1. Parties et portée
Le présent accord, ci-après le « DPA », lie le client, responsable du traitement, et XXX/NAVAL, sous-traitant, pour les traitements de données personnelles réalisés dans le cadre du service sur instructions du client.
Il complète les CGV, le devis et les conditions particulières. Pour toute question de protection des données relevant de son objet, il prévaut sur les stipulations générales contradictoires.
2. Description du traitement
| Élément | Description |
|---|---|
| Objet | Hébergement et fourniture des fonctions de gestion de flotte, missions, planning, CRM, documents, notifications, analyses et assistance IA |
| Durée | Durée du contrat, période de réversibilité et suppression résiduelle prévues |
| Nature | Collecte, enregistrement, organisation, consultation, rapprochement, calcul, transmission contrôlée, sauvegarde, export et suppression |
| Finalités | Fournir les fonctions choisies et exécuter les instructions licites documentées du client |
| Personnes | Utilisateurs, salariés, conducteurs indépendants ou sous-traitants, contacts clients, passagers strictement nécessaires, prospects et partenaires du client |
| Données | Identité et coordonnées professionnelles, missions, plannings, documents, qualifications, absences, localisation ponctuelle, photos, CRM, communications, journaux et données opérationnelles |
| Données particulières | Aptitude et indisponibilité strictement nécessaires ; diagnostics et dossiers médicaux détaillés interdits |
3. Instructions du client
NAVAL ne traite les données que sur instruction documentée du client, y compris pour un transfert international, sauf obligation légale contraire. Le contrat, les réglages, les actions des utilisateurs habilités et les demandes écrites constituent des instructions documentées.
Si NAVAL estime qu’une instruction viole le RGPD ou une règle applicable, il en informe le client et peut suspendre l’exécution de cette instruction jusqu’à sa clarification. NAVAL n’est pas tenu d’exécuter une instruction illicite, techniquement impossible ou étrangère au service.
4. Obligations du client
- déterminer les finalités et bases légales de ses traitements ;
- fournir les informations requises aux personnes et gérer leurs droits ;
- respecter la minimisation, l’exactitude et les durées de conservation ;
- informer ses salariés et consulter le CSE lorsque la loi l’exige ;
- ne pas déposer de diagnostics, dossiers médicaux détaillés ou données illicites ;
- limiter les habilitations et désactiver sans délai les comptes non autorisés ;
- réaliser une AIPD lorsque le traitement est susceptible d’engendrer un risque élevé.
5. Confidentialité des personnes autorisées
NAVAL veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité, reçoivent des instructions adaptées et n’accèdent qu’aux informations nécessaires à leurs fonctions.
6. Sécurité
NAVAL met en œuvre des mesures techniques et organisationnelles appropriées au risque, notamment chiffrement des communications, authentification, contrôle d’accès, séparation logique des organisations, journalisation, sauvegardes, gestion des sessions, correctifs et procédure de gestion des incidents.
Les mesures détaillées dans l’annexe Sécurité peuvent évoluer sans réduire matériellement le niveau global de protection. Les objectifs non encore effectivement déployés sont identifiés comme tels et ne constituent pas une garantie présente.
7. Sous-traitants ultérieurs
Le client autorise de manière générale le recours aux sous-traitants figurant dans la liste publiée. NAVAL informe le client, normalement trente jours à l’avance, de l’ajout ou du remplacement d’un sous-traitant traitant des données personnelles, sauf urgence de sécurité ou situation exceptionnelle.
Le client peut s’opposer pour des motifs raisonnables et documentés liés à la protection des données. Les parties recherchent une solution raisonnable. À défaut, la fonction concernée ou le contrat peut être résilié selon les conditions applicables lorsque le sous-traitant est nécessaire à la fourniture du service.
NAVAL impose à ses sous-traitants des obligations de protection substantiellement équivalentes et demeure responsable envers le client de l’exécution de leurs obligations dans les conditions du RGPD.
8. Transferts hors EEE
NAVAL ne transfère des données hors Espace économique européen que sur instruction du client ou lorsque cela est nécessaire au service et encadré par un mécanisme valable : décision d’adéquation, Data Privacy Framework pour les destinataires éligibles, clauses contractuelles types ou autre garantie autorisée.
La liste des sous-traitants indique les localisations connues. Le client reconnaît qu’à la date de cette version certaines fonctions Vercel peuvent être exécutées aux États-Unis. NAVAL ne garantit pas une exécution intégralement européenne tant que l’architecture ne le permet pas.
9. Assistance aux droits des personnes
NAVAL transmet au client toute demande reçue concernant les données métier et l’assiste, dans la mesure du possible, pour rechercher, rectifier, exporter, limiter ou supprimer les données. L’assistance intervient suffisamment tôt pour permettre au client de respecter les délais légaux.
La documentation et les fonctions standards sont incluses. Une demande complexe, répétitive ou nécessitant un développement peut être facturée à coût raisonnable si elle n’est pas causée par une non-conformité de NAVAL.
10. Violations de données
NAVAL informe le client dans les meilleurs délais après avoir pris connaissance d’une violation concernant ses données, sans attendre la fin de l’enquête. L’objectif est une première alerte sous vingt-quatre heures lorsque les informations disponibles permettent d’identifier une violation pertinente.
L’information est complétée progressivement et comprend, dans la mesure connue, la nature de l’incident, les catégories de données et personnes, les conséquences probables, les mesures prises et un contact. Le client demeure responsable des notifications à l’autorité et aux personnes lorsque celles-ci lui incombent.
11. AIPD et consultation
NAVAL fournit au client les informations raisonnablement nécessaires à une analyse d’impact et, le cas échéant, à une consultation préalable de l’autorité, compte tenu de la nature du traitement et des informations dont NAVAL dispose.
12. Audits et démonstration de conformité
NAVAL met à disposition la documentation raisonnablement nécessaire pour démontrer le respect du présent DPA. Le client peut réaliser ou faire réaliser un audit au maximum une fois par an, avec un préavis de trente jours, pendant les heures ouvrées, sous confidentialité et sans perturber excessivement le service.
Un audit supplémentaire peut être justifié après un incident, une suspicion sérieuse ou une demande d’autorité. Les travaux dépassant la documentation standard peuvent être facturés à coût raisonnable, sauf non-conformité imputable à NAVAL.
13. Sort des données
Au terme du service, le client dispose de soixante jours pour exporter ses données. NAVAL les supprime ou les anonymise ensuite, sauf obligation légale de conservation. Les sauvegardes résiduelles sont purgées selon leur cycle, dans un délai maximal cible de soixante jours supplémentaires, et ne sont pas remises en production normale.
14. Données propres à NAVAL
Le présent DPA ne s’applique pas aux traitements pour lesquels NAVAL détermine ses propres finalités, notamment gestion de la relation contractuelle, facturation, sécurité générale, prospection NAVAL et défense de ses droits. Ces traitements sont décrits dans la politique de confidentialité.
15. Contact
Contact données personnelles NAVAL : XXX. Contact du client : adresse désignée lors de la souscription ou dans les conditions particulières.