Convention de sous-traitance

1. Parties et champ d'application

La présente convention de sous-traitance (« CST ») fait partie des conditions générales entre RungGym (le « sous-traitant ») et vous, le coach sportif, le coach ou l'entreprise titulaire de l'abonnement (le « responsable du traitement »). Elle s'applique automatiquement dès que vous utilisez le service. Aucune signature n'est nécessaire. Elle met en œuvre l'article 28, paragraphe 3, du RGPD pour toutes les données à caractère personnel concernant vos clients que vous saisissez dans RungGym.

2. Objet, durée, nature et finalité

Nous traitons les données à caractère personnel de vos clients pour une seule finalité : faire fonctionner le logiciel RungGym pour votre compte: conserver les profils clients, générer des blocs d'entraînement et produire des exports PDF, et faire fonctionner le portail client par lequel vos clients consignent leur entraînement, leur alimentation, leurs habitudes, leurs bilans quotidiens de récupération, leurs check-ins et leurs photos de progression, vous envoient des messages et réservent des séances chez vous. Le traitement dure aussi longtemps que votre abonnement, plus la période d'export de 30 jours décrite dans les conditions. Nous n'utilisons jamais ces données pour nos propres finalités, ne les vendons pas et ne les utilisons ni à des fins publicitaires ni à des fins de profilage.

3. Catégories de données et de personnes concernées

Les personnes concernées sont vos clients et les clients potentiels qui vous adressent une demande via votre page publique (nom, adresse e-mail, numéro de téléphone facultatif et message). Les données que vous ou eux pouvez saisir comprennent : le nom, l'objectif d'entraînement, le niveau d'expérience, le matériel disponible, les notes d'entraînement, les poids consignés, les journaux alimentaires et les objectifs nutritionnels, les habitudes, les bilans quotidiens de récupération (qualité du sommeil, fatigue, stress, courbatures, heures de sommeil, notes), les check-ins (poids corporel, mensurations, énergie, sommeil, notes), les photos de progression, les messages, les séances réservées et les informations sur les blessures. Les informations sur les blessures, les mensurations, les journaux alimentaires, les bilans de récupération et les photos de progression sont des données concernant la santé au sens de l'article 9 du RGPD. En tant que responsable du traitement, il vous incombe de disposer d'une base juridique pour les enregistrer, en pratique le consentement explicite de votre client, et d'informer votre client avant de partager son lien de portail. Ne collectez que ce dont vous avez besoin pour le coacher.

4. Nos obligations

En tant que sous-traitant, nous :

• traitons les données uniquement sur vos instructions documentées, en pratique les actions que vous effectuez dans le logiciel, sauf si le droit de l'Union ou d'un État membre exige autre chose, auquel cas nous vous en informons au préalable dans la mesure où cela est permis ;
• veillons à ce que toute personne autorisée à traiter les données soit tenue à la confidentialité ;
• prenons les mesures techniques et organisationnelles de l'article 32 du RGPD, y compris le chiffrement en transit, un contrôle d'accès au niveau des lignes afin qu'un coach ne puisse jamais lire les données clients d'un autre coach, et un stockage situé dans l'UE (voir le point 5) ;
• vous aidons, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité) : les données de vos clients sont visibles et modifiables dans votre tableau de bord, et exportables en PDF à tout moment ;
• vous aidons à respecter vos obligations au titre des articles 32 à 36 du RGPD, y compris en vous notifiant dans les meilleurs délais après avoir pris connaissance d'une violation de données à caractère personnel touchant les données de vos clients ;
• supprimons toutes les données à caractère personnel des clients au terme du service, comme décrit dans les conditions (30 jours après la résiliation, ou plus tôt sur demande), sauf si le droit de l'Union ou d'un État membre exige leur conservation ;
• mettons à disposition les informations nécessaires pour démontrer le respect de la présente CST et permettons la réalisation d'audits, y compris des inspections, par vous-même ou par un auditeur que vous mandatez, et y contribuons. En premier lieu, nous le faisons en fournissant de la documentation ; un audit sur place requiert un préavis de 30 jours, a lieu au plus une fois par an et est à vos frais.

5. Sous-traitants ultérieurs

Vous donnez une autorisation écrite générale pour les sous-traitants ultérieurs suivants, dont nous avons besoin pour faire fonctionner le service :

• Supabase (base de données, authentification et stockage de fichiers, y compris les photos de progression dans un espace privé) : données stockées dans l'UE (région AWS eu-west-1, Irlande) ;
• Vercel (hébergement de l'application) ;
• Stripe (paiements) : Stripe traite vos propres données de facturation en tant que responsable du traitement indépendant ; il ne reçoit jamais les données de vos clients.

Nous imposons à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles de la présente CST et restons pleinement responsables envers vous de leur exécution. Nous annonçons tout changement envisagé de sous-traitant ultérieur au moins 30 jours à l'avance par e-mail ; si vous vous y opposez, vous pouvez résilier avant que le changement ne prenne effet.

6. Transferts internationaux

Les données clients sont stockées dans l'Union européenne. Lorsque le support ou l'infrastructure d'un sous-traitant ultérieur implique un accès depuis l'extérieur de l'EEE, ce transfert est couvert par les clauses contractuelles types de la Commission européenne ou par une décision d'adéquation (pour les prestataires américains : le cadre de protection des données UE-États-Unis).

7. Primauté et contact

En cas de contradiction entre la présente CST et les conditions générales sur un point de protection des données, la présente CST prévaut. Questions : info@runggym.com.