Accord de sous-traitance (Art. 28 RGPD)

§ 1 Objet et durée

L’objet est le traitement de données personnelles pour fournir zenyogi : site studio hébergé, planning, réservation, liste d’attente, administration des membres et enseignants, e-mail, boutique, vidéos, challenges et flux de paiement liés.

La durée correspond à l’utilisation de zenyogi par le studio, plus le délai de suppression ou de restitution après la fin du service.

§ 2 Nature et finalité

Le sous-traitant traite les données uniquement sur instruction documentée du studio, pour que celui-ci exploite son site, vende des cours, gère les réservations et écrive aux élèves.

Les finalités propres du sous-traitant (par ex. facturer le compte studio zenyogi) sont hors de cet accord.

§ 3 Types de données et personnes concernées

Les personnes concernées et les types de données figurent à l’annexe A.

§ 4 Instructions documentées

Le sous-traitant ne traite les données que sur instruction documentée du responsable, y compris pour un transfert vers un pays tiers, sauf obligation du droit de l’Union ou d’un État membre.

Les instructions passent par le logiciel, par e-mail à l’adresse des mentions légales, ou par cet accord. Si le sous-traitant estime une instruction illicite, il le dit au studio sans délai injustifié.

§ 5 Confidentialité

Toute personne pouvant accéder aux données est tenue à la confidentialité et ne les traite que dans la mesure nécessaire à sa tâche.

§ 6 Sécurité du traitement

Le sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées selon l’Art. 32 RGPD. Les mesures actuelles sont à l’annexe B. Toute dégradation substantielle est communiquée au studio.

§ 7 Sous-traitants ultérieurs

Le studio autorise de façon générale les sous-traitants de l’annexe C.

zenyogi annonce un nouveau sous-traitant ou un remplacement au moins 14 jours à l’avance sur cette page ou par e-mail. Le studio peut s’opposer pour un motif légitime de protection des données. Sans opposition, le changement est autorisé.

Des contrats aux mêmes obligations sont conclus avec les sous-traitants. Stripe, PayPal et SumUp ne sont utilisés que si le studio les connecte ; leurs propres DPA s’appliquent aussi.

§ 8 Droits des personnes

Le sous-traitant aide le studio à répondre à l’accès, la rectification, l’effacement, la limitation, la portabilité et l’opposition, avec les outils du produit (export et suppression depuis le compte studio) lorsqu’ils existent.

§ 9 Assistance aux articles 32 à 36

Le sous-traitant assiste le studio pour la sécurité, la notification de violation, l’information des personnes et les analyses d’impact, dans la mesure des informations dont il dispose.

§ 10 Violation de données

Si une violation concerne des données de cet accord, le sous-traitant informe le studio sans délai injustifié dès qu’il en a connaissance, avec les informations dont il dispose pour les Art. 33 et 34 RGPD.

§ 11 Suppression et restitution

À la fin du traitement, le sous-traitant supprime les données du studio ou les restitue, au choix du studio, sauf obligation de conservation du droit de l’Union ou d’un État membre.

Pendant la durée, le studio peut exporter et faire supprimer les profils membres via le compte.

§ 12 Informations et audits

Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de cet accord et permet des audits, y compris des inspections, par le studio ou un auditeur mandaté.

Les audits sont annoncés à temps, ne perturbent pas le service de façon déraisonnable, et ont lieu au plus une fois par an sauf motif concret (par ex. une violation). La confidentialité est respectée.

§ 13 Transferts internationaux

Le sous-traitant est établi aux États-Unis. Les sous-traitants de l’annexe C peuvent aussi traiter des données aux États-Unis ou dans d’autres pays tiers.

Les transferts reposent sur une décision d’adéquation (y compris le Data Privacy Framework UE-États-Unis si le destinataire est certifié) ou sur les clauses types de la Commission (décision 2021/914), module 2 et/ou 3, plus des mesures supplémentaires si besoin.

En utilisant zenyogi, le studio donne instruction d’effectuer ces transferts dans la mesure nécessaire au service.

§ 14 Responsabilité

La responsabilité suit l’Art. 82 RGPD et le droit applicable. Le sous-traitant est responsable envers le studio des dommages causés par un traitement contraire à cet accord ou au RGPD, dans la mesure de sa faute.

§ 15 Durée et fin

Cet accord s’applique tant que le studio utilise zenyogi et cesse avec le contrat de service, sans mettre fin aux obligations de suppression, de confidentialité et d’audit qui se poursuivent par nature.

§ 16 Dispositions finales

zenyogi publie les modifications sur cette page ou par e-mail. Sans opposition du studio pour un motif de protection des données sous 14 jours, la nouvelle version s’applique.

Si une clause est invalide, le reste demeure. Le RGPD s’applique. Si un droit national complémentaire est nécessaire, le droit allemand s’applique aux studios établis dans l’UE ou l’EEE.

Cette page affiche l’accord dans la langue choisie. En cas d’écart, le texte allemand prévaut pour les studios en Allemagne ou en Autriche ; sinon le texte anglais.

Annexe A — Traitement

Personnes concernées : élèves et autres clients du studio ; enseignants et personnel que le studio ajoute dans zenyogi ; contacts d’urgence si le studio les enregistre.

Types de données : nom, e-mail, téléphone, adresse, date de naissance, langue, opt-in marketing et rappels, waiver, réservations, liste d’attente, présence, abonnements et achats, notes du studio, profils enseignants et statut de paiement. Les numéros de carte restent chez le prestataire de paiement connecté. Le studio peut aussi stocker des images ou vidéos de personnes.

Annexe B — Mesures techniques et organisationnelles

Le sous-traitant maintient au moins :

• Chiffrement en transit (HTTPS/TLS)
• Accès limité aux comptes studio authentifiés ; rôles studio et enseignants
• Séparation des données par businessId
• Chiffrement au repos lorsque les hébergeurs le proposent
• Sauvegardes régulières via Convex
• Confidentialité pour les personnes avec accès support
• Export et suppression des profils depuis le compte studio
• Journaux de sécurité dans la mesure habituelle des services utilisés

Annexe C — Sous-traitants

Liste au 2026-08-25. Les trackers marketing de zenyogi.io (Vercel Analytics ou Microsoft Clarity) ne traitent pas les données membres du studio et sont hors de cet accord.

• Convex, Inc. — Base de données, fonctions backend et authentification. Lieu : États-Unis.
• Vercel Inc. — Hébergement de l’application et CDN. Lieu : États-Unis / edge mondial.
• Cloudflare, Inc. — Stockage d’objets (R2) pour images et vidéos. Lieu : États-Unis / réseau Cloudflare.
• Resend, Inc. — E-mails transactionnels et studio. Lieu : États-Unis.
• Stripe, Inc. / Stripe Payments Europe, Ltd. — Paiements par carte si le studio connecte Stripe. Lieu : UE / États-Unis. Uniquement si le studio utilise Stripe. Le DPA Stripe s’applique aussi.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. / PayPal, Inc. — Paiements si le studio connecte PayPal. Lieu : UE / États-Unis. Uniquement si le studio utilise PayPal. Le DPA PayPal s’applique aussi.
• SumUp Limited — Paiements si le studio connecte SumUp. Lieu : UE / Royaume-Uni. Uniquement si la plateforme a activé SumUp et que le studio l’utilise.