1. Définitions et rôles
- Responsable de traitement : le Praticien, qui détermine les finalités et moyens du traitement des données de ses personnes suivies.
- Sous-traitant : Bastien Schulz EI (« MOVA »), qui traite ces données pour le compte et sur instruction du Praticien.
- Personne concernée : la personne suivie (patient/client) par le Praticien.
2. Objet, durée, nature et finalité
Objet : l'hébergement et le traitement des données nécessaires au suivi nutrition et coaching via le Service MOVA. Durée : la durée de l'abonnement du Praticien. Nature : collecte, enregistrement, organisation, conservation, consultation, mise à disposition et suppression. Finalité : fournir au Praticien les fonctionnalités de suivi, d'échange et d'analyse du Service.
3. Catégories de données et de personnes
Personnes : les personnes suivies par le Praticien (patients / clients), y compris, le cas échéant, des mineurs sous la responsabilité du Praticien.
Données : identité et contact ; anthropométrie (âge, sexe, taille, poids) ; données de santé — bilans biologiques, comptes rendus, imagerie et documents médicaux, cycle menstruel, douleurs et blessures, digestion et intolérances, comportement alimentaire et bien-être (humeur, sommeil, énergie), compléments alimentaires, objectifs et ressentis ; alimentation, journaux et photos de repas, hydratation ; activité physique et physiologie (fréquence cardiaque, puissance, zones, charge, tests) ; messages et conversations avec l'assistant ; enregistrements audio de consultation et transcriptions (si activés par le Praticien). Ces données incluent des catégories particulières au sens de l'art. 9 RGPD.
4. Obligations du sous-traitant (MOVA)
- Traiter les données uniquement sur instruction documentée du Praticien et pour les finalités ci-dessus ;
- Garantir la confidentialité et n'autoriser l'accès qu'aux personnes habilitées et tenues au secret ;
- Mettre en œuvre des mesures de sécurité appropriées (art. 32) : chiffrement des communications, contrôle d'accès, cloisonnement par praticien, journalisation, sauvegardes ;
- Assister le Praticien pour répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, portabilité…) et pour ses obligations de sécurité, de notification de violation et d'analyse d'impact (art. 32 à 36) ;
- Notifier au Praticien toute violation de données dans les meilleurs délais après en avoir pris connaissance ;
- Au terme du contrat, restituer ou supprimer les données selon le choix du Praticien, et détruire les copies existantes (sauf obligation légale de conservation).
5. Sous-traitants ultérieurs
Le Praticien autorise MOVA à recourir aux sous-traitants ultérieurs listés ci-dessous, MOVA leur imposant les mêmes obligations de protection. Toute modification fait l'objet d'une information préalable, permettant au Praticien d'émettre des objections.
| Sous-traitant ultérieur | Service | Localisation |
|---|---|---|
| Hetzner Online GmbH | Hébergement (serveurs, base de données, fichiers) | Allemagne (UE) |
| Stripe Payments Europe / Stripe, Inc. | Paiement, abonnements, encaissement | Irlande (UE) / USA |
| OpenAI, L.L.C. | IA : transcription, lecture de documents, reconnaissance des repas, assistant | USA |
| Anthropic, PBC | IA : assistant, notes de séance, résumés, prédictions | USA |
| Google LLC (Firebase / Calendar) | Notifications push ; synchronisation d'agenda (option) | USA |
| Twilio Inc. | Visioconférence (option) | USA |
| Functional Software, Inc. (Sentry) | Supervision technique | USA |
| intervals.icu · Strava · Garmin · COROS | Synchronisation d'entraînement (options activées par l'utilisateur) | Hors UE |
| Prestataire d'e-mail (Mailgun / Postmark / SES / SMTP) | E-mails transactionnels | UE / USA |
| Amazon Web Services (si activé) | Stockage de fichiers | UE |
6. Obligations du responsable (Praticien)
- Disposer d'une base légale pour traiter les données de ses personnes suivies (mission de soins / consentement) ;
- Informer ses personnes suivies du recours à MOVA et de ses sous-traitants, et recueillir leur consentement lorsque requis ;
- Ne donner que des instructions licites et n'enregistrer que des données pertinentes et limitées.
7. Sécurité et localisation
Les données sont hébergées dans l'Union européenne (Hetzner, Allemagne). Les communications sont chiffrées (HTTPS/TLS). MOVA applique la minimisation des données transmises aux services d'IA et le cloisonnement strict des données entre praticiens.
8. Audit
MOVA met à disposition du Praticien les informations nécessaires pour démontrer le respect de l'article 28 et permet la réalisation d'audits, dans des conditions raisonnables et un préavis approprié.
9. Acceptation
Le présent DPA est accepté par le Praticien lors de la souscription/activation de son compte, ou peut être signé séparément sur demande à contact@movahealth.fr.