Cet article forme l'accord de sous-traitance entre le coach (responsable de traitement) et Marx (sous-traitant). Il s'applique dès l'ouverture du compte coach et pendant toute sa durée.
Objet et durée. Marx héberge et traite les données de coaching des clients du coach pour lui fournir les fonctions du service, pendant la durée du compte coach puis jusqu'à leur suppression (voir « Fin du contrat »).
Nature et finalité. Hébergement, affichage, calculs (suivi, cartes « Actions à faire », progression, statistiques), transmission au client (dans Marx, par email ou par un lien privé que le coach crée), génération de propositions par l'IA (à la demande du coach), sauvegarde, suppression.
Personnes concernées. Les clients du coach.
Données concernées. Identité et contact, dont le téléphone et la ville que le coach saisit sur la fiche de son client ; invitation préparée par le coach (prénom, nom, email, téléphone, accompagnement, objectif) ; bilan (âge, morphologie, mesures, objectifs, niveau, lieu et matériel, mouvements à éviter, mode de vie — sommeil, stress, alcool, alimentation — et, avec l'accord du client, données de santé : pathologies, allergies, blessures, douleurs, opérations, traitements, fréquence cardiaque au repos) ; dernières infos du client (date de naissance, genre, taille, poids et, avec son accord, ses réponses aux 3 questions de sécurité : restrictions données par un professionnel de santé, douleur pendant un mouvement, symptôme inhabituel à l'effort) ; programmes (brouillons du coach et versions envoyées au client) et liens privés vers un programme ; agenda des séances (dont le format, le lieu, le lien de visio et la couleur que le coach donne au client) et séances réalisées ; ressenti et énergie ; poids, mensurations, records, photos de progression ; messages (avec leurs réactions, les messages épinglés, les dates de remise et de lecture) ; notes et étiquettes du coach ; statut de suivi du client (en pause, terminé) et cartes de suivi que Marx calcule pour le coach ; bilans mensuels ; comptes-rendus vocaux (audio et transcription) ; points de fidélité déjà attribués (fonction arrêtée) ; départ du client qui quitte son coach (date, date d'effacement, nombre de séances annulées) ; messages automatiques du coach.
Instructions. Marx ne traite ces données que sur instruction du coach, qui résulte de son usage du service et du présent accord. Marx ne les utilise pas pour ses propres besoins. Le coach l'autorise à en tirer des statistiques agrégées et anonymes (article 09). Le coach accepte comme instructions les durées de conservation et les prestataires listés dans la politique de confidentialité (articles 07 et 09). Si la loi oblige Marx à traiter ces données autrement, Marx en informe d'abord le coach, sauf si la loi l'interdit. Si une instruction lui paraît contraire au RGPD, Marx en informe le coach.
Confidentialité. Les personnes autorisées à accéder à ces données chez Marx sont tenues au secret. Un administrateur n'accède à un compte que pour le support, la sécurité ou la vérification des dossiers ; l'observation d'un compte en mode « voir comme » depuis l'outil d'administration est journalisée.
Sécurité. Chiffrement en transit et au repos, règles d'accès appliquées à chaque ligne de la base pour que chaque utilisateur n'accède qu'aux données qui le concernent, fichiers de suivi stockés en privé et ouverts par des liens temporaires, sauvegardes quotidiennes de la base gardées 7 jours, mots de passe hachés (politique de confidentialité, article 12).
Sous-traitants ultérieurs. Le coach autorise Marx à recourir aux prestataires listés dans la politique de confidentialité (hébergement, emails, IA…). Marx informe le coach par email de tout ajout ou remplacement au moins 10 jours à l'avance. Le coach peut s'y opposer pour un motif lié à la protection des données et, faute d'accord, résilier sans frais. Marx impose à chaque prestataire des obligations au moins équivalentes à celles du présent accord. Marx reste responsable envers le coach des manquements de ses prestataires à leurs obligations de protection des données.
Transferts hors de l'Union européenne. Certains prestataires sont situés hors de l'Union européenne ou peuvent accéder aux données depuis l'étranger, notamment Anthropic (États-Unis) pour l'IA. La politique de confidentialité (article 08) indique comment ces transferts sont encadrés.
Assistance. Marx aide le coach à répondre aux demandes de ses clients (accès, rectification, effacement, portabilité) : le coach peut exporter les données de ses clients depuis son compte, et chaque client qui a un compte peut exporter ou supprimer ses données depuis « Mes données ». Pour les autres demandes, le coach nous écrit à contact@marxcoaching.com. Marx l'aide aussi à assurer la sécurité des données, à gérer une violation de données, à mener une analyse d'impact et, si elle l'exige, à consulter la CNIL.
Violation de données. Marx informe le coach de toute violation de données le concernant dans les meilleurs délais après en avoir eu connaissance, avec les informations disponibles.
Fin du contrat. Quand le coach demande la fermeture de son compte, il dispose de 30 jours pour exporter ses données ; elles sont ensuite supprimées, sauf obligation légale de conservation. Les fiches des clients qui n'ont pas de compte sont supprimées avec le compte du coach. Chaque client qui a un compte est prévenu par email : il garde pendant 30 jours l'accès en lecture à son historique et à l'export de ses données ; passé ce délai, son compte est supprimé sauf s'il a une relation en cours avec un autre coach sur Marx (programme actif, séance à venir ou séances prépayées). Quand un client quitte son coach (article 14), les données de coaching qu'ils partagent restent 30 jours, puis elles sont supprimées, sauf celles que la loi oblige à garder (paiements) ; le client garde son compte.
Audit. Marx met à la disposition du coach les informations nécessaires pour démontrer le respect du présent accord et accepte des audits raisonnables, aux frais du coach, sur préavis de 30 jours.
Données de santé. Le coach ne collecte que les données de santé utiles à son accompagnement, et recueille d'abord le consentement explicite du client (article 9.2.a du RGPD). Pour la partie santé du bilan et les 3 questions de sécurité de « Mes dernières infos », Marx rend ce consentement obligatoire : elles ne peuvent être remplies qu'après l'accord du client, donné dans son espace et enregistré avec sa date. Si le client signale un symptôme inhabituel à l'effort, Marx lui affiche « Demande un avis médical avant de commencer » et le signale au coach par une carte « Priorité élevée » dans son espace, sans notification ni interprétation. Le client peut retirer son accord à tout moment, ce qui efface ces données, y compris dans les programmes déjà envoyés, et cette carte ; il peut le redonner ensuite, sans nouvelle demande du coach. Les autres espaces (champs libres du bilan, notes, étiquettes, messages, comptes-rendus vocaux) ne sont pas couverts par ce verrou : le coach n'y enregistre jamais de données de santé. Pour un client sans compte, le coach n'enregistre aucune donnée de santé. Marx refuse l'accord d'une personne dont la date de naissance connue de Marx (donnée par elle ou par son coach) montre moins de 18 ans, et n'enregistre alors aucune donnée de santé pour elle.