Data Processing Agreement

Sous-traitant : HUMAN GRID — Belgique. Contact : dpo@humanmint.be. Coordonnées légales : Mentions légales.

Responsable du traitement : Le Client (entreprise CSRD ou utilisateur final).

Le présent DPA encadre le traitement des données personnelles effectué par HUMAN GRID pour le compte du Client dans le cadre de la fourniture de la plateforme de conversion d'effort physique en crédits carbone.

• Comptabilisation et conversion des pas en valeur monétaire et CO₂ évité.
• Génération de preuves cryptographiques agrégées (Proof-of-Step ZK) pour reporting CSRD.
• Authentification, sécurité, support utilisateur.
• Aucun traitement à des fins de profilage marketing sans consentement séparé.

• Identité : nom, email, pays, langue.
• Données d'activité physique (catégorie particulière, art. 9 RGPD) : pas, durée, fréquence cardiaque.
• Données wallet : solde, conversions, CO₂ cumulé.
• Données techniques : logs d'authentification, IP hashée.

Utilisateurs finaux de la plateforme HUMAN GRID (athlètes, marcheurs du quotidien) et collaborateurs des entreprises clientes ayant opté pour le programme.

Le DPA s'applique pendant toute la durée du contrat de service et jusqu'à la suppression effective des données (max 30 jours après résiliation).

• Traiter les données uniquement sur instruction documentée du responsable.
• Garantir la confidentialité (NDA des collaborateurs).
• Mettre en œuvre les mesures techniques et organisationnelles de l'art. 32 RGPD (chiffrement, RLS, MFA, audits).
• Notifier toute violation sous 72 heures.
• Assister le responsable dans l'exercice des droits des personnes (art. 12-23).
• Permettre les audits annuels (sur préavis raisonnable).

Liste publique et à jour disponible sur le Trust Center. Toute modification est notifiée 30 jours avant entrée en vigueur, avec droit d'opposition motivée.

Hébergement intégralement UE/EEE. Aucun transfert hors UE pour les données personnelles. Si un transfert devait être nécessaire, il serait encadré par les Clauses Contractuelles Types (Décision 2021/914/UE) et un TIA (Transfer Impact Assessment).

À la fin du contrat, le sous-traitant restitue ou supprime les données personnelles selon le choix du responsable, et certifie la suppression sous 30 jours.

Chaque partie répond des dommages causés par sa propre violation conformément à l'art. 82 RGPD.