Accord de traitement des données

Rôles

Tu es responsable de traitement. Nous sommes sous-traitant. Quand tu utilises Agonos pour coacher, tu décides quelles données entrent, ce qui est enregistré et pour combien de temps. Nous ne les traitons que pour fournir le service et uniquement sur tes instructions documentées (ton usage du produit étant la forme ordinaire de ces instructions.

Pour les données de ton propre compte) nom, identifiants, factures, nous sommes responsable de traitement, et c'est la politique de confidentialité qui s'applique.

Cet accord fait partie des conditions générales et s'applique automatiquement à tous les clients. Aucune signature n'est requise pour qu'il nous engage ; si ton processus de conformité exige un exemplaire contresigné, écris à contact@agonos.app.

Périmètre du traitement

Objet. La fourniture de la plateforme de coaching Agonos.

Durée. Toute la durée de ton abonnement, plus la fenêtre de suppression décrite plus bas.

Nature et finalité. Héberger, stocker, transmettre et afficher les données que tu saisis, afin que tu puisses programmer, échanger, suivre et facturer les personnes que tu coaches.

Catégories de personnes concernées. Tes coachés, ainsi que les coachs et collaborateurs que tu invites dans ton organisation.

Catégories de données. Identité et coordonnées ; programmes d'entraînement, séances enregistrées et données de performance ; mesures corporelles et photos de progression lorsque tu les enregistres ; messages entre coach et coaché ; planning et présence ; état de facturation.

Données sensibles. Les informations de santé (blessures, limitations physiques, mesures corporelles) lorsque tu choisis de les enregistrer. Il t'appartient de disposer d'une base légale et d'une condition au titre de l'article 9, et d'en informer les personnes concernées.

Nos obligations

Nous nous engageons à :

• ne traiter les données que sur tes instructions, et t'alerter si une instruction nous paraît contraire au droit de la protection des données ;
• en préserver la confidentialité, et soumettre à la même obligation toute personne y ayant accès ;
• appliquer les mesures de sécurité décrites ci-dessous ;
• ne pas recourir à un sous-traitant ultérieur sans le préavis prévu ici ;
• t'aider à répondre aux demandes des personnes concernées, et à tes obligations de sécurité, de notification de violation et d'analyse d'impact ;
• supprimer ou restituer les données à la fin du service ;
• te fournir les informations raisonnablement nécessaires pour démontrer ton conformité.

Violation. En cas de violation de données personnelles, nous t'informons sans délai injustifié avec ce que nous savons à ce moment-là, afin que tu puisses tenir ton propre délai de 72 heures. Nous n'attendrons pas d'avoir une vision complète pour établir le premier contact.

Sous-traitants ultérieurs

Tu donnes une autorisation générale pour les sous-traitants ci-dessous. Chacun est lié par des obligations au moins aussi protectrices que celles-ci.

Changements. Nous prévenons au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant. Si tu as une objection raisonnable de protection des données, signale-la dans ce délai et nous chercherons une solution ; à défaut, tu peux résilier la partie du service concernée et être remboursé du solde non utilisé.

Transferts hors UE

Les données clients sont stockées dans l'Union européenne. Lorsqu'un sous-traitant traite des données hors EEE, le transfert est couvert par les clauses contractuelles types de la Commission européenne, complétées par les mesures techniques et organisationnelles propres à ce sous-traitant.

Les notifications push sont l'exception courante : le titre et le corps d'une alerte transitent par l'infrastructure d'Apple ou de Google pour atteindre un appareil, seule voie d'acheminement offerte par ces plateformes. C'est précisément pour cela que nous gardons le contenu des notifications minimal.

Mesures de sécurité

• Chiffrement des données en transit, et au repos par notre hébergeur.
• Sécurité au niveau des lignes sur chaque table, appliquant l'isolation par organisation dans la base plutôt que dans le code applicatif.
• Accès aux données de production restreint aux personnes qui en ont besoin.
• Authentification à identifiants hachés ; aucun stockage de mot de passe en clair.
• Sauvegardes, et une procédure documentée de restauration.
• Gestion des changements par déploiements versionnés.

Nous ne détenons pas à ce jour de certification ISO 27001 ni SOC 2, et nous préférons le dire plutôt que de laisser croire le contraire.

Assistance et audit

Demandes des personnes concernées. Les demandes de tes coachés te reviennent en premier, puisque tu es leur responsable de traitement. Le produit te donne les moyens d'exporter, corriger et supprimer leurs dossiers toi-même. Au-delà, contact@agonos.app s'en charge.

Audit. Nous répondons aux questions écrites raisonnables portant sur cet accord et fournissons la documentation dont nous disposons. Lorsque cela s'avère réellement insuffisant au regard d'une obligation légale qui t'incombe, nous conviendrons d'un audit sur préavis raisonnable, au plus une fois par an sauf exigence d'un régulateur ou survenance d'une violation.

Suppression et restitution

Tu peux exporter tes données à tout moment tant que le compte est actif. À la résiliation, nous supprimons les données clients après une courte fenêtre de récupération, sauf lorsqu'une obligation légale, comptable, principalement impose une conservation plus longue. Demande-nous et nous confirmerons ce qui subsiste et pourquoi.

Responsabilité et modifications

Les stipulations de responsabilité des conditions générales s'appliquent au présent accord. En cas de contradiction entre les deux sur la protection des données, le présent accord prévaut.

Nous pouvons mettre cette page à jour pour refléter une évolution du service ou du droit. La date en haut indique la version que tu lis, et les changements de sous-traitants suivent le préavis ci-dessus.

Questions : contact@agonos.app.