Accord de sous-traitance des données personnelles

Le présent accord (ci-après « l'Accord ») est conclu entre :

• le Client: l'entreprise titulaire d'un compte Axiotrans, qui détermine les finalités et les moyens du traitement des données qu'elle saisit dans le Service — responsable du traitement ;
• Axiotrans : Roméo ROY — Entrepreneur individuel (EI), nom commercial SOS DEVELOPPEUR, SIRET 822 106 183 00012, 10 route de Californie, 71350 Sermesse — sous-traitant.

L'Accord définit les conditions dans lesquelles Axiotrans traite, pour le compte du Client, les données personnelles nécessaires au fonctionnement du Service. Il est accepté en même temps que les CGU, lors de la création du compte, et en fait partie intégrante.

Il ne couvre pas les données qu'Axiotrans traite pour son propre compte (gestion du compte client, facturation, prospection, mesure d'audience du site public), pour lesquelles Axiotrans est responsable du traitement — voir la Politique de confidentialité.

Axiotrans ne traite les données que sur instruction documentée du Client. Constituent ces instructions : les CGU et le présent Accord, la configuration du Service par le Client et les actions effectuées par ses utilisateurs dans le Service, ainsi que toute demande écrite adressée à contact@axiotrans.fr.

Axiotrans n'utilise pas les données du Client à ses propres fins : ni revente, ni prospection, ni profilage, ni entraînement de modèles d'intelligence artificielle. Si une instruction lui paraît contraire au RGPD ou au droit français, Axiotrans en informe immédiatement le Client.

Les personnes autorisées par Axiotrans à accéder aux données du Client sont tenues à une obligation de confidentialité. Cet accès est limité à ce qui est nécessaire au support, à la maintenance et à la sécurité du Service.

Axiotrans met en œuvre les mesures techniques et organisationnelles suivantes (article 32 du RGPD) :

• Cloisonnement entre clients : chaque compte est rattaché à une seule entreprise, et les règles de sécurité de la base de données refusent tout accès aux données d'une autre entreprise
• Contrôle d'accès par rôle (gérant, conducteur, chargeur), appliqué côté serveur
• Chiffrement des échanges (HTTPS/TLS) et des données au repos par l'hébergeur ; chiffrement applicatif AES-256 des secrets d'intégration (jetons API)
• Hébergement de la base de données et des fichiers dans l'Union européenne (Google Cloud, multi-région Europe) ; fonctions serveur exécutées à Paris
• Journal d'audit non modifiable des événements des missions et des eCMR, et scellement cryptographique (SHA-256 et horodatage RFC 3161) des eCMR finalisées
• Sauvegardes : sauvegarde automatique quotidienne de la base de données, conservée 98 jours dans l'Union européenne, et restauration possible à la minute près sur les 7 derniers jours ; fichiers supprimés ou remplacés récupérables pendant 30 jours
• Minimisation : géolocalisation collectée uniquement pendant une mission active et purgée automatiquement après 30 jours
• Limitation du nombre de requêtes sur les points d'accès sensibles

Ces mesures peuvent évoluer. Axiotrans ne peut les modifier que pour les remplacer par un niveau de sécurité au moins équivalent.

Le Client donne à Axiotrans une autorisation générale de recourir aux sous-traitants ultérieurs suivants :

Axiotrans informe le Client par email au moins 30 jours avanttout ajout ou remplacement d'un sous-traitant ultérieur. Le Client peut s'y opposer pour un motif légitime lié à la protection des données. Si aucune solution n'est trouvée, il peut résilier son abonnement sans frais avant la prise d'effet du changement.

Axiotrans impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent Accord. Il reste responsable devant le Client de leur exécution.

Lorsqu'un sous-traitant ultérieur traite des données hors de l'Union européenne, le transfert est encadré par la décision d'adéquation UE–États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié, ou à défaut par les Clauses Contractuelles Types de la Commission européenne (article 46 du RGPD).

Axiotrans aide le Client à respecter ses obligations, dans la mesure de ce que permet le Service :

• Droits des personnes: le Service permet au Client de consulter, corriger, exporter et supprimer les données de ses conducteurs et contacts. Si une personne concernée s'adresse directement à Axiotrans, la demande est transmise au Client sans délai, et Axiotrans n'y répond pas lui-même, sauf instruction du Client.
• Analyse d'impact et consultation de la CNIL : Axiotrans fournit, sur demande, les informations utiles sur le traitement et sur les mesures de sécurité.

Axiotrans notifie au Client toute violation de données personnelles qui le concerne dans les meilleurs délais et au plus tard 48 heuresaprès en avoir eu connaissance, par email à l'adresse du compte gérant. La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées.

Ce délai laisse au Client le temps de notifier la CNIL dans les 72 heures (article 33 du RGPD) et d'informer les personnes concernées si nécessaire (article 34). Ces démarches restent de la responsabilité du Client, avec l'aide d'Axiotrans.

Jusqu'à la fin de son abonnement, le Client peut exporter ses données et télécharger ses documents depuis le Service, ou en faire la demande à contact@axiotrans.fr.

Après la fin de l'abonnement, Axiotrans efface les données du Client dans un délai de 90 jours. Les copies contenues dans les sauvegardes disparaissent ensuite à leur expiration, au plus tard 98 jours après l'effacement. Sont exceptés :

• des eCMR et des documents de transport archivés en application de l'article 15.5 des CGU, conservés pour le compte du Client pendant la durée annoncée, sauf si le Client en demande la restitution suivie de l'effacement ;
• des données qu'une obligation légale impose à Axiotrans de conserver.

Axiotrans tient un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD). Il met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord.

Le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret, au plus une fois par an et avec un préavis écrit de 30 jours, sauf violation de données avérée. L'audit est réalisé aux frais du Client et ne doit ni perturber le Service ni donner accès aux données des autres clients.

En tant que responsable du traitement, le Client s'engage notamment à :

• disposer d'une base légale pour chaque traitement qu'il réalise au moyen du Service ;
• informer ses conducteurs de la géolocalisation pendant les missions, de sa finalité et de leurs droits. Si le Client a un comité social et économique (CSE), il doit aussi le consulter au préalable, conformément au Code du travail ;
• ne saisir que les données nécessaires et tenir à jour les accès de ses utilisateurs, en particulier en retirant les conducteurs qui ont quitté l'entreprise ;
• protéger les identifiants de ses comptes.

La responsabilité de chaque partie au titre du présent Accord est régie par l'article 8 des CGU (limitation de responsabilité), dans les limites permises par l'article 82 du RGPD.

L'Accord s'applique tant qu'Axiotrans traite des données pour le compte du Client. Il est soumis au droit français, et les litiges suivent les règles de l'article 14 des CGU. Axiotrans peut le mettre à jour, notamment pour suivre l'évolution de la réglementation ou de la liste des sous-traitants ultérieurs, selon les conditions prévues aux articles 6 et 11 des CGU.

Contact : contact@axiotrans.fr