Contrat de sous-traitance (RGPD)

Parties et objet

Le présent contrat de sous-traitance (le « Contrat ») est conclu entre :

• le Client : le professionnel ou la personne morale qui utilise Visioo pour organiser des séances, agissant en qualité de responsable du traitement ;
• Linkup Coaching, SAS au capital de 100 000 €, immatriculée au RCS de Nanterre sous le numéro 493 862 007, dont le siège est situé 16 Place des Reflets, 16-17 Tour CB, 92400 Courbevoie, éditeur du service Visioo (« Visioo »), agissant en qualité de sous-traitant.

Il fixe, conformément à l’article 28 du règlement (UE) 2016/679 (RGPD), les conditions dans lesquelles Visioo traite des données personnelles pour le compte du Client dans le cadre du service Visioo.

Il s’applique à tous les clients, offre Gratuit comprise, et fait partie du contrat formé par les conditions générales d’utilisation et de vente. Pour tout ce qui concerne les données personnelles, il prime sur celles-ci. Une copie peut être demandée à dpo@linkup-coaching.com.

Définitions

Les termes « données personnelles », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données » ont le sens que leur donne l’article 4 du RGPD. Les termes « Service », « Espace », « Utilisateur », « Animateur », « Participant », « Séance » et « Enregistrement » ont le sens que leur donnent les conditions générales d’utilisation et de vente.

« Données du Client » désigne les données personnelles traitées par Visioo pour le compte du Client dans le cadre du Service.

Durée

Le Contrat entre en vigueur dès l’acceptation des conditions générales par le Client. Il dure aussi longtemps que le Client utilise le Service, puis jusqu’à la suppression ou la restitution complète des Données du Client.

Description du traitement

Nature des opérations

• Transmission en direct de l’image, du son et des écrans partagés pendant les séances.
• Gestion des participants : salle d’attente, liste des présents, temps de présence.
• Chat, réactions, mains levées, sondages, quiz, notes, tableau blanc, salles de sous-groupe.
• Enregistrement des séances, stockage et mise à disposition des replays.
• Avec l’Option IA : transcription, sous-titres, traduction et résumé des séances.
• Rapports de séance, exports, envoi des données vers les outils du Client par l’API et les webhooks qu’il configure.
• Hébergement, sauvegarde et suppression de ces données.

Finalité

Permettre au Client d’organiser et d’animer des séances à distance (formation, coaching, réunions) et d’en exploiter les résultats, selon les fonctions qu’il active.

Types de données personnelles

Catégories de personnes concernées

• Les participants aux séances du Client (stagiaires, apprenants, coachés, invités).
• Les utilisateurs du Client (titulaire du compte, administrateurs, utilisateurs invités, animateurs) dans le cadre des séances.
• Toute personne visible ou audible dans une séance, un enregistrement ou un contenu partagé.

Données sensibles

Le Service n’est pas conçu pour traiter des catégories particulières de données (santé, opinions, convictions… : article 9 du RGPD) ni des données relatives aux infractions (article 10). Si ses séances peuvent en révéler, le Client s’assure d’une base légale adaptée, en informe les participants et limite l’enregistrement et la transcription au strict nécessaire.

Note pour le juriste : certaines séances de coaching (gestion du stress, préparation mentale) peuvent révéler des données de santé ; vérifier si une analyse d’impact est à recommander aux clients concernés.

Instructions du Client

Visioo traite les Données du Client uniquement sur instruction documentée du Client. Ces instructions sont constituées par le Contrat, les conditions générales et les réglages et actions du Client dans le Service : activer l’enregistrement ou la transcription, partager un replay, supprimer un contenu, configurer l’API.

• Visioo ne transfère pas les Données du Client hors de l’Union européenne sans instruction, sauf obligation imposée par le droit de l’Union ou d’un État membre ; il en informe alors le Client avant le traitement, sauf si ce droit l’interdit.
• Visioo informe immédiatement le Client s’il estime qu’une instruction viole le RGPD ou une autre règle de protection des données.
• Visioo n’utilise pas les Données du Client pour ses propres besoins, notamment pour entraîner des modèles d’intelligence artificielle.

Confidentialité

Visioo veille à ce que les personnes autorisées à traiter les Données du Client s’engagent à respecter leur confidentialité ou soient soumises à une obligation légale de confidentialité. Elles n’y accèdent que lorsque c’est nécessaire : assistance demandée par le Client, sécurité du Service ou obligation légale.

Mesures de sécurité

Visioo met en œuvre les mesures techniques et organisationnelles appropriées prévues à l’article 32 du RGPD, notamment :

• hébergement des données en Europe ;
• connexions chiffrées (HTTPS) et flux audio et vidéo chiffrés pendant le transport ;
• accès à une salle par un jeton limité à cette salle, valable 24 heures au plus, délivré seulement après admission quand la salle d’attente est active ; verrouillage des réunions ;
• lecture et téléchargement des replays par des liens signés valables une heure, directement depuis le stockage ;
• suppression automatique des replays à la fin de leur durée de conservation ;
• cloisonnement des données par espace et contrôle des droits côté serveur selon le rôle (un utilisateur ne voit que ses réunions et ses enregistrements) ;
• mots de passe et clés d’API enregistrés sous forme chiffrée irréversible, clés techniques du Service stockées chiffrées ;
• vérification de l’adresse e-mail par un code à usage unique et limitation des tentatives sur la connexion, l’inscription, le code et l’API ;
• signature et vérification des webhooks.

Mesures complémentaires : __A_DEFINIR_MESURES_SECURITE__.

Note pour le juriste : compléter avec les sauvegardes, le chiffrement des données stockées, la journalisation des accès et la politique d’accès de l’équipe, une fois confirmés auprès de Kinsta, de Scaleway et de l’équipe infra.

Sous-traitants ultérieurs

Le Client autorise Visioo à faire appel aux sous-traitants ultérieurs suivants :

• Visioo informe le Client par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Pendant ce délai, le Client peut s’y opposer pour un motif sérieux lié à la protection des données ; si aucune solution n’est trouvée, il peut résilier son abonnement sans pénalité et obtenir le remboursement de la part payée pour la période non utilisée.
• Visioo impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du Contrat, et reste pleinement responsable de leur respect envers le Client.

Note pour le juriste : le délai de 30 jours et le droit de résiliation sont des propositions. Vérifier si des prestataires interviennent dans l’administration des serveurs de visioconférence : ils seraient aussi des sous-traitants ultérieurs à lister.

Transferts hors de l’Union européenne

Les Données du Client sont hébergées dans l’Union européenne. Kinsta Inc. et Google sont des sociétés américaines ou appartiennent à des groupes américains : un accès depuis les États-Unis, par exemple pour l’assistance ou la maintenance, ne peut être exclu. Tout transfert est alors encadré par des garanties appropriées au sens du chapitre V du RGPD : adhésion au cadre de protection des données UE–États-Unis (Data Privacy Framework) ou clauses contractuelles types de la Commission européenne.

À vérifier : pour chaque sous-traitant ultérieur, l’existence d’un transfert et la garantie retenue.

Droits des personnes concernées

• Visioo transmet au Client, dans les meilleurs délais, toute demande d’une personne concernée relative aux Données du Client, et n’y répond pas lui-même sauf instruction du Client.
• Le Service permet au Client de répondre lui-même à la plupart des demandes : supprimer un replay ou une réunion, exporter les rapports et les transcriptions.
• Pour le reste, Visioo aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition).

Notification des violations de données

Visioo notifie au Client toute violation de données personnelles concernant les Données du Client, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l’adresse du titulaire du compte et des administrateurs.

La notification indique, si possible : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, le contact du délégué à la protection des données de Visioo, les conséquences probables et les mesures prises ou proposées pour y remédier. Si ces informations ne sont pas toutes disponibles, elles sont communiquées au fur et à mesure.

Il appartient au Client, responsable du traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées.

Note pour le juriste : délai choisi par Ihab le 03/11/2026 : 48 heures, pour laisser au Client le temps de notifier la CNIL dans les 72 heures prévues par l’article 33 du RGPD.

Aide à la conformité du Client

Visioo aide le Client, compte tenu de la nature du traitement et des informations dont il dispose, à respecter ses obligations relatives à la sécurité (article 32), aux analyses d’impact (article 35) et à la consultation préalable de la CNIL (article 36). Sur demande, il fournit une description du Service et de ses mesures de sécurité.

Sort des données à la fin du Contrat

• Pendant toute la durée du Contrat, le Client peut récupérer ses données : replays en MP4 tant qu’ils sont conservés, rapports en CSV, notes, tableau blanc et transcriptions.
• Les replays sont supprimés automatiquement à la fin de leur durée de conservation (3 mois avec l’offre Solo, 6 mois avec l’offre Organisme, 3 mois pour ceux enregistrés avec des heures en plus), sauf suppression plus tôt par le Client. Après une annulation de l’abonnement, ils restent consultables jusqu’à leur date d’expiration.
• À la suppression du compte, Visioo supprime les Données du Client dans un délai de 30 jours, sauf si le droit de l’Union européenne ou le droit français impose leur conservation. Les copies de sauvegarde sont effacées à la fin de leur cycle de rotation (__A_DEFINIR_DUREE_SAUVEGARDES__).
• Sur demande, Visioo confirme par écrit la suppression.

Registre des traitements

Visioo tient un registre des catégories d’activités de traitement effectuées pour le compte de ses clients, conformément à l’article 30, paragraphe 2, du RGPD.

Documentation et audits

Visioo met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d’audits, y compris d’inspections, par le Client ou par un auditeur indépendant qu’il désigne, dans les conditions suivantes :

• l’auditeur est tenu au secret professionnel ou à un engagement de confidentialité et n’est pas un concurrent de Visioo ;
• l’audit est demandé par écrit au moins 30 jours à l’avance et se déroule pendant les heures ouvrées ;
• un audit par an au plus, sauf après une violation de données ou à la demande d’une autorité de contrôle ;
• les frais de l’audit sont à la charge du Client ;
• l’audit ne donne accès à aucune donnée d’un autre client.

Note pour le juriste : ces conditions d’audit sont des propositions.

Obligations du Client

Le Client, responsable du traitement :

• donne ses instructions par le Contrat et par ses réglages dans le Service ;
• s’assure d’une base légale pour chaque traitement, notamment pour l’enregistrement et la transcription ;
• informe les participants (article 13 du RGPD), en particulier avant d’enregistrer ou de transcrire une séance. Le bandeau affiché à tous dès le début d’un enregistrement et la mention sur la page Rejoindre l’y aident, sans remplacer cette information ;
• recueille, si besoin, l’accord des représentants légaux des participants mineurs ;
• évite de faire traiter des données sensibles sans nécessité et sans base légale adaptée ;
• répond aux demandes des personnes concernées ;
• choisit les personnes à qui il transmet les liens de réunion et de replay, et utilise la salle d’attente ou le verrouillage si nécessaire ;
• gère les accès de son équipe, notamment en retirant les utilisateurs qui ne travaillent plus avec lui ;
• vérifie que les durées de conservation du Service conviennent à ses obligations, et exporte et conserve lui-même ce qu’il doit garder plus longtemps (par exemple les preuves de présence demandées par ses financeurs) ;
• tient son propre registre des traitements, réalise une analyse d’impact si nécessaire, et notifie les violations de données à la CNIL et aux personnes concernées lorsque c’est requis.

Responsabilité

Chaque partie répond de ses manquements au RGPD dans les conditions de son article 82. Pour le reste, les règles de responsabilité des conditions générales d’utilisation et de vente s’appliquent.

Contacts

• Pour Visioo : le délégué à la protection des données, dpo@linkup-coaching.com.
• Pour le Client : l’adresse e-mail du titulaire du compte et des administrateurs de son espace.

Le Contrat peut être modifié dans les mêmes conditions que les conditions générales d’utilisation et de vente.