Livre blanc sur la protection des données

1. Objet du présent document

Le présent Livre blanc expose la manière dont IK Pilates en Ukraine, exploité par l'entrepreneure individuelle Iryna Oleksandrivna Karnaukh, met en œuvre la loi ukrainienne « Sur la protection des données à caractère personnel » n° 2297-VI et les exigences connexes du droit ukrainien sur la plateforme IK Pilates et dans l'exploitation de ses studios.

Il est publié dans un souci de transparence. Notre Politique de confidentialité vous indique ce que nous faisons de vos données et quels sont vos droits ; le présent document explique comment nous encadrons, sécurisons et démontrons ce traitement. Il s'adresse aux clients qui souhaitent des détails, aux partenaires qui procèdent à des vérifications préalables et à notre propre personnel.

Lorsque le présent document et la Politique de confidentialité diffèrent dans leur approche, la Politique de confidentialité prévaut pour la description du traitement à l'égard des personnes concernées.

2. Rapport avec le règlement général sur la protection des données

Notre studio bulgare est exploité par une personne morale distincte, IK Pilates Studio EOOD, qui est un responsable du traitement indépendant au titre du règlement (UE) 2016/679. Les deux activités ne sont pas des responsables conjoints : chacune détermine les finalités et les moyens de ses propres traitements, tient ses propres registres et répond à ses propres demandes.

Si vous vous trouvez dans l'Espace économique européen, les documents bulgares et le standard du règlement vous sont applicables.

Pour notre activité ukrainienne, le droit ukrainien s'applique. Dans les faits, nous avons toutefois choisi de construire la plateforme selon un standard technique unique pour les deux pays. Les mécanismes de chiffrement, de granularité du consentement, d'automatisation de la conservation, de contrôle des sessions et d'effacement décrits ci-dessous sont identiques en Ukraine et en Bulgarie. Les clients ukrainiens bénéficient donc de ces mesures, que la loi les exige ou non.

L'Ukraine est partie à la Convention 108 du Conseil de l'Europe. Le projet de loi n° 8153 « Sur la protection des données à caractère personnel », qui alignerait le droit ukrainien sur le règlement, introduirait des délégués à la protection des données, des obligations de notification des violations et un cadre pour les transferts transfrontaliers, et instituerait une autorité de contrôle indépendante, a été adopté en première lecture par la Verkhovna Rada le 20 novembre 2024 et est en cours de préparation pour une deuxième lecture. Nous suivons son évolution et estimons que les mesures décrites dans le présent document satisferont pour l'essentiel à ses exigences lors de son adoption.

3. Propriétaire du fichier de données à caractère personnel et personne responsable

Propriétaire du fichier de données à caractère personnel : entrepreneure individuelle Iryna Oleksandrivna Karnaukh Numéro fiscal : 3029410706 Adresse : prov. Otakara Yarosha 12a, Kharkiv, 61045, Ukraine Contact pour les questions de protection des données : privacy@ikpilates.com

L'article 24 de la Loi impose au propriétaire d'un fichier de données à caractère personnel qui traite des catégories particulières de données de désigner une personne chargée de l'organisation des travaux relatifs à la protection des données à caractère personnel et d'informer le Commissaire aux droits de l'homme du Parlement ukrainien de cette désignation. Comme nous traitons des données relatives à la santé, cette exigence nous est applicable.

La personne responsable est désignée par ordre interne et est chargée de tenir la liste des opérations de traitement, de traiter les demandes des personnes concernées, d'instruire le personnel, de tenir le registre des communications exigé par l'article 14 et de coordonner la réponse à tout incident de sécurité. La désignation est consignée dans notre documentation interne et communiquée au Commissaire aux droits de l'homme du Parlement ukrainien sur demande.

4. Principes appliqués en pratique

Licéité et finalité déterminée. Chaque opération de traitement est rattachée à un fondement de l'article 11 de la Loi avant sa mise en œuvre, et sa finalité est indiquée dans la Politique de confidentialité en langage clair, en six langues.

Limitation des finalités. Les données collectées pour dispenser les Séances ne sont pas réutilisées à des fins de marketing ou d'analyse. Les données relatives à la santé sont utilisées uniquement pour un enseignement en sécurité et pour les fonctionnalités que le client a expressément activées.

Minimisation des données. L'intégration a été regroupée afin que les clients répondent à une seule liste de contrôle médicale plutôt qu'à une série d'écrans médicaux distincts ; les champs non utilisés opérationnellement ont été supprimés. Les adresses IP ne sont conservées que sous forme de hachages à clé et non en clair.

Exactitude. Les clients peuvent consulter et corriger à tout moment leur profil, leurs préférences et leurs coordonnées. Les données d'intégration préremplies sont présentées pour reconfirmation plutôt que réutilisées tacitement.

Limitation de la conservation. Des tâches de conservation automatisées s'exécutent selon un calendrier et suppriment les enregistrements dont la durée de conservation a expiré, comme indiqué à l'article 8.

Sécurité. Les mesures techniques et organisationnelles de l'article 9 mettent en œuvre l'article 24 de la Loi.

Transparence et responsabilité. Le présent document, la liste des opérations de traitement, le registre des prestataires, le calendrier de conservation et le journal des incidents constituent ensemble notre dossier de responsabilité.

5. Opérations de traitement

Nous tenons une liste interne des opérations de traitement. Les principales opérations sont résumées ci-dessous, avec le fondement invoqué au titre de l'article 11 de la Loi.

Gestion des comptes clients - données d'identité, de contact et d'authentification - exécution d'un acte juridique Réservation et présence - données de réservation, de présence et de liste d'attente - exécution d'un acte juridique Dépistage de santé pour une pratique en sécurité - données relatives à la santé - consentement au titre des articles 7 et 11 Intégration santé et forme mobile - données relatives à la santé - consentement par catégorie au titre des articles 7 et 11 Communications transactionnelles - données de contact et journaux de remise - exécution d'un acte juridique Communications marketing - données de contact - consentement Paiements, facturation et comptabilité - données de facturation et de paiement - autorisation accordée par la loi Sécurité de la plateforme, audit et prévention des abus - IP hachée, données de session et d'audit - intérêts légitimes du propriétaire Mesure des performances du site - décomptes agrégés sans cookie - intérêts légitimes du propriétaire Liste d'attente et demandes de prospects - données de contact et de préférences - consentement et démarches précontractuelles Administration des instructeurs et du personnel - données d'engagement - exécution d'un acte juridique et autorisation accordée par la loi Cours à la demande et historique de visionnage - données de compte, historique de visionnage et données techniques de lecture - exécution d'un acte juridique Journaux de sécurité de la lecture - adresse IP hachée, plateforme et version de l'application - intérêts légitimes du propriétaire Suivi des mouvements par intelligence artificielle - résultats des séances et journaux d'événements - exécution d'un acte juridique Production des contenus de cours - enregistrements des instructeurs et du personnel et données de mouvement dérivées - exécution d'un acte juridique et intérêts légitimes du propriétaire

6. Catégories particulières de données et évaluation des risques

L'article 7 de la Loi interdit le traitement des données relatives à la santé, sauf pour les motifs énumérés dans cet article. Nous nous fondons sur le consentement non équivoque de la personne concernée, et nous avons évalué les risques de ce traitement et les mesures nécessaires pour y remédier.

L'évaluation a identifié comme principaux risques l'accès non autorisé aux dossiers de santé par le personnel du studio sans besoin opérationnel, l'exposition des données de santé en cas de compromission de la base de données, une dérive vers une utilisation à des fins d'analyse ou de marketing, et un consentement qui ne serait pas réellement granulaire.

Les mesures mises en œuvre sont les suivantes.

Le consentement est granulaire et par catégorie, il est enregistré côté serveur et appliqué à chaque lecture. Le retrait du consentement pour une catégorie de mesures n'a aucun effet sur les autres. Un client qui refuse toutes les fonctionnalités de santé conserve le plein usage de la plateforme.

Les valeurs sensibles sont chiffrées au repos au niveau de la colonne. La clé de chiffrement des champs médicaux d'un client est dérivée d'une clé maîtresse et de l'identifiant propre de ce client, de sorte que les clés ne sont pas partagées entre clients.

L'accès est limité selon le rôle. Les instructeurs et le personnel du studio ne voient que les informations nécessaires pour encadrer une Séance en sécurité, et toute personne y ayant accès a signé un engagement de confidentialité comme l'exige l'article 10 de la Loi.

Les données de santé sont exclues par conception du marketing, de la publicité, du profilage et du partage avec des tiers. Aucun domaine de suivi n'est déclaré dans nos applications mobiles et aucun cadre publicitaire n'y est intégré.

L'effacement est automatisé. Lorsqu'une relation client prend fin, les champs médicaux chiffrés sont programmés pour purge et sont vidés après un délai de trente jours, avec une entrée d'audit consignant la purge.

Nous avons évalué séparément nos cours à la demande et le suivi des mouvements par intelligence artificielle. L'image de la caméra utilisée pour le suivi est analysée uniquement sur l'appareil du client et ne nous parvient jamais. L'analyse estime les positions du corps et n'identifie personne ; elle ne produit donc pas de données biométriques. Les résultats conservés décrivent l'exécution d'un cours et non un état de santé, ne sont pas utilisés pour tirer des conclusions sur la santé et ne sont pas visibles par le personnel ; nous ne les traitons donc pas comme des données relatives à la santé au sens de l'article 7 de la Loi. Les risques résiduels, à savoir la déduction d'informations de santé à partir des résultats au fil du temps, la conservation excessive et l'exposition des données de visionnage au prestataire vidéo, sont traités par la conservation des résultats séparément des dossiers de santé, une durée de douze mois pour les journaux d'événements, le hachage à clé des adresses IP dans les journaux de lecture et l'exclusion des noms, adresses électroniques et identifiants de compte de tout ce qui est envoyé au prestataire vidéo. L'évaluation est réexaminée avant toute modification significative de ces fonctionnalités.

7. Prestataires et communication de données

Tout prestataire qui traite des données à caractère personnel pour notre compte le fait dans le cadre d'un accord écrit imposant un traitement uniquement sur nos instructions, la confidentialité, des mesures de sécurité appropriées, des restrictions au recours à des sous-prestataires, une assistance pour les demandes des personnes concernées, la notification des incidents, ainsi que la suppression ou la restitution des données à la fin de la mission.

Avant d'engager un prestataire, nous évaluons son niveau de sécurité, ses lieux d'hébergement, sa situation au regard des transferts et ses engagements en matière de notification des incidents. Le registre consigne, pour chaque prestataire, la finalité, les catégories de données et la région d'hébergement. La liste actuelle figure à l'article 6 de notre Politique de confidentialité et est réexaminée au moins une fois par an.

L'article 14 de la Loi n'autorise la communication de données à caractère personnel à des tiers qu'avec le consentement de la personne concernée ou pour les motifs prévus par la loi. Chaque communication à un tiers est consignée avec sa date, son destinataire et son fondement juridique, et ce registre est mis à la disposition de la personne concernée sur demande.

8. Calendrier de conservation et suppression automatisée

Les durées de conservation sont appliquées par des tâches planifiées plutôt que par un examen manuel, de sorte que l'expiration est la règle et non l'exception.

Contacts et demandes - 730 jours Journaux de remise des notifications - 365 jours Journaux de sécurité et d'audit - 730 jours Enregistrements des sessions révoquées - 90 jours Comptes inactifs - identifiés après 24 mois d'inactivité Délai de grâce en cas de suppression du compte - 30 jours, pendant lesquels la demande peut être annulée Purge des champs médicaux après la fin de la relation client - 30 jours Registres de réservation et de présence - 3 ans, correspondant au délai général de prescription prévu par le Code civil de l'Ukraine Registres comptables et fiscaux - pendant les durées exigées par le Code fiscal de l'Ukraine et les règles du Service national des archives Journaux de lecture - 365 jours Journaux d'événements du suivi des mouvements par intelligence artificielle - 12 mois Historique de visionnage et résultats du suivi des mouvements - pendant toute la durée du compte

Lors de la suppression, les enregistrements purement personnels sont définitivement supprimés. Les enregistrements que nous sommes légalement tenus de conserver, principalement les écritures de réservation et comptables, sont conservés sous forme dépersonnalisée : l'enregistrement d'identité est réduit à un enregistrement résiduel ne contenant aucune donnée à caractère personnel, ce qui supprime le lien identifiant de chaque enregistrement qui y fait référence.

9. Mesures techniques et organisationnelles de sécurité

Les mesures ci-dessous mettent en œuvre l'article 24 de la Loi et sont réexaminées dans le cadre de notre revue périodique de sécurité.

Sécurité du transport. Tout le trafic entre les clients, les applications et nos serveurs est chiffré au moyen de TLS. Une politique de sécurité du contenu est appliquée sur nos sites. Les cours à la demande sont diffusés au moyen de liens de lecture signés qui expirent, et aucune technologie d'analyse ou de traçage n'est utilisée dans le lecteur vidéo.

Authentification. Les jetons d'authentification sont signés de manière asymétrique au moyen d'ES256, ont une courte durée de vie et font l'objet d'une validation stricte de l'émetteur, de l'audience et de l'expiration. Les sessions sont consultables et révocables individuellement par le client, et une liste de refus côté serveur applique la révocation avant l'expiration normale du jeton.

Chiffrement au repos. Les champs de santé sensibles sont chiffrés au niveau de la colonne au moyen d'un chiffrement symétrique PGP, avec dérivation de clés par client. Le stockage de la base de données est chiffré au repos par notre hébergeur.

Contrôle d'accès. La sécurité au niveau des lignes est appliquée dans la base de données. Les rôles applicatifs suivent le principe du moindre privilège, et les opérations privilégiées passent par des fonctions définies à droits du définisseur plutôt que par des autorisations étendues. Une matrice des rôles et des permissions est tenue à jour et testée.

Dépersonnalisation. Les adresses IP sont hachées avec une clé secrète avant leur conservation. Les identités supprimées deviennent des enregistrements résiduels qui dépersonnalisent les enregistrements opérationnels conservés.

Journalisation et surveillance. Les opérations privilégiées et pertinentes pour la sécurité sont consignées dans un journal d'audit dont la durée de conservation est définie. Une limitation de débit protège les points d'accès d'authentification et de réservation, et un contrôle anti-abus protège le formulaire de contact public.

Mesures organisationnelles. Le personnel et les instructeurs signent des engagements de confidentialité couvrant les données à caractère personnel, reçoivent une formation lors de leur engagement et se voient accorder des accès strictement selon leur rôle. Les droits d'accès sont réexaminés lors d'un changement de rôle et retirés au départ, y compris par la révocation des sessions actives.

Résilience. Les données sont conservées chez un prestataire offrant une redondance et des sauvegardes hors du territoire touché par les hostilités, de sorte que les enregistrements restent disponibles malgré les dommages éventuels aux infrastructures locales.

Gestion des changements. Les modifications de la base de données sont appliquées au moyen de migrations numérotées et relues. Des revues de sécurité sont menées périodiquement et leurs conclusions sont suivies jusqu'à leur clôture.

10. Procédure en cas d'incident de sécurité

Tout membre du personnel qui a connaissance d'un incident présumé affectant des données à caractère personnel doit le signaler immédiatement à la personne responsable désignée à l'article 3.

La personne responsable circonscrit l'incident, évalue les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises, et consigne l'incident dans le journal des incidents avec la justification.

Lorsque l'incident est susceptible d'affecter les droits des personnes concernées, nous en informons les personnes concernées et le Commissaire aux droits de l'homme du Parlement ukrainien, dans les meilleurs délais et en des termes clairs, en décrivant la nature de l'incident, ses conséquences probables, les mesures prises et le point de contact pour plus d'informations.

Lorsqu'un prestataire a connaissance d'un incident affectant nos données, son accord l'oblige à nous en informer dans les meilleurs délais afin que nous puissions remplir ces obligations. Nous appliquons un objectif de 72 heures pour notre propre évaluation et notification, conformément au standard que nous appliquons en Bulgarie, bien que le droit ukrainien ne prévoie actuellement aucun délai fixe.

11. Demandes des personnes concernées

Les demandes peuvent être présentées par l'intermédiaire de la plateforme ou par écrit à privacy@ikpilates.com. De nombreux droits peuvent être exercés directement dans le compte : consultation et modification du profil, examen et révocation des sessions et des appareils, gestion des consentements par catégorie et demande de suppression avec une copie des données.

Chaque demande est consignée à sa réception. Nous vérifions l'identité de manière proportionnée, en utilisant le compte lui-même lorsque c'est possible plutôt qu'en demandant des pièces d'identité supplémentaires. Nous répondons dans un délai de trente jours civils, comme l'exige l'article 16 de la Loi.

Lorsque nous refusons une demande en tout ou partie, nous en indiquons le motif et le fondement juridique, et informons le demandeur de son droit de saisir le Commissaire aux droits de l'homme du Parlement ukrainien et une juridiction.

Les demandes sont traitées gratuitement.

12. Transfert transfrontalier

L'article 29 de la Loi permet le transfert à une partie étrangère lorsque l'État destinataire assure une protection adéquate. Les États membres de l'Espace économique européen et les États parties à la Convention 108 sont réputés, par la loi, assurer une protection adéquate.

Nos principales bases de données sont situées dans l'Union européenne, ce qui satisfait à cette condition. Lorsqu'un transfert limité a lieu vers un prestataire situé hors de l'Espace économique européen, principalement pour l'envoi des notifications push et des courriers électroniques, nous nous appuyons sur les garanties proposées par ce prestataire, notamment les clauses contractuelles types de la Commission européenne, ainsi que sur le chiffrement en transit et au repos et la minimisation des données transférées.

Nos vidéos de cours à la demande sont hébergées et diffusées par Mux, Inc. aux États-Unis. Ce transfert est nécessaire pour fournir le cours que le client a choisi de regarder, et il est protégé par l'accord de traitement des données de Mux, qui intègre les clauses contractuelles types de la Commission européenne, ainsi que par la participation de Mux au cadre de protection des données UE-États-Unis. Les noms, adresses électroniques et identifiants de compte ne sont pas envoyés à Mux.

13. Marketing et communications électroniques

Les messages transactionnels relatifs à une réservation, à la modification d'une réservation, à un événement de sécurité du compte ou à une notification juridique sont envoyés sur la base du contrat et ne peuvent faire l'objet d'une désinscription tant que le compte est actif.

Les messages marketing ne sont envoyés qu'avec un consentement préalable. Chaque message marketing comporte un mécanisme de désinscription opérationnel, et le consentement peut être retiré à tout moment dans les paramètres du compte. Les preuves de consentement comprennent l'heure, le canal et le libellé présenté.

Les notifications push nécessitent l'autorisation du système d'exploitation en plus du consentement enregistré sur la plateforme et peuvent être désactivées par catégorie. Les notifications opérationnelles adressées au personnel, comme la confirmation qu'un cours téléversé est prêt, sont envoyées sur la base de la relation de travail.

14. Cycle de révision

Le présent Livre blanc, la liste des opérations de traitement, le registre des prestataires, le calendrier de conservation et la désignation de la personne responsable sont réexaminés au moins une fois par an.

Un réexamen supplémentaire est déclenché par l'un des événements suivants : l'introduction d'une nouvelle catégorie de données à caractère personnel ; l'engagement d'un nouveau prestataire ou un changement de région d'hébergement ; un incident de sécurité ; l'adoption du projet de loi n° 8153 ou toute autre évolution significative du droit ukrainien ; des lignes directrices du Commissaire aux droits de l'homme du Parlement ukrainien ; ou une réclamation révélant une lacune.

15. Contact et réclamations

Entrepreneure individuelle Iryna Oleksandrivna Karnaukh Numéro fiscal : 3029410706 Adresse : prov. Otakara Yarosha 12a, Kharkiv, 61045, Ukraine Questions relatives à la protection des données : privacy@ikpilates.com Questions générales : studio@ikpilates.com Téléphone : +380 67 508 4343

Vous pouvez à tout moment introduire une réclamation auprès de l'organe de contrôle de la protection des données à caractère personnel en Ukraine.

Commissaire aux droits de l'homme du Parlement ukrainien Adresse : vul. Instytutska 21/8, Kyiv, 01008, Ukraine Ligne d'assistance : 0 800 50 17 20 Courriel : hotline@ombudsman.gov.ua Site : www.ombudsman.gov.ua

Vous avez également le droit de saisir une juridiction pour la protection de vos droits et la réparation du préjudice matériel et moral causé par une violation de la législation sur la protection des données à caractère personnel.