Brouillon — document non relu par un juriste
Ce texte a été rédigé à partir des obligations applicables mais n'a pas été validé par un professionnel du droit. Il ne doit pas être considéré comme opposable en l'état.
Annexe DPA — sous-traitance
Version 2026-08-21 — dernière mise à jour le 21 août 2026
La présente annexe est conclue en application de l'article 28 du règlement (UE) 2016/679. Elle fait partie intégrante des conditions générales d'utilisation et ne peut en être détachée.
Parties
Le responsable de traitement est le coach titulaire du compte, qui détermine les finalités et les moyens du traitement des données de ses clients.
Le sous-traitant est À compléter — raison sociale, éditeur du service Nutriplan, qui traite ces données pour le compte du responsable de traitement.
1. Objet et cadre du traitement
Le responsable de traitement confie au sous-traitant le traitement des données personnelles de ses clients, aux seules fins de fourniture du service décrit aux conditions générales.
Nature des opérations
Collecte par formulaire, enregistrement, structuration, conservation, consultation, calcul de besoins nutritionnels, génération de documents, transmission au client par lien sécurisé, export, effacement.
Finalité
Permettre au responsable de traitement d'établir et de transmettre un plan alimentaire personnalisé à ses clients, et d'assurer le suivi de cet accompagnement.
Durée
Le traitement dure aussi longtemps que le compte du responsable de traitement reste actif. Il prend fin à la résiliation du contrat, dans les conditions prévues au point g) ci-dessous.
Type de données traitées
- données d'identification : nom, prénom, adresse électronique ;
- données physiques et d'activité : âge, sexe, poids, taille, niveau d'activité, objectif ;
- préférences et contraintes alimentaires : régime, aliments exclus, équipements de cuisine, budget ;
- informations relatives à la santé : pathologies, allergies, intolérances, traitements en cours — relevant des catégories particulières de données au sens de l'article 9 ;
- données d'usage : plans générés, retours du client, historique.
Catégories de personnes concernées
Les clients du responsable de traitement, personnes physiques bénéficiaires de l'accompagnement nutritionnel.
Aucune personne de moins de quinze ans. Le responsable de traitement garantit que les personnes qu'il enregistre ont quinze ans révolus, âge à partir duquel un mineur consent seul au traitement de ses données dans un service en ligne. Le sous-traitant ne met à disposition aucun dispositif de recueil d'autorisation parentale, et le service refuse les âges inférieurs.
Obligations et droits du responsable de traitement
Le responsable de traitement détermine la base légale du traitement, informe les personnes concernées, recueille leur consentement explicite pour les informations de santé, et garantit la licéité des instructions qu'il donne au sous-traitant. Il dispose des droits énoncés au point h).
2. Obligations du sous-traitant
a) Traitement sur instructions documentées
Le sous-traitant ne traite les données que sur instruction documentée du responsable de traitement. L'usage du service et les paramètres qui y sont définis valent instructions. Le sous-traitant informe le responsable de traitement s'il estime qu'une instruction constitue une violation du règlement.
En particulier, le sous-traitant n'exploite pas les informations de santé pour la génération des plans : celles-ci sont conservées et restituées au responsable de traitement, sans être lues par l'algorithme.
b) Confidentialité
Le sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité, ou soient soumises à une obligation légale appropriée de confidentialité.
c) Sécurité du traitement
Le sous-traitant met en œuvre les mesures techniques et organisationnelles requises par l'article 32, parmi lesquelles :
- chiffrement des communications en transit et des données au repos ;
- cloisonnement des données par compte au moyen de politiques de sécurité au niveau des lignes, appliquées en base ;
- authentification des accès et contrôle du rôle à chaque requête ;
- hébergement des données et exécution des traitements au sein de l'Union européenne ;
- journalisation des consentements et des demandes d'exercice de droits ;
- sauvegardes régulières et restauration testée.
d) Sous-traitance ultérieure
Le responsable de traitement autorise le sous-traitant à recourir aux sous-traitants ultérieurs listés à l'adresse /legal/sous-traitants.
Le sous-traitant informe le responsable de traitement de tout changement envisagé dans cette liste, avec un préavis raisonnable permettant à ce dernier d'émettre des objections. Les sous-traitants ultérieurs sont tenus des mêmes obligations que celles énoncées à la présente annexe.
e) Assistance à l'exercice des droits des personnes
Le sous-traitant met à la disposition du responsable de traitement les fonctionnalités permettant de répondre aux demandes d'accès, de rectification, d'effacement, de limitation et de portabilité : export structuré et lisible par machine, suppression du compte, anonymisation des fiches clients.
Lorsqu'une personne concernée s'adresse directement au sous-traitant, celui-ci renvoie la demande au responsable de traitement sans y répondre lui-même sur le fond.
f) Assistance aux obligations des articles 32 à 36
Le sous-traitant assiste le responsable de traitement pour la sécurité du traitement, la notification des violations de données, la communication aux personnes concernées, l'analyse d'impact et la consultation préalable, compte tenu de la nature du traitement et des informations dont il dispose.
Le sous-traitant notifie au responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, en lui communiquant les éléments nécessaires à sa propre notification à l'autorité de contrôle.
g) Sort des données au terme du traitement
À la résiliation du contrat, le responsable de traitement dispose de la faculté d'exporter l'intégralité des données avant leur effacement.
La suppression du compte déclenche un délai de quatorze jours pendant lequel la demande reste annulable. À son terme, les données sont effacées automatiquement, y compris chez les sous-traitants ultérieurs d'hébergement. Les fiches des clients rattachés sont anonymisées et les plans générés sont purgés de leur contenu.
Sont conservées les seules traces nécessaires à la démonstration du respect des obligations légales — journal des consentements et des demandes d'exercice de droits — dépourvues de données d'identification directe.
h) Mise à disposition des informations et audits
Le sous-traitant met à la disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations de la présente annexe.
Le responsable de traitement peut réaliser un audit, ou le faire réaliser par un tiers indépendant qu'il mandate, sous réserve d'un préavis raisonnable, d'une périodicité n'excédant pas une fois par an sauf incident de sécurité, et du respect de la confidentialité des informations obtenues.
3. Transferts hors de l'Union européenne
Les données sont hébergées et traitées au sein de l'Union européenne. Tout transfert vers un pays tiers serait subordonné à l'existence d'une décision d'adéquation ou de garanties appropriées, et porté à la connaissance du responsable de traitement préalablement à sa mise en œuvre.
4. Durée de l'annexe
La présente annexe produit ses effets tant que le sous-traitant traite des données pour le compte du responsable de traitement, et survit à la résiliation du contrat pour les stipulations relatives à la confidentialité et au sort des données.