Projet d’accord de sous-traitance RGPD

1. Parties et rôles

L’organisation cliente agit comme responsable du traitement pour les données des personnes qu’elle accompagne. RiseCraft agit comme sous-traitant lorsqu’il héberge ou traite ces données pour fournir la plateforme.

Pour ses propres traitements de compte, sécurité, facturation et gestion commerciale, RiseCraft agit séparément comme responsable du traitement selon sa politique de confidentialité.

2. Objet, durée, nature et finalité

Objet

Fourniture, hébergement, maintenance, sécurisation, support et restitution de la plateforme RiseCraft.

Durée

Durée du contrat SaaS et période technique nécessaire à la restitution ou suppression, sous réserve des obligations légales.

Nature

Collecte via l’interface, enregistrement, organisation, stockage, consultation autorisée, transmission, export, sauvegarde, limitation, anonymisation et suppression.

Finalité

Permettre à l’organisation d’assurer son activité de coaching, son suivi client et sa gouvernance interne.

3. Personnes et données concernées

• Clients et prospects de l’organisation de coaching.
• Coachs, HeadTrainers, administrateurs et autres membres autorisés.
• Identité, coordonnées, comptes, rôles, communications et rendez-vous.
• Programmes, séances, performances, nutrition, habitudes, objectifs et décisions de coaching.
• Données de santé ou susceptibles de révéler la santé : blessures, limitations, douleurs, sommeil, stress, humeur, poids, mensurations, notes médicales et photos de progression.
• Données de paiement et d’abonnement limitées aux informations nécessaires à la synchronisation avec Stripe.

4. Instructions documentées

RiseCraft traite les données uniquement sur instruction documentée de l’organisation, telle qu’elle résulte du contrat, des paramètres, des actions autorisées dans la plateforme et des demandes écrites licites.

RiseCraft informe l’organisation lorsqu’une instruction paraît violer le RGPD ou une autre règle applicable, sauf interdiction légale d’en informer.

5. Confidentialité et accès

• Les personnes autorisées sont soumises à une obligation de confidentialité appropriée.
• Les accès sont limités au besoin d’en connaître et aux rôles applicables.
• Les administrateurs techniques n’ont pas un accès permanent aux dossiers clients.
• L’accès support au contenu client est temporaire, limité, journalisé et soumis au parcours d’autorisation prévu.

6. Mesures de sécurité

RiseCraft met en œuvre les mesures décrites dans l’annexe Sécurité, adaptées aux risques identifiés et réévaluées lors des changements importants.

L’organisation reste responsable de la sécurité de ses appareils, comptes, membres, exports téléchargés et pratiques hors plateforme.

7. Sous-traitants ultérieurs

L’organisation donne une autorisation générale aux sous-traitants figurant dans la liste dédiée, sous réserve d’une information préalable en cas d’ajout ou remplacement significatif et d’un droit d’opposition motivée.

RiseCraft impose à chaque sous-traitant ultérieur des obligations de protection équivalentes à celles nécessaires au traitement confié. Cette exigence n’est actuellement pas satisfaite pour Floot, ce qui bloque l’entrée en vigueur du présent accord.

8. Transferts hors EEE

Aucun transfert ne peut être réalisé sans mécanisme valable au titre du chapitre V du RGPD et sans information suffisante de l’organisation.

Lorsque des clauses contractuelles types sont utilisées, elles doivent être réellement conclues, complétées et accompagnées des mesures supplémentaires nécessaires. Une simple référence à un texte public ne suffit pas.

9. Assistance au responsable du traitement

RiseCraft répond dans un délai raisonnable compte tenu de la complexité, de l’urgence et des informations fournies par l’organisation.

• Demandes d’accès, rectification, effacement, limitation, opposition et portabilité.
• Évaluations d’impact et consultations préalables lorsque nécessaires.
• Sécurité, documentation des incidents et notifications aux autorités ou personnes.
• Démonstration du respect des obligations de l’article 28.

10. Violation de données

RiseCraft informe l’organisation sans retard injustifié après avoir pris connaissance d’une violation affectant les données traitées pour son compte et fournit les informations disponibles nécessaires à son analyse et à ses obligations.

Les parties coopèrent pour contenir, documenter, corriger et, lorsque requis, notifier l’incident. Aucune notification publique au nom de l’autre partie n’est faite sans coordination, sauf obligation légale.

11. Informations et audits

RiseCraft met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent accord. Un audit peut être demandé au maximum une fois par an, sauf incident sérieux, demande d’une autorité ou indice documenté de non-conformité.

L’audit respecte la confidentialité, la sécurité des autres clients, un préavis raisonnable et ne doit pas perturber inutilement le service. Les coûts sont supportés par l’organisation sauf manquement substantiel constaté.

12. Restitution et suppression

À la fin du service, RiseCraft restitue les données au moyen des exports disponibles puis les supprime ou les anonymise selon les instructions de l’organisation, sauf obligation légale de conservation.

Les copies de sauvegarde résiduelles sont protégées, non remises en production sauf reprise nécessaire et supprimées selon le cycle documenté de l’infrastructure retenue.

13. Condition préalable à l’entrée en vigueur

Le présent projet ne lie pas les parties tant qu’une version validée n’a pas été acceptée et que RiseCraft n’a pas remplacé ou régularisé l’infrastructure Floot par un hébergement autorisant contractuellement les données concernées et offrant les garanties requises.