Accord de traitement des données (DPA)

1. Rôles

Pour les données des Élèves saisies par le Coach, le Coach est responsable du traitement au sens de l'article 4, 7) du RGPD et l'Opérateur est sous-traitant au sens de l'article 4, 8) du RGPD.

Pour les données du compte du Coach, l'Opérateur est responsable du traitement ; ce traitement est régi par la Politique de Confidentialité et non par le présent DPA.

2. Objet, durée, nature et finalité

Objet : traitement des données des Élèves aux fins de fourniture du Service CoachReview tel que défini dans les CGU.

Nature : collecte, enregistrement, conservation, organisation, modification, affichage, communication au seul Coach, limitation et suppression dans l'environnement informatique de l'Opérateur.

Le traitement dure le temps de la convention de service et prend fin à sa résiliation, sous réserve des dispositions relatives à la suppression ou à la restitution.

3. Catégories de données et de personnes concernées

Données : identification et coordonnées des Élèves, notes d'entraînement, supports, devoirs, vidéos, calendrier et métadonnées techniques associées.

Personnes concernées : Élèves du Coach, leurs représentants légaux le cas échéant, et toute autre personne dont les données sont saisies par le Coach.

4. Obligations du sous-traitant

L'Opérateur traite les données uniquement sur instructions documentées du Coach, qui sont la convention, les CGU et la configuration du compte. Si le droit de l'Union ou d'un État membre l'oblige à traiter, il en informe le Coach, sauf interdiction.

Les personnes autorisées à traiter les données sont astreintes à une obligation de confidentialité contractuelle ou légale.

5. Sécurité (article 32 RGPD)

L'Opérateur met en œuvre des mesures techniques et organisationnelles adaptées, dont chiffrement en transit, contrôle d'accès basé sur les rôles, principe de moindre privilège, supervision de la sécurité, sauvegardes, politiques de mots de passe et tests de sécurité.

Une description des mesures est mise à disposition du Coach sur demande, dans la mesure nécessaire pour démontrer la conformité.

6. Sous-sous-traitants

Le Coach donne une autorisation générale au recours à des sous-sous-traitants, comprenant notamment les hébergeurs, le stockage objet, l'e-mail transactionnel et le prestataire de paiement. Une liste à jour des sous-sous-traitants est fournie sur demande à l'adresse mindmotion.tech@gmail.com.

L'Opérateur informe le Coach des modifications avec un préavis d'au moins 30 jours. Le Coach peut s'y opposer pour motifs justifiés ; à défaut de solution, le Contrat peut être résilié conformément aux CGU.

L'Opérateur conclut avec chaque sous-sous-traitant un contrat offrant un niveau de protection au moins équivalent et reste responsable envers le Coach des actes et omissions desdits sous-sous-traitants.

7. Assistance et notification des violations

L'Opérateur assiste le Coach, dans la mesure du raisonnable, pour répondre aux demandes des personnes concernées et satisfaire aux obligations des articles 32 à 36 RGPD.

Il notifie au Coach toute violation de données à caractère personnel sans retard injustifié et au plus tard dans les 48 heures suivant sa connaissance, en fournissant les informations nécessaires à la notification.

8. Audits

L'Opérateur met à disposition du Coach les informations nécessaires pour démontrer la conformité au RGPD et permet la réalisation d'audits, y compris des inspections, par le Coach ou un auditeur mandaté, dans des conditions convenues, dans le respect du secret des affaires et des données d'autres clients.

Il peut prouver la conformité par des rapports d'audit en cours de validité (par ex. SOC 2, ISO 27001) ou attestations équivalentes.

9. Transferts internationaux

L'Opérateur ne transfère des données hors EEE qu'avec des garanties appropriées au sens du chapitre V du RGPD, en particulier les Clauses Contractuelles Types. La liste des sous-sous-traitants indique les lieux de traitement.

10. Restitution ou suppression

À la fin du Service, au choix du Coach exprimé avant la cessation, l'Opérateur supprime ou restitue toutes les données personnelles et supprime les copies existantes, sauf obligation légale de conservation.

Le Coach peut exporter à tout moment les données des Élèves grâce à la fonction d'export du Service.

11. Responsabilité

La responsabilité des parties au titre du présent DPA est régie par les CGU, sous réserve de l'article 82 RGPD et des autres dispositions impératives.