Accord de traitement des données (DPA)

1. Parties, périmètre et durée

Le client professionnel identifié dans la commande Netfleet acceptée est responsable du traitement et JOPA Studio, identifié ci-dessus, est sous-traitant. Ce DPA est intégré au contrat lorsqu’il est accepté avec celui-ci ou séparément par écrit, y compris électroniquement. Il couvre le service et la période de restitution/suppression. Le contact autorisé du compte ou de la commande et contact@jopa.studio sont les contacts opérationnels. Les traitements propres à JOPA Studio comme responsable sont décrits dans la politique de confidentialité.

2. Description du traitement

Finalités et opérations : héberger, organiser, consulter, mettre à jour, exporter et supprimer les données pour les devis, la gestion de flotte et des conducteurs, l’affectation, les réservations, la facturation et les documents. Les personnes concernées sont les utilisateurs, salariés, conducteurs, contacts professionnels, passagers et contacts de réservation du client.

Les données comprennent les identités et coordonnées, rôles, trajets, réservations, affectations, dates de qualifications professionnelles, données financières et fichiers. Le client minimise les données et documente la base juridique et les garanties pour toute donnée de santé ou autre catégorie particulière. Un tel traitement nécessite un périmètre et des garanties expressément convenus ; la possibilité technique de téléverser un fichier ne vaut pas autorisation.

3. Instructions et confidentialité

Le sous-traitant agit uniquement sur instructions documentées : contrat, utilisation autorisée et demandes écrites, y compris pour les transferts. Si une loi impose un autre traitement, il en informe préalablement le responsable, sauf interdiction légale. Il signale immédiatement toute instruction qu’il estime contraire au droit de la protection des données.

Les personnes autorisées sont tenues à la confidentialité et n’accèdent qu’aux données nécessaires à leurs fonctions. Le responsable répond de la collecte licite, des informations aux personnes, des instructions et des accès accordés à ses utilisateurs.

4. Mesures de sécurité

JOPA Studio maintient des mesures techniques et organisationnelles adaptées aux risques au titre de l’article 32 du RGPD : isolation des espaces par accès à la base limité au client, contrôles de rôles, sessions authentifiées, audit des modifications applicatives, accès contrôlé aux documents et chiffrement des identifiants d’intégration réutilisables. Les connexions de production doivent utiliser TLS. Les accès du personnel sont limités aux fonctions, soumis à confidentialité et retirés lorsqu’ils ne sont plus nécessaires.

La production est hébergée dans l’UE sur OVHcloud. JOPA Studio maintient des sauvegardes protégées des bases et documents, en restreint l’accès, examine les événements de sécurité, applique les correctifs selon les risques, teste la restauration et évalue les mesures régulièrement et après tout changement important. Les sauvegardes respectent le plafond résiduel de 35 jours. Les mesures peuvent évoluer sans réduire la protection globale. Aucune certification particulière ni disponibilité ininterrompue n’est garantie sauf accord écrit exprès.

5. Sous-traitants ultérieurs et transferts

Le responsable accorde une autorisation écrite générale à OVHcloud, sous-traitant d’infrastructure listé ci-dessous, et aux sous-traitants supplémentaires expressément identifiés dans sa commande acceptée ou une mise à jour approuvée. JOPA Studio notifie par e-mail tout ajout ou remplacement au moins 30 jours avant, en précisant l’identité, la tâche, les données, les lieux et garanties de transfert. Le responsable peut s’y opposer pendant ce délai pour des motifs raisonnables de protection des données.

Les parties recherchent une solution alternative ou des garanties effectives avant l’accès du nouveau prestataire aux données concernées. À défaut de solution raisonnable, le responsable peut résilier le service concerné avant le changement et obtenir le remboursement de la période prépayée inutilisée. Chaque sous-traitant ultérieur est lié par des obligations équivalentes ; JOPA Studio reste responsable de leur exécution envers le client.

Les connexions de messagerie, routage ou paiement choisies par le client ne sont utilisées que sur instructions documentées, selon l’information et le rôle du prestataire. Un prestataire indépendant, notamment pour ses propres obligations de paiement réglementées, n’est pas un sous-traitant pour ces activités du seul fait du DPA. Un outil facultatif non listé n’est pas automatiquement autorisé à recevoir les données clients. Tout transfert hors EEE suit les instructions et un mécanisme valable du chapitre V ; le DPA seul n’est pas un instrument de transfert international.

OVHcloud — GDPR / RGPD

6. Droits, incidents et analyses d’impact

Compte tenu du traitement, le sous-traitant assiste le responsable pour les droits des personnes. Il lui transmet les demandes concernant ses données sans répondre en son nom, sauf instruction ou obligation légale.

Il notifie toute violation de données au responsable sans retard injustifié après en avoir pris connaissance : nature, personnes et données touchées, conséquences probables, mesures et contact, avec des compléments au fil de l’enquête. Le responsable décide des notifications aux autorités et aux personnes. Le sous-traitant l’assiste pour la sécurité, les analyses d’impact et les consultations préalables, selon les informations disponibles.

7. Preuves et audits

Le sous-traitant fournit les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et permet les audits et inspections du responsable ou de son auditeur, auxquels il contribue. Les modalités pratiques de confidentialité et de planification ne doivent empêcher ni le contrôle effectif ni une enquête urgente.

8. Restitution et suppression

Au choix du responsable, JOPA Studio restitue ou supprime les données à la fin du service et supprime les copies, sauf conservation imposée par le droit de l’Union ou d’un État membre. L’export standard comprend les données et documents de l’espace. Le responsable dispose de 30 jours après la fin effective du service ou une demande confirmée pour récupérer son export ; l’examen de conservation et la suppression active sont achevés au plus tard à J+60. Toute action antérieure requise par des droits applicables ou une instruction licite convenue prime.

Les sauvegardes ne servent pas au traitement courant et expirent sous 35 jours supplémentaires. Les suppressions sont réappliquées avant la reprise d’une sauvegarde restaurée. Si la loi impose une conservation, JOPA Studio indique au responsable la base, les données et la durée, limite l’accès et supprime au terme de l’obligation. Ses propres preuves comptables ne justifient pas la conservation de tous les dossiers clients. Sur demande, JOPA Studio confirme l’achèvement des suppressions.

L’application prévoit un délai de 30 jours et une purge examinée, pas une suppression automatique au 30e jour. JOPA Studio coordonne la clôture d’abonnement nécessaire à une purge demandée. Les identités et abonnements partagés ne sont conservés que pour d’autres entreprises actives ou une finalité licite distincte ; les données propres au client suivent le calendrier convenu.

9. Annexe de traitement et priorité

La description du traitement, les mesures de sécurité, le tableau des sous-traitants et les clauses de restitution/suppression ci-dessus constituent l’annexe du DPA. Les instructions supplémentaires du client sont consignées dans la commande ou un avenant écrit accepté, sans réduire les protections impératives du RGPD. Le DPA prévaut sur les conditions de service contradictoires concernant les données personnelles ; sa publication seule ne prouve pas l’acceptation d’un client particulier.

Commission européenne : clauses types responsable–sous-traitant