Accord de traitement des données

Le présent accord de traitement des données (« l'Accord ») complète les conditions générales d'utilisation et de vente et en fait partie intégrante. Il encadre, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »), les traitements de données personnelles que KBE Solutions (« l'Éditeur ») réalise pour le compte de son client, l'entreprise de transport qui utilise Ezzo TMS (« le Client »).

1. Rôles des parties

Pour les données personnelles que le Client saisit dans l'application ou qui y sont collectées sur ses instructions (article 3 ci-dessous), le Client est responsable du traitement et l'Éditeur est sous-traitant. Pour ses propres traitements (gestion du compte, facturation, sécurité, relation commerciale), l'Éditeur est responsable du traitement ; ils sont décrits dans la politique de confidentialité et ne relèvent pas du présent Accord.

2. Objet, nature, finalité et durée

L'Éditeur héberge, conserve, met à disposition et sauvegarde les données dans l'application, et les traite pour fournir le service décrit à l'article 1 des conditions générales : gestion des missions et des tournées, application mobile des chauffeurs, collecte de signatures et de photos, édition de Lettres de Voiture, envoi du dossier de clôture, notifications. Le traitement dure aussi longtemps que le contrat, puis pendant la période de récupération prévue à l'article 6 des conditions générales.

3. Données et personnes concernées

• Chauffeurs et collaborateurs du Client : identité, coordonnées, rôle, numéro et date d'expiration du permis de conduire, adresse, actions réalisées dans l'application mobile, position géographique enregistrée à certaines étapes de la mission (acceptation, départ, chargement, livraison, clôture) et à la demande de l'exploitant.
• Clients du Client, expéditeurs et destinataires : nom, coordonnées, adresses de chargement et de livraison, contenu des Lettres de Voiture.
• Personnes qui signent à la remise ou à la livraison : nom saisi, signature manuscrite, horodatage et, si leur appareil l'autorise, position géographique.
• Pièces jointes : photos et documents ajoutés par le Client, qui peuvent contenir d'autres données personnelles. Le Client détermine ce qu'il y enregistre ; il lui appartient de ne pas y déposer de données qui ne sont pas nécessaires à son activité de transport.

4. Obligations de l'Éditeur

L'Éditeur s'engage à :

• ne traiter les données que sur instruction documentée du Client, constituée par les présentes, les conditions générales et l'usage que le Client fait des fonctionnalités de l'application, y compris pour les transferts hors de l'Union européenne, sauf obligation légale contraire, auquel cas il en informe le Client avant le traitement lorsque la loi le permet ;
• veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité ;
• mettre en œuvre les mesures de sécurité décrites à l'article 5 ;
• respecter les conditions de recours à un sous-traitant ultérieur décrites à l'article 6 ;
• aider le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées, et lui transmettre sans délai toute demande qu'il recevrait directement ;
• aider le Client à respecter ses obligations de sécurité, de notification des violations de données et, le cas échéant, d'analyse d'impact et de consultation préalable, compte tenu de la nature du traitement et des informations dont il dispose ;
• supprimer ou restituer les données à la fin du contrat dans les conditions de l'article 6 des conditions générales ;
• mettre à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord et permettre la réalisation d'audits, par le Client ou un auditeur qu'il mandate, dans des conditions raisonnables convenues à l'avance et qui ne perturbent pas le service ; l'Éditeur informe le Client s'il estime qu'une instruction constitue une violation du RGPD.

5. Mesures de sécurité

• Les échanges avec l'application sont chiffrés (HTTPS).
• L'accès s'effectue par un compte personnel authentifié par un code à usage unique envoyé par email.
• Les données de chaque entreprise sont cloisonnées : un utilisateur n'accède qu'aux données de l'entreprise à laquelle il appartient, avec des droits qui dépendent de son rôle (propriétaire, administrateur, chauffeur), contrôlés côté serveur.
• L'accès du personnel de l'Éditeur est réservé aux personnes habilitées. La consultation d'un compte pour assistance est en lecture seule, limitée dans le temps et journalisée.
• La base de données dispose d'un historique de restauration de 7 jours, qui permet de revenir à un état antérieur en cas d'incident.

6. Sous-traitants ultérieurs

Le Client autorise l'Éditeur à recourir, de façon générale, aux sous-traitants ultérieurs suivants à la date de l'Accord :

• Amazon Web Services EMEA SARL (38 avenue John F. Kennedy, L-1855 Luxembourg) : hébergement de l'application et des documents, région Irlande (eu-west-1), et envoi des emails transactionnels (Amazon SES).
• Neon (Neon, LLC, filiale de Databricks, Inc., États-Unis) : hébergement de la base de données, sur l'infrastructure d'Amazon Web Services à Francfort (Allemagne).

L'Éditeur informe le Client par email, au moins 30 jours à l'avance, de tout ajout ou remplacement de sous-traitant ultérieur. Le Client peut s'y opposer par écrit pendant ce délai pour des motifs liés à la protection des données ; à défaut d'accord, il peut résilier le contrat sans frais. L'Éditeur impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent Accord et demeure responsable à l'égard du Client de leur exécution.

7. Transferts hors de l'Union européenne

Les données sont hébergées dans l'Union européenne (Irlande et Allemagne). Certains sous-traitants ultérieurs appartiennent à des groupes établis aux États-Unis, dont le personnel peut avoir accès aux données pour l'exploitation ou le support. Ces accès sont encadrés par les garanties prévues au chapitre V du RGPD : le cadre de protection des données UE–États-Unis (Databricks, Inc. et Neon, LLC figurent parmi les entités certifiées) et les clauses contractuelles types ou engagements complémentaires prévus par l'accord de traitement des données de chaque prestataire.

8. Violations de données

L'Éditeur notifie le Client dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles qui le concerne, et lui fournit les informations dont il dispose pour lui permettre de remplir ses propres obligations de notification.

9. Dispositions générales

Le présent Accord s'applique pour la durée du contrat. En cas de contradiction avec les conditions générales sur le traitement des données personnelles, il prévaut ; la responsabilité des parties est régie par les conditions générales. Pour toute question : tms@kbe-solutions.fr.