniques.

7. Violation de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles pour permettre, le cas échéant, une notification à la CNIL dans les 72 heures.

8. Sort des données en fin de contrat

Au terme de la prestation, ou sur demande de la personne concernée, le Sous-traitant, au choix du Responsable de traitement, restitue les données ou les supprime, ainsi que les copies existantes, dès réception de la demande, sauf obligation légale de conservation.

9. Annexe — Mesures techniques et organisationnelles

• Chiffrement des communications (TLS/HTTPS) et des données au repos.
• Isolation des données par organisation via Row Level Security (PostgreSQL).
• Authentification, gestion des rôles et des permissions.
• Accès administrateur restreint, via des clés à privilèges élevés conservées hors du code et dont l'usage est limité et tracé.
• Sauvegardes régulières assurées par l'hébergeur de la base.
• Journalisation des événements de sécurité et procédure de gestion des incidents.

10. Contact

Pour toute question relative au présent accord : app.coach.os@gmail.com.