Accord de sous-traitance (DPA)

1. Parties et champ d'application

Responsable du traitement (le « Responsable ») : le titulaire du Compte Professionnel, identifié par les données du compte ; dans les équipes, le Titulaire de l'équipe, tel que défini dans les Conditions d'utilisation. Sous-traitant (« nous ») : Vasco José Cardoso Correia, entrepreneur individuel, numéro d'identification fiscale (NIF) 262045630, Rua de Campezinhos, 27, Lomba, 4600-663 Amarante, Portugal, qui exploite MyFitnessClient ([email protected]).

Le présent DPA s'applique aux données personnelles que le Responsable enregistre ou reçoit sur ses clients et sur d'autres personnes dans le cadre du suivi (les « Données du Responsable »), conformément à l'article 28 du règlement (UE) 2016/679 (RGPD).

Ne sont pas couverts, car nous en sommes responsables du traitement et ils sont régis par la Politique de confidentialité : les comptes et la facturation ; la sécurité et l'analyse d'utilisation de la plateforme ; la marketplace (profils publics, demandes jusqu'à leur acceptation et contacts de visiteurs jusqu'à leur transmission au Responsable) ; et les données qu'un client enregistre dans son propre compte tant qu'il n'est pas lié à un professionnel. Ne sont pas non plus nos sous-traitants les services que le Responsable connecte directement, en vertu d'un contrat qui lui est propre, tels que son compte Stripe, son compte Google Calendar ou les plateformes vidéo dont il intègre les contenus.

2. Objet, durée, nature et finalité

Nous traitons les Données du Responsable tant que son compte existe et jusqu'à l'expiration des délais de la section 9, uniquement pour lui fournir le Service décrit dans les Conditions d'utilisation : héberger, afficher, calculer, transmettre et notifier, sauvegarder et supprimer ces données, selon ses instructions. Nous ne les utilisons pas à nos propres fins, notamment pour la publicité, le profilage, la vente ou l'entraînement de modèles d'intelligence artificielle. La seule exception concerne des statistiques agrégées et anonymes sur l'utilisation du Service, qui n'identifient ni le Responsable ni les personnes concernées.

3. Personnes concernées et types de données

Personnes concernées : clients et élèves du Responsable, avec ou sans compte propre ; personnes qui répondent à ses formulaires ou achètent ses cours et forfaits ; membres de son équipe ; visiteurs qui lui laissent leurs coordonnées sur le profil public ; tiers mentionnés dans des notes ou des messages.

Données : identification et coordonnées ; NIF et enregistrements de paiements ; mesures, composition corporelle, photos et vidéos ; anamnèse et questionnaires, qui peuvent inclure des données de santé ; valeurs calculées à partir des mesures (par exemple l'IMC et la composition corporelle estimée) ; plans et enregistrements d'entraînement, de nutrition, de supplémentation et d'habitudes ; messages texte et audio et fichiers ; agenda ; métadonnées des appels. Les données de santé relèvent des catégories particulières de données (article 9 du RGPD).

4. Instructions

Nous traitons les Données du Responsable uniquement sur la base de ses instructions documentées : les Conditions d'utilisation, le présent DPA et la manière dont il utilise et configure le Service. Les instructions supplémentaires sont données par écrit à [email protected] ; celles qui vont au-delà du fonctionnement normal du Service et de ce que prévoient les Conditions d'utilisation et le présent DPA sont subordonnées à notre accord et peuvent être facturées. Si le droit de l'Union ou d'un État membre nous oblige à traiter les données d'une autre manière, nous en informons le Responsable au préalable, sauf si ce droit l'interdit. Si nous estimons qu'une instruction enfreint la législation sur la protection des données, nous en informons immédiatement le Responsable ; s'il la maintient, nous pouvons suspendre le traitement concerné et, si la situation persiste, résilier le contrat.

Le Responsable donne dès à présent les instructions permanentes suivantes : (a) lorsqu'un client disposant d'un compte propre supprime son compte, nous retirons des Données du Responsable les données de profil de ce client (nom, e-mail, coordonnées, photo, date de naissance, genre, taille, poids, NIF et antécédents médicaux), les enregistrements du suivi restent dans le compte du Responsable, qui décide s'il les supprime, et, si le suivi était en cours ou programmé, nous informons le Responsable, en lui indiquant le nom du client, que le compte a été supprimé et que le suivi a pris fin ; (b) les comptes de clients sans activité pendant 12 mois peuvent être supprimés conformément à la Politique de confidentialité ; (c) les fichiers hébergés peuvent être supprimés 90 jours après la fin d'un abonnement payant, conformément à la section 9 des Conditions d'utilisation ; (d) les contacts laissés par des visiteurs sur le profil public sont supprimés un an après leur réception.

5. Confidentialité et accès

Seul le personnel qui en a besoin, tenu à la confidentialité et à l'obligation de secret prévue à l'article 29, paragraphe 4, de la loi n° 58/2019, accède aux Données du Responsable. L'accès est limité à ce qui est nécessaire pour fournir, maintenir et protéger le Service (notamment à la demande du Responsable ou de la personne concernée via le support, pour enquêter sur des incidents de sécurité ou des erreurs, ou pour tester des mises à jour) ou pour respecter une obligation légale. Chaque session au cours de laquelle le personnel se connecte à un compte pour fournir une assistance est enregistrée et limitée dans le temps ; ce que le personnel enregistre au cours de cette session est sauvegardé dans le compte, comme toute modification. Ni ces sessions ni les outils d'administration n'affichent les fichiers privés (photos et documents), sauf une photo qui se trouvait à l'écran de l'application mobile lorsqu'une erreur s'est produite et qui apparaît dans la capture du rapport d'erreur ; l'application ne fait pas cette capture sur des écrans comme la progression, les évaluations, l'anamnèse et les messages.

6. Sécurité

Nous appliquons les mesures techniques et organisationnelles de l'Annexe II, que nous réexaminons régulièrement sans diminuer le niveau global de protection, en tenant compte de l'état de la technique et du risque du traitement, y compris le traitement de données de santé.

7. Sous-traitants ultérieurs

Le Responsable autorise, de manière générale, les sous-traitants ultérieurs de l'Annexe III. Nous informons le Responsable par e-mail, au moins 30 jours à l'avance, de tout ajout ou remplacement, sauf en cas de remplacement urgent pour des raisons de sécurité ou en raison de la cessation du service du prestataire, auquel cas nous l'en informons dès que possible. Le Responsable peut s'y opposer pour des motifs fondés liés à la protection des données ; si nous ne trouvons pas de solution, il peut résilier le contrat sans pénalité, avec un remboursement proportionnel de la période payée et l'exportation des données. Nous imposons à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent DPA et restons pleinement responsables envers le Responsable du respect de ces obligations (article 28, paragraphe 4, du RGPD).

8. Assistance et violations de données

Les demandes de personnes concernées qui nous parviennent sont transmises au Responsable sans retard injustifié ; nous n'y répondons pas sans autorisation, sauf pour indiquer à qui elles doivent s'adresser. Nous mettons à disposition dans le Service des outils permettant de consulter, de rectifier et de supprimer les données de chaque client et, sur demande, leur exportation ou leur suppression complète. Nous aidons le Responsable, compte tenu de la nature du traitement et des informations dont nous disposons, à respecter les obligations des articles 32 à 36 du RGPD (sécurité, violations, analyse d'impact et consultation préalable).

En cas de violation de données personnelles affectant les Données du Responsable, nous la lui notifions par e-mail sans retard injustifié et, dans la mesure du possible, dans un délai de 48 heures après en avoir pris connaissance, en indiquant la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, le point de contact, les conséquences probables et les mesures prises ou proposées. Les informations qui ne sont pas encore disponibles sont communiquées de manière échelonnée, sans retard injustifié.

9. Fin du traitement

Tant que le compte existe et après la fin d'un abonnement payant, le Responsable peut demander l'exportation des Données du Responsable conformément aux sections 20 et 23 des Conditions d'utilisation. Lorsque le compte est supprimé, nous supprimons les Données du Responsable dans un délai de 30 jours, sauf conservation exigée par la loi ; ce qui figure encore dans les journaux d'audit et les sauvegardes est supprimé à l'expiration des délais de l'Annexe II, et les rapports d'erreur jusqu'à 90 jours plus tard. Les données qu'un client a saisies dans son propre compte restent dans ce compte ; à partir de ce moment, elles ne sont plus des Données du Responsable et sont régies par la Politique de confidentialité. Font exception les photos et les fichiers que le client a envoyés dans le cadre du suivi assuré par le Responsable : ils sont hébergés dans le compte de ce dernier et supprimés avec ce compte.

10. Informations et audits

Nous mettons à la disposition du Responsable les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permettons la réalisation d'audits, y compris d'inspections, par le Responsable ou par un auditeur qu'il a choisi et qui est tenu à la confidentialité. Les audits sont réalisés moyennant un préavis raisonnable, au maximum une fois par an, sauf indices de manquement ou demande de la CNPD (autorité portugaise de protection des données), en premier lieu au moyen de documentation et de questionnaires, et sans compromettre la sécurité des autres clients. Ils sont à la charge du Responsable, sauf si un manquement de notre part est confirmé. Nous mettons ces informations à la disposition de l'autorité de contrôle lorsqu'elle le demande.

11. Transferts internationaux

Nous ne transférons des Données du Responsable en dehors de l'Espace économique européen qu'avec les garanties du chapitre V du RGPD. L'Annexe III indique le lieu de chaque sous-traitant ultérieur et, lorsque le traitement a lieu en dehors de l'Espace économique européen, la garantie applicable. Nous envoyons une copie des clauses contractuelles types sur demande.

12. Obligations du Responsable

Il incombe au Responsable : de disposer d'un fondement juridique pour chaque traitement et, pour les données de santé, d'un fondement prévu à l'article 9, paragraphe 2, du RGPD (en règle générale, le consentement explicite de la personne concernée ; les professionnels de santé soumis au secret peuvent invoquer le point h), en lien avec le paragraphe 3) ; d'informer les personnes concernées (articles 13 et 14), y compris les personnes qu'il enregistre sans compte propre ; d'obtenir l'autorisation des représentants légaux des mineurs ; de veiller à ce que les membres de son équipe agissent sous son autorité et dans le respect de la confidentialité (article 29) ; de réaliser, lorsqu'elle est exigée, l'analyse d'impact relative à la protection des données ; et de donner des instructions licites.

13. Responsabilité, primauté et modifications

Les limitations de responsabilité prévues par les Conditions d'utilisation s'appliquent uniquement entre les parties et n'affectent pas les droits des personnes concernées (article 82 du RGPD). En cas de conflit concernant le traitement des Données du Responsable, le présent DPA prévaut sur les Conditions d'utilisation. Les modifications du présent DPA suivent la section 25 des Conditions d'utilisation. Le présent DPA est régi par le droit portugais. Les termes non définis ont le sens que leur donne le RGPD.

Annexe I : Résumé du traitement

Annexe II : Mesures techniques et organisationnelles

• Serveurs de production hébergés dans l'Union européenne (Allemagne)
• Chiffrement en transit (HTTPS/TLS) pour les connexions via Internet
• Mots de passe hachés ; secrets à deux facteurs et connexions à des services externes chiffrés sur les serveurs
• Authentification à deux facteurs disponible pour tous les comptes
• Séparation des données par compte et par équipe, avec des autorisations configurables par le Responsable
• Limitation des tentatives, protection anti-bot et surveillance des accès
• Journaux d'audit des modifications (180 jours ; 365 jours pour le compte et les paiements) et des accès d'assistance (365 jours)
• Sessions d'assistance au sein des comptes, enregistrées et limitées dans le temps ; ni ces sessions ni les outils d'administration ne donnent accès aux fichiers privés, sauf ce qui est visible dans la capture d'un rapport d'erreur de l'application mobile
• Sauvegardes de la base de données, supprimées par rotation, en règle générale au bout de 30 jours
• Appels sans enregistrement ; relais et appels de groupe sur nos propres serveurs
• Personnel ayant accès aux données tenu à la confidentialité

Annexe III : Sous-traitants ultérieurs