Accord de traitement des données

Le présent accord règle le traitement des données à caractère personnel effectué par SpeedParts SRL (Belgique), numéro d’entreprise BE 1028.882.067, ci-après « le sous-traitant », pour le compte du professionnel abonné au logiciel Mooteck, ci-après « le responsable du traitement » ou « le garage ».

Il est conclu en application de l’article 28, paragraphe 3, du règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, ci-après « le règlement ». Les articles 7 à 15 ci-après reprennent, dans l’ordre, les huit obligations que ce paragraphe impose au contrat de sous-traitance.

Cet accord forme une annexe indissociable des conditions générales du service et est accepté par la souscription à un abonnement Mooteck. Il se lit avec la politique de confidentialité et la liste des sous-traitants ultérieurs. Un garage qui souhaite un exemplaire signé peut en faire la demande à contact@mooteck.com.

En cas de contradiction entre le présent accord et les conditions générales sur une question de protection des données, le présent accord prévaut.

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le règlement.

« Données du garage » désigne les données à caractère personnel que le garage, ses utilisateurs ou ses systèmes saisissent, importent ou génèrent dans le logiciel Mooteck, notamment celles relatives à ses clients finaux, à leurs véhicules et à leurs interventions.

Le présent accord prend effet à la création du compte du garage et reste en vigueur tant que le sous-traitant traite des données du garage.

Il prend fin à l’issue des opérations prévues à l’article 14, c’est-à-dire lorsque les données du garage ont été renvoyées ou supprimées au terme de la prestation. Les obligations de confidentialité survivent à cette échéance.

Le garage est responsable du traitement des données du garage. Il détermine les finalités et les moyens du traitement, choisit les données qu’il enregistre et les fonctions qu’il active, informe ses propres clients, recueille leur consentement lorsque celui-ci est requis, notamment pour les messages commerciaux, et s’assure qu’il dispose d’une base légale pour chaque traitement.

Le sous-traitant traite les données du garage uniquement pour fournir le service, sur instruction du garage. Il ne détermine ni les finalités ni les moyens essentiels de ce traitement.

Le sous-traitant agit en revanche comme responsable du traitement pour les données du compte du garage : identification, facturation, connexion, support et journaux techniques. Ces traitements relèvent de la politique de confidentialité et non du présent accord.

Nature des opérations : collecte, enregistrement, organisation, structuration, conservation, adaptation, consultation, utilisation, communication par transmission, mise à disposition, rapprochement, limitation, effacement et destruction des données du garage, par des moyens automatisés.

Finalité : fournir au garage le logiciel de gestion Mooteck et les fonctions qu’il active, à savoir la gestion des clients et des véhicules, les devis, factures et ordres de réparation, la prise de rendez-vous et le planning, la caisse et le stock, les notifications par courrier électronique et par message court, le gardiennage, le dépannage, l’expertise, la commande de pièces et la téléphonie, ainsi que l’assistance technique associée et les sauvegardes.

Personnes concernées :

• les clients du garage, particuliers ou représentants d’un client professionnel ;
• les conducteurs et détenteurs des véhicules confiés au garage ;
• les correspondants du garage enregistrés dans l’outil, notamment lors d’un dépannage ou d’une expertise ;
• les utilisateurs du logiciel au sein du garage, pour les données figurant dans les dossiers qu’ils traitent.

Catégories de données :

• identification et contact : nom, prénom, adresse postale, adresse électronique, téléphone et mobile, identifiants de messagerie renseignés, canal de contact préféré ;
• données professionnelles du client : dénomination, numéro d’entreprise, numéro de TVA, identifiant Peppol, liste de prix appliquée ;
• données du véhicule : plaque d’immatriculation, numéro de châssis, marque, modèle, version, année, type et carburant, couleur, kilométrage, dates de première immatriculation, de contrôle technique et de révision, compagnie, numéro et échéance d’assurance, photographies ;
• données de l’intervention et de la relation commerciale : devis, factures, ordres de réparation, rendez-vous, inspections, encaissements, gardiennage, dépannages, dossiers d’expertise, commandes de pièces, points de fidélité, notes libres, étiquettes, indicateur interne de client à risque et son motif ;
• historique des communications adressées au client final et, lorsque la téléphonie est configurée, journaux d’appels ;
• jetons d’accès permettant à un client final de consulter son carnet sans créer de compte.

Le logiciel n’est pas conçu pour traiter les catégories particulières de données ni les données relatives aux condamnations pénales et aux infractions, auxquelles le règlement applique un régime spécifique. Le garage s’abstient d’en saisir, notamment dans les champs libres.

Le sous-traitant ne traite les données du garage que sur instruction documentée du responsable du traitement. Constituent des instructions documentées : le présent accord, les conditions générales, la documentation du logiciel, les réglages et fonctions activés par le garage dans son espace, ainsi que toute demande écrite adressée à contact@mooteck.com.

Lorsque le droit de l’Union ou le droit belge oblige le sous-traitant à traiter des données au-delà de ces instructions, il en informe le responsable du traitement avant le traitement, sauf si ce droit l’interdit pour des motifs importants d’intérêt public.

Le sous-traitant informe immédiatement le responsable du traitement s’il estime qu’une instruction constitue une violation du règlement ou d’une autre disposition relative à la protection des données.

Le sous-traitant n’utilise pas les données du garage à ses propres fins, ne les vend pas et ne les partage pas entre garages. Le cloisonnement par garage est appliqué à toutes les requêtes du logiciel.

Le sous-traitant veille à ce que les personnes autorisées à traiter les données du garage s’engagent à respecter la confidentialité, par un engagement contractuel ou en vertu d’une obligation légale appropriée, qui survit à la fin de leur mission.

L’accès aux données du garage est limité aux membres de l’équipe qui en ont besoin pour exploiter le service ou répondre à une demande d’assistance. Tout accès de l’équipe de l’éditeur au compte d’un client est tracé et motivé, et figure dans un journal d’audit.

Le sous-traitant prend les mesures requises en vertu de l’article 32 du règlement, relatif à la sécurité du traitement. Sont en place à ce jour :

• chiffrement des échanges en transit (HTTPS, en-tête HSTS) ;
• chiffrement au repos, en AES-256-GCM, des secrets et des données sensibles : coordonnées bancaires, clés d’interface de programmation, identifiants de fournisseurs ;
• cloisonnement des données par garage, appliqué à toutes les requêtes ;
• jetons de session signés et révocables ;
• double authentification disponible pour les comptes, et imposable par le garage à son équipe ;
• verrouillage temporaire des comptes après un nombre anormal d’échecs de connexion ;
• journal d’activité par garage et journal d’audit des actions de l’équipe de l’éditeur ;
• sauvegardes automatiques de la base de données ;
• hébergement dans l’Union européenne, chez un fournisseur d’infrastructure professionnel.

Ces mesures peuvent évoluer, à condition que le niveau de sécurité ne soit pas diminué. Le sous-traitant ne détient aucune certification de sécurité, par exemple ISO 27001 ou SOC 2, et n’en revendique aucune.

Le sous-traitant respecte les conditions visées aux paragraphes 2 et 4 de l’article 28 du règlement pour recruter un autre sous-traitant. Le garage l’autorise de manière générale à recourir à des sous-traitants ultérieurs pour l’exécution du service. La liste nominative, à jour, est publiée sur la page liste des sous-traitants. Elle distingue ceux dont le recours est systématique de ceux qui n’interviennent que si le garage active la fonction correspondante.

Le sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord. Il demeure pleinement responsable envers le garage de l’exécution de leurs obligations.

Le sous-traitant informe le garage de tout ajout ou remplacement d’un sous-traitant ultérieur dont le recours est systématique, au moins trente jours avant sa mise en service, par un message adressé à l’adresse de contact du compte. Le garage peut s’y opposer, pour un motif raisonnable tenant à la protection des données, dans les trente jours de cette information. Les parties recherchent alors une solution ; à défaut, le garage peut résilier son abonnement sans frais ni pénalité, avec effet à la date de mise en service contestée.

Les services qu’un garage connecte lui-même (compte Google, boutique en ligne, téléphonie, lecture de plaque, catalogue de pièces) n’interviennent que sur son initiative et peuvent être désactivés par lui à tout moment.

Le sous-traitant aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, à s’acquitter de son obligation de donner suite aux demandes des personnes concernées qui exercent leurs droits.

Le logiciel permet au garage de répondre lui-même à la plupart de ces demandes : consultation, correction et suppression d’une fiche client, anonymisation d’un client, consultation de l’historique d’un dossier. Lorsque cela ne suffit pas, le sous-traitant apporte son concours dans la mesure du possible.

Si une personne concernée s’adresse directement au sous-traitant, celui-ci ne répond pas à la place du garage : il lui transmet la demande dans les meilleurs délais et l’en informe.

Le sous-traitant aide le responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36 du règlement, compte tenu de la nature du traitement et des informations dont il dispose : sécurité du traitement, notification et communication d’une violation de données à caractère personnel, analyse d’impact relative à la protection des données et consultation préalable de l’autorité de contrôle.

Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel concernant les données du garage, dans les meilleurs délais après en avoir pris connaissance. La notification est adressée à l’adresse de contact du compte.

Elle contient, dans la mesure où ces éléments sont connus au moment de l’envoi :

• la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
• les conséquences probables de la violation ;
• les mesures prises ou proposées pour y remédier et en atténuer les effets ;
• un point de contact permettant d’obtenir davantage d’informations.

Les informations manquantes sont communiquées au fur et à mesure, sans nouveau délai injustifié. Cette notification rapide a pour objet de permettre au garage de tenir son propre délai : c’est lui, en sa qualité de responsable du traitement, qui notifie la violation à l’autorité de contrôle, au plus tard 72 heures après en avoir pris connaissance conformément à l’article 33 du règlement, et qui communique le cas échéant avec les personnes concernées. Le sous-traitant ne notifie pas l’autorité de contrôle à sa place.

Au terme de la prestation, le sous-traitant, selon le choix du responsable du traitement, supprime toutes les données du garage ou les lui renvoie.

Pendant toute la durée de l’abonnement et jusqu’à l’expiration du délai ci-dessous, le garage peut extraire ses données depuis le logiciel, sous les formats proposés par celui-ci ; il peut aussi demander leur renvoi en écrivant à contact@mooteck.com.

L’abonnement est sans engagement et résiliable à tout moment par le garage. À défaut de choix exprimé avant la fin de l’abonnement, le sous-traitant supprime les données du garage dans un délai de trente jours à compter de cette fin. Le garage est invité à procéder à ses extractions avant l’expiration de ce délai.

Sont exclues de cette suppression les données que le sous-traitant doit conserver en vertu d’une obligation légale, en particulier les factures et pièces comptables, qui restent conservées pour la durée légale applicable en Belgique et ne sont plus traitées à d’autres fins.

Les sauvegardes existantes sont écrasées selon leur cycle de rotation habituel ; elles ne sont utilisées que pour restaurer le service et ne font l’objet d’aucun autre traitement.

Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du règlement, et pour permettre la réalisation d’audits, y compris d’inspections, par le responsable du traitement ou un autre auditeur qu’il mandate. Il fournit notamment la description des mesures de sécurité et la liste des sous-traitants ultérieurs, et répond aux questionnaires raisonnables du garage sur ces points.

L’auditeur mandaté ne peut être un concurrent du sous-traitant et est tenu à la confidentialité. L’audit se déroule pendant les heures ouvrables, moyennant un préavis écrit d’au moins trente jours, sans perturber l’exploitation du service, dans la limite d’une fois par période de douze mois, sauf incident de sécurité avéré ou demande d’une autorité de contrôle. Il ne peut porter sur les données d’autres clients du sous-traitant.

Les frais de l’audit sont à la charge du garage. Le temps que le sous-traitant y consacre au-delà de ce qui est raisonnable peut lui être facturé, au tarif horaire annoncé à l’avance et accepté par le garage.

Les données du garage sont hébergées dans l’Union européenne, chez Google Cloud (Google Ireland Limited), région europe-west1, à Saint-Ghislain en Belgique.

Le sous-traitant ne transfère pas de lui-même les données du garage hors de l’Union européenne. Lorsque le garage active une fonction reposant sur un service qu’il connecte, un tel transfert peut avoir lieu sous sa responsabilité ; il lui appartient alors de vérifier les garanties offertes par ce service.

Chaque partie répond des manquements qui lui sont propres. Le sous-traitant répond du dommage causé par un traitement lorsqu’il n’a pas respecté les obligations que le règlement met spécifiquement à la charge des sous-traitants, ou lorsqu’il a agi en dehors des instructions licites du responsable du traitement.

Le garage répond des données qu’il a saisies sans base légale, sans information des personnes concernées, ou en violation de l’article 6 ci-dessus, relatif aux catégories de données.

Les limitations de responsabilité convenues dans les conditions générales s’appliquent au présent accord. Elles ne jouent ni en cas de dol, ni en cas de faute lourde, et ne peuvent en aucun cas réduire les droits que les personnes concernées tiennent du règlement, ni la responsabilité que celui-ci met à la charge de chaque partie à leur égard.

Chaque version du présent accord porte un numéro et une date d’entrée en vigueur. Toute modification substantielle est communiquée aux garages abonnés, à l’adresse de contact de leur compte, au moins trente jours avant son entrée en vigueur. Le garage qui estime la modification défavorable peut résilier son abonnement sans frais ni pénalité avant cette date.

Le droit applicable et la juridiction compétente sont ceux prévus par les conditions générales du service, sans préjudice de la compétence de l’autorité de contrôle et des droits que les personnes concernées tiennent du règlement.