Accord de traitement des données

Ceci est une traduction du document original en anglais, fournie à titre de commodité. En cas de conflit ou d’incohérence entre cette traduction et la version anglaise, la version anglaise prévaut.

Le présent Accord de traitement des données ("DPA") est conclu entre l’entité identifiée comme "Client" sur la page de signature ("Client") et Saturday Inc., une société du Delaware ayant son établissement principal au 8 The Green, STE A, Dover, DE 19901 ("Saturday"). Le présent DPA complète et fait partie intégrante des Coach Terms of Service (les "Coach Terms") et de tout autre accord entre le Client et Saturday régissant l’utilisation par le Client du Portail Coach de Saturday (ensemble, l’"Accord").

Les parties conviennent de ce qui suit :

1. Définitions

Les termes en majuscules non définis dans le présent DPA ont le sens qui leur est attribué dans l’Accord. Dans le présent DPA :

« Responsable du traitement » désigne le Client, c’est-à-dire la personne physique ou morale, l’autorité publique, l’agence ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du Traitement des Données à caractère personnel.

« Personne concernée » désigne une personne physique identifiée ou identifiable à laquelle se rapportent les Données à caractère personnel.

« EEE » désigne l’Espace économique européen.

« GDPR » désigne le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (le Règlement général sur la protection des données), tel que modifié, complété ou remplacé à tout moment.

« Données à caractère personnel » désigne toute information se rapportant à une personne physique identifiée ou identifiable que le Client crée dans le cadre du Portail Coach et que Saturday Traite pour le compte du Client, telle que décrite à la Section 2.1 et à l’Annexe 1. « Données à caractère personnel » a le sens donné à « données à caractère personnel » à l’article 4(1) du GDPR.

« Violation de données à caractère personnel » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données.

« Traitement » (et ses formes dérivées « Traiter », « Traité ») désigne toute opération ou tout ensemble d’opérations effectuées sur des Données à caractère personnel, que ce soit ou non par des moyens automatisés, notamment la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

« Sous-traitant » désigne Saturday Inc., qui Traite des Données à caractère personnel pour le compte du Responsable du traitement comme décrit dans le présent DPA.

« Catégories particulières de Données à caractère personnel » désigne les Données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique, telles que décrites à l’article 9 du GDPR.

« Clauses contractuelles types » ou « SCCs » désigne les clauses contractuelles types annexées à la Décision d’exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021, telles que modifiées, complétées ou remplacées à tout moment.

« Sous-traitant ultérieur » désigne tout tiers engagé par Saturday pour Traiter des Données à caractère personnel pour le compte du Client dans le cadre du Portail Coach.

« Autorité de contrôle » désigne une autorité publique indépendante instituée par un État membre de l’UE conformément à l’article 51 du GDPR.

« UK Addendum » désigne l’International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (Version B1.0), publié par le UK Information Commissioner en vertu de la Section 119A du Data Protection Act 2018 et déposé devant le Parlement du Royaume-Uni le 2 février 2022, tel que révisé en vertu de la Section 18 des Mandatory Clauses de l’Addendum.

« UK GDPR » désigne le GDPR tel qu’il fait partie du droit d’Angleterre et du Pays de Galles, d’Écosse et d’Irlande du Nord en vertu de la Section 3 de l’European Union (Withdrawal) Act 2018, telle que modifiée par les Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019.

2. Champ d’application

2.1 Le présent DPA s’applique aux données à caractère personnel que le Client crée en tant qu’entraîneur et que Saturday Traite pour le compte du Client : (a) les notes que le Client rédige sur les athlètes ; (b) les comptes d’athlète que le Client crée, jusqu’à ce que l’athlète revendique le compte ; (c) l’organisation de la liste du Client : son organisation, les membres de l’organisation et leurs rôles, ses groupes d’athlètes, l’ordre de sa liste et ses réglages d’alertes pour chaque athlète ; et (d) les arrangements de facturation que le Client établit avec les athlètes via Stripe Connect.

2.2 Le présent DPA prend effet à sa signature par les deux parties et reste en vigueur tant que le Client dispose d’un compte Portail Coach au titre de l’Accord, quel que soit son palier, y compris le palier Coach gratuit. L’annulation ou la rétrogradation d’un palier coach payant ne met pas fin au présent DPA. La résiliation de l’Accord met automatiquement fin au présent DPA, sous réserve des obligations de la Section 15 (Restitution ou suppression des Données à caractère personnel).

2.3 En cas de conflit entre le présent DPA et l’Accord, le présent DPA prévaut en ce qui concerne le Traitement des Données à caractère personnel.

2.4 Le présent DPA ne s’applique pas aux données à caractère personnel pour lesquelles Saturday est Responsable du traitement de son propre chef. Saturday est le Responsable du traitement des comptes Saturday des athlètes et des données qu’ils contiennent, y compris les profils, les données de santé et biométriques, les activités, les produits, les réglages, les données des plateformes connectées ainsi que les rapports et les plans établis à partir de ces données, y compris lorsque le Client consulte ou modifie ces données via le Portail Coach ; des enregistrements des relations entre entraîneurs et athlètes et des alertes à l’entraîneur ; du journal d’audit et des enregistrements d’usurpation d’identité que Saturday tient pour sécuriser le service ; des données d’inscription au compte du Client ; et des données que Saturday collecte à ses propres fins commerciales. Lorsqu’un athlète revendique un compte créé par le Client, Saturday devient le Responsable du traitement de ce compte. Saturday est aussi le Responsable du traitement des copies d’un compte d’athlète créé par le Client que Saturday conserve, sans abonnement marketing, chez son prestataire d’e-mail et dans ses enregistrements analytiques, comme pour tout compte Saturday. Le traitement de ces données par Saturday est régi par la Politique de confidentialité du site Web, la Politique de confidentialité de l’application et la Politique de confidentialité des entraîneurs de Saturday.

3. Rôles et responsabilités

3.1 Le Client en tant que Responsable du traitement. Le Client est le Responsable du traitement des Données à caractère personnel décrites à la Section 2.1. Le Client détermine les finalités et les moyens du Traitement et est responsable de veiller à ce que son utilisation du Portail Coach soit conforme aux lois applicables en matière de protection des données, y compris le GDPR.

3.2 Saturday en tant que Sous-traitant. Saturday est le Sous-traitant des Données à caractère personnel et ne Traitera les Données à caractère personnel que pour le compte et conformément aux instructions documentées du Client. Saturday ne Traitera pas les Données à caractère personnel à des fins autres que la fourniture, la sécurisation et la surveillance du service du Portail Coach telles que décrites dans le présent DPA, l’Accord et les instructions documentées du Client.

3.3 Instructions documentées. Les instructions du Client à Saturday concernant le Traitement des Données à caractère personnel sont documentées dans : (a) les Coach Terms of Service ; (b) la Politique de confidentialité des entraîneurs ; (c) le présent DPA ; et (d) tout avenant ou modification écrit convenu et signé par les deux parties. Saturday informera rapidement le Client si, de l’avis de Saturday, une instruction du Client enfreint le GDPR ou une autre loi applicable en matière de protection des données.

3.4 Traitement hors instructions. Saturday ne Traitera pas de Données à caractère personnel en dehors des instructions documentées du Client, sauf si la loi applicable à laquelle Saturday est soumis l’exige. Dans un tel cas, Saturday informera le Client de cette obligation légale avant le Traitement, sauf si la loi interdit une telle notification pour des motifs importants d’intérêt public.

4. Description du traitement

Conformément à l’article 28(3) du GDPR, les détails suivants décrivent le Traitement effectué dans le cadre du présent DPA :

• Objet : La fourniture du Portail Coach de Saturday au Client, permettant au Client de tenir des notes sur les athlètes, de créer des comptes d’athlète, d’organiser sa liste et son organisation, et d’établir des arrangements de facturation via Stripe Connect.
• Durée : Tant que le Client dispose d’un compte Portail Coach au titre de l’Accord, quel que soit son palier, plus toute période de conservation postérieure à la résiliation spécifiée à la Section 15.
• Nature et finalité : Conservation, extraction, affichage, organisation, structuration, adaptation, transmission et effacement des Données à caractère personnel nécessaires à la fourniture du service du Portail Coach, y compris les notes sur les athlètes, la création de comptes d’athlète, la gestion de la liste et de l’organisation, et les opérations de facturation.
• Catégories de Données à caractère personnel : Telles que décrites à la Section 5 (Catégories de données) et à l’Annexe 1.
• Catégories de Personnes concernées : Athlètes (sur lesquels portent les notes du Client, dont le Client crée les comptes, qui figurent sur la liste du Client ou que le Client facture) ; entraîneurs (professionnels de l’entraînement individuels) ; et membres de l’organisation de l’entraîneur (administrateurs, entraîneurs assistants, administrateurs de facturation, entraîneurs en lecture seule).
• Catégories particulières : Les comptes d’athlète que le Client crée contiennent des données de santé, comme le poids et le profil de transpiration, et les notes du Client peuvent contenir des informations de santé. Le Client est responsable de garantir une base légale au titre de l’article 9(2) du GDPR pour le Traitement de toute Catégorie particulière de Données à caractère personnel.

5. Catégories de données

Le tableau suivant décrit les catégories de données Traitées via le Portail Coach et les durées de conservation applicables. Le Client est le Responsable du traitement des catégories Notes de l’entraîneur, Comptes d’athlète créés par l’entraîneur, Organisation de la liste, Appartenance, Organisation et Facturation, qui sont les Données à caractère personnel couvertes par le présent DPA. Saturday est le Responsable du traitement des autres catégories (Section 2.4), qui sont indiquées pour que le Client sache combien de temps Saturday les conserve. Lorsqu’une durée prend fin avec la suppression d’un compte, le processus de suppression de Saturday efface les données dans les minutes qui suivent la suppression, et une vérification quotidienne efface tout ce qui aurait été omis. À la fin d’une durée, les données sont supprimées des systèmes en production de Saturday ; les copies figurant dans les sauvegardes de base de données de Saturday sont supprimées dans les 84 jours qui suivent, et celles figurant dans l’entrepôt de données de Saturday dans les 100 jours.

6. Sous-traitants ultérieurs

6.1 Sous-traitants ultérieurs autorisés. Le Client donne une autorisation écrite générale à Saturday pour engager les Sous-traitants ultérieurs énumérés à l’Annexe 2. À la date d’entrée en vigueur, Saturday utilise les Sous-traitants ultérieurs suivants pour les données du Portail Coach :

6.2 Notification des changements. Saturday fournira au Client un préavis écrit d’au moins trente (30) jours avant d’engager un nouveau Sous-traitant ultérieur ou de remplacer un Sous-traitant ultérieur existant. Le préavis identifiera le Sous-traitant ultérieur, décrira le Traitement à effectuer et indiquera l’emplacement du Sous-traitant ultérieur.

6.3 Droit d’opposition. Le Client peut s’opposer à un Sous-traitant ultérieur nouveau ou de remplacement en notifiant Saturday par écrit dans les quatorze (14) jours suivant la réception du préavis au titre de la Section 6.2. L’opposition doit énoncer des motifs raisonnables relatifs à la protection des données. Saturday déploiera des efforts commercialement raisonnables pour mettre à la disposition du Client une modification du Portail Coach ou recommander une alternative commercialement raisonnable afin d’éviter le Traitement des Données à caractère personnel par le Sous-traitant ultérieur faisant l’objet de l’opposition. Si Saturday n’est pas en mesure de répondre à l’opposition du Client dans les trente (30) jours suivant sa réception, le Client peut résilier l’abonnement au Portail Coach sur notification écrite à Saturday, et Saturday fournira un remboursement au prorata de tout montant prépayé non utilisé.

6.4 Obligations du Sous-traitant ultérieur. Saturday : (a) imposera à chaque Sous-traitant ultérieur, par voie de contrat écrit, des obligations de protection des données au moins aussi protectrices que celles énoncées dans le présent DPA ; et (b) restera pleinement responsable envers le Client de l’exécution des obligations de chaque Sous-traitant ultérieur.

7. Mesures de sécurité

Conformément à l’article 28(3)(c) et à l’article 32 du GDPR, Saturday met en œuvre et maintient les mesures techniques et organisationnelles suivantes pour protéger les Données à caractère personnel. Ces mesures sont détaillées plus en profondeur à l’Annexe 3.

7.1 Chiffrement

• En transit : Tout le trafic API et web est chiffré à l’aide de TLS 1.3.
• Au repos : Toutes les données au repos sont chiffrées à l’aide d’AES-256 via le chiffrement par défaut de Google Cloud Platform.

7.2 Contrôle d’accès

• Restriction au niveau de la base de données : Les Firestore Security Rules imposent un contrôle d’accès par document. L’accès de l’entraîneur est limité aux athlètes de la liste active de l’entraîneur. Les règles de sécurité valident le statut de la relation entraîneur-athlète avant d’accorder un accès en lecture ou en écriture.
• Contrôle d’accès basé sur les rôles (RBAC) : Neuf (9) rôles définis avec vingt-trois (23) autorisations distinctes régissent l’accès aux fonctions du Portail Coach. La résolution des autorisations est imposée au niveau du middleware de l’API, renvoyant un HTTP 403 en cas de requêtes non autorisées.
• Principe du besoin d’en connaître : Le personnel de Saturday accède aux Données à caractère personnel uniquement dans la mesure nécessaire à l’accomplissement de ses fonctions, sous réserve d’obligations de confidentialité écrites.

7.3 Journalisation d’audit

• Les actions administratives et les événements d’usurpation d’identité sont enregistrés dans un journal d’audit en ajout seul. Les entrées du journal d’audit ne sont jamais modifiées après leur enregistrement et sont supprimées après un (1) an, ou deux (2) ans pour les entrées de sécurité.
• Chaque entrée d’audit enregistre : l’identité de l’acteur, le type d’action (plus de 40 actions définies), la cible, l’état avant/après le cas échéant, l’agent utilisateur, l’adresse IP pour de nombreuses actions du Portail Coach et l’horodatage.

7.4 Contrôles d’usurpation d’identité

• Les sessions d’usurpation d’identité administrative sont limitées à trente (30) minutes et nécessitent une justification écrite.
• Chaque session d’usurpation d’identité est enregistrée en interne : qui a consulté quel compte et quand.
• Seul le personnel de Saturday peut initier l’usurpation d’identité.

7.5 Authentification

• L’authentification est gérée via Firebase Authentication.
• L’authentification multifacteur (MFA) est disponible pour tous les utilisateurs et peut être imposée au niveau de l’organisation pour les clients de niveau Enterprise, avec des périodes de grâce configurables et des méthodes autorisées (TOTP, SMS).

7.6 Mesures organisationnelles

• Le personnel de Saturday ayant accès aux Données à caractère personnel est lié par des obligations de confidentialité écrites.
• Saturday procède à des évaluations périodiques des vulnérabilités de l’infrastructure du Portail Coach.
• Saturday maintient une procédure de réponse aux incidents, y compris le processus de notification des violations décrit à la Section 11.
• Saturday effectue une revue de sécurité annuelle de ses mesures techniques et organisationnelles.

8. Confidentialité

8.1 Saturday veillera à ce que toute personne autorisée à Traiter des Données à caractère personnel pour son compte se soit engagée à respecter des obligations de confidentialité ou soit soumise à une obligation légale appropriée de confidentialité, conformément à l’article 28(3)(b) du GDPR.

8.2 Saturday ne divulguera pas de Données à caractère personnel à un tiers, sauf : (a) dans la mesure nécessaire à la fourniture du service du Portail Coach par l’intermédiaire des Sous-traitants ultérieurs autorisés énumérés à l’Annexe 2 ; (b) si la loi applicable, la réglementation ou une ordonnance contraignante d’un tribunal ou d’une autorité gouvernementale l’exige ; ou (c) si le Client l’autorise expressément par écrit.

8.3 Si Saturday reçoit une demande juridiquement contraignante d’une autorité publique en vue de la divulgation de Données à caractère personnel, Saturday notifiera rapidement le Client d’une telle demande avant toute divulgation, sauf interdiction légale de le faire. Saturday déploiera des efforts raisonnables pour rediriger l’autorité afin qu’elle demande les données directement au Client.

9. Engagement de Sous-traitants ultérieurs

9.1 Conformément à l’article 28(2) et 28(4) du GDPR, Saturday n’engagera pas de Sous-traitant ultérieur sans l’autorisation écrite générale préalable du Client, que le Client accorde au titre de la Section 6.1, sous réserve du mécanisme de notification et d’opposition des Sections 6.2 et 6.3.

9.2 Saturday imposera à chaque Sous-traitant ultérieur, par voie de contrat écrit conformément à l’article 28(4) du GDPR, des obligations de protection des données substantiellement équivalentes à celles imposées à Saturday au titre du présent DPA, y compris les obligations relatives à la confidentialité, aux mesures de sécurité, aux transferts internationaux de données et à la coopération avec le Responsable du traitement et les Autorités de contrôle.

9.3 Saturday reste pleinement responsable envers le Client des actes et omissions de ses Sous-traitants ultérieurs dans la même mesure que Saturday serait responsable s’il effectuait le Traitement directement.

9.4 Sur demande écrite du Client, Saturday fournira au Client une copie d’un contrat de Sous-traitant ultérieur (qui peut être expurgé afin de supprimer les informations commercialement sensibles non pertinentes pour la protection des données) afin de permettre au Client de vérifier la conformité à la présente Section.

10. Assistance aux droits des Personnes concernées

10.1 Conformément à l’article 28(3)(e) du GDPR, Saturday assistera le Client, par des mesures techniques et organisationnelles appropriées et compte tenu de la nature du Traitement, dans l’accomplissement de ses obligations de répondre aux demandes des Personnes concernées d’exercer leurs droits au titre du Chapitre III du GDPR, y compris les droits d’accès, de rectification, d’effacement, de portabilité des données, de limitation du Traitement et d’opposition.

10.2 Saturday répondra aux demandes d’assistance du Client au titre de la présente Section dans un délai de cinq (5) jours ouvrables. L’assistance comprend : la fourniture d’exportations de données, l’exécution de la suppression des données lorsqu’un compte est supprimé (l’accès prend fin à la suppression du compte, le processus de suppression de Saturday efface dans les minutes qui suivent les données que la Section 5 conserve jusqu’à la suppression d’un compte, et une vérification quotidienne efface tout ce qui aurait été omis), la correction des données sur notification du Client et la limitation du Traitement selon les instructions.

10.3 Si Saturday reçoit une demande directement d’une Personne concernée relative à des Données à caractère personnel Traitées au titre du présent DPA, Saturday redirigera rapidement la Personne concernée vers le Client ou, le cas échéant et avec l’autorisation écrite préalable du Client, donnera suite à la demande pour le compte du Client. Saturday ne répondra pas directement à une demande d’une Personne concernée sans l’autorisation du Client, sauf pour informer la Personne concernée que la demande a été transmise au Client.

10.4 Le Client peut soumettre des demandes d’accès, d’exportation et de suppression pour le compte des Personnes concernées par e-mail à support@saturdaymorning.fit, avec un niveau de service de trente (30) jours pour leur exécution.

11. Notification de violation de données à caractère personnel

11.1 Conformément à l’article 28(3)(f) du GDPR, Saturday notifiera au Client une Violation de données à caractère personnel sans retard injustifié et, en tout état de cause, dans les soixante-douze (72) heures après en avoir pris connaissance.

11.2 La notification comprendra, dans la mesure où ces informations sont raisonnablement disponibles au moment de la notification :

1. Une description de la nature de la Violation de données à caractère personnel, y compris les catégories et le nombre approximatif de Personnes concernées affectées ainsi que les catégories et le nombre approximatif d’enregistrements de Données à caractère personnel affectés ;
2. Le nom et les coordonnées du point de contact de Saturday auprès duquel des informations supplémentaires peuvent être obtenues ;
3. Une description des conséquences probables de la Violation de données à caractère personnel ; et
4. Une description des mesures prises ou qu’il est proposé de prendre par Saturday pour remédier à la Violation de données à caractère personnel, y compris les mesures visant à en atténuer les éventuels effets négatifs.

11.3 Lorsqu’il n’est pas possible de fournir toutes les informations en même temps, Saturday fournira les informations de manière échelonnée sans autre retard injustifié.

11.4 Saturday coopérera avec le Client et l’assistera en ce qui concerne toute enquête, atténuation et remédiation de la Violation de données à caractère personnel, ainsi que dans le respect par le Client de ses obligations au titre des articles 33 et 34 du GDPR.

11.5 La notification ou la réponse de Saturday à une Violation de données à caractère personnel au titre de la présente Section ne sera pas interprétée comme une reconnaissance par Saturday d’une quelconque faute ou responsabilité à l’égard de la violation.

12. Assistance à l’analyse d’impact relative à la protection des données

12.1 Conformément à l’article 28(3)(f) du GDPR, Saturday fournira une assistance raisonnable au Client dans la réalisation d’analyses d’impact relatives à la protection des données ("DPIAs") au titre de l’article 35 du GDPR et, le cas échéant, dans la consultation de l’Autorité de contrôle compétente au titre de l’article 36 du GDPR, dans chaque cas uniquement en ce qui concerne le Traitement de Données à caractère personnel au titre du présent DPA et compte tenu de la nature du Traitement et des informations dont dispose Saturday.

12.2 Saturday mettra à la disposition du Client les informations sur les activités de Traitement du Portail Coach qui sont raisonnablement nécessaires pour que le Client réalise une DPIA, y compris les descriptions des mesures techniques et organisationnelles énoncées à la Section 7 et à l’Annexe 3.

13. Droits d’audit

13.1 Conformément à l’article 28(3)(h) du GDPR, Saturday mettra à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du GDPR et au présent DPA, et permettra la réalisation d’audits, y compris d’inspections, par le Client ou un auditeur mandaté par le Client, et y contribuera.

13.2 Le Client peut réaliser un (1) audit par période de douze (12) mois. Les audits seront réalisés : (a) aux frais du Client ; (b) pendant les heures normales d’ouverture de Saturday ; (c) avec un préavis écrit d’au moins trente (30) jours à Saturday ; et (d) d’une manière qui ne perturbe pas de façon déraisonnable les opérations de Saturday.

13.3 Saturday peut satisfaire à la demande d’audit du Client en fournissant des copies des rapports ou certifications d’audit de tiers pertinents (tels que des rapports SOC 2 Type II, des certifications ISO 27001 ou équivalents) qui couvrent les activités de Traitement au titre du présent DPA. Si ces rapports ne répondent pas de manière adéquate aux préoccupations raisonnables du Client, le Client conserve le droit de réaliser un audit direct au titre de la Section 13.2.

13.4 L’auditeur mandaté par le Client sera lié par des obligations de confidentialité écrites et ne sera pas un concurrent de Saturday. Le Client communiquera à Saturday l’identité de l’auditeur avant l’audit.

13.5 Si un audit révèle un manquement substantiel au présent DPA, Saturday remédiera rapidement au manquement à ses propres frais et notifiera au Client les mesures de remédiation prises.

14. Transferts internationaux de données

14.1 Emplacement des données. Saturday stocke les Données à caractère personnel sur Google Cloud aux États-Unis. Certains Sous-traitants ultérieurs (Brevo) stockent les données dans l’Union européenne, certains Sous-traitants ultérieurs (Cloudflare) traitent les données sur un réseau de périphérie mondial, et, à partir du 9 novembre 2026, Google Cloud Vertex AI peut traiter les requêtes de rapports d’IA dans tout pays où Google exploite des centres de données.

14.2 Mécanisme de transfert — EEE. Dans la mesure où des Données à caractère personnel sont transférées de l’EEE vers les États-Unis ou tout autre pays ne faisant pas l’objet d’une décision d’adéquation de la Commission européenne, les parties conviennent que les Clauses contractuelles types de l’UE de 2021 (Décision d’exécution (UE) 2021/914 de la Commission), Module 2 (Responsable du traitement vers Sous-traitant), sont incorporées au présent DPA par référence et s’appliquent à ces transferts. Aux fins des SCCs :

• L’« exportateur de données » est le Client (Responsable du traitement) ;
• L’« importateur de données » est Saturday (Sous-traitant) ;
• Clause 7 (Clause d’amarrage) : La clause d’amarrage facultative s’applique, permettant à des entités supplémentaires d’adhérer aux SCCs ;
• Clause 9(a) (Sous-traitants ultérieurs) : L’Option 2 (Autorisation écrite générale) s’applique, avec un préavis de trente (30) jours de tout ajout ou remplacement envisagé de Sous-traitants ultérieurs ;
• Clause 17 (Droit applicable) : Les SCCs seront régies par le droit de l’Irlande ;
• Clause 18 (Choix de la juridiction et du for) : Les litiges découlant des SCCs seront résolus devant les tribunaux de l’Irlande ;
• L’Annexe I.A (Liste des parties), l’Annexe I.B (Description du transfert) et l’Annexe I.C (Autorité de contrôle compétente) sont complétées à l’Annexe 1 du présent DPA ;
• L’Annexe II (Mesures techniques et organisationnelles) est complétée à l’Annexe 3 du présent DPA ;
• L’Annexe III (Liste des Sous-traitants ultérieurs) est complétée à l’Annexe 2 du présent DPA.

14.3 Mécanisme de transfert — Royaume-Uni. Dans la mesure où des Données à caractère personnel sont transférées depuis le Royaume-Uni, l’UK International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (Version B1.0, publié par l’ICO et déposé devant le Parlement le 2 février 2022, tel que révisé en vertu de la Section 18 desdites Mandatory Clauses) s’applique à ces transferts et est incorporé au présent DPA par référence. Les informations requises par les Tableaux 1 à 4 de l’UK Addendum sont celles énoncées dans les SCCs incorporées au titre de la Section 14.2, sous réserve de ce qui suit :

• Les Approved EU SCCs visées au Tableau 2 sont les SCCs telles qu’incorporées au titre de la Section 14.2 du présent DPA, y compris l’Appendix Information ;
• Chaque partie peut mettre fin à l’UK Addendum conformément à ses termes ;
• L’UK Information Commissioner’s Office est l’autorité de contrôle compétente pour les transferts soumis à l’UK GDPR.

14.4 Mécanisme de transfert — Suisse. Dans la mesure où des Données à caractère personnel sont transférées depuis la Suisse, les SCCs incorporées au titre de la Section 14.2 s’appliquent avec les modifications suivantes : (a) les références au GDPR sont interprétées comme des références à la Swiss Federal Act on Data Protection ("FADP") selon le cas ; (b) les références à « État membre » sont interprétées comme incluant la Suisse ; (c) les références à l’« autorité de contrôle compétente » sont interprétées comme des références au Swiss Federal Data Protection and Information Commissioner ("FDPIC") ; et (d) les références à « UE », « Union » et « droit des États membres » sont interprétées de manière à ne pas exclure les personnes concernées suisses de l’exercice de leurs droits dans leur lieu de résidence habituelle en Suisse.

14.5 Mesures supplémentaires. Saturday met en œuvre les mesures suivantes pour les Données à caractère personnel transférées au titre du présent DPA :

• Mesures techniques : Chiffrement des Données à caractère personnel en transit (TLS 1.3) et au repos (AES-256) ; contrôles d’accès par document ; usurpation d’identité limitée dans le temps avec journalisation de la justification ;
• Mesures contractuelles : Contrats de Sous-traitants ultérieurs exigeant des protections équivalentes ; engagement de contester les demandes d’accès gouvernementales dans la mesure où la loi le permet ; transparence concernant les demandes d’accès gouvernementales reçues (le cas échéant et dans la mesure où la loi le permet) ;
• Mesures organisationnelles : Restrictions d’accès selon le besoin d’en connaître ; obligations de confidentialité pour l’ensemble du personnel ; revues de sécurité périodiques ; procédures de réponse aux incidents.

14.6 Déclaration du Client. Le Client déclare et garantit qu’il a le pouvoir de transférer des Données à caractère personnel à Saturday, y compris au-delà des frontières internationales, et que ces transferts sont effectués dans le respect des lois applicables en matière de protection des données.

15. Restitution ou suppression des Données à caractère personnel

15.1 Conformément à l’article 28(3)(g) du GDPR, à la résiliation ou à l’expiration de l’Accord, Saturday, au choix et sur demande écrite du Client, soit : (a) restituera toutes les Données à caractère personnel au Client dans un format couramment utilisé et lisible par machine ; soit (b) supprimera toutes les Données à caractère personnel des systèmes en production de Saturday. Saturday achèvera cette restitution ou suppression dans les trente (30) jours suivant la réception de la demande écrite du Client. Les copies figurant dans les sauvegardes de base de données de Saturday sont supprimées dans les quatre-vingt-quatre (84) jours suivant la suppression dans les systèmes en production, et celles figurant dans l’entrepôt de données de Saturday dans les cent (100) jours.

15.2 Le Client met fin à l’Accord en supprimant son compte Saturday, depuis la page Fermer le compte du Portail Coach ou dans l’application Saturday ; cela supprime l’intégralité du compte, y compris les données de son application. Dans les minutes qui suivent, le processus de suppression de Saturday supprime les notes que le Client a rédigées sur les athlètes, les groupes personnels d’athlètes, l’ordre de la liste et les réglages d’alertes du Client, ainsi que les comptes d’athlète créés par le Client auxquels l’athlète ne s’est jamais connecté, qu’il n’a jamais utilisés, auxquels il n’a jamais relié d’application, qu’il n’a jamais revendiqués et dans lesquels il n’a jamais rien payé, et auxquels personne d’autre n’est encore rattaché ; annule les arrangements de facturation du Client avec les athlètes ; et traite chaque organisation dont le Client est propriétaire comme le décrit la ligne Organisation de la Section 5 ; une vérification quotidienne efface tout ce qui aurait été omis, et les délais prévus à la Section 15.1 pour les sauvegardes et l’entrepôt de données s’appliquent. Saturday conserve : les enregistrements de facturation et les entrées du journal d’audit, comme décrit à la Section 15.3 ; les enregistrements d’appartenance du Client à des organisations, avec l’identifiant de son compte et ses rôles et sans son adresse e-mail ; et les groupes que le Client a créés dans une organisation qui subsiste, qui restent dans cette organisation. Les autres comptes d’athlète, y compris les autres comptes créés par le Client, ne sont pas supprimés ; ils restent ceux des athlètes. Si l’Accord prend fin alors que le compte du Client existe encore, les Données à caractère personnel sont conservées jusqu’à ce que le Client supprime le compte ou présente une demande écrite au titre de la Section 15.1.

15.3 Exceptions. Saturday peut conserver des Données à caractère personnel après la résiliation dans la mesure où la loi applicable l’exige, notamment :

• Registres de facturation : Conservés pendant au moins sept (7) ans après la transaction comme l’exigent les réglementations financières et fiscales applicables ;
• Entrées du journal d’audit : Conservées pendant un (1) an après l’enregistrement de chaque entrée, ou deux (2) ans pour les entrées de sécurité, aux fins de la constatation, de l’exercice ou de la défense de droits en justice au titre de l’article 17(3)(e) du GDPR ;
• Données requises par une ordonnance judiciaire ou un mandat réglementaire.

Saturday notifiera au Client toute obligation de conservation de ce type et limitera le Traitement des données conservées à la finalité légale spécifique pour laquelle la conservation est requise.

15.4 À l’achèvement de la restitution ou de la suppression, Saturday fournira au Client une certification écrite de la suppression, sur demande écrite.

15.5 Les données qui ont été anonymisées de telle sorte qu’elles ne constituent plus des Données à caractère personnel au sens du GDPR peuvent être conservées par Saturday sans restriction.

16. Responsabilité et indemnisation

16.1 La responsabilité de chaque partie au titre du présent DPA est soumise aux exclusions et limitations de responsabilité énoncées dans l’Accord, sauf que ces limitations ne limiteront pas la responsabilité d’une partie envers les Personnes concernées au titre des SCCs ou de la loi applicable en matière de protection des données lorsqu’une telle limitation n’est pas permise.

16.2 Chaque partie indemnisera et garantira l’autre partie contre toutes les réclamations, dommages, pertes, coûts et dépenses (y compris les honoraires raisonnables d’avocats) découlant de ou en lien avec toute réclamation d’un tiers résultant du manquement de la partie indemnisante au présent DPA.

16.3 La responsabilité globale de Saturday pour toutes les réclamations découlant du présent DPA, qu’elles soient contractuelles, délictuelles ou autres, n’excédera pas le total des frais payés par le Client à Saturday au titre de l’Accord au cours des douze (12) mois précédant immédiatement l’événement donnant lieu à la réclamation. Cette limitation ne s’applique pas à : (a) la responsabilité de Saturday au titre des SCCs ; (b) les obligations d’indemnisation de Saturday au titre de la Section 16.2 dans la mesure où elles découlent de la faute intentionnelle ou de la négligence grave de Saturday ; ou (c) les amendes réglementaires imposées directement au Client par une Autorité de contrôle, qui demeurent de la seule responsabilité du Client.

17. Durée et résiliation

17.1 Le présent DPA prend effet à la date de sa signature et restera en vigueur tant que le Client dispose d’un compte Portail Coach au titre de l’Accord, quel que soit son palier, y compris le palier Coach gratuit.

17.2 Chaque partie peut résilier le présent DPA pour manquement substantiel en donnant un préavis écrit de trente (30) jours à l’autre partie, à condition que la partie en défaut ait eu la possibilité de remédier au manquement dans ce délai de préavis.

17.3 La résiliation de l’Accord met automatiquement fin au présent DPA. L’annulation ou la rétrogradation d’un palier coach payant ne met fin ni à l’Accord ni au présent DPA.

17.4 Les Sections suivantes survivent à la résiliation ou à l’expiration du présent DPA : Section 1 (Définitions), Section 8 (Confidentialité), Section 11 (Notification de violation de données à caractère personnel), Section 13 (Droits d’audit, pour une période de douze mois après la résiliation), Section 14 (Transferts internationaux de données, dans la mesure où les Données à caractère personnel restent en possession de Saturday), Section 15 (Restitution ou suppression des Données à caractère personnel), Section 16 (Responsabilité et indemnisation) et Section 22 (Droit applicable).

18. Signature

18.1 Le présent DPA peut être signé en plusieurs exemplaires, chacun étant réputé être un original et tous ensemble constituant un seul et même instrument.

18.2 Les signatures électroniques (y compris celles fournies via DocuSign ou des services de signature électronique équivalents) auront la même force et le même effet juridiques que les signatures manuscrites originales.

18.3 Pour obtenir une copie signée du présent DPA, contactez Saturday à l’adresse alex@saturdaymorning.fit. La signature électronique via DocuSign est disponible sur demande.

Annexe 1 : Description du traitement

La présente Annexe fait partie du présent DPA et satisfait aux exigences de l’Annexe I des Clauses contractuelles types (Module 2 : Responsable du traitement vers Sous-traitant).

A. Liste des parties

B. Description du transfert

C. Autorité de contrôle compétente

L’autorité de contrôle compétente sera déterminée conformément à la Clause 13 des SCCs. Lorsque l’Exportateur de données est établi dans un État membre de l’UE, l’autorité de contrôle de cet État membre sera l’autorité compétente. Lorsque l’Exportateur de données n’est pas établi dans un État membre de l’UE mais relève du champ d’application territorial du GDPR en vertu de l’article 3(2), l’autorité de contrôle de l’État membre désigné par l’Exportateur de données sur la page de signature sera l’autorité compétente. En l’absence d’une telle désignation, l’Irish Data Protection Commission fera office d’autorité de contrôle compétente.

Annexe 2 : Liste des Sous-traitants ultérieurs

La présente Annexe fait partie du présent DPA et satisfait aux exigences de l’Annexe III des Clauses contractuelles types (Module 2 : Responsable du traitement vers Sous-traitant).

Annexe 3 : Mesures techniques et organisationnelles

La présente Annexe fait partie du présent DPA et satisfait aux exigences de l’Annexe II des Clauses contractuelles types (Module 2 : Responsable du traitement vers Sous-traitant). Les mesures suivantes décrivent les mesures de sécurité techniques et organisationnelles mises en œuvre par Saturday (Importateur de données).

Chiffrement des Données à caractère personnel

• Toutes les données en transit sont chiffrées à l’aide de TLS 1.3.
• Toutes les données au repos sont chiffrées à l’aide d’AES-256 via le chiffrement par défaut de Google Cloud Platform. Google gère les clés de chiffrement conformément au Key Management Service de Google.

Confidentialité, intégrité, disponibilité et résilience

• Les Firestore Security Rules imposent un contrôle d’accès par document, limitant l’accès de l’entraîneur aux athlètes de la liste active de l’entraîneur.
• Neuf (9) rôles définis et vingt-trois (23) autorisations distinctes régissent l’accès au niveau de l’application.
• Google Cloud Platform fournit des capacités de redondance, de sauvegarde et de reprise après sinistre au niveau de l’infrastructure.
• Saturday maintient des procédures de réponse aux incidents pour l’identification et la remédiation rapides des interruptions de disponibilité.

Capacité de rétablir la disponibilité et l’accès

• Saturday s’appuie sur les mécanismes de sauvegarde et de récupération au niveau de l’infrastructure de Google Cloud Platform, y compris la réplication automatique de Firestore sur plusieurs zones de disponibilité.

Tests et évaluations réguliers

• Saturday effectue des revues de sécurité annuelles de ses mesures techniques et organisationnelles.
• Saturday procède à des évaluations périodiques des vulnérabilités de l’infrastructure du Portail Coach.
• Saturday teste ses procédures de réponse aux incidents afin de garantir la préparation aux scénarios de Violation de données à caractère personnel.

Identification et autorisation des utilisateurs

• L’authentification est gérée via Firebase Authentication, prenant en charge la connexion par e-mail/mot de passe et basée sur OAuth.
• L’authentification multifacteur (MFA) est disponible et peut être imposée par organisation pour les clients de niveau Enterprise, avec des périodes de grâce configurables et des méthodes autorisées (TOTP, SMS).
• Le middleware de l’API impose des autorisations basées sur les rôles à chaque endpoint, renvoyant un HTTP 403 pour les tentatives d’accès non autorisées.
• La gestion des sessions comprend l’énumération des sessions, la révocation de sessions individuelles et la révocation de toutes les autres sessions.

Protection des données pendant la transmission et le stockage

• Chiffrement TLS 1.3 pour tout le trafic API et web entre les clients et les services de Saturday.
• Chiffrement AES-256 au repos pour toutes les collections Firestore, les objets Cloud Storage et les autres services de stockage GCP.
• Stripe gère les données de cartes de paiement dans une infrastructure conforme PCI-DSS ; Saturday ne stocke, ne traite ni ne transmet de données de titulaire de carte.

Sécurité physique des lieux de traitement

• Toutes les Données à caractère personnel sont stockées dans des centres de données Google Cloud Platform. Google maintient des contrôles de sécurité physique certifiés SOC 2 Type II et ISO 27001, y compris des restrictions d’accès, de la surveillance et des contrôles environnementaux.

Journalisation des événements

• Saturday maintient un journal d’audit en ajout seul enregistrant les actions administratives (plus de 40 types d’actions définies), les événements d’usurpation d’identité (avec justification), l’identité de l’acteur, la cible, les instantanés de l’état avant/après, l’agent utilisateur, l’adresse IP pour de nombreuses actions du Portail Coach et les horodatages.
• Les entrées du journal d’audit ne sont jamais modifiées après leur enregistrement et sont supprimées après un (1) an, ou deux (2) ans pour les entrées de sécurité.
• Google Cloud Logging capture tous les journaux structurés, y compris les événements au niveau de l’application et de l’infrastructure.

Minimisation des données

• Les indicateurs de conformité (récence d’activité, nombre d’activités) sont calculés en temps réel et ne sont pas conservés de manière persistante.
• Les entraîneurs ne peuvent pas accéder aux jetons d’intégration des athlètes (identifiants OAuth pour des services tiers tels que TrainingPeaks et Intervals.icu), aux justificatifs d’achat ou aux identifiants de paiement.

Conservation et suppression des données

• Les durées de conservation sont spécifiées par catégorie de données à la Section 5 du présent DPA.
• La suppression du compte met fin à l’accès immédiatement. Lorsqu’une durée de la Section 5 court jusqu’à la suppression d’un compte, le processus de suppression de Saturday efface les données dans les minutes qui suivent, et une vérification quotidienne efface tout ce qui aurait été omis. Les copies figurant dans les sauvegardes de base de données sont supprimées dans les 84 jours, et celles figurant dans l’entrepôt de données dans les 100 jours.
• La révocation de la relation par un athlète met immédiatement fin à l’accès de l’entraîneur via les Firestore Security Rules, les enregistrements historiques étant conservés selon la durée de conservation applicable.

Responsabilité

• Saturday maintient le présent DPA, la Politique de confidentialité des entraîneurs et les Coach Terms of Service en tant que registres documentés de ses engagements en matière de protection des données.
• Le flux d’acceptation des Terms of Service de Saturday enregistre l’acceptation par chaque utilisateur de la version actuelle des ToS, y compris l’horodatage, l’adresse IP et l’agent utilisateur.

Sécurité des Sous-traitants ultérieurs

• Chaque Sous-traitant ultérieur est contractuellement lié par des obligations de protection des données substantiellement équivalentes à celles du présent DPA.
• Google Cloud Platform maintient les certifications SOC 2 Type II, ISO 27001 et ISO 27017.
• Stripe maintient la certification PCI-DSS Level 1 et des rapports SOC 2 Type II.
• Brevo maintient une infrastructure conforme au GDPR au sein de l’Union européenne.
• Cloudflare maintient les certifications SOC 2 Type II et ISO 27001.

19. Dispositions générales

19.1 Intégralité de l’accord. Le présent DPA, conjointement avec l’Accord, constitue l’intégralité de l’accord entre les parties en ce qui concerne le Traitement des Données à caractère personnel et remplace tous les accords, ententes ou déclarations antérieurs ou contemporains relatifs au même objet.

19.2 Modifications. Le présent DPA ne peut être modifié que par un instrument écrit signé par les deux parties. Nonobstant ce qui précède, Saturday peut mettre à jour les mesures techniques et organisationnelles décrites à la Section 7 et à l’Annexe 3 à tout moment, à condition que ces mises à jour ne diminuent pas matériellement le niveau global de protection accordé aux Données à caractère personnel.

19.3 Divisibilité. Si une disposition du présent DPA est jugée invalide ou inapplicable, les dispositions restantes demeureront pleinement en vigueur et de plein effet.

19.4 Absence de tiers bénéficiaires. Le présent DPA est conclu au seul bénéfice des parties et de leurs successeurs et ayants droit autorisés respectifs, sauf que les Personnes concernées sont des tiers bénéficiaires des SCCs telles qu’incorporées au présent DPA.

19.5 Notifications. Toutes les notifications au titre du présent DPA seront faites par écrit et envoyées aux adresses spécifiées dans l’Accord ou, pour Saturday, à alex@saturdaymorning.fit.

20. Coopération avec les Autorités de contrôle

20.1 Saturday coopérera, sur demande, avec l’Autorité de contrôle compétente dans l’exécution de ses missions, conformément à l’article 31 du GDPR.

20.2 Saturday informera rapidement le Client s’il reçoit une demande, une plainte ou une enquête d’une Autorité de contrôle relative au Traitement de Données à caractère personnel au titre du présent DPA.

21. Relation avec l’Accord

21.1 Rien dans le présent DPA ne réduit les obligations de Saturday au titre de l’Accord en ce qui concerne la protection des Données à caractère personnel ni ne permet à Saturday de Traiter des Données à caractère personnel d’une manière qui ne serait pas permise au titre de l’Accord.

21.2 Sauf pour les modifications apportées par le présent DPA, l’Accord demeure inchangé et pleinement en vigueur et de plein effet.

22. Droit applicable

22.1 Le présent DPA et toute obligation non contractuelle découlant de ou en lien avec celui-ci seront régis et interprétés conformément aux lois de l’État du Delaware, États-Unis, sans tenir compte de ses règles de conflit de lois.

22.2 Nonobstant la Section 22.1, dans la mesure où les SCCs l’exigent, les SCCs seront régies et interprétées conformément au droit spécifié à la Clause 17 des SCCs (le droit de l’Irlande), et les litiges découlant des SCCs seront résolus devant les tribunaux spécifiés à la Clause 18 des SCCs (les tribunaux de l’Irlande).

22.3 Dans la mesure où l’UK Addendum l’exige, l’UK Addendum sera régi et interprété conformément aux lois d’Angleterre et du Pays de Galles.