Accord de sous-traitance des données : les données de vos clients.

Cet accord fait partie des conditions générales de vente et d’utilisation de Carnet Garage. Il répond à l’article 28 du règlement (UE) 2016/679 (« RGPD »).

1. Les parties

• Le responsable du traitement : le garage titulaire du compte Carnet Garage (le « garage »). Il décide pourquoi et comment les données de ses clients sont traitées.
• Le sous-traitant : Antoine MOURY, entrepreneur individuel, 26 rue Charles de Mouchy, 06210 Mandelieu-la-Napoule, SIRET 913 844 619 00027, éditeur de Carnet Garage et de Billies (le « sous-traitant »). Contact : contact@carnet-garage.fr.

L’accord est accepté avec les conditions générales, à l’ouverture du compte.

2. Objet et durée

Le sous-traitant traite, pour le compte du garage, les données personnelles de ses clients nécessaires au fonctionnement de Carnet Garage. L’accord s’applique tant que le compte existe, essai compris, et jusqu’à la suppression ou la restitution des données prévue à l’article 11.

3. Nature et finalités des traitements

Le sous-traitant héberge, enregistre, consulte, modifie, transmet et efface les données, uniquement pour :

• tenir le fichier des clients et des véhicules du garage ;
• créer un véhicule et son propriétaire à partir de la photo de la carte grise, et relever les informations des factures que le garage dépose, par une lecture automatique (IA) ;
• tenir l’historique des interventions, les fiches d’entretien et le calcul des échéances ;
• afficher le carnet d’entretien de la voiture à qui scanne l’étiquette ou ouvre le lien, et ouvrir ses factures au client après un code envoyé par mail ;
• envoyer, au nom du garage, les messages qu’il a demandés ou réglés : rappels d’entretien, lien du carnet, demande d’avis Google, promotions par SMS, devis, factures et codes d’accès ; noter les clics sur un lien de promotion et l’ouverture d’un lien d’avis ;
• établir, faire signer, envoyer et conserver les devis, factures et avoirs, et émettre ou recevoir les factures électroniques ;
• tenir le journal des mails et SMS envoyés ;
• respecter les refus des clients (STOP, désinscription) ;
• assurer la sécurité, la séparation des données entre garages et les sauvegardes.

Le sous-traitant n’utilise pas ces données pour son propre compte, ne les vend pas, ne les cède pas, ne s’en sert pas pour sa publicité et ne les fait pas servir à l’entraînement de modèles d’IA.

4. Personnes concernées

• les clients du garage, particuliers et professionnels, et les personnes qui les représentent ;
• les autres personnes nommées sur un même devis ou une même facture ;
• les titulaires et anciens titulaires des cartes grises ;
• les personnes qui signent un devis ;
• les personnes qui consultent le carnet d’une voiture.

5. Types de données

• Identité : nom, prénom, raison sociale, SIRET et forme juridique d’un client professionnel.
• Coordonnées : adresse postale, adresse e-mail, téléphone.
• Véhicule : immatriculation, numéro de série (VIN), marque, modèle, caractéristiques techniques, date de première immatriculation, échéance du contrôle technique, photo de la carte grise.
• Atelier : interventions (date, kilométrage relevé, travaux, notes, huile utilisée), échéances, choix des pièces, dernière vidange notée par le client sur le carnet.
• Documents : devis, factures, avoirs, paiements (montant, date, mode), fichiers de factures déposés par le garage, signature d’un devis (nom, date).
• Messages : destinataire, texte des SMS, mail tel qu’il est parti, résultat de l’envoi ; clic sur un lien de promotion ; ouverture du lien d’avis.
• Préférences : refus des rappels, des SMS ou des promotions, date d’accord aux offres.
• Accès : empreinte des codes d’accès aux factures, cookie d’accès sur le téléphone du client.

Le service n’est pas prévu pour des données sensibles au sens de l’article 9 du RGPD. Le garage s’abstient d’en écrire dans les notes libres.

6. Instructions du garage

Le sous-traitant ne traite les données que sur instruction documentée du garage. Ces instructions sont : les conditions générales, le présent accord, et les choix que le garage fait dans le service (réglages, envois, effacements). Si une instruction lui paraît contraire au RGPD ou au droit français, le sous-traitant en informe le garage sans attendre. Si le droit de l’Union ou le droit français l’oblige à un traitement, il en informe le garage avant, sauf si la loi l’interdit.

7. Obligations du garage

Le garage :

• dispose d’une base légale pour chaque traitement, notamment pour les promotions (accord ou client existant) ;
• informe ses clients ; la page « Vos données » propre à chaque garage, accessible depuis le carnet et depuis les messages, l’y aide ; il la relit et complète l’information de ses clients par un autre moyen si elle ne couvre pas tout son usage ;
• tient son registre des traitements ;
• ne saisit que les données nécessaires ;
• répond aux demandes de ses clients, avec l’aide du sous-traitant (article 9) ;
• veille à la sécurité de ses identifiants et des appareils de l’atelier.

8. Confidentialité et sécurité

Confidentialité. Seul l’éditeur, qui exploite le service, accède aux données, et seulement quand c’est nécessaire au service, au support demandé par le garage ou à la sécurité. Toute personne qui viendrait à y accéder pour son compte serait tenue au secret par écrit.

Sécurité. Le sous-traitant met en œuvre les mesures de l’article 32 du RGPD adaptées au risque, en particulier :

• séparation des données de chaque garage, contrôlée à chaque lecture et écriture en base, par des règles dans la base elle-même et par des tests qui appellent chaque fonction avec les identifiants d’un autre garage ;
• fichiers (cartes grises, factures déposées) rangés dans un dossier propre à chaque garage, servis seulement à un utilisateur connecté de ce garage ;
• mots de passe enregistrés sous forme d’empreinte (scrypt), adresse e-mail confirmée, sessions annulées à chaque réinitialisation, essais de connexion limités ;
• étiquette et liens du carnet porteurs d’un jeton aléatoire, sans nom ni coordonnées ; factures ouvertes au client seulement après un code à usage unique, valable 10 minutes, envoyé par mail ; photos de cartes grises servies seulement à un utilisateur connecté du garage, qui les retrouve dans son export ;
• mot de passe d’une boîte mail branchée par le garage chiffré en base et jamais renvoyé à l’écran ;
• connexions chiffrées (HTTPS) ;
• copies de sauvegarde de la base et des fichiers.

9. Aide au garage

Droits des personnes. Le garage répond lui-même aux demandes de ses clients. Le service lui permet de consulter, corriger et effacer une fiche client ou une voiture ; les refus de messages se notent sur la fiche. Un effacement retire tout ce qui n’est pas imprimé sur un devis ou une facture émis ; le nom et l’adresse imprimés sur une facture restent le temps de la conservation légale. Si une personne s’adresse directement au sous-traitant, celui-ci transmet la demande au garage sans y répondre lui-même, sauf instruction du garage.

Autres obligations. Le sous-traitant aide le garage, sur demande et dans la mesure des informations dont il dispose, pour une analyse d’impact (article 35 du RGPD), une consultation de l’autorité de contrôle (article 36) et le respect de son obligation de sécurité.

10. Violation de données

Le sous-traitant notifie au garage toute violation de données personnelles qui le concerne dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, par mail à l’adresse du compte. La notification décrit, autant que possible : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables, les mesures prises ou proposées, et un contact. Les informations qui manquent sont données dès qu’elles sont connues. Il revient au garage de notifier la CNIL et, si nécessaire, ses clients (articles 33 et 34 du RGPD) ; le sous-traitant l’y aide.

11. Fin du contrat

À la fin de l’essai sans souscription, ou à la prise d’effet de la résiliation, les données restent conservées pendant 90 jours, pendant lesquels le garage peut les consulter et exporter ses factures. Au terme de ce délai, le sous-traitant supprime les données du garage de Carnet Garage, y compris ses fichiers, sauf si le garage a souscrit entre-temps. Les copies de sauvegarde, chiffrées, sont effacées au fil de leur rotation : celles de chaque nuit sont gardées 7 jours, celles de chaque semaine 4 semaines et celles de chaque mois 12 mois.

Les devis, factures et avoirs émis restent conservés par Billies pendant la durée légale de conservation des pièces comptables, pour le compte du garage, qui peut en obtenir copie sur demande.

Le garage peut demander, avant la fin de ce délai, la suppression de ses données, depuis les Réglages (« Supprimer mon compte »), ou leur restitution dans un format lisible par machine (« Exporter mes données »). La suppression demandée est faite sous 48 heures, dans les conditions de l’article 8 des conditions générales.

12. Sous-traitants ultérieurs

Le garage autorise de façon générale le sous-traitant à faire appel aux sous-traitants ultérieurs de l’annexe. Le sous-traitant leur impose, par contrat, des obligations de protection des données équivalentes à celles de cet accord et reste responsable devant le garage de leur exécution.

Avant d’ajouter ou de remplacer un sous-traitant ultérieur, il prévient le garage par mail au moins 30 jours avant. Le garage peut s’y opposer pour un motif lié à la protection des données ; si aucune solution n’est trouvée, il peut résilier sans frais avant le changement.

13. Transferts hors de l’Union européenne

Certaines données sont traitées par un prestataire établi aux États-Unis (annexe). Ces transferts sont encadrés par les garanties prévues au chapitre V du RGPD, indiquées pour chaque prestataire dans l’annexe. Le sous-traitant n’effectue pas d’autre transfert hors de l’Union européenne sans prévenir le garage dans les conditions de l’article 12.

14. Audits

Le sous-traitant met à la disposition du garage les informations nécessaires pour démontrer le respect de cet accord, sur demande écrite à contact@carnet-garage.fr. Le garage peut faire réaliser un audit, une fois par an au plus, sauf violation de données, à ses frais, par un auditeur tenu au secret et qui n’est pas un concurrent, avec un préavis de 30 jours. L’audit porte sur les traitements du garage et ne donne pas accès aux données des autres garages.

15. Responsabilité

Chaque partie répond de ses propres manquements au RGPD. Les limites de responsabilité des conditions générales s’appliquent à cet accord dans la mesure permise par la loi.

Annexe : sous-traitants ultérieurs

Paiement de l’abonnement. L’abonnement du garage est payé par l’intermédiaire de Stripe, qui traite les données de paiement du garage selon ses propres conditions, en qualité de responsable de traitement ; il n’est pas un sous-traitant ultérieur du présent accord. Le service ne propose pas le paiement en ligne des factures que le garage adresse à ses clients.

Prestataires qui ne reçoivent aucune donnée des clients. Pour le dessin de la voiture, Carnet Garage interroge Wikimedia Commons avec la marque et le modèle, et envoie à fal (Features & Labels, Inc., États-Unis) une photo libre du modèle ou le nom du modèle. Pour vérifier le SIRET d’un client professionnel, il interroge l’annuaire public des entreprises de l’État. Aucune donnée d’un client du garage n’est transmise à ces services.

Boîte mail du garage. Si le garage branche sa propre boîte mail dans les Réglages, les mails partent par le fournisseur de cette boîte, que le garage a choisi ; ce fournisseur n’est pas un sous-traitant ultérieur du présent accord.