Accord de sous-traitance (DPA) — article 28 du RGPD

1. Objet et durée

Le présent accord encadre les traitements de données personnelles que le Sous-traitant effectue pour le compte du Client dans le cadre du service IMPRA, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »).

Il s'applique tant que le Sous-traitant traite ces données : pendant l'abonnement, au socle gratuit qui suit une résiliation (CGV, art. 11) et, le cas échéant, pendant la conservation prévue à la clause 11 après la fermeture de l'entreprise.

2. Nature et finalité des traitements

Hébergement, enregistrement, consultation, organisation, calcul, génération de documents, envoi d'e-mails et de notifications à la demande des utilisateurs du Client, et export, aux seules fins de fournir le service souscrit : gestion du stock, des achats et des ventes, facturation, livre de police, mandats, documents, contacts, trésorerie et comptabilité.

Le Sous-traitant n'utilise pas ces données pour son propre compte. Il ne les vend pas et ne les exploite à aucune fin publicitaire.

3. Personnes concernées et catégories de données

Personnes concernées : les clients, acheteurs, vendeurs (particuliers et professionnels), mandants, prospects, fournisseurs et autres contacts du Client, ainsi que ses utilisateurs.

Données : identité et coordonnées ; pour les vendeurs particuliers, la nature et le numéro de la pièce d'identité exigés par le registre des objets mobiliers (le service n'en demande pas de copie) ; données des opérations (véhicules, immatriculations et numéros d'identification, prix, factures, paiements, mandats) ; documents que le Client choisit de déposer (cartes grises, certificats de cession, contrôles techniques, factures, photos, justificatifs) ; journal des actions des utilisateurs.

Le service n'est pas conçu pour traiter les catégories particulières de données de l'article 9 du RGPD ; le Client s'abstient d'en saisir.

4. Instructions documentées

Le Sous-traitant ne traite les données que sur instruction documentée du Client, y compris pour les transferts hors de l'Union européenne. Constituent ces instructions : le contrat (CGV, CGU et présent accord), l'utilisation des fonctions du service par les utilisateurs du Client, et toute instruction écrite complémentaire acceptée par les parties.

Si le droit de l'Union ou du droit français auquel il est soumis l'oblige à un autre traitement, le Sous-traitant en informe le Client avant ce traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

Si le Sous-traitant considère qu'une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou du droit français relatives à la protection des données, il en informe immédiatement le Client. Il n'est pas tenu de l'exécuter tant que le Client ne l'a pas modifiée ; si le Client la maintient, le Sous-traitant peut résilier le contrat pour ce qui concerne ce traitement.

5. Confidentialité

Les personnes autorisées par le Sous-traitant à traiter les données s'engagent à en respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.

Le Sous-traitant n'accède aux données du Client qu'en cas de besoin : demande d'assistance du Client, traitement d'un incident, ou obligation légale.

6. Sécurité du traitement (article 32 du RGPD)

Mesures en place : chiffrement des échanges entre les navigateurs et le service (HTTPS) ; authentification confiée à un prestataire spécialisé, le Sous-traitant ne détenant aucun mot de passe ; cloisonnement de chaque organisation cliente, appliqué par le code et par la base de données (sécurité au niveau des lignes imposée aux tables métier, rôle applicatif sans dérogation à cette sécurité), et vérifié par des tests automatisés ; droits par rôle au sein de l'organisation ; documents dans un stockage privé, servis seulement après contrôle des droits ; journal d'audit en ajout seul, que la base protège contre la modification et la suppression ; secrets techniques conservés côté serveur ; base de données et documents hébergés dans l'Union européenne (région de Paris) ; procédure écrite de gestion des incidents.

Ces mesures peuvent évoluer, sans réduire le niveau global de protection. Le Client reste responsable de la désignation de ses utilisateurs, du choix de leurs rôles et de la garde de leurs identifiants.

7. Sous-traitants ultérieurs

Le Client donne une autorisation écrite générale au recours aux sous-traitants ultérieurs listés ci-dessous. Tout ajout ou remplacement lui est notifié par e-mail au moins trente jours à l'avance. Il peut s'y opposer par écrit pendant ce délai ; à défaut d'accord, il peut résilier l'abonnement sans frais avant la prise d'effet du changement.

Le Sous-traitant ne recourt qu'à des sous-traitants ultérieurs liés par un contrat qui leur impose des obligations de protection des données conformes à l'article 28 du RGPD, et il demeure pleinement responsable envers le Client de l'exécution de leurs obligations.

8. Transferts hors de l'Union européenne

La base de données et les documents sont hébergés dans l'Union européenne. Certains sous-traitants ultérieurs, établis hors de l'Espace économique européen, peuvent traiter certaines données ou y accéder (authentification, e-mails, notifications, assistance technique). Ces transferts reposent sur l'une des garanties du chapitre V du RGPD : décision d'adéquation, dont le cadre de protection des données UE–États-Unis pour les organisations qui y sont inscrites, ou clauses contractuelles types adoptées par la Commission européenne. La garantie retenue est indiquée pour chacun dans la liste ci-dessous.

Le Sous-traitant n'effectue pas d'autre transfert sans instruction documentée du Client.

9. Assistance au Client

Droits des personnes : le service permet au Client de consulter, rectifier, exporter et masquer les données d'un contact, dans les limites des obligations légales de conservation. Une demande adressée par erreur au Sous-traitant est transmise au Client sans délai ; le Sous-traitant n'y répond pas lui-même, sauf instruction du Client.

Sécurité, violations, analyse d'impact et consultation préalable (articles 32 à 36 du RGPD) : compte tenu de la nature du traitement et des informations dont il dispose, le Sous-traitant aide le Client à respecter ses obligations. Il met à sa disposition la description des mesures de sécurité et la liste des sous-traitants ultérieurs. Il lui communique, sur demande, les informations relatives au service utiles à une analyse d'impact ou à une consultation préalable de l'autorité de contrôle. Il l'assiste pour la notification et la communication des violations (clause 10).

Cette assistance porte sur le service IMPRA et sur les informations que détient le Sous-traitant. Elle ne comprend ni conseil juridique, ni la réalisation, à la place du Client, de ses propres analyses ou formalités.

10. Violations de données personnelles

Le Sous-traitant notifie au Client toute violation de données personnelles concernant ses données dans les meilleurs délais après en avoir pris connaissance, et au plus tard quarante-huit heures après, par e-mail à l'adresse de contact du Client. Il n'attend pas d'avoir réuni toutes les informations pour le faire.

La notification décrit, dans la mesure où ces éléments sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, le point de contact, les conséquences probables, et les mesures prises ou proposées pour y remédier et en limiter les effets. Les informations qui ne peuvent être fournies en même temps le sont ensuite, de manière échelonnée, sans retard indu.

Il revient au Client, responsable de traitement, d'apprécier la notification à l'autorité de contrôle (en principe dans les 72 heures après en avoir pris connaissance) et la communication aux personnes concernées. Le Sous-traitant documente la violation et apporte au Client les éléments nécessaires à ces démarches.

11. Fin des traitements : restitution, suppression et conservation

Restitution. À tout moment, le Client exporte lui-même ses données depuis le service, dans des formats structurés (CGV, art. 18). La résiliation de l'abonnement ne supprime aucune donnée (CGV, art. 11) : le présent accord continue de s'appliquer.

Fermeture de l'entreprise. Elle met fin au service et intervient à l'initiative du Client, qui exporte au préalable ce qu'il souhaite conserver. Le Sous-traitant supprime alors, ou anonymise, les données qui ne relèvent pas d'une obligation de conservation.

Conservation pour le Client. Conformément à l'article 11 des CGV, les pièces que le Client doit lui-même conserver en vertu de la loi (factures et pièces justificatives, écritures comptables, livre de police) et les données qu'elles contiennent sont conservées par le Sous-traitant pour le compte du Client. Elles sont fermées aux utilisateurs, communiquées au Client sur demande, et supprimées au terme de la durée légale qui s'impose au Client. Cette conservation exécute l'instruction du Client et ne résulte pas d'une obligation légale propre au Sous-traitant.

Suppression anticipée. Après les avoir exportées, le Client peut demander par écrit la suppression de ces pièces ; il assume alors seul sa propre obligation de conservation. Le Sous-traitant y procède dans un délai de trois mois et le lui confirme par écrit ; il confirme de même, sur demande, les suppressions faites à la fermeture.

Sauvegardes. Les données supprimées disparaissent des copies de sauvegarde au fil de leur renouvellement, au plus tard douze mois après la suppression. Entre-temps, ces copies ne sont ni consultées ni restaurées, sauf pour la reprise après un incident.

Les données que le Sous-traitant conserve pour son propre compte (compte client, abonnement, facturation de l'abonnement, preuve des acceptations contractuelles) relèvent de sa politique de confidentialité.

12. Documentation et audits

Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD : le présent accord, la description des mesures de sécurité et la liste des sous-traitants ultérieurs. Sur demande écrite, il fournit les éléments complémentaires raisonnablement nécessaires (réponses à un questionnaire, documentation des mesures, attestations publiées par les sous-traitants ultérieurs).

Lorsque ces informations ne suffisent pas, le Client peut faire réaliser un audit, y compris une inspection. Il le mène lui-même ou le confie à un auditeur indépendant, tenu à la confidentialité et non concurrent du Sous-traitant. Le Sous-traitant y contribue.

Conditions : un audit par période de douze mois, sauf violation de données, indice sérieux de manquement ou demande d'une autorité de contrôle ; préavis de trente jours, ramené à un délai raisonnable adapté à l'urgence dans ces trois cas ; déroulement sans perturbation du service, sans accès aux données des autres clients ni aux informations dont la divulgation compromettrait la sécurité. Les infrastructures des sous-traitants ultérieurs s'auditent au moyen des rapports et attestations qu'ils publient ou communiquent.

Chaque partie supporte ses propres frais ; ceux de l'auditeur mandaté par le Client restent à sa charge, sauf si l'audit révèle un manquement du Sous-traitant au présent accord.

13. Coopération, contact et responsabilité

Le Sous-traitant coopère, sur demande, avec l'autorité de contrôle. Il n'a pas désigné de délégué à la protection des données ; le point de contact pour le présent accord est l'adresse de contact indiquée ci-dessous.

La responsabilité des parties au titre du présent accord est régie par les CGV, sans préjudice des droits des personnes concernées, notamment de leur droit à réparation (article 82 du RGPD), qu'aucune stipulation entre les parties ne limite.

Liste des sous-traitants ultérieurs

• Supabase (Supabase Pte. Ltd. (Singapour)) — Hébergement de la base de données PostgreSQL et du stockage des documents. Données : toutes les données métier (stock, contacts, factures, comptabilité, registre) et les documents déposés. Localisation : Union européenne — région de Paris (AWS eu-west-3) ; assistance technique possible depuis les États-Unis. Transfert hors UE — garantie : clauses contractuelles types de la Commission européenne (décision 2021/914, modules 2 et 3), intégrées à l'accord de traitement des données de Supabase.
• Vercel (Vercel Inc. (États-Unis)) — Hébergement et exécution de l'application web. Données : données échangées avec l'application lors de son utilisation, journaux techniques. Localisation : fonctions exécutées en région de Paris (cdg1) ; traitements principaux du prestataire aux États-Unis ; bascule vers une autre région en cas de panne. Transfert hors UE — garantie : clauses contractuelles types de la Commission européenne (décision 2021/914) prévues à l'accord de traitement de Vercel ; Vercel Inc. est inscrit au Data Privacy Framework UE–États-Unis.
• Clerk (Clerk, Inc. (États-Unis)) — Authentification et gestion des comptes des utilisateurs. Données : identifiants de connexion, e-mail, nom, appartenances aux organisations. Localisation : États-Unis (aucune résidence des données dans l'Union européenne n'est proposée). Transfert hors UE — garantie : Data Privacy Framework UE–États-Unis, auquel Clerk, Inc. est inscrit ; à défaut, clauses contractuelles types de la Commission européenne (décision 2021/914) prévues à son accord de traitement.
• Resend (Plus Five Five, Inc. (États-Unis), exploitant de Resend) — Envoi des e-mails transactionnels et des e-mails que les clients adressent à leurs contacts. Données : adresses e-mail des destinataires, objet et contenu des messages envoyés. Localisation : États-Unis (données et journaux stockés aux États-Unis, quelle que soit la région d'envoi). Transfert hors UE — garantie : clauses contractuelles types de la Commission européenne (décision 2021/914) prévues à l'accord de traitement de Resend, complétées par son inscription au Data Privacy Framework UE–États-Unis.
• Auto Ways (Auto Ways Network (Paris), d'après ses mentions légales) — Identification d'un véhicule par sa plaque d'immatriculation. Données : plaque d'immatriculation recherchée ; adresse IP du navigateur lors de l'affichage de l'image du modèle. Localisation : Union européenne — serveur de l'API situé à Francfort (Allemagne). Aucun transfert hors UE.
• Expo (650 Industries, Inc. (États-Unis), exploitant d'Expo) — Notifications push de l'application mobile, lorsqu'elles sont activées. Données : jetons des appareils des utilisateurs, texte générique de la notification et lien interne portant un identifiant technique, sans nom ni coordonnées. Localisation : États-Unis (Google Cloud) ; acheminement par Apple et Google. Transfert hors UE — garantie : clauses contractuelles types de la Commission européenne (décision 2021/914, module 2) intégrées aux conditions d'utilisation d'Expo ; 650 Industries, Inc. est inscrit au Data Privacy Framework UE–États-Unis.