Accord de sous-traitance des données

Le présent Accord de sous-traitance des données (l'Accord) fait partie intégrante des Conditions d'utilisation (les Conditions) conclues entre Mycarro (Mycarro, le sous-traitant) et le Client ayant accepté les Conditions (le Client, le responsable du traitement). Il s'applique chaque fois que Mycarro traite des données personnelles pour le compte du Client dans le cadre de la fourniture du Service. Il satisfait aux exigences de l'article 28 du Règlement général sur la protection des données (UE) 2016/679 (RGPD) et, le cas échéant, de la loi fédérale suisse sur la protection des données (LPD). Les termes définis dans les Conditions ou dans le RGPD ont la même signification dans le présent Accord.

1. Rôles et champ d'application

1.1. Pour les données personnelles que le Client et ses utilisateurs introduisent dans le Service concernant ses clients, leads, acheteurs, vendeurs, garants, salariés et visiteurs de son site web (les Données Personnelles du Client), le Client est le responsable du traitement et Mycarro est le sous-traitant. L'annexe 1 décrit le traitement.

1.2. Mycarro est un responsable du traitement indépendant, en dehors du présent Accord, pour :

• les données de compte des utilisateurs du Client ;
• les données de facturation ;
• les données d'utilisation, de sécurité et d'audit ;
• les données dépersonnalisées et agrégées qu'elle en dérive en vertu des Conditions ;

le tout tel que décrit dans sa Politique de confidentialité.

1.3. Le Client est responsable de la licéité du traitement qu'il ordonne. Cela implique de disposer d'une base juridique valable et de fournir les informations requises, de recueillir tout consentement nécessaire, d'informer les personnes concernées au sujet de son site web de concessionnaire, et de veiller à ce que les Données Personnelles du Client et ses instructions soient conformes à la loi. Le Client n'introduira dans le Service ni catégories particulières de données (telles que des données de santé) ni données relatives aux condamnations pénales, sauf lorsqu'une fonctionnalité est conçue à cet effet et que la loi le permet.

2. Instructions

2.1. Mycarro ne traite les Données Personnelles du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts, à moins que la loi n'en dispose autrement. Dans ce cas, Mycarro en informe préalablement le Client, sauf si la loi l'interdit.

2.2. Les instructions complètes du Client sont les suivantes : les Conditions, le présent Accord, ainsi que l'utilisation et la configuration du Service par le Client, y compris les actions de ses utilisateurs et de tout assistant d'IA ou de toute intégration qu'il connecte. Toute instruction supplémentaire doit être donnée par écrit, acceptée par Mycarro et compatible avec les fonctionnalités du Service. Elle peut donner lieu à facturation.

2.3. Mycarro informe le Client si, selon elle, une instruction constitue une violation de la réglementation relative à la protection des données. Elle peut alors suspendre le traitement concerné, sans engager sa responsabilité, jusqu'à ce que l'instruction soit confirmée ou modifiée. Au-delà, Mycarro n'est tenue d'aucune obligation d'apprécier la licéité des instructions du Client.

3. Confidentialité

Mycarro veille à ce que les personnes qu'elle autorise à traiter les Données Personnelles du Client se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce qu'elles n'accèdent aux données que dans la mesure nécessaire au Service.

4. Sécurité

4.1. Mycarro met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, qui sont adaptées au risque, compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement.

4.2. Mycarro peut mettre à jour ces mesures, à condition que le niveau global de protection ne soit pas réduit. Le Client a évalué ces mesures et reconnaît qu'elles sont appropriées pour les Données Personnelles du Client.

4.3. Le Client est responsable de la sécurité de ses propres systèmes, appareils et identifiants, des rôles et autorisations qu'il attribue à ses utilisateurs, des intégrations et assistants d'IA qu'il connecte, ainsi que de la configuration du Service placée sous son contrôle.

5. Sous-traitants ultérieurs

5.1. Autorisation générale. Le Client accorde à Mycarro une autorisation générale de recourir à des sous-traitants ultérieurs, y compris ceux énumérés à l'annexe 3.

5.2. Changements. Mycarro informe le Client de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur en mettant à jour l'annexe 3 sur cette page et, lorsque le changement est substantiel, par e-mail ou dans le tableau de bord, au moins 14 jours à l'avance. En cas d'urgence, telle que la défaillance soudaine d'un prestataire, ce délai peut être plus court.

5.3. Opposition. Le Client peut s'opposer à un changement pour des motifs raisonnables liés à la protection des données, par écrit, dans ce délai. Les parties en discutent alors de bonne foi. Si Mycarro ne peut raisonnablement éviter le changement, le seul et unique recours du Client est de résilier le forfait concerné avant la prise d'effet du changement, sans aucun remboursement des sommes payées d'avance au-delà de ce que les Conditions prévoient par ailleurs. La poursuite de l'utilisation du Service après l'expiration du délai de préavis vaut acceptation du changement par le Client.

5.4. Répercussion des obligations. Mycarro impose contractuellement à chaque sous-traitant ultérieur des obligations en matière de protection des données offrant, en substance, une protection au moins équivalente à celle du présent Accord, dans la mesure où elles s'appliquent aux services fournis. Mycarro demeure responsable envers le Client de l'exécution par ses sous-traitants ultérieurs de leurs obligations, dans les conditions prévues par le RGPD, sous réserve de l'article 11.

5.5. Tiers non sous-traitants. Les places de marché, assistants d'IA, services de paiement, bureaux d'enregistrement de noms de domaine et autres tiers que le Client choisit de connecter ou d'utiliser agissent selon leurs propres conditions. Ils ne sont pas des sous-traitants ultérieurs de Mycarro, et Mycarro n'en est pas responsable.

6. Transferts internationaux

Mycarro ne peut transférer les Données Personnelles du Client en dehors de l'Espace économique européen et de la Suisse, ou permettre à ses sous-traitants ultérieurs de le faire, que lorsque :

• une décision d'adéquation couvre le transfert ;
• des garanties appropriées sont en place, telles que les clauses contractuelles types de la Commission européenne (assorties des adaptations suisses lorsque la LPD s'applique), ainsi que des mesures supplémentaires si nécessaire ; ou
• un autre mécanisme de transfert autorisé par le RGPD s'applique.

Le Client autorise les transferts que les sous-traitants ultérieurs énumérés à l'annexe 3 effectuent sur ces fondements.

7. Assistance

7.1. Demandes des personnes concernées. Le Service met à la disposition du Client des outils en libre-service lui permettant d'accéder aux Données Personnelles du Client, de les corriger, de les exporter et de les supprimer. Si Mycarro reçoit d'une personne concernée une demande relative aux Données Personnelles du Client, elle la transmet au Client dans les meilleurs délais, si elle est en mesure d'identifier le Client, et n'y répond pas elle-même, sauf instruction du Client. Lorsque les outils en libre-service ne suffisent pas, Mycarro apporte une assistance raisonnable, compte tenu de la nature du traitement.

7.2. Autre assistance. Compte tenu de la nature du traitement et des informations à sa disposition, Mycarro apporte une assistance raisonnable au Client pour le respect de ses obligations en matière de sécurité, de notification des violations, d'analyses d'impact relatives à la protection des données et de consultation préalable des autorités, principalement en fournissant le présent Accord, ses annexes et la documentation du Service.

7.3. Coûts. Toute assistance allant au-delà des outils en libre-service et de la documentation, ou rendue nécessaire par un acte ou un manquement du Client lui-même, est facturée aux tarifs standard de Mycarro alors en vigueur.

8. Violations de données à caractère personnel

8.1. Mycarro notifie au Client dans les meilleurs délais, après en avoir pris connaissance, toute violation de données à caractère personnel affectant les Données Personnelles du Client. La notification est envoyée à l'adresse e-mail du propriétaire ou de l'administrateur du Client. Dans la mesure où ces éléments sont alors connus, elle décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Les informations peuvent être communiquées de manière échelonnée.

8.2. Mycarro prend des mesures raisonnables pour contenir la violation et en atténuer les effets. Il appartient au Client de décider s'il y a lieu de notifier les autorités de contrôle et les personnes concernées, et de procéder à ces notifications.

8.3. Une notification ou l'assistance apportée ne vaut pas reconnaissance d'une faute ou d'une responsabilité. Les tentatives infructueuses ou les activités qui ne compromettent pas la sécurité des Données Personnelles du Client, telles que les pings, les balayages de ports, les tentatives de connexion infructueuses ou les attaques par déni de service, ne constituent pas des violations et ne donnent lieu à aucune notification.

9. Restitution et suppression

9.1. Pendant la durée du contrat, le Client peut exporter et supprimer les Données Personnelles du Client au moyen des outils du Service.

9.2. Après l'expiration des Conditions, le Client peut demander un export final dans le délai fixé par les Conditions. À l'issue de ce délai, Mycarro supprime les Données Personnelles du Client, sauf si la loi impose leur conservation. Les copies figurant dans les sauvegardes sont supprimées selon le cycle normal des sauvegardes, en règle générale dans un délai de 90 jours ; jusque-là, elles restent protégées conformément au présent Accord et ne font l'objet d'aucune utilisation active. Mycarro peut conserver des données dépersonnalisées et agrégées, qui ne constituent pas des données personnelles.

10. Audits et informations

10.1. Mycarro met à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD. Elle le fait en fournissant le présent Accord, ses annexes, les réponses à un questionnaire de sécurité écrit raisonnable et, lorsqu'ils sont disponibles, des certifications ou rapports d'audit de tiers (y compris ceux de ses sous-traitants ultérieurs).

10.2. Si le Client démontre de manière raisonnable que ces informations sont insuffisantes, ou si une autorité de contrôle l'exige, le Client peut réaliser un audit, seul ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité et qui n'est pas un concurrent de Mycarro. L'audit est soumis aux conditions suivantes :

• au plus une fois par période de 12 mois, sauf en cas de violation ou d'injonction d'une autorité ;
• moyennant un préavis écrit d'au moins 30 jours, avec un périmètre convenu à l'avance ;
• pendant les heures ouvrables, à distance dans la mesure du possible, sans perturbation du Service et sans accès aux données d'autres clients ni aux installations des sous-traitants ultérieurs ;
• aux frais exclusifs du Client, y compris les coûts raisonnables de Mycarro à ses tarifs standard ;
• le Client communique le rapport d'audit à Mycarro et en préserve la confidentialité.

11. Responsabilité

La responsabilité de chaque partie découlant du présent Accord ou en lien avec celui-ci, qu'elle soit contractuelle, délictuelle ou autre, est soumise aux exclusions et limitations de responsabilité prévues par les Conditions, et s'impute sur le même plafond global, dans la mesure permise par la loi. Le Client garantit Mycarro, dans les conditions prévues par les Conditions, contre les réclamations et amendes découlant des instructions du Client, des Données Personnelles du Client ou de sa violation de la réglementation relative à la protection des données.

12. Durée, ordre de priorité et modifications

12.1. Le présent Accord s'applique aussi longtemps que Mycarro traite des Données Personnelles du Client, et prend fin automatiquement lorsque ce n'est plus le cas.

12.2. En cas de contradiction entre le présent Accord et les Conditions concernant le traitement des Données Personnelles du Client, le présent Accord prévaut. À tous autres égards, les Conditions prévalent. Les dispositions des Conditions relatives au droit applicable, à la juridiction compétente, à la langue, aux notifications et aux modifications s'appliquent au présent Accord.

12.3. Mycarro peut mettre à jour le présent Accord, notamment pour tenir compte des évolutions de la loi ou du Service, dans les conditions décrites dans les Conditions. Une mise à jour ne réduit pas le niveau global de protection des Données Personnelles du Client.

Annexe 1. Description du traitement

• Objet et durée : la fourniture du Service au Client, pendant la durée des Conditions et la période de clôture qui suit.
• Nature du traitement : collecte, enregistrement, organisation, conservation, adaptation, extraction, consultation, utilisation, communication par transmission (y compris aux places de marché et intégrations que le Client active), rapprochement, limitation, effacement et destruction, par des moyens automatisés, y compris des modèles d'IA.
• Finalité : les fonctions de gestion de concession utilisées par le Client. Elles comprennent la gestion du stock et des véhicules, le site web de concessionnaire, la publication sur les places de marché, la gestion des leads et des clients, les ventes, les contrats, les garanties, les factures et la trésorerie, les campagnes, les documents, ainsi que les fonctionnalités et connecteurs d'IA.
• Catégories de personnes concernées :
  • les clients et prospects du Client (acheteurs, vendeurs, propriétaires de véhicules repris, garants) ;
  • les leads et les personnes qui formulent des demandes ;
  • les visiteurs du site web de concessionnaire du Client ;
  • les salariés et prestataires du Client ;
  • les autres personnes que le Client enregistre.
• Catégories de données personnelles :
  • données d'identification et de contact : nom, e-mail, téléphone, adresse postale ;
  • numéros d'identification et numéros fiscaux, numéros de pièces d'identité et dates de naissance, lorsque le Client les enregistre pour des contrats, des factures ou des immatriculations ;
  • données relatives aux véhicules et aux transactions liées à une personne (numéro d'identification du véhicule, immatriculation, achat, vente, reprise, prix, paiements, financement, garantie) ;
  • communications et notes ;
  • documents téléversés par le Client ;
  • données techniques relatives aux visiteurs du site web de concessionnaire.
• Catégories particulières : aucune n'est prévue. Voir l'article 1.3.

Annexe 2. Mesures techniques et organisationnelles

• Chiffrement : trafic chiffré en transit au moyen de TLS ; secrets et identifiants chiffrés au repos.
• Contrôle d'accès : chaque utilisateur se connecte individuellement par l'intermédiaire d'un prestataire d'authentification dédié, l'authentification multifacteur étant disponible ; l'accès est fondé sur les rôles et limité à la propre concession du Client ; l'accès du personnel à l'environnement de production obéit au principe du moindre privilège et est limité au strict nécessaire.
• Audit : les modifications effectuées dans le tableau de bord et par les connecteurs sont enregistrées avec l'utilisateur ou l'assistant qui en est l'auteur.
• Cloisonnement : chaque enregistrement est rattaché à sa concession, et les contrôles d'accès sont appliqués côté serveur.
• Disponibilité et résilience : hébergement dans l'Union européenne, sauvegardes régulières, supervision et alertes, et procédures de restauration.
• Développement et gestion des changements : tests automatisés, revue de code, analyse des dépendances et détection des secrets, et environnements de développement, de préproduction et de production distincts.
• Minimisation des données : les rapports d'erreurs ne comportent ni relecture de session ni données permettant d'identifier l'utilisateur ; la mesure d'audience du site web fonctionne sans cookies.
• Prestataires : les sous-traitants ultérieurs sont choisis pour leur niveau de sécurité et liés par contrat.
• Réponse aux incidents : procédures documentées de détection, de confinement, d'investigation et de notification des violations de données à caractère personnel.

Annexe 3. Sous-traitants ultérieurs