Accord de traitement des données

Rôles

Vous êtes responsable de traitement. Nous sommes sous-traitant. Quand vous utilisez Agonos pour coacher, vous décidez quelles données entrent, ce qui est enregistré et pour combien de temps. Nous ne les traitons que pour fournir le service et uniquement sur vos instructions documentées — votre usage du produit étant la forme ordinaire de ces instructions.

Pour les données de votre propre compte — nom, identifiants, factures — nous sommes responsable de traitement, et c'est la politique de confidentialité qui s'applique.

Cet accord fait partie des conditions générales et s'applique automatiquement à tous les clients. Aucune signature n'est requise pour qu'il nous engage ; si votre processus de conformité exige un exemplaire contresigné, écrivez à contact@agonos.app.

Périmètre du traitement

Objet. La fourniture de la plateforme de coaching Agonos.

Durée. Toute la durée de votre abonnement, plus la fenêtre de suppression décrite plus bas.

Nature et finalité. Héberger, stocker, transmettre et afficher les données que vous saisissez, afin que vous puissiez programmer, échanger, suivre et facturer les personnes que vous coachez.

Catégories de personnes concernées. Vos coachés, ainsi que les coachs et collaborateurs que vous invitez dans votre organisation.

Catégories de données. Identité et coordonnées ; programmes d'entraînement, séances enregistrées et données de performance ; mesures corporelles et photos de progression lorsque vous les enregistrez ; messages entre coach et coaché ; planning et présence ; état de facturation.

Données sensibles. Les informations de santé — blessures, limitations physiques, mesures corporelles — lorsque vous choisissez de les enregistrer. Il vous appartient de disposer d'une base légale et d'une condition au titre de l'article 9, et d'en informer les personnes concernées.

Nos obligations

Nous nous engageons à :

• ne traiter les données que sur vos instructions, et vous alerter si une instruction nous paraît contraire au droit de la protection des données ;
• en préserver la confidentialité, et soumettre à la même obligation toute personne y ayant accès ;
• appliquer les mesures de sécurité décrites ci-dessous ;
• ne pas recourir à un sous-traitant ultérieur sans le préavis prévu ici ;
• vous aider à répondre aux demandes des personnes concernées, et à vos obligations de sécurité, de notification de violation et d'analyse d'impact ;
• supprimer ou restituer les données à la fin du service ;
• vous fournir les informations raisonnablement nécessaires pour démontrer votre conformité.

Violation. En cas de violation de données personnelles, nous vous informons sans délai injustifié avec ce que nous savons à ce moment-là, afin que vous puissiez tenir votre propre délai de 72 heures. Nous n'attendrons pas d'avoir une vision complète pour établir le premier contact.

Sous-traitants ultérieurs

Vous donnez une autorisation générale pour les sous-traitants ci-dessous. Chacun est lié par des obligations au moins aussi protectrices que celles-ci.

Changements. Nous prévenons au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant. Si vous avez une objection raisonnable de protection des données, signalez-la dans ce délai et nous chercherons une solution ; à défaut, vous pouvez résilier la partie du service concernée et être remboursé du solde non utilisé.

Transferts hors UE

Les données clients sont stockées dans l'Union européenne. Lorsqu'un sous-traitant traite des données hors EEE, le transfert est couvert par les clauses contractuelles types de la Commission européenne, complétées par les mesures techniques et organisationnelles propres à ce sous-traitant.

Les notifications push sont l'exception courante : le titre et le corps d'une alerte transitent par l'infrastructure d'Apple ou de Google pour atteindre un appareil, seule voie d'acheminement offerte par ces plateformes. C'est précisément pour cela que nous gardons le contenu des notifications minimal.

Mesures de sécurité

• Chiffrement des données en transit, et au repos par notre hébergeur.
• Sécurité au niveau des lignes sur chaque table, appliquant l'isolation par organisation dans la base plutôt que dans le code applicatif.
• Accès aux données de production restreint aux personnes qui en ont besoin.
• Authentification à identifiants hachés ; aucun stockage de mot de passe en clair.
• Sauvegardes, et une procédure documentée de restauration.
• Gestion des changements par déploiements versionnés.

Nous ne détenons pas à ce jour de certification ISO 27001 ni SOC 2, et nous préférons le dire plutôt que de laisser croire le contraire.

Assistance et audit

Demandes des personnes concernées. Les demandes de vos coachés vous reviennent en premier, puisque vous êtes leur responsable de traitement. Le produit vous donne les moyens d'exporter, corriger et supprimer leurs dossiers vous-même. Au-delà, contact@agonos.app s'en charge.

Audit. Nous répondons aux questions écrites raisonnables portant sur cet accord et fournissons la documentation dont nous disposons. Lorsque cela s'avère réellement insuffisant au regard d'une obligation légale qui vous incombe, nous conviendrons d'un audit sur préavis raisonnable, au plus une fois par an sauf exigence d'un régulateur ou survenance d'une violation.

Suppression et restitution

Vous pouvez exporter vos données à tout moment tant que le compte est actif. À la résiliation, nous supprimons les données clients après une courte fenêtre de récupération, sauf lorsqu'une obligation légale — comptable, principalement — impose une conservation plus longue. Demandez-nous et nous confirmerons ce qui subsiste et pourquoi.

Responsabilité et modifications

Les stipulations de responsabilité des conditions générales s'appliquent au présent accord. En cas de contradiction entre les deux sur la protection des données, le présent accord prévaut.

Nous pouvons mettre cette page à jour pour refléter une évolution du service ou du droit. La date en haut indique la version que vous lisez, et les changements de sous-traitants suivent le préavis ci-dessus.

Questions : contact@agonos.app.