Accord de traitement des données

Le présent accord est conclu entre le Coach utilisant la Plateforme RYZE (le « Responsable ») et [Raison sociale], [Rue et numéro, NPA Localité] (« RYZE », le « Sous-traitant »). Il fait partie intégrante du contrat régi par les CGU et les CGV et est accepté avec eux. En matière de protection des données, il prime sur ces documents.

Il régit les traitements de données personnelles que RYZE effectue pour le compte du Coach lorsque celui-ci utilise la Plateforme pour gérer ses clients et prospects.

RYZE traite les données uniquement selon les instructions documentées du Coach. L'utilisation des fonctions de la Plateforme par le Coach, ainsi que le présent accord, constituent ses instructions. RYZE n'utilise pas ces données à ses propres fins, sauf pour assurer la sécurité et le bon fonctionnement de la Plateforme ou lorsqu'une obligation légale l'impose ; dans ce dernier cas, RYZE en informe le Coach si la loi le permet.

RYZE informe le Coach si une instruction lui paraît contraire au droit de la protection des données.

RYZE veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité et n'y accèdent que dans la mesure nécessaire à leurs tâches (support, maintenance, sécurité).

RYZE met en œuvre des mesures techniques et organisationnelles appropriées, qu’il adapte à l’état de la technique, notamment :

• hébergement dans des centres de données situés en Suisse ;
• chiffrement des échanges (HTTPS) ;
• mots de passe et jetons de connexion conservés sous forme d’empreinte ;
• cloisonnement des données par Coach : un Coach n’accède qu’aux données de ses propres clients ;
• accès administrateur réservé aux personnes qui en ont besoin ;
• limitation des tentatives de connexion et protection contre les abus ;
• sauvegardes quotidiennes chiffrées, conservées en Suisse hors de l’infrastructure de l’hébergeur, dont la restauration est vérifiée chaque mois ;
• procédure d’anonymisation lors de la suppression d’un compte.

Le Coach autorise de manière générale RYZE à faire appel à des sous-traitants ultérieurs. Sont autorisés à ce jour :

Pour les paiements par carte et TWINT, Stripe traite les données de paiement en qualité de responsable indépendant, dans le cadre du contrat que le Coach conclut directement avec Stripe (Stripe Connect).

RYZE informe le Coach au moins 30 jours à l'avance de tout ajout ou remplacement d'un sous-traitant ultérieur. Le Coach peut s'y opposer pour un motif justifié ; à défaut d'accord, il peut résilier sa formule avec effet à la date du changement. RYZE impose à ses sous-traitants des obligations de protection des données équivalentes à celles du présent accord et répond de leur respect.

Les données sont traitées en Suisse. RYZE ne les communique dans un pays n'offrant pas un niveau de protection adéquat que moyennant les garanties prévues par la loi (notamment des clauses contractuelles types) et en informe préalablement le Coach.

• Droits des personnes : la Plateforme permet au Coach de consulter, corriger et supprimer les données de ses clients. Si une personne s’adresse directement à RYZE pour des données dont le Coach est responsable, RYZE transmet sa demande au Coach sans délai et l’assiste, dans la mesure du possible, pour y répondre.
• Violation de la sécurité des données : RYZE informe le Coach dans les meilleurs délais, et au plus tard dans les 48 heures après en avoir eu connaissance, de toute violation touchant ses données, avec les informations disponibles pour lui permettre de remplir ses propres obligations d’annonce.
• Analyses d’impact et consultations : RYZE fournit au Coach les informations raisonnablement nécessaires à une analyse d’impact ou à une consultation de l’autorité de protection des données.

Avant de supprimer son compte, le Coach peut exporter ses factures et sa comptabilité. À la suppression du compte, RYZE anonymise ou efface les données traitées pour le Coach, conformément à la politique de confidentialité, à l'exception des données qu'une obligation légale impose de conserver (notamment les factures, pendant 10 ans). Les données effacées subsistent dans les copies de sauvegarde chiffrées jusqu'à l'expiration de leur durée de conservation (12 mois au plus) et ne sont utilisées que pour rétablir la Plateforme après un incident.

RYZE met à la disposition du Coach, sur demande, les informations nécessaires pour démontrer le respect du présent accord. Le Coach peut faire procéder à un audit, au plus une fois par an et moyennant un préavis de 30 jours, par lui-même ou par un auditeur tenu à la confidentialité ; les frais de l'audit sont à sa charge. L'audit ne doit pas compromettre la sécurité ni la confidentialité des données des autres Coachs.

Le Coach, en tant que responsable du traitement :

• veille à la licéité des traitements et informe ses clients et prospects du traitement de leurs données ; il peut s’appuyer pour cela sur la politique de confidentialité de RYZE ;
• obtient le consentement exprès de ses clients avant de saisir des données sur leur santé ;
• ne crée pas de fiche pour une personne mineure ;
• ne saisit que des données nécessaires au suivi et les tient à jour ;
• répond aux demandes des personnes concernées et informe RYZE de toute instruction particulière.

La responsabilité des parties est régie par les CGV. Le présent accord est soumis au droit suisse ; le for est au siège de RYZE, à [Siège]. Lorsque le RGPD s'applique au Coach, le présent accord est interprété conformément à son article 28.