Accord de traitement des données

Version 1.0.0 du 10 novembre 2026 — article 28 du Règlement (UE) 2016/679

Préambule

Le présent accord de traitement des données (le « DPA ») encadre les traitements de données à caractère personnel qu'Olidian réalise pour le compte du Client dans le cadre du service MyManager.studio (le « Service »). Il complète les Conditions Générales d'Utilisation et les Conditions Générales de Vente du Service (ensemble, le « Contrat principal »).

Entre :

• le Client, identifié dans le bloc de signature du présent DPA, qui détermine les finalités et les moyens des traitements réalisés avec le Service et agit en qualité de responsable de traitement (le « Responsable ») ;
• Olidian, SAS au capital de 30 000 euros, immatriculée au RCS de Toulouse sous le numéro 107 401 432, dont le siège est situé 6 place du Président Thomas Woodrow Wilson, 31000 Toulouse, France, représentée par Nicolas Gonzalez, président, qui agit en qualité de sous-traitant (le « Sous-traitant »).

En cas de contradiction entre le DPA et le Contrat principal sur la protection des données personnelles, le DPA prévaut.

1. Définitions

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le Règlement (UE) 2016/679 (le « RGPD »). Un « sous-traitant ultérieur » est tout sous-traitant auquel le Sous-traitant fait appel pour exécuter des traitements pour le compte du Responsable.

2. Objet, durée, nature et finalité des traitements

Le Sous-traitant traite les données pour le seul compte du Responsable et dans le seul but de lui fournir le Service. L'objet, la nature et la finalité des traitements, les catégories de données et de personnes concernées sont décrits en Annexe 1. Les traitements durent autant que le Contrat principal, puis prennent fin dans les conditions de l'article 12.

3. Obligations du Responsable

Le Responsable :

• détermine la base légale de chacun de ses traitements et informe les personnes concernées (ses clients, coachs et collaborateurs) conformément aux articles 13 et 14 du RGPD ;
• n'enregistre dans le Service que les données nécessaires à la gestion de son activité ;
• recueille, lorsqu'il est requis, le consentement des personnes concernées, notamment pour les données de santé (article 14) ;
• répond aux demandes d'exercice des droits des personnes concernées, avec l'assistance du Sous-traitant (article 8).

4. Instructions documentées

Le Sous-traitant ne traite les données que sur instructions documentées du Responsable, y compris pour les transferts vers un pays tiers. Ces instructions résultent du Contrat principal, du présent DPA et de l'utilisation des fonctionnalités du Service par le Responsable. Si le droit de l'Union ou d'un État membre impose au Sous-traitant un autre traitement, il en informe le Responsable avant de le réaliser, sauf si ce droit l'interdit. Le Sous-traitant informe immédiatement le Responsable s'il estime qu'une instruction constitue une violation du RGPD.

5. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité. Seules les personnes qui en ont besoin pour exploiter, maintenir ou assister le Service y ont accès.

6. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Il peut faire évoluer ces mesures, à condition de ne pas réduire le niveau de sécurité global.

7. Sous-traitance ultérieure

7.1 Le Responsable autorise de manière générale le Sous-traitant à recourir aux sous-traitants ultérieurs listés en Annexe 3. La liste à jour est publiée sur la page « Sous-traitants » du site du Service.

7.2 Le Sous-traitant informe le Responsable de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours avant qu'il ne traite des données, par courrier électronique adressé aux administrateurs du compte du Responsable. Le Responsable peut formuler une objection motivée pendant ce délai. Si l'objection n'est pas levée, le Responsable peut résilier le Contrat principal sans pénalité avant l'entrée en fonction du nouveau sous-traitant ultérieur.

7.3 Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent DPA. Il demeure pleinement responsable envers le Responsable de l'exécution de leurs obligations.

8. Assistance pour les droits des personnes concernées

Le Sous-traitant aide le Responsable à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Le Service permet notamment au Responsable d'exporter et d'effacer les données d'un client. Lorsqu'une demande parvient directement au Sous-traitant, il la transmet sans délai au Responsable et n'y répond pas lui-même, sauf instruction de sa part.

9. Assistance pour la sécurité et les analyses d'impact

Compte tenu des informations dont il dispose, le Sous-traitant aide le Responsable à respecter ses obligations au titre des articles 32 à 36 du RGPD : sécurité des traitements, notification des violations, analyses d'impact relatives à la protection des données et consultation préalable de l'autorité de contrôle.

10. Notification des violations de données

Le Sous-traitant notifie au Responsable toute violation de données à caractère personnel le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables et les mesures prises ou proposées. Les informations qui ne sont pas disponibles immédiatement sont communiquées dès que possible. La notification à l'autorité de contrôle et aux personnes concernées relève du Responsable.

11. Localisation des données et transferts

L'application, la base de données et les fichiers du Service sont hébergés en France. Le Sous-traitant s'engage à ne pas déplacer cet hébergement hors de l'Union européenne sans l'accord préalable du Responsable. Les transferts vers un pays tiers réalisés par un sous-traitant ultérieur (Annexe 3) sont encadrés par une décision d'adéquation de la Commission européenne, par le cadre de protection des données UE–États-Unis (Data Privacy Framework) ou par les clauses contractuelles types de la Commission européenne.

12. Sort des données à la fin du Contrat principal

12.1 Avant la fin du Contrat principal, le Responsable peut exporter les données d'un client depuis le Service, et obtenir sur demande l'export complet des données de son compte. Cette demande reste possible pendant 30 jours après la fin du Contrat principal.

12.2 Le Sous-traitant supprime ou anonymise les données du Responsable au plus tard 90 jours après la fin du Contrat principal. Les copies de sauvegarde sont effacées au fil de leur cycle de rotation.

12.3 Le Sous-traitant conserve, pendant la durée de prescription légale, les seules données nécessaires à la preuve de la relation contractuelle avec le Responsable : facturation de l'abonnement au Service et preuve de signature du présent DPA.

13. Information et audits

13.1 Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD. Il répond par écrit aux questionnaires de sécurité raisonnables du Responsable.

13.2 Lorsque ces informations ne suffisent pas, ou à la suite d'une violation de données, le Responsable peut faire réaliser un audit, y compris une inspection, par lui-même ou par un auditeur indépendant qu'il mandate et qui n'est pas un concurrent du Sous-traitant. L'audit est annoncé au moins 30 jours à l'avance, se limite à un audit par an hors violation de données ou demande d'une autorité de contrôle, est couvert par un engagement de confidentialité et reste à la charge du Responsable.

14. Données de santé

14.1 Le Service permet de suivre le poids et la composition corporelle des clients du Responsable. Ces informations peuvent constituer des données concernant la santé au sens de l'article 9 du RGPD.

14.2 Le Service ne permet d'enregistrer ces données qu'après le consentement explicite de la personne concernée, recueilli depuis son espace client. Le retrait de ce consentement bloque toute nouvelle saisie.

14.3 Le Sous-traitant applique à ces données les mesures particulières décrites en Annexe 2 : journalisation des consultations, limitation de la saisie au coach assigné, effacement automatique après 24 mois d'inactivité et effacement à la demande de la personne concernée depuis son espace client.

14.4 Le Service n'est pas un hébergement certifié pour les données de santé au sens de l'article L. 1111-8 du code de la santé publique. Le Responsable s'interdit d'utiliser le Service pour des données de santé recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, ou pour le compte d'un professionnel de santé.

15. Responsabilité

La responsabilité de chaque partie au titre du présent DPA s'exerce dans les limites prévues par le Contrat principal, sans préjudice des dispositions impératives du RGPD à l'égard des personnes concernées et des autorités de contrôle.

16. Durée, modification et signature

16.1 Le présent DPA prend effet à sa signature par le Responsable et reste en vigueur tant que le Sous-traitant traite des données pour son compte.

16.2 Le Responsable signe le DPA électroniquement depuis son compte. La signature électronique simple ainsi recueillie, avec la date, l'adresse IP, le navigateur et l'empreinte du texte signé, a la même valeur qu'une signature manuscrite entre les parties (articles 1366 et 1367 du code civil). Un exemplaire signé est remis au Responsable au format PDF.

16.3 Le Sous-traitant peut modifier le DPA pour tenir compte d'une évolution du Service, de la réglementation ou de ses sous-traitants ultérieurs. Il en informe le Responsable au moins 30 jours à l'avance. Une modification qui réduit les garanties offertes au Responsable ne s'applique qu'après une nouvelle signature de sa part.

16.4 Pour toute question relative au présent DPA, le Responsable peut contacter le délégué à la protection des données du Sous-traitant : dpo@olidian.com.

Annexe 1 — Description des traitements

• Finalité : fournir un logiciel de gestion d'activité de coaching : planning, gestion des clients, packs et abonnements, contrats signés en ligne, facturation et paiements, attestations fiscales des services à la personne, espace client, rappels et notifications.
• Nature des opérations : collecte, enregistrement, organisation, conservation, consultation, modification, extraction, communication par transmission, rapprochement, effacement.
• Personnes concernées : clients du Responsable, coachs, salariés et collaborateurs du Responsable qui utilisent le Service.
• Catégories de données :
  • identification et contact : nom, prénom, adresse électronique, téléphone, adresse postale, raison sociale et SIREN pour un client entreprise ;
  • gestion de l'activité : rendez-vous, présences et absences, objectifs, notes, packs, abonnements et contrats, signature manuscrite numérisée des contrats ;
  • facturation et paiements : factures, échéanciers, paiements, attestations fiscales. Les données de carte bancaire sont traitées par Stripe et jamais stockées par le Sous-traitant ;
  • données de santé, sous conditions : poids et composition corporelle (article 14) ;
  • données techniques : identifiants de connexion, adresse IP, navigateur, journaux d'activité, identifiant d'appareil et jeton de notification des applications mobiles.
• Durée : durée du Contrat principal, puis article 12.

Annexe 2 — Mesures techniques et organisationnelles

• Hébergement : application, base de données et fichiers hébergés en France, dans la région Paris de Clever Cloud.
• Chiffrement en transit : toutes les communications avec le Service passent par HTTPS.
• Authentification : mots de passe hachés avec bcrypt ; vérification en deux étapes par code à usage unique envoyé par courrier électronique, au choix de l'utilisateur.
• Cloisonnement : chaque compte client du Service est isolé des autres ; les accès sont limités par rôle (administrateur, coach, client), et un coach ne voit que les clients qui lui sont assignés.
• Journalisation : les actions sensibles et les consultations des données de santé sont enregistrées dans un journal d'audit.
• Données de santé : saisie bloquée sans consentement explicite, limitée au coach assigné, effacement automatique après 24 mois d'inactivité, effacement en libre-service par la personne concernée.
• Paiements : aucune donnée de carte bancaire n'est stockée par le Service ; les notifications de paiement de Stripe sont authentifiées par signature.
• Applications mobiles : jetons de session chiffrés sur l'appareil, données en cache effacées à la déconnexion, aucun outil publicitaire ni de mesure d'audience.
• Sauvegardes : sauvegardes automatiques de la base de données par l'hébergeur.
• Organisation : accès à la production réservé aux personnes habilitées du Sous-traitant, séparation des environnements de développement et de production, procédure écrite de gestion des violations de données, délégué à la protection des données désigné.

Annexe 3 — Sous-traitants ultérieurs