Accord de sous-traitance (RGPD article 28)

1. Parties et qualification

Le présent accord complète les conditions générales de venteet s'applique à tout traitement de données à caractère personnel effectué par FleetJoy pour le compte de son client.

Cette qualification ne vaut que pour les données du parc et des conducteurs. Pour le compte client, la facturation et la mesure d'audience, l'éditeur agit en qualité de responsable de traitement pour son propre compte : ces traitements relèvent de la politique de confidentialité et sont hors du champ du présent accord.

2. Description du traitement confié

Aucune donnée de localisation ni de comportement de conduite n'est traitée. Le service ne comporte aucun matériel embarqué : aucune position n'est enregistrée, aucun trajet reconstitué, aucun score de conduite calculé. Le client ne peut donc pas utiliser FleetJoypour surveiller les déplacements de ses salariés, et l'éditeur ne détient aucune donnée permettant de le faire.

3. Traitement sur instructions documentées — article 28.3 a)

L'éditeur ne traite les données que sur instruction documentée du client. Constituent de telles instructions : le présent accord, les conditions générales, et les actions effectuées par le client depuis son espace.

L'éditeur informe immédiatement le client s'il estime qu'une instruction constitue une violation du RGPD ou du droit national applicable.

Aucun transfert vers un pays tiers n'est opéré sur la seule initiative de l'éditeur, hors ceux énumérés à l'article 6 et ceux qu'une obligation légale imposerait — auquel cas l'éditeur en informe le client avant traitement, sauf interdiction légale de le faire.

4. Confidentialité — article 28.3 b)

L'accès aux données est limité aux personnes dont l'exécution du service l'exige, tenues à une obligation de confidentialité de nature contractuelle ou légale, y compris après la fin de leurs fonctions. L'éditeur exerçant sous la forme d'une entreprise individuelle, cet accès se limite à ce jour à l'entrepreneur lui-même ; toute extension à un collaborateur ou à un prestataire emportera la même obligation, formalisée par écrit.

5. Mesures de sécurité — article 28.3 c) et article 32

Les mesures suivantes sont effectivement mises en œuvre :

• Cloisonnement appliqué par la base de données, non par l'interface. Les droits d'accès sont exprimés en politiques de sécurité au niveau des lignes : une donnée appartenant à une entreprise est inaccessible à toute autre, y compris en cas de requête forgée depuis un navigateur. Une protection qui ne vivrait que dans l'interface serait contournable et n'en serait pas une.
• Chiffrement des échanges entre le navigateur et le service.
• Authentification par jetons signés ; mots de passe jamais conservés en clair ; second facteur disponible sur les opérations sensibles.
• Aucune donnée complète de carte bancaire n'est traitée ni conservée par l'éditeur.
• Journalisation horodatée des interventions d'assistance sur un espace client, dans un journal dépourvu de politique de modification ou de suppression : une trace qu'on peut réécrire ne prouve rien.
• Limitation du débit des requêtes et cloisonnement de l'administration de la plateforme, invisible pour les comptes qui n'y ont pas droit.

Ces mesures peuvent évoluer, sans que le niveau de sécurité en soit diminué.

6. Sous-traitants ultérieurs — article 28.3 d) et 28.2

Le client autorise l'éditeur à faire appel aux sous-traitants ultérieurs listés ci-dessous. Cette autorisation est générale au sens de l'article 28.2 : l'éditeur informe le client de tout ajout ou remplacement trente jours avantqu'il ne prenne effet, par voie électronique et par mise à jour de la présente page. Le client dispose de ce délai pour émettre une objection motivée et, à défaut d'accord, résilier sans frais ni pénalité.

Chaque sous-traitant ultérieur est tenu par des obligations de protection équivalentes à celles du présent accord. L'éditeur demeure pleinement responsable devant le client de l'exécution de leurs obligations.

7. Localisation et transferts

La base de données, l'authentification et les documents téléversés sont hébergés dans l'Union européenne — région eu-central-1 (Francfort, Allemagne). Les données de parc et de conducteurs ne quittent donc pas l'Union. Les transferts hors UE se limitent aux prestataires identifiés comme tels dans le tableau ci-dessus, qui interviennent en périphérie du service, et sont encadrés par les clauses contractuelles types de la Commission européenne ou par la certification au cadre de protection des données UE—États-Unis.

8. Assistance aux droits des personnes — article 28.3 e)

L'éditeur assiste le client dans le respect de son obligation de donner suite aux demandes d'exercice des droits. Deux fonctions y pourvoient directement, sans intervention de l'éditeur et sans délai :

• Export complet du compte, qui rend le droit à la portabilité immédiatement exerçable ;
• Effacement d'un conducteurpar pseudonymisation, qui retire l'identité tout en préservant les pièces dont la conservation est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice (article 17.3 e).

Toute demande d'une personne concernée adressée directement à l'éditeur lui est transmise sans délai : c'est au client, responsable de traitement, d'y répondre.

9. Assistance sécurité, violations et analyses — article 28.3 f)

L'éditeur notifie au client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les quarante-huit heures. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises.

Ce délai est volontairement plus court que les soixante-douze heures dont dispose le client pour notifier l'autorité de contrôle (article 33) : lui laisser l'intégralité du délai reviendrait à lui en retirer l'usage.

L'éditeur assiste également le client, compte tenu des informations à sa disposition, dans la réalisation d'analyses d'impact et dans la consultation préalable de l'autorité de contrôle lorsqu'elles sont requises.

10. Sort des données en fin de contrat — article 28.3 g)

Au terme de la prestation, le client choisit entre la restitution et la suppression des données. La restitution s'opère par la fonction d'export, disponible y compris en lecture seule: l'éditeur ne conditionne la restitution au paiement d'aucune somme et ne pratique aucune rétention.

11. Information et audit — article 28.3 h)

L'éditeur met à la disposition du client toutes les informations nécessaires pour démontrer le respect des obligations du présent accord, et notamment le registre des activités de traitement tenu au titre de l'article 30.2.

Le client peut réaliser un audit, par lui-même ou par un auditeur mandaté non concurrent de l'éditeur, sous réserve d'un préavis de trente jours, dans la limite d'un audit par an sauf incident de sécurité avéré, et à ses frais. L'audit ne peut porter atteinte à la confidentialité des données des autres clients.

12. Obligations du client

Le client, responsable de traitement, garantit qu'il dispose d'une base légale pour les données qu'il confie. Il lui appartient notamment :

• d'informer ses salariés du traitement, de ses finalités et de leurs droits ;
• de consulter ses instances représentatives du personnel lorsque cette consultation est requise ;
• d'inscrire le traitement à son propre registre au titre de l'article 30.1 ;
• de ne confier que des données pertinentes et limitées à ce qu'exige la gestion de son parc.

13. Acceptation, durée et droit applicable

Le présent accord est accepté par la souscription à l'abonnement et produit effet pendant toute la durée de celui-ci, puis jusqu'à l'extinction des obligations de conservation. Il est régi par le droit français et par le règlement (UE) 2016/679. En cas de contradiction avec les conditions générales, le présent accord prévaut pour tout ce qui concerne la protection des données à caractère personnel. Un exemplaire signé peut être demandé à contact@fleetjoy.app.