Accord de sous-traitance de données (DPA)

Article 1. Objet et champ d’application

Le présent Accord de sous-traitance (l’« Accord » ou le « DPA ») encadre le traitement de données à caractère personnel effectué par CoachPartner pour le compte du Coach, dans le cadre de l’utilisation de la plateforme CoachPartner accessible à l’adresse coachpartner.app (la « Plateforme »).

Il est conclu en application de l’article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (le « RGPD ») et fait partie intégrante des Conditions Générales d’Utilisation de la Plateforme (les « CGU »), auxquelles il est annexé. Il complète également les Conditions Générales de Vente. Il est consultable à tout moment à l’adresse coachpartner.app/dpa.

Le Coach accepte le présent Accord par voie électronique lors de la création de son compte, en même temps que les CGU dont il fait partie intégrante. L’acceptation des CGU emporte acceptation du présent Accord, sans signature distincte. Le libellé de la case à cocher mentionne expressément le DPA et l’engagement du Coach : « J’accepte les CGU (incluant le DPA) et les CGV, j’ai pris connaissance de la Politique de confidentialité, et je m’engage à recueillir le consentement de mes clients avant tout téléversement. » Cette acceptation vaut signature. L’Accord prend effet à la date de cette acceptation et reste en vigueur tant que le Coach dispose d’un compte actif sur la Plateforme.

En acceptant le présent Accord, le Coach garantit, pour chaque fichier de séance qu’il téléverse, que le consentement explicite des personnes enregistrées a été recueilli pour la séance concernée. Cette garantie s’entend au sens de l’Article 8.

En cas de contradiction entre le présent Accord et les autres documents contractuels, le présent Accord prévaut pour tout ce qui concerne le traitement de données à caractère personnel.

Article 2. Identification des parties

Le sous-traitant

CoachPartner, service édité par SOVELL, société par actions simplifiée unipersonnelle (SASU), dont le siège social est situé 58 rue de Monceau, CS 48756, 75380 Paris Cedex 08, immatriculée au RCS de Paris sous le numéro 104 653 639, représentée par sa fondatrice et présidente, Sophie Vellutini.

Ci-après « CoachPartner » ou le « Sous-traitant ».

Contact pour toute question relative au présent Accord : contact@coachpartner.app

Le responsable de traitement

Le Coach, personne physique ou morale, professionnel du coaching en formation ou certifié, identifié par les informations communiquées lors de la création de son compte sur la Plateforme (nom, prénom, adresse électronique et, le cas échéant, raison sociale et numéro d’identification professionnelle).

Ci-après le « Coach » ou le « Responsable de traitement ».

Article 3. Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel », « autorité de contrôle » et « catégories particulières de données » ont le sens que leur donne l’article 4 et l’article 9 du RGPD.

Dans le présent Accord :

• « Données » désigne les données à caractère personnel traitées par CoachPartner pour le compte du Coach, telles que décrites à l’Annexe 1.
• « Personnes concernées » désigne les personnes physiques dont les Données sont traitées, c’est-à-dire principalement les clients coachés du Coach, ainsi que toute autre personne dont la voix ou les informations figureraient dans les fichiers téléversés.
• « Sous-traitant ultérieur » désigne tout tiers engagé par CoachPartner pour traiter les Données, tel que listé à l’Annexe 2.
• « Service » désigne l’analyse automatisée d’une séance de coaching au regard des compétences clés du référentiel ICF, ainsi que les fonctionnalités de suivi de la progression du Coach dans le temps, fournies par la Plateforme.

Article 4. Rôle et qualification des parties

Dans le cadre du Service, le Coach agit en qualité de responsable de traitement des Données concernant ses propres clients coachés. À ce titre, il détermine les finalités et les moyens du traitement, et il décide de téléverser les fichiers de séance sur la Plateforme.

CoachPartner agit en qualité de sous-traitant. Elle traite les Données uniquement pour fournir le Service au Coach, sur instruction documentée de ce dernier, et n’utilise les Données pour aucune finalité propre.

Les clients coachés sont des tiers qui n’utilisent pas la Plateforme et n’y disposent d’aucun compte. La relation avec ces personnes, y compris leur information et le recueil de leur consentement, relève de la seule responsabilité du Coach (voir Article 8).

CoachPartner ne traite les Données ni pour entraîner ni pour améliorer des modèles d’intelligence artificielle, et impose contractuellement la même interdiction à ses sous-traitants ultérieurs concernés.

Article 5. Description du traitement

La nature, la finalité, la durée du traitement, les catégories de Données et de Personnes concernées sont décrites à l’Annexe 1, qui fait partie intégrante du présent Accord.

Le Coach reconnaît et accepte que les fichiers audio des séances de coaching sont susceptibles de contenir des catégories particulières de données au sens de l’article 9 du RGPD, notamment des données relatives à la santé physique ou mentale, à la vie privée, aux opinions ou à l’orientation des Personnes concernées. Les obligations du Coach à cet égard sont précisées à l’Article 9.

Article 6. Instructions documentées du Responsable de traitement

CoachPartner traite les Données uniquement sur la base des instructions documentées du Coach. Constituent les instructions documentées du Coach :

• le présent Accord et ses annexes ;
• les Conditions Générales d’Utilisation et les Conditions Générales de Vente ;
• l’utilisation normale des fonctionnalités de la Plateforme, en particulier le téléversement d’un fichier de séance et le lancement d’une analyse ;
• toute instruction complémentaire transmise par écrit par le Coach et acceptée par CoachPartner.

CoachPartner informe immédiatement le Coach si, à son avis, une instruction constitue une violation du RGPD ou d’une autre disposition du droit de l’Union ou du droit national applicable en matière de protection des données.

Si CoachPartner est tenue, en vertu du droit de l’Union ou du droit d’un État membre, de procéder à un traitement non couvert par les instructions du Coach, elle en informe le Coach avant le traitement, sauf si le droit applicable interdit une telle information pour des motifs importants d’intérêt public.

CoachPartner ne transfère pas les Données en dehors de l’Espace économique européen, sauf vers les sous-traitants ultérieurs listés à l’Annexe 2 et dans les conditions prévues à l’Article 11.

Article 7. Obligations de CoachPartner (Sous-traitant)

7.1 Confidentialité

CoachPartner veille à ce que les personnes autorisées à traiter les Données, qu’il s’agisse de ses dirigeants, salariés ou prestataires, s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. Cet engagement survit à la fin de leur relation avec CoachPartner.

L’accès aux Données est strictement limité aux personnes qui en ont besoin pour fournir, maintenir ou sécuriser le Service.

7.2 Sécurité des traitements

CoachPartner met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD. Ces mesures, qui tiennent compte du caractère potentiellement sensible des Données, sont décrites à l’Annexe 3.

CoachPartner réévalue régulièrement ces mesures et peut les faire évoluer, à condition que le niveau de sécurité ne soit pas dégradé.

7.3 Sous-traitants ultérieurs

Le Coach autorise CoachPartner à recourir aux sous-traitants ultérieurs listés à l’Annexe 2 pour l’exécution du Service. Cette autorisation constitue une autorisation écrite préalable au sens de l’article 28 du RGPD.

CoachPartner conclut avec chaque sous-traitant ultérieur un contrat lui imposant des obligations de protection des données substantiellement équivalentes à celles du présent Accord. CoachPartner demeure pleinement responsable, à l’égard du Coach, de l’exécution par ses sous-traitants ultérieurs de leurs obligations.

En cas d’ajout ou de remplacement d’un sous-traitant ultérieur, CoachPartner en informe le Coach par écrit (notamment par courrier électronique ou via la Plateforme) au moins quinze (15) jours avant que le changement ne prenne effet. Pendant ce délai, le Coach peut s’opposer au changement pour un motif légitime tenant à la protection des données. En cas d’opposition, les parties s’efforcent de bonne foi de trouver une solution. À défaut de solution dans un délai raisonnable, le Coach peut résilier son compte et cesser d’utiliser le Service, sans frais, pour la partie du Service concernée par le changement.

7.4 Assistance au respect des droits des Personnes concernées

CoachPartner met en place les mesures techniques et organisationnelles appropriées pour aider le Coach à donner suite aux demandes d’exercice des droits des Personnes concernées (droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité).

Si une Personne concernée adresse directement une demande à CoachPartner, celle-ci transmet la demande au Coach dans les meilleurs délais et n’y répond pas elle-même, sauf instruction contraire du Coach.

À la demande du Coach, CoachPartner lui fournit les moyens d’accéder aux Données, de les rectifier ou de les supprimer, ou procède elle-même à ces opérations dans un délai raisonnable.

7.5 Assistance en matière de sécurité, de violations et d’analyses d’impact

CoachPartner aide le Coach à respecter ses obligations au titre des articles 32 à 36 du RGPD, en tenant compte de la nature du traitement et des informations à sa disposition, notamment en ce qui concerne :

• la sécurité du traitement ;
• la notification des violations de données à l’autorité de contrôle et aux Personnes concernées ;
• la réalisation d’analyses d’impact relatives à la protection des données (AIPD) ;
• la consultation préalable de l’autorité de contrôle le cas échéant.

7.6 Notification des violations de données

CoachPartner notifie au Coach toute violation de données à caractère personnel affectant les Données, sans délai injustifié et au plus tard quarante-huit (48) heures après en avoir pris connaissance.

La notification, adressée à l’adresse électronique du compte du Coach, précise dans la mesure du possible :

• la nature de la violation et, si possible, les catégories et le nombre approximatif de Personnes concernées et d’enregistrements concernés ;
• les conséquences probables de la violation ;
• les mesures prises ou proposées pour y remédier et en atténuer les effets ;
• le point de contact auprès duquel obtenir des informations complémentaires.

Lorsque toutes les informations ne peuvent être communiquées en même temps, elles sont fournies de manière échelonnée sans délai injustifié. Il appartient au Coach, en sa qualité de responsable de traitement, de décider de toute notification à l’autorité de contrôle et aux Personnes concernées.

7.7 Suppression et restitution des Données

Au terme du présent Accord, quelle qu’en soit la cause, CoachPartner supprime l’ensemble des Données et les copies existantes, dans un délai de trente (30) jours, sauf obligation légale de conservation.

Avant la fin de l’Accord, le Coach a la possibilité de télécharger les rapports d’analyse et les transcriptions qu’il souhaite conserver. CoachPartner n’est pas tenue de conserver les Données au-delà des délais prévus à l’Annexe 1, et il appartient au Coach de procéder en temps utile aux téléchargements nécessaires.

Sur demande écrite du Coach formulée avant la fin de l’Accord, CoachPartner peut, lorsque cela est techniquement possible, restituer les Données dans un format structuré et couramment utilisé, avant de procéder à leur suppression.

7.8 Registre, audit et mise à disposition d’informations

CoachPartner tient un registre des catégories de traitements effectués pour le compte du Coach, conformément à l’article 30.2 du RGPD.

CoachPartner met à la disposition du Coach toutes les informations nécessaires pour démontrer le respect des obligations de l’article 28 du RGPD.

CoachPartner permet la réalisation d’audits, y compris des inspections, par le Coach ou un auditeur indépendant qu’il a mandaté, et y contribue. L’audit est réalisé selon les modalités suivantes : le Coach adresse une demande écrite avec un préavis raisonnable d’au moins trente (30) jours ; l’audit a lieu pendant les heures ouvrées, dans des conditions ne perturbant pas le fonctionnement du Service, et au maximum une fois par an, sauf incident de sécurité avéré ou exigence d’une autorité de contrôle. CoachPartner peut satisfaire à cette obligation en fournissant la documentation de sécurité pertinente, les attestations ou les rapports d’audit de ses sous-traitants ultérieurs. Les coûts d’un audit sur site sont supportés par le Coach, sauf si l’audit révèle un manquement substantiel de CoachPartner.

Article 8. Obligations du Coach (Responsable de traitement)

Le Coach garantit qu’il dispose, pour l’ensemble des Données qu’il téléverse sur la Plateforme, d’une base légale valable au sens de l’article 6 du RGPD.

Les fichiers de séance étant susceptibles de contenir des catégories particulières de données, le Coach garantit qu’il dispose également d’une base légale valable au sens de l’article 9 du RGPD, ce qui implique en pratique le recueil du consentement explicite de chaque client coaché.

Le Coach garantit qu’avant tout téléversement, il a informé chaque client coaché, de manière claire et complète, des éléments suivants :

• l’enregistrement de la séance de coaching ;
• le téléversement de cet enregistrement sur la Plateforme CoachPartner aux fins d’une analyse automatisée des compétences du Coach ;
• le recours à des sous-traitants ultérieurs, dont certains sont établis en dehors de l’Espace économique européen, et l’existence de transferts encadrés par des garanties appropriées (voir Article 11 et Annexe 2) ;
• les durées de conservation applicables ;
• les droits dont dispose le client coaché et les modalités pour les exercer auprès du Coach.

Le Coach donne à CoachPartner des instructions licites. Il s’abstient de téléverser des données qui ne seraient pas nécessaires à la finalité du Service, ou pour lesquelles il ne disposerait pas des autorisations requises.

Le Coach traite avec diligence les demandes d’exercice de droits que CoachPartner pourrait lui transmettre, et toute notification de violation de données.

Le Coach est seul responsable de l’exactitude, de la qualité et de la licéité des Données ainsi que des moyens par lesquels il les a obtenues. CoachPartner ne saurait être tenue responsable d’un manquement du Coach à ses obligations de responsable de traitement, notamment en cas de défaut d’information ou de consentement des clients coachés.

Article 9. Catégories particulières de données

Compte tenu de la nature des séances de coaching, les Données peuvent comporter des informations sensibles relatives à la santé, à la vie privée, aux opinions, aux convictions ou à l’orientation des Personnes concernées.

Le traitement de ces données par CoachPartner repose exclusivement sur les instructions du Coach et sur le consentement explicite que ce dernier garantit avoir recueilli auprès de chaque client coaché.

CoachPartner applique aux Données un niveau de protection adapté à leur caractère potentiellement sensible, tel que décrit à l’Annexe 3, et limite leur conservation au strict nécessaire selon les durées de l’Annexe 1.

Article 10. Caractère indicatif de l’analyse

Il est rappelé que l’analyse fournie par la Plateforme est produite de manière automatisée et présente un caractère strictement indicatif. Elle ne constitue pas une évaluation officielle de l’International Coaching Federation (ICF) et ne saurait se substituer à un processus de certification ou d’accréditation ICF.

Cette précision n’a pas d’incidence sur la qualification des parties au sens du RGPD, mais elle est rappelée ici pour éviter toute ambiguïté sur la portée du Service.

Article 11. Transferts de données hors Espace économique européen

Les Données sont hébergées et stockées au repos dans des centres de données situés dans l’Union européenne.

L’exécution du Service implique toutefois le recours à des sous-traitants ultérieurs établis aux États-Unis, en particulier pour la transcription et l’analyse (voir Annexe 2). Ce recours entraîne un transfert de données à caractère personnel en dehors de l’Espace économique européen.

Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne par décision d’exécution (UE) 2021/914 du 4 juin 2021, complétées le cas échéant par des mesures techniques et organisationnelles supplémentaires. Chaque sous-traitant ultérieur concerné a conclu avec CoachPartner un accord de traitement des données (DPA) intégrant ces garanties.

En acceptant le présent Accord, le Coach autorise ces transferts et reconnaît avoir informé les clients coachés de leur existence, conformément à l’Article 8.

Article 12. Durée et fin de l’Accord

Le présent Accord prend effet à la date de son acceptation et reste en vigueur tant que CoachPartner traite des Données pour le compte du Coach, c’est-à-dire tant que le compte du Coach est actif.

Il prend fin automatiquement à la clôture du compte du Coach, quelle qu’en soit la cause. La fin de l’Accord déclenche les obligations de suppression prévues à l’Article 7.7.

Les stipulations qui, par leur nature, ont vocation à survivre à la fin de l’Accord (confidentialité, suppression des Données, responsabilité) restent en vigueur après son terme.

Article 13. Responsabilité

Chaque partie répond des dommages causés par un traitement qui méconnaît ses obligations, dans les conditions prévues à l’article 82 du RGPD.

CoachPartner n’est responsable que des dommages causés par le traitement lorsqu’elle n’a pas respecté les obligations du RGPD qui incombent spécifiquement aux sous-traitants, ou lorsqu’elle a agi en dehors des instructions licites du Coach ou contrairement à celles-ci.

Le Coach garantit CoachPartner contre toute réclamation d’une Personne concernée ou d’un tiers résultant d’un manquement du Coach à ses propres obligations de responsable de traitement, notamment en matière d’information et de consentement des clients coachés.

Toute limitation de responsabilité prévue par les Conditions Générales d’Utilisation ou les Conditions Générales de Vente s’applique au présent Accord, sans préjudice des dispositions impératives du RGPD.

Article 14. Dispositions générales

Le présent Accord est régi par le droit français et par le RGPD.

Tout litige relatif à son interprétation ou à son exécution relève, à défaut de résolution amiable, de la compétence des tribunaux français compétents.

Si une stipulation du présent Accord est jugée nulle ou inapplicable, les autres stipulations restent en vigueur.

CoachPartner peut modifier le présent Accord pour l’adapter à une évolution légale, réglementaire ou technique. Toute modification substantielle est portée à la connaissance du Coach par écrit (notamment par courrier électronique ou via la Plateforme) au moins quinze (15) jours avant son entrée en vigueur.

Annexe 1. Description du traitement

Finalité du traitement

Fournir au Coach une analyse automatisée d’une séance de coaching, au regard des compétences clés du référentiel de l’International Coaching Federation, sous la forme d’un rapport téléchargeable, ainsi que des fonctionnalités de suivi de sa progression dans le temps (historique des séances, observations, tendances, objectifs de pratique et synthèses).

Nature des opérations de traitement

Réception et collecte des fichiers téléversés, stockage, transcription de l’audio en texte, analyse automatisée de la transcription, génération d’un rapport, production de données dérivées de suivi (observations, tendances, synthèses), mise à disposition des résultats dans l’espace du Coach, puis suppression des Données selon les durées ci-dessous.

Catégories de Données traitées

• Contenu audio des séances de coaching (voix du Coach et du ou des clients coachés) ;
• Transcription textuelle de la séance, y compris sa segmentation par locuteur ;
• Toute donnée à caractère personnel contenue dans l’audio ou la transcription : éléments d’identification, situation personnelle ou professionnelle, état émotionnel, et, le cas échéant, catégories particulières de données au sens de l’article 9 du RGPD (santé physique ou mentale, vie privée, opinions, convictions, orientation) ;
• Résultat d’analyse au format structuré (JSON) et rapport généré, y compris les extraits de séance cités dans le rapport ;
• Données dérivées de suivi produites par le Service : observations et extraits de séance associés, évaluations de compétences, tendances agrégées et synthèses de progression ;
• Données saisies par le Coach dans son espace et susceptibles de mentionner des clients coachés : identifiant du client choisi par le Coach (pseudonyme recommandé), notes libres, objectifs de pratique et notes de réflexion associées aux séances.

Catégories de Personnes concernées

Les clients coachés du Coach, ainsi que toute autre personne dont la voix ou les informations figureraient dans les fichiers téléversés. Les clients coachés sont des tiers non-utilisateurs de la Plateforme.

Durées de conservation

Durée du traitement

Le traitement se poursuit tant que le compte du Coach est actif, et au plus tard jusqu’à la suppression de l’ensemble des Données selon les durées ci-dessus.

Annexe 2. Liste des sous-traitants ultérieurs autorisés

Le prestataire de paiement Stripe traite les données de paiement du Coach dans le cadre d’une relation distincte. Il n’intervient pas dans le traitement des données des clients coachés et n’est donc pas un sous-traitant ultérieur au titre du présent Accord. Le traitement des données de paiement est décrit dans la Politique de Confidentialité de la Plateforme.

Annexe 3. Mesures techniques et organisationnelles de sécurité

CoachPartner met en œuvre, au minimum, les mesures suivantes, en tenant compte du caractère potentiellement sensible des Données.

Chiffrement

Chiffrement des Données en transit (protocole TLS) entre le navigateur du Coach, la Plateforme et les sous-traitants ultérieurs. Chiffrement des Données au repos sur les espaces de stockage et la base de données.

Contrôle des accès

Accès aux Données restreint aux seules personnes autorisées, selon le principe du besoin d’en connaître. Authentification des comptes coachs. Cloisonnement des données entre comptes, afin qu’un Coach ne puisse accéder qu’à ses propres Données.

Minimisation et limitation de la conservation

Suppression de l’audio dès la transcription réussie. Purge automatique en cas d’échec. Conservation des résultats d’analyse et des données dérivées selon les durées de l’Annexe 1, avec suppression à la main du Coach à tout moment. Absence d’utilisation des Données pour l’entraînement de modèles.

Hébergement

Hébergement et stockage au repos dans des centres de données situés dans l’Union européenne. Recours à des sous-traitants ultérieurs présentant des garanties contractuelles appropriées.

Sécurité opérationnelle

Maintien à jour des composants logiciels. Journalisation des accès et des événements significatifs. Mesures de protection contre les accès non autorisés.

Gestion des violations

Procédure de détection, de qualification et de notification des violations de données, conforme à l’Article 7.6 du présent Accord.

Continuité

Mesures de sauvegarde permettant de restaurer la disponibilité des Données et l’accès au Service en cas d’incident.