Accord de traitement des données personnelles

Dernière mise à jour : 25 octobre 2026

1. 1. Objet et rôles

   Le coach décide pourquoi et comment les données de ses clients et prospects sont traitées : il est responsable de traitement. Goodform traite ces données uniquement pour fournir la plateforme au coach : elle est sous-traitant.

   Goodform reste responsable de traitement des données qu’elle traite pour son propre compte (comptes des coachs, abonnement Goodform et ses factures, sécurité des connexions, site internet). Ces traitements sont décrits dans la politique de confidentialité, pas dans cet accord.

2. 2. Description du traitement

   • Nature et finalité : héberger, organiser, conserver, afficher et transmettre les données que le coach et ses clients enregistrent dans Goodform, pour gérer l’activité de coaching : réservations, paiements et factures, programmes et entraînements, nutrition, bilans, messages, rappels et notifications ; et, à la demande du coach, faire lire et mettre en forme par Anthropic les données qu’il importe (import avec l’intelligence artificielle), avant qu’il vérifie et confirme ce qui est enregistré.
   • Personnes concernées : les clients et prospects du coach (dont les personnes qui candidatent depuis sa page), et les personnes qui achètent une carte cadeau ou laissent un avis.
   • Données : identité et coordonnées ; réservations, achats, paiements et factures ; objectifs ; réponses au formulaire de candidature du coach ; questionnaire de santé ; mensurations et photos de progression ; programmes, entraînements et résultats ; plans alimentaires et repas ; bilans ; messages, messages vocaux, vidéos de correction et commentaires ; avis ; rappels et préférences de notification.
   • Données sensibles : le questionnaire de santé et la réponse de santé d’une candidature (article 9 du RGPD) ne sont enregistrés qu’avec le consentement explicite de la personne, conservé avec sa date, la version du texte affiché et la personne qui l’a donné.
   • Durée : tant que le compte du coach est ouvert, puis jusqu’à la suppression des données prévue à l’article « Fin de l’accord ».

3. 3. Engagements du coach

   • Disposer d’une base légale pour chaque traitement et informer ses clients de l’usage de leurs données (sa propre information ; la politique de confidentialité de Goodform peut l’y aider).
   • Recueillir les informations de santé uniquement par le questionnaire, avec le consentement explicite du client, et ne jamais écrire de données sensibles inutiles dans les champs libres (notes, messages).
   • Répondre aux demandes de ses clients (accès, rectification, effacement, retrait du consentement) avec les outils fournis par Goodform.
   • Avant un import avec l’intelligence artificielle, n’envoyer que les données utiles, n’y inclure des informations de santé qu’avec le consentement explicite du client, et vérifier le résultat avant de le confirmer.
   • Utiliser Goodform de façon licite et garder pour lui l’accès à son compte.

4. 4. Instructions documentées

   Goodform traite les données uniquement sur instruction documentée du coach : cet accord, les conditions générales d’utilisation et les actions du coach dans Goodform (créer un client, envoyer un message, supprimer un client…). Si Goodform estime qu’une instruction enfreint le RGPD ou une autre règle de protection des données, elle en informe immédiatement le coach. Goodform n’utilise jamais les données du coach pour son propre compte, ne les vend pas et ne s’en sert pas pour de la publicité.

   Si le droit de l’Union européenne ou d’un État membre oblige Goodform à traiter les données autrement, Goodform en informe d’abord le coach, sauf si ce droit l’interdit.

5. 5. Confidentialité

   Seules les personnes de Iterative Bits SAS qui en ont besoin pour faire fonctionner, assister ou sécuriser Goodform ont accès aux données. Elles sont tenues à la confidentialité et leur accès est limité à ce que leur mission exige.

6. 6. Sécurité

   Goodform prend les mesures techniques et organisationnelles de l’article 32 du RGPD, notamment :

   • connexions chiffrées (HTTPS) et stockage chiffré par les hébergeurs ;
   • connexion par code à usage unique envoyé par email, ou avec Apple ou Google : aucun mot de passe à voler ;
   • données de chaque coach isolées de celles des autres coachs dans la base de données (règles d’accès ligne par ligne, testées automatiquement), et réponses de santé lisibles seulement par le client et son coach ;
   • liens signés et de courte durée pour les fichiers et les vidéos ;
   • sauvegardes régulières, dont la restauration est testée ;
   • suivi des erreurs, journaux de connexion conservés un an et mises à jour des logiciels utilisés.

7. 7. Sous-traitants ultérieurs

   Le coach autorise de manière générale Goodform à faire appel aux sous-traitants ci-dessous. Chacun est lié par un contrat qui offre les mêmes garanties de protection des données que cet accord. Goodform reste responsable envers le coach de leur respect.

   Avant d’ajouter ou de remplacer un sous-traitant, Goodform prévient chaque coach dans l’application et par email au moins 30 jours à l’avance. Un coach qui s’y oppose pour un motif légitime l’indique à privacy@goodform.coach ; à défaut de solution, il peut mettre fin à son abonnement immédiatement, sans payer les périodes suivantes.

   Liste mise à jour le 23 octobre 2026.

   Sous-traitants de Goodform

   Société	Pour quoi faire	Où sont les données	Garanties de transfert
   Supabase	Base de données, connexion et stockage des fichiers	Union européenne	Clauses contractuelles types
   Cloudflare	Hébergement du site et de l’application	Union européenne et États-Unis	Data Privacy Framework et clauses contractuelles types
   Stripe	Paiements en ligne (achats des clients et abonnement Goodform)	Union européenne et États-Unis	Data Privacy Framework et clauses contractuelles types
   Brevo	Emails et SMS	Union européenne	Aucun transfert hors de l’UE
   Bunny.net	Hébergement et lecture des vidéos	Union européenne	Aucun transfert hors de l’UE
   Google Firebase	Notifications sur le téléphone	Union européenne et États-Unis	Data Privacy Framework et clauses contractuelles types
   Sentry	Rapports d’erreur	Union européenne et États-Unis	Data Privacy Framework et clauses contractuelles types
   WorkoutX	Bibliothèque d’exercices (ne reçoit aucune donnée personnelle)	Sans objet	Aucune donnée personnelle transmise
   Anthropic	Import et mise en forme des données	États-Unis et autres pays	Clauses contractuelles types

   Liste des sous-traitants mise à jour le 23 octobre 2026

8. 8. Transferts hors de l’Union européenne

   La base de données et les fichiers sont hébergés dans l’Union européenne. Lorsqu’un sous-traitant établi hors de l’Union européenne peut accéder à des données, le transfert est encadré par une décision d’adéquation de la Commission européenne (cadre de protection des données UE–États-Unis) ou par les clauses contractuelles types de la Commission.

9. 9. Aide pour les demandes des clients

   Goodform donne au coach les outils pour répondre aux demandes de ses clients : un client peut télécharger ses données et retirer son consentement santé depuis l’application ; le coach peut exporter ses données et supprimer un client. Si un client écrit directement à Goodform au sujet des données du coach, Goodform transmet la demande au coach sous 5 jours ouvrés et n’y répond pas à sa place, sauf pour confirmer sa transmission.

10. 10. Violations de données

    Goodform informe le coach de toute violation de données personnelles touchant ses données dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, par email et dans l’application. L’information précise, dans la mesure du possible : ce qui s’est passé, les données et le nombre de personnes concernées, les conséquences probables, les mesures prises ou proposées et un contact. Goodform aide ensuite le coach à notifier la CNIL dans les 72 heures et, si nécessaire, à informer les personnes concernées.

11. 11. Autres aides

    Goodform fournit au coach les informations nécessaires à une analyse d’impact relative à la protection des données ou à une consultation préalable de la CNIL, pour les traitements que Goodform réalise.

12. 12. Fin de l’accord

    Cet accord dure autant que le compte du coach. À la fermeture du compte, le coach peut exporter ses données pendant 30 jours. Goodform supprime ensuite les données dans les 30 jours, et ses sauvegardes sont effacées automatiquement dans les 30 jours suivants. Goodform conserve uniquement ce que la loi l’oblige à garder : les factures et avoirs, 10 ans (article L123-22 du Code de commerce), avec les coordonnées des clients qui y figurent.

13. 13. Registre et audits

    Goodform tient un registre des traitements qu’elle réalise comme sous-traitant (article 30.2 du RGPD) et remet au coach, sur demande à privacy@goodform.coach, les informations nécessaires pour démontrer le respect de ses obligations. Le coach peut réaliser un audit, ou le confier à un auditeur indépendant tenu à la confidentialité, une fois par an, en prévenant par écrit 30 jours à l’avance, à ses frais, sans accès aux données des autres coachs.

14. 14. Responsabilité et droit applicable

    Chaque partie répond de ses propres manquements au RGPD, dans les conditions de l’article 82 du RGPD et des conditions générales d’utilisation. Cet accord est soumis au droit français. En cas de contradiction avec les conditions générales d’utilisation sur la protection des données, cet accord prévaut.