Accord de sous-traitance

Version du 2026-09-11. Article 28 du règlement (UE) 2016/679. S'applique entre l'éditeur de My Fitness App et tout professionnel qui ouvre un espace.

Qui est qui

Tu es responsable du traitement des données de tes clients : tu décides de les accompagner, de ce que tu leur demandes et de l'usage que tu en fais. L'éditeur de My Fitness App est ton sous-traitant : il fournit l'outil et ne traite ces données que sur tes instructions.

Si tu passes par un revendeur, celui-ci est sous-traitant ultérieur pour ce qui le concerne, aux mêmes conditions. Tu restes le responsable devant tes clients.

Ce que l'éditeur traite, et pour quoi faire

Objet. Héberger et faire fonctionner ton espace : comptes, questionnaires, programmes, nutrition, échanges avec le Coach IA, réservations, paiements.
Durée. Tant que ton contrat dure, puis le temps de te restituer ou d'effacer les données.
Personnes concernées. Tes clients, tes prospects, et toi-même.
Catégories de données. Identité, coordonnées, données de forme et de santé (ton questionnaire, ton programme, tes pesées, tes mensurations, ton journal alimentaire, tes messages au coach ia), activité dans l'application, données de facturation.

Les engagements de l'éditeur

Agir sur instruction. Ne traiter les données que pour te fournir le service, jamais pour son propre compte, jamais pour les revendre, jamais pour entraîner un modèle.
Confidentialité. N'y donner accès qu'aux personnes qui en ont besoin, tenues à la confidentialité.
Sécurité (article 32). Cloisonnement par espace au niveau de la base, chiffrement en transit, secrets chiffrés au repos, fichiers privés servis par liens temporaires, journalisation des accès en assistance.
Sous-traitants ultérieurs. Ceux listés ci-dessous, que tu autorises en acceptant le présent accord. Tout ajout t'est annoncé avant sa mise en service, et tu peux t'y opposer en résiliant.
Aide sur les droits des personnes. L'export complet et la suppression définitive sont disponibles dans l'espace de chaque client : tu réponds à une demande d'accès ou d'effacement sans dépendre de personne.
Violation de données (article 33). T'alerter sans délai injustifié après en avoir pris connaissance, avec ce qu'on sait, pour que tu puisses notifier la CNIL dans les 72 heures.
Sort des données à la fin. À ton choix, restitution ou effacement, puis suppression des copies, sauf ce que la loi impose de garder.
Audit. Mettre à ta disposition les informations nécessaires pour démontrer le respect de l'article 28.

Tes engagements

Ne verser que des données que tu as le droit de traiter, et informer tes clients conformément à l'article 13 (la politique de confidentialité de ton espace le fait pour toi, sous ton nom).
Recueillir, pour les données de santé, le consentement explicite exigé par l'article 9. L'application le demande à ta place au questionnaire, l'horodate et en garde la preuve.
Ne pas inscrire de personne de moins de 15 ans sans l'accord du titulaire de l'autorité parentale.
N'utiliser le mode assistance que pour aider le client concerné. Chaque entrée est journalisée pendant 12 mois.
Tenir ton propre registre des traitements (article 30) et répondre aux demandes de tes clients dans le mois.

Sous-traitants ultérieurs autorisés

Service	Rôle	Traitement	Transfert hors UE
Vercel	Hébergement de l'application et exécution des pages.	Union européenne (Paris, cdg1)	Clauses contractuelles types pour le support et la supervision depuis les États-Unis.
Supabase	Base de données, authentification, stockage des fichiers.	Union européenne	Clauses contractuelles types pour le support depuis les États-Unis.
Anthropic	Génération du programme, réponses du Coach IA, analyse des photos envoyées au chat.	États-Unis	Clauses contractuelles types. Les données ne servent pas à entraîner le modèle.
Stripe	Encaissement des paiements. Aucune donnée de carte ne transite par l'application.	Union européenne et États-Unis	Clauses contractuelles types et Data Privacy Framework.
Open Food Facts	Fiches produits interrogées au scan d'un code-barres.	Union européenne	Aucun
SerpApi	Import de la fiche d'établissement d'un coach, à sa demande. Aucune donnée de client.	États-Unis	Clauses contractuelles types.

Quand tu apportes ta propre clé Anthropic ou ton propre serveur d'envoi d'e-mails, c'est toi qui contractes avec ce fournisseur : il devient ton sous-traitant direct, et l'éditeur n'intervient pas dans cette relation.

Ce que cet accord ne règle pas

Il décrit ce que le logiciel fait réellement. Il ne remplace ni ton registre des traitements, ni l'analyse d'impact que tes volumes de données de santé peuvent rendre obligatoire (article 35), ni la désignation d'un délégué à la protection des données si ton activité l'impose. Fais-le relire par un juriste avant de l'opposer à qui que ce soit.