Accord de sous-traitance.

Annexe aux Conditions Générales. En vigueur depuis août 2026.

Objet

Le présent accord encadre le traitement, par Gym Studio, des données personnelles dont le coach est responsable de traitement, conformément à l'article 28 du RGPD.

Le coach est responsable de traitement : il décide d'accompagner ses élèves, de ce qu'il note et de ce qu'il en fait. Gym Studio est sous-traitant : il héberge et traite ces données sur instruction du coach, jamais pour son propre compte.

Ce qui est traité

• Personnes concernées : les élèves rattachés au coach
• Catégories de données : identité et coordonnées, données d'entraînement (séances, charges, séries, assiduité), mensurations, messages, planning
• Finalité : permettre au coach de prescrire, suivre et ajuster un accompagnement sportif
• Durée du traitement : la durée de l'abonnement du coach. Pour chaque élève, le temps du rattachement, puis conformément aux durées de conservation publiées dans la Politique de Confidentialité
• Nature des opérations : collecte, enregistrement, organisation, conservation, consultation, extraction, communication au coach et à l'élève concerné, effacement

Engagements de l'éditeur

• Instruction documentée. Ne traiter les données que sur instruction du coach et pour les seules finalités ci-dessus, y compris en cas de transfert hors Union européenne, sauf obligation légale à laquelle l'éditeur serait soumis, auquel cas il en informe le coach avant traitement à moins que la loi ne l'interdise
• Confidentialité. N'y donner accès qu'aux personnes qui en ont besoin, tenues à une obligation de confidentialité
• Sécurité (article 32). Chiffrement en transit et au repos, cloisonnement entre coachs vérifié par des tests automatisés, journalisation des événements de sécurité liés à l'authentification, sauvegardes régulières et accès restreint aux données de production
• Sous-traitance ultérieure. Tenir à jour la liste ci-dessous, informer le coach avant d'ajouter ou de remplacer un prestataire, et imposer à chacun les mêmes obligations par contrat. Le coach dispose d'un délai raisonnable pour s'y opposer et, à défaut d'accord, résilier
• Droits des personnes. Assister le coach dans sa réponse aux demandes d'accès, de rectification, d'effacement et de portabilité, par des exports et une suppression accessibles depuis le produit
• Assistance (articles 32 à 36). Aider le coach à assurer la sécurité, à notifier une violation, et à conduire une analyse d'impact lorsqu'elle est nécessaire, compte tenu de la nature du traitement et des informations dont l'éditeur dispose
• Violation de données. Notifier le coach sans délai injustifié après en avoir pris connaissance, avec les éléments lui permettant de remplir sa propre obligation de notification
• Fin de la relation. Au choix du coach, restituer les données par export puis les supprimer, ou les supprimer directement, sauf obligation légale de conservation
• Registre. Tenir le registre des catégories de traitements effectués pour le compte du coach, prévu à l'article 30.2 du RGPD
• Contrôle et audit. Mettre à la disposition du coach les informations nécessaires pour démontrer le respect de l'article 28, et permettre la réalisation d'audits, y compris d'inspections, par le coach ou un auditeur qu'il mandate. Les modalités et la fréquence sont convenues entre les parties, dans la limite d'un audit par an sauf incident de sécurité

Sous-traitants ultérieurs

Gym Studio recourt aux prestataires suivants. Aucun autre n'accède aux données.

• Vercel Inc. — Hébergement et exécution du service. Traitement : Union européenne et États-Unis.
• Neon Inc. — Base de données. Traitement : Union européenne.
• Anthropic PBC — Analyse d'un signal, assistant du coach, import d'un programme. Traitement : États-Unis.
• Resend — Envoi des e-mails transactionnels. Traitement : États-Unis.
• Google LLC (Firebase) — Notifications push mobiles. Traitement : Union européenne et États-Unis.
• Google LLC (Calendar) — Synchronisation du calendrier, si le coach ou son élève l'active. Traitement : Union européenne et États-Unis.
• Stripe Payments Europe Ltd — Paiement de l'abonnement du coach et facturation. Traitement : Union européenne et États-Unis.

Les transferts hors Union européenne reposent sur les clauses contractuelles types de la Commission européenne, complétées d'une analyse d'impact du transfert. Lorsque le prestataire est également certifié au titre du cadre de protection des données UE–États-Unis, cette certification s'ajoute aux clauses sans s'y substituer : la décision d'adéquation de juillet 2023 fait l'objet d'un recours pendant devant la Cour de justice de l'Union européenne, et les clauses contractuelles types demeurent donc notre fondement principal.

Intelligence artificielle : ce qui sort, et ce qui ne sort pas

• Aucun identifiant direct n'est transmis. Ni adresse, ni nom, ni prénom. Chaque élève est désigné par un identifiant technique, et la réponse est réassociée avant d'atteindre le coach.
• Aucune mensuration n'est transmise. La restriction est appliquée à la source, dans les requêtes, et non seulement dans les consignes données au modèle.
• L'assistant reste dans le registre de l'entraînement. Il observe, signale et propose ; il ne pose aucun diagnostic et ne prescrit rien.

Ce qui reste à la charge du coach

• Informer ses élèves du traitement et en recueillir la base légale
• Ne saisir dans les notes que ce qui relève de l'entraînement, à l'exclusion de tout élément médical
• Répondre aux demandes d'exercice de droits de ses élèves, le produit lui en donnant les moyens
• Tenir son propre registre des traitements

Contact

Toute question relative à cet accord : contact@gym-studio.com.

Sous-traitant : Gym Studio — Arthur Comets (EI), entrepreneur individuel, 104 quai des Chartrons, 33300 Bordeaux, France. SIREN 791 870 298.