Accord de traitement des données

Cet accord de traitement des données fait partie intégrante des conditions générales conclues entre vous et nous, et en est indissociable. En cas de divergence avec les conditions générales, il prévaut pour ce qui concerne le traitement des données personnelles.

Cet accord s’applique entre T3 Technologies BV, TVA BE 0566.940.947, Egemsesteenweg 41, 8700 Tielt, Belgique, exploitant du service Coachbox (le « Sous-traitant », « nous »), et le client qui utilise le service Coachbox (le « Responsable du traitement », « vous »).

Les termes « données personnelles », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens défini par le Règlement général sur la protection des données (Règlement (UE) 2016/679, « RGPD »).

Vous êtes le responsable du traitement des données personnelles que vous traitez via le service. Nous traitons ces données uniquement pour votre compte, en tant que sous-traitant, afin de fournir le service. Vous garantissez disposer d’une base légale valable pour le traitement que vous nous confiez.

L’objet, la durée, la nature et la finalité du traitement, les catégories de personnes concernées et les types de données personnelles sont décrits à l’Annexe 1. Le traitement se poursuit tant que le contrat entre nous est en vigueur, sauf si la loi impose une conservation plus longue.

Nous traitons les données personnelles uniquement sur vos instructions documentées, y compris en matière de transfert international, sauf obligation légale nous imposant de traiter. Dans ce cas, nous vous en informons au préalable, sauf si la loi l’interdit. Votre utilisation du service et le présent accord constituent l’ensemble de vos instructions. Si, selon nous, une instruction enfreint le RGPD, nous vous en informons.

Toute personne traitant les données sous notre autorité est tenue à la confidentialité, par contrat ou par la loi.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées au sens de l’article 32 du RGPD. Un aperçu figure à l’Annexe 3. Nous tenons compte de l’évolution de l’état de l’art et des risques, et adaptons les mesures si nécessaire.

Vous nous accordez une autorisation générale de recourir à des sous-traitants ultérieurs pour fournir le service. Pour tout sous-traitant nouveau ou de remplacement, nous vous informons au moins 30 jours à l’avance via la page des sous-traitants et, si possible, par e-mail. Vous pouvez vous y opposer pour des motifs légitimes durant ce délai. Si nous ne parvenons pas à résoudre l’objection ensemble, vous pouvez résilier le service concerné.

Nous imposons à chaque sous-traitant ultérieur les mêmes obligations de protection des données que celles prévues au présent accord, et nous restons pleinement responsables envers vous du respect de ces obligations par nos sous-traitants ultérieurs.

Compte tenu de la nature du traitement, nous vous aidons, par des mesures techniques et organisationnelles appropriées, à :

• répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Le service propose un libre-service à cet effet : gestion du compte, export des données et suppression du compte ;
• respecter vos obligations en matière de sécurité, de notification des violations de données, d’analyses d’impact relatives à la protection des données (AIPD) et de consultation préalable, compte tenu des informations dont nous disposons.

Dès que nous avons connaissance d’une violation de données personnelles, nous vous en informons sans retard injustifié, et en tout état de cause dans les 48 heures, avec les informations dont vous avez besoin pour respecter vos propres obligations de notification auprès de l’Autorité de protection des données et des personnes concernées.

Les données personnelles sont traitées et stockées au sein de l’Union européenne (Akamai/Linode à Francfort et régions AWS à Francfort et en Irlande). Nous ne transférons pas de données personnelles en dehors de l’EEE sans un mécanisme de transfert valable au sens du chapitre V du RGPD (par exemple une décision d’adéquation ou des clauses contractuelles types) et sans vos instructions.

À la fin du service, nous supprimons ou vous restituons les données personnelles, à votre choix, et supprimons les copies existantes, sauf si la loi impose une conservation. Vous pouvez exporter vos données via le service pendant la durée du contrat.

Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD. Sur demande, nous fournissons notre documentation sur les mesures techniques et organisationnelles et, le cas échéant, les rapports de tiers indépendants. Cela remplace un audit sur site.

La responsabilité au titre du présent accord est régie par les dispositions relatives à la responsabilité des conditions générales.

Le présent accord est régi par le droit belge. Les litiges relèvent de la compétence des tribunaux compétents indiqués dans les conditions générales.

Nature et finalité : fournir la plateforme de coaching Coachbox : gestion des comptes, planification des entraînements, suivi des performances, communication entre le coach et l’athlète et facturation.

Durée : la durée du contrat.

Catégories de personnes concernées : coachs, athlètes et utilisateurs invités par le client.

Catégories de données personnelles :

• données d’identité et de contact (nom, e-mail) ;
• données de compte (identifiants, rôle, appartenance à une équipe) ;
• données d’entraînement et de performance, y compris des données physiologiques (fréquence cardiaque, puissance, lactate, VO₂ et mesures similaires) susceptibles de constituer des données de santé ;
• données d’utilisation et journaux ;
• données de facturation (traitées via notre prestataire de paiement).

Catégories particulières (article 9 du RGPD) : données d’entraînement et physiologiques liées à la santé, le cas échéant.

• Chiffrement en transit : TLS 1.2 ou supérieur pour tout le trafic, avec redirection automatique de http vers https.
• Chiffrement au repos : les données de production sont stockées chiffrées.
• Contrôle d’accès : accès basé sur les rôles ; accès administrateur avec authentification à plusieurs facteurs ; accès selon le principe du moindre privilège.
• Isolation : séparation logique des données clients par équipe.
• Sauvegardes : sauvegardes quotidiennes avec une conservation de 21 jours.
• Journalisation : journaux d’accès et d’application.
• Processus de développement : modifications via un contrôle de version, une analyse statique du code et un environnement de préproduction avant la production.
• Suppression : suppression du compte en libre-service et suppression complète sur demande.

Des questions sur cet accord de traitement des données ? Contactez-nous à l’adresse contact@coachbox.app.