Accord de sous-traitance

Objet et finalité. STRIDE héberge et exploite, pour le compte du coach, le service de réservation, de facturation et de suivi de clientèle décrit dans les conditions générales.

Nature des opérations. Collecte, enregistrement, organisation, conservation, consultation, modification, extraction, communication par transmission et effacement.

Durée. Le traitement dure aussi longtemps que le compte du coach, et prend fin selon les modalités de l'article 8.

Catégories de personnes concernées. Les clients du coach, ainsi que toute personne réservant une séance ou s'inscrivant à un événement depuis sa page publique.

Types de données traitées. Identité et coordonnées (nom, adresse électronique, téléphone, adresse postale, photographie éventuelle), données de réservation et de participation, données de facturation et de paiement, et le contenu des champs de saisie libre renseignés par le coach — voir l'article 11.

STRIDE ne traite les données des clients du coach que sur instruction documentée de celui-ci. Constituent de telles instructions les conditions générales, le présent accord, et les actions du coach dans son tableau de bord.

STRIDE n'utilise pas ces données à d'autres fins que la fourniture du service. Elles ne sont ni vendues, ni louées, ni exploitées à des fins publicitaires, ni utilisées pour entraîner un modèle d'apprentissage automatique.

Le seul traitement opéré par STRIDE pour son propre compte est le décompte des clients actifs, nécessaire à la facturation de l'abonnement, décrit à l'article 5.1 des conditions générales. Il porte sur un nombre, jamais sur une identité.

STRIDE est exploité par une entreprise individuelle dont le titulaire est la seule personne ayant accès aux données traitées pour le compte du coach. Il s'engage personnellement à en respecter la confidentialité et à ne les consulter que dans la mesure nécessaire à la fourniture du service, à sa maintenance ou au traitement d'une demande du coach.

Si cet accès venait à être confié à un salarié ou à un prestataire agissant sous l'autorité de STRIDE, celui-ci serait soumis à un engagement de confidentialité écrit préalable à tout accès.

STRIDE met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du règlement, conformément à l'article 6.1 des conditions générales.

Ces mesures comprennent le cloisonnement des données de chaque coach par des règles de sécurité au niveau des lignes appliquées à l'ensemble des tables, l'authentification des accès, et la journalisation des suppressions définitives.

Les données sont en outre chiffrées au repos (AES-256) et en transit (TLS) par l'hébergeur de la base, conformément aux garanties qu'il publie.

Lieu d'hébergement. Les données applicatives sont hébergées au Royaume-Uni. Ce transfert est couvert par la décision d'adéquation de la Commission européenne relative au Royaume-Uni. Le détail, ainsi que celui des autres sous-traitants, figure dans la politique de confidentialité, qui est la seule source sur ce point.

Ces mesures sont susceptibles d'évoluer avec l'état de l'art. STRIDE ne les dégradera pas sans nécessité.

Le coach donne à STRIDE une autorisation générale de recourir à d'autres sous-traitants pour la fourniture du service.

La liste en vigueur — avec pour chacun les données concernées, la région de traitement et le mécanisme de transfert — figure dans la politique de confidentialité, section « Sous-traitants ». C'est la seule liste ; elle n'est pas dupliquée ici.

STRIDE informe le coach par courrier électronique de tout ajout ou remplacement de sous-traitant, au moins trente jours avant sa prise d'effet. Pendant ce délai, le coach peut s'y opposer. Si le changement est indispensable à la fourniture du service et que l'opposition est maintenue, le coach peut résilier son abonnement sans pénalité. Conformément à l'article 16.7 des conditions générales, la résiliation prend effet au terme de la période d'abonnement déjà payée, sans remboursement au prorata.

Limite assumée. STRIDE s'assure que ses sous-traitants présentent des garanties équivalentes, en s'appuyant sur les accords de sous-traitance qu'ils publient. En revanche, STRIDE ne s'engage pas à répercuter au coach les changements que ces sous-traitants opèrent parmi leurs propres sous-traitants. Ces listes évoluent à un rythme que STRIDE ne maîtrise pas : s'engager à les suivre serait promettre une vigilance qui ne serait pas tenue. Le coach peut consulter directement les listes que chacun publie.

Demandes d'exercice de droits. Le tableau de bord permet au coach d'accéder aux données de ses clients, de les rectifier, de les exporter et de les effacer. Ces fonctions constituent l'essentiel de l'assistance due au titre de l'article 28-3-e.

Lorsqu'un client s'adresse directement à STRIDE, STRIDE ne décide pas à la place du coach : il transmet la demande au coach concerné et en informe le demandeur.

Analyses d'impact et consultation préalable. STRIDE fournit au coach, sur demande et compte tenu des informations à sa disposition, les éléments nécessaires à une analyse d'impact au sens de l'article 35 ou à une consultation préalable au sens de l'article 36.

STRIDE notifie au coach toute violation de données à caractère personnel le concernant dans les meilleurs délais après en avoir pris connaissance, et au plus tard quarante-huit heures après.

La notification est adressée par courrier électronique à l'adresse du compte et décrit, dans la mesure des informations disponibles à ce moment, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Lorsque ces informations ne peuvent être fournies en une seule fois, elles le sont de manière échelonnée, sans délai injustifié supplémentaire.

Le coach demeure seul juge de la nécessité de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées. STRIDE lui fournit les éléments nécessaires à cette appréciation.

Au terme de la prestation, STRIDE supprime l'ensemble des données à caractère personnel traitées pour le compte du coach et détruit les copies existantes, dans un délai de trente jours.

Le coach dispose à tout moment, et jusqu'à l'expiration de ce délai, d'un export complet de ses pièces comptables — factures et avoirs au format PDF — depuis son tableau de bord. Un lien de récupération, valable trente jours à compter de la demande de suppression, lui est en outre adressé par courrier électronique. Il lui appartient d'en faire usage : la suppression intervient qu'il l'ait fait ou non.

STRIDE ne retient aucune donnée au titre d'une obligation qui lui serait propre. L'obligation de conservation décennale des pièces comptables (article L123-22 du code de commerce) pèse sur le coach en sa qualité de commerçant, et s'exécute sur l'archive qu'il a exportée.

STRIDE met à la disposition du coach les informations nécessaires pour démontrer le respect des obligations du présent accord. L'essentiel est déjà publié : la politique de confidentialité décrit les sous-traitants, les régions et les mécanismes de transfert ; les conditions générales décrivent les rôles, les mesures de sécurité et les durées de conservation. STRIDE répond aux demandes complémentaires dans un délai de trente jours.

Lorsque ces éléments ne suffisent pas, le coach peut faire réaliser un audit, dans les limites suivantes :

• une fois par an au plus, sauf violation de données avérée le concernant ;
• sur préavis écrit de trente jours précisant l'objet et l'étendue de la demande ;
• aux frais du demandeur, y compris le temps que STRIDE y consacre ;
• sur pièces en premier lieu. Une inspection sur site n'a lieu que si l'examen documentaire s'avère insuffisant, et sur justification de cette insuffisance ;
• en aucun cas l'audit ne donne accès aux données d'un autre coach. Cette limite n'est pas une commodité : y donner accès constituerait par elle-même une violation à l'égard de tiers ;
• l'auditeur mandaté ne doit pas être un concurrent de STRIDE et est tenu à la confidentialité.

Si une instruction du coach constitue, selon STRIDE, une violation du règlement ou d'une autre disposition relative à la protection des données, STRIDE l'en informe immédiatement et peut suspendre l'exécution de cette instruction jusqu'à ce que le coach la confirme ou la modifie.

Le service n'est pas conçu pour le traitement des données mentionnées à l'article 9 du règlement. Les champs de saisie libre, notamment la zone « Notes » de la fiche client, permettent techniquement d'en enregistrer ; la politique de confidentialité en déconseille l'usage et l'interface le rappelle sous le champ concerné.

Le coach qui y consigne de telles données en demeure le responsable de traitement. Il garantit disposer d'une base légale au sens de l'article 9-2, notamment le consentement explicite de la personne concernée, et être en mesure de le démontrer.

STRIDE n'inspecte pas le contenu des champs de saisie libre et n'a ni la capacité ni l'obligation d'y détecter de telles données. Les mesures de sécurité décrites à l'article 4 du présent accord s'appliquent à l'ensemble des données du coach, sans distinction selon leur contenu.