# Accord de sous-traitance des données personnelles (DPA)

Version 1.1. Dernière mise à jour : 12 août 2026.

Cet accord est rédigé en application de l'article 28 du RGPD (règlement UE 2016/679). Sa structure suit celle des clauses de sous-traitance publiées par la CNIL. Il est écrit pour être compris sans formation juridique : « vous » désigne le coach ou la structure abonnée, « Moovalys » désigne l'éditeur de la plateforme.

## 1. Parties et objet

Le présent accord est conclu entre :

- **Vous**, coach, enseignant en activité physique adaptée ou structure titulaire d'un abonnement Moovalys. Pour les données de vos clients (les pratiquants), vous êtes le **responsable de traitement** : c'est vous qui décidez quelles données sont saisies et pourquoi.
- **Léo Weltzer, EI** (entrepreneur individuel, SIRET 990 680 316 00017, 35 rue des Chablis, 67500 Haguenau, France, contact@moovalys.fr), éditeur et exploitant de la plateforme Moovalys (moovalys.fr), qui agit comme **sous-traitant** : il traite les données de vos clients uniquement pour vous fournir le service.

Cet accord encadre ce traitement, comme l'exige l'article 28.3 du RGPD. Il est annexé aux CGV de l'abonnement, dont il fait partie intégrante : il est conclu avec elles dès la création de votre compte, au moyen d'une case d'acceptation dédiée, distincte de celle des CGU et des CGV, dont l'acceptation est enregistrée avec sa date, son heure et le numéro de version accepté. Il reste consultable et téléchargeable à tout moment depuis cette page.

Il s'applique dès la création de votre compte, y compris pendant la période de bêta gratuite : la gratuité ne change rien aux obligations de protection des données.

Précision sur le périmètre : les données de **votre propre compte** (identité, email, facturation de l'abonnement) ne relèvent pas de cet accord. Pour celles-ci, Moovalys est responsable de traitement et la politique de confidentialité s'applique. De même, le paiement de votre abonnement (via Stripe à compter de l'activation du paiement, prévue au 1er janvier 2027) est un traitement dont Moovalys est responsable : il est décrit dans la politique de confidentialité, pas ici. À ce jour, Stripe ne traite aucune donnée (bêta gratuite, aucun moyen de paiement demandé).

## 2. Description du traitement

Cette section tient lieu d'annexe descriptive au sens de l'article 28.3 du RGPD.

| Élément | Description |
|---|---|
| Nature du traitement | Hébergement des données, mise à disposition d'un outil de gestion et de réservation (planning, fiches clients, packs de séances, présences), envoi d'emails pour votre compte (invitations, confirmations, rappels) |
| Finalité | La gestion de votre activité : suivi de vos clients, organisation des séances, réservations |
| Durée | Celle de votre abonnement, puis la période de conservation décrite à la section 10 |
| Catégories de données | Identité (nom, prénom, date de naissance facultative), coordonnées (email, téléphone), photo de profil facultative ajoutée par la personne elle-même, réservations, présences, packs de séances et leur consommation |
| Catégories de personnes concernées | Vos clients (les pratiquants) et, le cas échéant, les prospects que vous enregistrez |

**Aucune donnée de santé.** La plateforme ne comporte aucun champ destiné à des données de santé (article 9 du RGPD) et n'en collecte aucune. La date de naissance d'un client, facultative, n'en est pas une : c'est une donnée d'identité ordinaire, qui vous permet d'adapter l'activité à l'âge de la personne. Il vous est **interdit d'en saisir**, y compris dans les champs libres (nom d'un pack, motif, description). Si Moovalys constate la présence manifeste de telles données, il vous en informe et peut vous demander de les supprimer. Si votre activité exige de documenter des informations de santé, faites-le en dehors de Moovalys, avec des outils adaptés.

## 3. Instructions documentées

Moovalys ne traite les données de vos clients que sur votre instruction documentée (article 28.3.a du RGPD).

Concrètement, vos instructions sont constituées par les fonctionnalités de la plateforme et par l'usage que vous en faites : créer une fiche client, planifier une séance, envoyer une invitation, pointer une présence, décompter un pack. Moovalys n'utilise ces données pour aucune autre finalité : pas de revente, pas d'usage commercial propre, pas de croisement entre les données de coachs différents.

Toute instruction supplémentaire doit être adressée par écrit à contact@moovalys.fr. Moovalys peut refuser une instruction qui sortirait du périmètre du service.

Si une de vos instructions paraît contraire au RGPD ou à une autre règle de protection des données, Moovalys vous en informe immédiatement, comme le prévoit l'article 28.3 du RGPD. Il peut suspendre l'exécution de cette instruction jusqu'à clarification.

## 4. Confidentialité des personnes autorisées

À ce jour, une seule personne accède aux données pour le compte de Moovalys : l'éditeur, Léo Weltzer, qui s'engage par le présent accord à en respecter la confidentialité. Cet accès est limité à ce qui est nécessaire à l'exploitation, à la maintenance et au support.

Si Moovalys venait à autoriser d'autres personnes (salarié, prestataire), chacune serait soumise au préalable à un engagement de confidentialité écrit, conformément à l'article 28.3.b du RGPD.

## 5. Sécurité

Moovalys met en œuvre les mesures techniques et organisationnelles suivantes (article 32 du RGPD) :

- Mots de passe hachés avec l'algorithme argon2 : ils ne sont jamais stockés ni lisibles en clair.
- Cloisonnement des données par coach : chaque abonné n'accède qu'à ses propres clients, jamais à ceux d'un autre coach.
- Gestion des rôles : un client n'accède qu'à son propre espace de réservation, jamais aux données des autres clients ni aux outils du coach.
- Sessions authentifiées par cookie httpOnly (inaccessible aux scripts du navigateur), d'une durée de 30 jours.
- Accès à la plateforme en connexion chiffrée (HTTPS), le chiffrement TLS étant assuré par l'hébergeur.
- Hébergement en France chez Clever Cloud SAS, avec des sauvegardes quotidiennes de la base de données réalisées par l'hébergeur, chaque sauvegarde étant conservée 7 jours.
- Minimisation : aucun champ de donnée de santé, aucun traceur publicitaire. Les seuls champs proposés sont ceux qu'exige la gestion d'une activité de coaching, et les moins indispensables (téléphone, date de naissance, photo) restent facultatifs.

La sécurité repose aussi sur vous : gardez votre mot de passe confidentiel, ne partagez pas votre compte et signalez sans délai tout accès suspect à contact@moovalys.fr.

## 6. Sous-traitants ultérieurs

Pour fournir le service, Moovalys fait appel à d'autres sous-traitants (dits « sous-traitants ultérieurs », article 28.2 du RGPD). En acceptant cet accord, vous donnez votre **autorisation écrite générale** à ce recours, dans les conditions suivantes.

La liste à jour est publiée sur la page [/sous-traitants](/sous-traitants). Cette page mentionne aussi, à titre d'information, des prestataires qui interviennent hors du périmètre du présent accord (comme le futur prestataire de paiement de votre abonnement, traitement dont Moovalys est responsable). Au titre du présent accord, la liste comprend à la date de cette version :

| Sous-traitant ultérieur | Rôle | Données concernées | Localisation |
|---|---|---|---|
| Clever Cloud SAS (4 rue Voltaire, 44000 Nantes, France, RCS Nantes 524 172 699) | Hébergement de l'application et de la base de données | Toutes les données de la plateforme | France |
| Sendinblue SAS, nom commercial Brevo (17 rue Salneuve, 75017 Paris, RCS Paris 498 019 298) | Envoi des emails transactionnels (invitations, confirmations, rappels) | Email, prénom, nom, contenu des messages envoyés | France / Union européenne |

Moovalys impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord. Moovalys reste pleinement responsable envers vous de leur exécution.

**En cas de changement** (ajout ou remplacement d'un sous-traitant ultérieur), Moovalys vous informe par email au moins 30 jours avant sa prise d'effet. Vous pouvez formuler une objection motivée par email dans ce délai. Moovalys recherche alors une solution avec vous (par exemple une alternative technique). Si aucune solution n'est trouvée avant la prise d'effet, vous pouvez résilier votre abonnement sans frais, avec effet à la fin de la période mensuelle en cours, et exporter vos données au préalable.

## 7. Assistance pour les droits des personnes

Vos clients exercent leurs droits (articles 15 à 22 du RGPD, selon les modalités de l'article 12 : accès, rectification, effacement, limitation, portabilité, opposition) **auprès de vous**, leur responsable de traitement. Moovalys n'est pas leur interlocuteur : si une demande lui parvient directement, il vous la transmet sans délai et n'y répond pas à votre place.

Moovalys vous aide à y répondre, compte tenu de la nature du traitement (article 28.3.e du RGPD) :

- **Outils intégrés** : depuis votre espace coach, vous pouvez exporter les données de vos clients (exports CSV par catégorie : clients, séances, statistiques ; export complet au format texte) et supprimer une fiche client. Cette suppression, effectuée par le coach, anonymise la fiche (retire nom, prénom, email, téléphone) et supprime le compte de connexion du client s'il en avait un : l'historique de séances est conservé sous forme anonyme, il ne permet plus d'identifier la personne, et vos statistiques restent exactes. Chaque client dispose aussi, dans son propre espace (« Mon profil »), du même mécanisme d'export et de suppression de son compte, ainsi que de la modification de ses informations et de son adresse email de connexion. L'export individuel des données d'un client précis est fourni sur demande au support, en attendant son intégration à l'interface.
- **Assistance par email** : pour toute demande qui dépasse ces outils (par exemple une rectification complexe ou une demande de limitation), écrivez à contact@moovalys.fr. Réponse sous 10 jours ouvrés.

Rappel de vos propres obligations : c'est à vous de répondre à la personne dans un délai d'un mois à compter de la réception de sa demande, prolongeable de deux mois en cas de complexité, en l'informant de cette prolongation (article 12 du RGPD).

## 8. Assistance sécurité et analyses d'impact

Compte tenu de la nature du traitement et des informations dont il dispose, Moovalys vous assiste pour vos obligations des articles 32 à 36 du RGPD (article 28.3.f) :

- en documentant ses mesures de sécurité (section 5 du présent accord et politique de confidentialité) ;
- en vous fournissant, sur demande à contact@moovalys.fr, les informations raisonnablement nécessaires à une analyse d'impact relative à la protection des données (AIPD, article 35) ou à une consultation préalable de la CNIL (article 36), si votre usage de la plateforme le justifiait ;
- en vous notifiant les violations de données dans les conditions de la section 9.

## 9. Violation de données

Si Moovalys constate une violation de données personnelles affectant les données de vos clients (accès non autorisé, perte, divulgation), il vous la notifie **dans les meilleurs délais après en avoir pris connaissance**, conformément à l'article 33.2 du RGPD, par email à l'adresse de votre compte.

Cette notification contient, dans la mesure des informations disponibles :

- la nature de la violation et les circonstances connues ;
- les catégories de données et de personnes concernées, avec une estimation des volumes ;
- les conséquences probables ;
- les mesures prises ou proposées pour y remédier et en limiter les effets.

Si toutes les informations ne sont pas disponibles immédiatement, Moovalys les communique de manière échelonnée, sans retard indu. C'est ensuite à vous, responsable de traitement, d'apprécier s'il faut notifier la CNIL (article 33 : 72 heures) et informer les personnes concernées (article 34). Moovalys vous assiste sur demande dans cette démarche.

## 10. Fin du contrat et sort des données

À la fin de votre abonnement, quelle qu'en soit la cause, le sort des données de vos clients suit votre choix (article 28.3.g du RGPD) :

- **Restitution** : vous pouvez exporter l'ensemble des données de vos clients depuis votre espace (exports CSV par catégorie et export complet au format texte), avant la fin de l'abonnement et pendant le délai ci-dessous.
- **Suppression** : vous pouvez demander la suppression anticipée à tout moment par email.

Sans instruction de votre part, les données sont conservées **90 jours après la fin de l'abonnement**, pour vous laisser le temps de les exporter ou d'en demander la réactivation à contact@moovalys.fr. À l'issue de ce délai, elles sont supprimées définitivement. L'historique de séances est anonymisé et ne permet plus d'identifier quiconque.

Moovalys vous fournit, sur demande à contact@moovalys.fr, une attestation de suppression.

Exception : Moovalys conserve les données dont la conservation est exigée par le droit de l'Union ou le droit français (par exemple ses propres pièces comptables), pour la durée légale correspondante.

## 11. Documentation et audit

Moovalys met à votre disposition les éléments nécessaires pour démontrer le respect de cet accord (article 28.3.h du RGPD) : le présent document, la page [/sous-traitants](/sous-traitants), la politique de confidentialité et, sur demande, toute précision utile sur les mesures de la section 5.

Vous pouvez en outre faire réaliser un audit, dans ces conditions :

- au plus une fois par période de 12 mois, sauf après une violation de données vous concernant ;
- avec un préavis écrit de 30 jours, en convenant ensemble du périmètre et des modalités ;
- à vos frais, par vous-même ou par un auditeur mandaté non concurrent de Moovalys, tenu à la confidentialité ;
- sans accès aux données des autres coachs ni perturbation du service : l'audit porte sur la documentation, la configuration et les traitements qui vous concernent.

Moovalys peut d'abord répondre à la demande d'audit par la fourniture de documentation ou de rapports existants ; si cela ne suffit pas, l'audit sur pièces puis sur place est organisé dans les conditions ci-dessus.

## 12. Registre des catégories de traitements

Moovalys tient le registre des catégories d'activités de traitement effectuées pour le compte de ses clients responsables de traitement, prévu par l'article 30.2 du RGPD. Un extrait vous concernant peut vous être communiqué sur demande, notamment pour alimenter votre propre registre (article 30.1), que vous restez tenu d'établir de votre côté.

## 13. Localisation des données

Toutes les données traitées au titre de cet accord sont hébergées et traitées **dans l'Union européenne** : hébergement en France (Clever Cloud SAS), envoi d'emails depuis l'Union européenne (Brevo SAS). **Aucun transfert vers un pays tiers** (articles 44 à 49 du RGPD) n'est réalisé.

Si un transfert hors Union européenne devait un jour être envisagé, il serait traité comme un changement de sous-traitant ultérieur : information par email au moins 30 jours avant, garanties appropriées documentées, droit d'objection et faculté de résiliation dans les conditions de la section 6.

## 14. Durée, modification et droit applicable

Cet accord prend effet à l'acceptation lors de l'inscription et dure aussi longtemps que votre abonnement, puis jusqu'à l'issue des opérations de la section 10.

Toute modification de cet accord vous est annoncée par email au moins 30 jours avant sa prise d'effet. Si vous la refusez, écrivez-le à contact@moovalys.fr avant la date d'effet : votre refus vaut résiliation de l'abonnement à cette date, sans frais, avec la faculté d'exporter vos données au préalable et l'application de la section 10.

Cet accord est soumis au droit français. En cas de désaccord, les parties recherchent d'abord une solution amiable. À défaut d'accord dans un délai raisonnable, le litige est porté devant la juridiction compétente selon les règles de droit commun.

---

**Version 1.1**, établie le 7 août 2026, dernière mise à jour le 12 août 2026, en vigueur depuis le 12 août 2026.

Acceptation : le présent accord est annexé aux CGV de l'abonnement et conclu avec elles dès la création du compte, au moyen d'une case à cocher dédiée, distincte de celle des CGU et des CGV, dont l'acceptation est enregistrée (date, heure, numéro de version). Le document reste consultable et téléchargeable à tout moment sur cette page.