Accord de traitement des données

1. Parties et conclusion

Responsable du traitement : le Client ayant souscrit un Abonnement FrameCRM (le « Responsable du traitement »).

Sous-traitant : Pavlo Okhmak, entrepreneur individuel (personne physique exerçant une activité commerciale) inscrit au registre tchèque des métiers, numéro d’identification (IČO) 29485941, dont le siège (lieu d’activité) est situé Bezručova 4201, 430 03 Chomutov, République tchèque, non assujetti à la TVA (le « Sous-traitant »).

Le présent Accord de traitement des données (le « DPA ») fait partie des Conditions générales. Le Responsable du traitement l’accepte en confirmant son consentement lors de l’inscription à FrameCRM ; aucune signature n’est requise. Le DPA satisfait à l’exigence d’un contrat au sens de l’art. 28(3) du règlement (UE) 2016/679 (RGPD).

Seule la version tchèque du présent DPA fait foi. Le présent texte français est une traduction fournie à titre purement informatif ; en cas de divergence, la version tchèque prévaut. En matière de protection des données à caractère personnel, le DPA prime sur les Conditions générales.

2. Objet, durée, nature et finalité

• Objet : traitement des données à caractère personnel que le Responsable du traitement ou ses utilisateurs saisissent dans FrameCRM.
• Durée : pendant la durée de l’Abonnement puis jusqu’à la suppression des données conformément à l’article 10.
• Nature du traitement : collecte (y compris des demandes et réservations provenant du site web ou du formulaire de réservation en ligne du Responsable du traitement, s’il est utilisé), stockage, organisation, affichage, recherche, modification, export, préparation de rappels et de messages que les utilisateurs du Responsable du traitement envoient eux-mêmes aux clients (par ex. via un lien WhatsApp), notifications aux utilisateurs du Responsable du traitement (via Telegram, si le Responsable du traitement l’a activé), émission de documents tels que des factures, sauvegarde et suppression.
• Finalité : fourniture du service FrameCRM — gestion des clients, véhicules, commandes, du calendrier, des rappels, des avis, des factures, du stock, de la paie et des statistiques du Responsable du traitement.

3. Catégories de personnes concernées et de données à caractère personnel

Personnes concernées : les clients et prospects du Responsable du traitement, leurs personnes de contact, les salariés et autres utilisateurs du Responsable du traitement.

Catégories de données :

• données d’identification et coordonnées (nom, téléphone, e-mail, adresse) ;
• données relatives aux véhicules (marque, modèle, plaque d’immatriculation, VIN, kilométrage) ;
• historique des commandes, rendez-vous, prix et enregistrements de paiement, notes ;
• données de facturation (nom de facturation, adresse, numéro d’identification / numéro de TVA) ;
• photos (principalement de véhicules), susceptibles de contenir également d’autres données à caractère personnel ;
• communications avec les clients et avis ;
• données relatives aux utilisateurs du Responsable du traitement (nom, e-mail, téléphone, rôle, journaux de connexion, journal d’activité) et, si le Responsable du traitement utilise la gestion de la paie, leurs règles de rémunération, leurs gains et leurs versements.

Le traitement de catégories particulières de données (art. 9 RGPD) ou de données relatives aux condamnations pénales n’est pas prévu ; le Responsable du traitement ne saisit pas de telles données dans FrameCRM.

4. Obligations du Responsable du traitement

Le Responsable du traitement est responsable de l’existence d’une base légale pour le traitement, de l’information en bonne et due forme des personnes concernées, de l’exactitude des données saisies et de la conformité à la loi de ses instructions au Sous-traitant. Le Responsable du traitement protège les identifiants d’accès de ses utilisateurs.

5. Obligations du Sous-traitant

Le Sous-traitant :

• ne traite les données à caractère personnel que sur instruction documentée du Responsable du traitement — les Conditions générales, le présent DPA ainsi que les paramètres et actions du Responsable du traitement dans l’application sont réputés constituer de telles instructions —, y compris en ce qui concerne les transferts vers des pays tiers ; il informe immédiatement le Responsable du traitement s’il estime qu’une instruction est illicite ;
• veille à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité ;
• prend les mesures techniques et organisationnelles prévues à l’art. 32 RGPD (article 7) ;
• respecte les conditions de recours à des sous-traitants ultérieurs (article 6) ;
• aide le Responsable du traitement à répondre aux demandes des personnes concernées — notamment au moyen des fonctionnalités de l’application permettant de rechercher, rectifier, exporter et supprimer des données ;
• aide le Responsable du traitement à respecter ses obligations au titre des art. 32 à 36 RGPD, compte tenu de la nature du traitement et des informations à sa disposition ;
• supprime ou restitue les données après la fin du service (article 10) ;
• met à la disposition du Responsable du traitement les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d’audits (article 11) ;
• n’utilise pas les données du Responsable du traitement à ses propres fins.

6. Sous-traitants ultérieurs

Le Responsable du traitement donne une autorisation générale de recourir à des sous-traitants ultérieurs. À la date d’entrée en vigueur du présent DPA, il s’agit de :

Les paiements de l’Abonnement sont traités par Stripe ; Stripe ne traite toutefois aucune donnée à caractère personnel des clients du Responsable du traitement.

Les messages adressés aux clients via WhatsApp sont envoyés par les utilisateurs du Responsable du traitement depuis leur propre application WhatsApp (lien click-to-chat) ; WhatsApp (Meta) n’est donc pas un sous-traitant ultérieur du Sous-traitant, et l’utilisation de WhatsApp par le Responsable du traitement est régie par sa propre relation avec Meta. Lorsqu’un utilisateur décode un VIN, seul le VIN (sans aucune autre donnée) est transmis à la base de données publique et gratuite NHTSA vPIC (U.S. Department of Transportation) afin de déterminer la marque et le modèle ; les adresses des studios peuvent être recherchées dans OpenStreetMap (Nominatim).

Le Sous-traitant informe le Responsable du traitement par e-mail au moins 14 jours à l’avance de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur. Le Responsable du traitement peut s’y opposer pour des motifs raisonnables liés à la protection des données ; si les parties ne trouvent pas de solution, le Responsable du traitement peut résilier l’Abonnement avec effet à la date du changement. Le Sous-traitant impose à ses sous-traitants ultérieurs les mêmes obligations en matière de protection des données et demeure responsable de leur exécution.

Les transferts vers des pays tiers n’ont lieu qu’avec des garanties conformes au chapitre V du RGPD (décisions d’adéquation, clauses contractuelles types).

7. Mesures techniques et organisationnelles

• chiffrement en transit (HTTPS/TLS) et chiffrement des données stockées par le fournisseur de la base de données ;
• connexion par mot de passe ou par liens de connexion à usage unique (à durée de validité limitée), sessions sécurisées, rôles et autorisations des utilisateurs au sein du compte ;
• séparation logique des données de chaque client ;
• accès du Sous-traitant aux données de production uniquement dans la mesure nécessaire (assistance, résolution d’incidents), protégé par une authentification forte ;
• sauvegardes régulières chez le fournisseur de la base de données avec possibilité de restauration ;
• mise à jour continue des logiciels et des dépendances, gestion des secrets en dehors du code source ;
• journalisation des opérations et des événements de sécurité ;
• minimisation des données — aucune donnée à caractère personnel des clients n’est transmise à la mesure d’audience ;
• une procédure de réponse aux incidents de sécurité.

8. Violations de données à caractère personnel

Le Sous-traitant notifie au Responsable du traitement toute violation de données à caractère personnel sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance. La notification contient les informations visées à l’art. 33(3) RGPD dont dispose le Sous-traitant et est complétée au fur et à mesure que de nouvelles informations deviennent disponibles. Le Sous-traitant prend des mesures raisonnables pour en atténuer les conséquences.

9. Demandes des personnes concernées

Si le Sous-traitant reçoit d’une personne concernée une demande portant sur les données du Responsable du traitement, il la transmet sans retard injustifié au Responsable du traitement et n’y répond pas lui-même, sauf autorisation du Responsable du traitement.

10. Suppression et restitution des données

Pendant l’Abonnement, le Responsable du traitement peut exporter et supprimer les données à tout moment. Après la fin de l’Abonnement, le Sous-traitant conserve les données pendant 90 jours, au cours desquels le Responsable du traitement peut les demander dans un format lisible par machine. Le Sous-traitant supprime ensuite définitivement les données ; les copies figurant dans les sauvegardes expirent dans le cadre de la rotation des sauvegardes, au plus tard dans un délai supplémentaire de 30 jours. Cette disposition ne s’applique pas lorsque la conservation est exigée par la loi.

11. Informations et audits

Sur demande, le Sous-traitant fournit au Responsable du traitement les informations nécessaires pour démontrer le respect de l’art. 28 RGPD, généralement sous la forme de réponses écrites et de documentation. Le Responsable du traitement, ou un auditeur mandaté par lui et tenu à la confidentialité, peut réaliser un audit ou une inspection sur site moyennant un préavis d’au moins 30 jours, au maximum une fois par an (sauf en cas d’enquête sur une violation de données à caractère personnel ou à la demande d’une autorité de contrôle), aux frais du Responsable du traitement.

12. Responsabilité et dispositions finales

La responsabilité des parties est régie par l’art. 82 RGPD et, pour le surplus, par les Conditions générales. Le présent DPA reste en vigueur aussi longtemps que le Sous-traitant traite des données du Responsable du traitement. Il est régi par le droit de la République tchèque.

Contact pour la protection des données : info@frame-webs.com.