Annexe de traitement des données

1. Objet

Dans le cadre de la formule Entreprise, vous tenez dans WheelTrust les carnets d'entretien des véhicules de votre parc. Les données que vous y déposez, ou que vos Membres y déposent pour votre compte, sont vos données : vous en déterminez les finalités et les moyens, et nous les traitons pour votre compte, sur vos instructions, dans les conditions de la présente annexe. Nous appelons ces données les données de flotte.

2. Ce que cette annexe ne couvre pas

Nous restons responsables du traitement, en notre nom propre, pour les traitements suivants, décrits dans notre politique de confidentialité: la création et la gestion des comptes de vos Membres, leur authentification et la sécurité du service ; l'identification et la facturation de votre Organisation (raison sociale, numéro SIRET, numéro de TVA intracommunautaire, adresse e-mail de facturation, données de paiement chez notre prestataire de paiement) ; la journalisation de sécurité ; la mesure d'audience de notre site. Ces traitements sont hors du champ de la présente annexe.

3. Durée

La présente annexe s'applique pendant toute la durée de votre abonnement à la formule Entreprise et jusqu'à la restitution ou la suppression de vos données de flotte dans les conditions de l'article 10.

4. Description du traitement

5. Vos instructions

Vos instructions sont constituées par les Conditions Générales d'Utilisation et de Vente, par la présente annexe et par l'usage que vous faites des fonctions du service (création de carnets, invitation de Membres, attribution des Rôles, dépôt de documents, exports, suppression). Toute instruction supplémentaire nous est adressée par écrit à contact@wheeltrust.io. Si une instruction nous paraît contraire au RGPD ou à une autre disposition du droit de l'Union ou du droit français, nous vous en informons sans délai (article 28.3, dernier alinéa).

6. Nos obligations

Conformément à l'article 28.3 du RGPD, nous nous engageons à :

• ne traiter vos données de flotte que sur vos instructions documentées, y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation légale à laquelle nous serions soumis, auquel cas nous vous en informons avant le traitement, à moins que la loi ne l'interdise ;
• veiller à ce que les personnes autorisées à traiter vos données de flotte s'engagent à en respecter la confidentialité : l'accès de notre personnel est limité aux personnes habilitées et à ce qui est nécessaire au support et à l'exploitation du service, et chaque accès d'administration est journalisé ;
• prendre les mesures de sécurité de l'article 8 ;
• respecter les conditions de l'article 7 pour le recrutement d'un autre sous-traitant ;
• vous aider, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (article 9) ;
• vous aider à garantir le respect des obligations de sécurité, de notification des violations de données et d'analyse d'impact (articles 32 à 36 du RGPD), compte tenu de la nature du traitement et des informations dont nous disposons ;
• à la fin de la prestation, supprimer ou vous restituer vos données de flotte, selon votre choix, dans les conditions de l'article 10 ;
• mettre à votre disposition les informations nécessaires pour démontrer le respect de la présente annexe et permettre la réalisation d'audits dans les conditions de l'article 11.

7. Sous-traitants ultérieurs

Vous nous autorisez, de manière générale, à recourir aux sous-traitants ultérieurs suivants pour le traitement de vos données de flotte :

Nous vous informons par e-mail, à l'adresse de facturation de votre Organisation et aux Responsables de flotte(s), de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, au moins 30 joursavant sa prise d'effet. Vous pouvez vous y opposer par écrit, pour un motif légitime, dans ce délai ; à défaut d'accord sur une solution, vous pouvez résilier votre abonnement sans frais, avec remboursement au prorata de la période non consommée. Nous imposons à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles de la présente annexe, et nous demeurons pleinement responsables envers vous de l'exécution de ses obligations (article 28.4). Notre prestataire de paiement n'a pas accès à vos données de flotte et n'est pas un sous-traitant ultérieur au titre de la présente annexe.

8. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles décrites à la section « Sécurité » de notre politique de confidentialité, et notamment : hébergement en France ; chiffrement des échanges entre vos Membres et nos serveurs ; contrôle des accès par Rôle, à l'intérieur de votre Organisation, selon la matrice décrite à l'article 2 bis.1 des CGV ; authentification des comptes, avec une vérification en deux étapes proposée à chaque Membre ; journalisation des actions d'administration ; sauvegardes quotidiennes chiffrées, conservées sur un support distinct ; séparation stricte entre les carnets de votre Organisation, les carnets personnels de vos Membres et les carnets des autres clients. Nous revoyons ces mesures régulièrement et les adaptons à l'évolution des risques (article 32).

9. Assistance : droits des personnes, analyse d'impact

Vos Membres exercent auprès de vous les droits qu'ils tiennent du RGPD sur les données de flotte (accès, rectification, effacement, limitation, opposition). Si nous recevons directement une telle demande portant sur vos données de flotte, nous la transmettons à vos Responsables de flotte(s) sans y répondre sur le fond, sauf instruction écrite de votre part, et nous vous apportons l'aide raisonnable nécessaire (extraction, correction, suppression) dans un délai compatible avec celui d'un mois de l'article 12.3. Nous vous fournissons, sur demande écrite, les informations dont nous disposons et qui sont nécessaires à une analyse d'impact relative à la protection des données ou à une consultation préalable de la CNIL. Les droits que vos Membres exercent sur leur propre compte (données de compte, authentification) s'exercent auprès de nous, comme décrit dans notre politique de confidentialité.

10. Fin du contrat : restitution et suppression

À la fin de votre abonnement à la formule Entreprise (résiliation, non-renouvellement, clôture de l'Organisation), vous choisissez entre la restitution et la suppression de vos données de flotte. Restitution: sur demande écrite formulée avant la fin de l'abonnement ou dans les 90 jours qui la suivent, nous vous remettons une copie de vos données de flotte dans un format structuré et couramment utilisé (fichiers de données et documents déposés). Suppression: sur demande écrite, ou à défaut de demande de restitution dans le délai de 90 jours, nous supprimons vos données de flotte dans les 30 jours, ainsi que leurs copies, à l'exception des données dont la conservation nous est imposée par la loi et des journaux techniques, conservés pour la durée indiquée dans notre politique de confidentialité, puis supprimés. Nous vous confirmons la suppression par écrit sur demande.

11. Documentation et audits

Nous tenons à votre disposition la documentation nécessaire pour démontrer le respect de la présente annexe : la présente annexe, notre politique de confidentialité, la description de nos mesures de sécurité et l'extrait de notre registre des activités de traitement qui vous concerne. Une fois par an au plus, vous pouvez nous adresser un questionnaire écrit sur ces points, auquel nous répondons dans un délai raisonnable. Si ces éléments ne suffisent pas, vous pouvez faire réaliser un audit, par vous-même ou par un tiers indépendant tenu à la confidentialité, avec un préavis écrit de 30 jours, pendant les heures ouvrées, sans perturber le service ni accéder aux données des autres clients, et à vos frais. Les constats de l'audit sont confidentiels.

12. Violation de données

Si nous avons connaissance d'une violation de données à caractère personnel affectant vos données de flotte, nous vous en informons dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance, à l'adresse de facturation de votre Organisation et aux Responsables de flotte(s), avec, dans la mesure où nous en disposons, les éléments prévus à l'article 33.3 du RGPD : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou proposées. Nous complétons ces informations au fur et à mesure de leur disponibilité. C'est à vous, responsable du traitement, qu'il revient de notifier la CNIL et, le cas échéant, les personnes concernées (articles 33 et 34) ; nous vous y aidons.

13. Vos obligations, registres, dispositions diverses

Vous êtes responsable de la licéité de vos données de flotte, de l'information de vos Membres sur le traitement que vous mettez en œuvre (voir notre page « Carnet d'organisation : ce que vous devez à vos salariés »), de l'attribution des Rôles et de leur retrait lorsqu'un Membre quitte votre Organisation, et de la sécurité des comptes de vos Membres pour ce qui dépend d'eux. Vous tenez votre registre des activités de traitement (article 30.1) ; nous tenons le nôtre, en qualité de sous-traitant, pour les traitements effectués pour votre compte (article 30.2). En cas de contradiction entre la présente annexe et les Conditions Générales d'Utilisation ou de Vente sur une question de protection des données, la présente annexe prévaut. Nous pouvons la faire évoluer pour l'adapter à la loi ou à une évolution du service, avec un préavis de 30 jours notifié par e-mail, sauf lorsque la loi impose une entrée en vigueur immédiate ; une modification qui réduirait vos garanties vous ouvre la faculté de résilier sans frais. La présente annexe est régie par le droit français. Notre contact pour toute question relative à la protection des données : contact@wheeltrust.io.