Accord de sous-traitance des données (DPA)

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation de données » ont le sens que leur donne le Règlement (UE) 2016/679 (« RGPD ») et la loi française n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).

• Responsable de traitement : le Client (l'Agence), pour les données qu'il saisit dans le service.
• Sous-traitant : AutoStrix.
• Sous-traitant ultérieur : tiers auquel AutoStrix recourt pour fournir le service.

1. Objet : AutoStrix traite, pour le compte du Client, les données personnelles nécessaires à la fourniture des fonctionnalités d'AutoStrix (gestion clients, livre de police, documents de vente et facturation, annonces et fonctions IA, stockage de photos).
2. Durée : le présent DPA s'applique pendant toute la durée de l'abonnement (régi par les CGV/CGU) et jusqu'à la restitution et l'effacement complets des données (article 12).

Les prospects/leads du site marketing et les comptes utilisateurs du back-office relèvent d'un traitement pour lequel AutoStrix agit en tant que responsable (voir le registre des traitements) et ne sont pas couverts par le présent DPA.

Aucune catégorie particulière de données (« données sensibles » au sens de l'article 9 du RGPD : santé, opinions, origine, données biométriques, etc.) n'est requise ni attendue par le service. Le Client s'engage à ne pas saisir de telles données, ni de numéro de sécurité sociale (NIR). Le Client supporte seul les conséquences d'un manquement à cet engagement et garantit l'Éditeur à ce titre. Le numéro de pièce d'identité, lorsqu'il est saisi pour les besoins du livre de police, fait l'objet de mesures de sécurité appropriées.

Les traitements sont effectués aux seules fins de :

• gérer le parc de véhicules et les annonces du Client ;
• gérer les clients finaux et produire les documents de vente (offres, commandes, bons de livraison, factures, mandats) ;
• tenir le livre de police réglementaire ;
• exécuter les fonctions d'IA (OCR de carte grise, analyse de marché, génération d'annonces) ;
• stocker et afficher les photos de véhicules ;
• assurer le support et la maintenance du service.

1. AutoStrix ne traite les données personnelles que sur instruction documentée du Client, telle que matérialisée par le contrat, le présent DPA et l'utilisation du service.
2. AutoStrix n'utilise pas, n'exploite pas, ne diffuse pas, ne partage pas et ne vend pas les données du Client à des fins propres (notamment à des fins commerciales, statistiques, d'entraînement de modèles ou de profilage) ni au profit de tiers. Elle ne les traite que pour exécuter le service sur instruction du Client.
3. AutoStrix informe le Client si une instruction constitue, selon elle, une violation du RGPD.
4. AutoStrix ne traite les données pour son propre compte que dans les limites où elle agit en tant que responsable (hors périmètre du présent DPA).

AutoStrix veille à ce que les personnes autorisées à traiter les données :

• s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• reçoivent la formation nécessaire ;
• n'accèdent aux données que dans la limite de ce qui est nécessaire à leurs fonctions (principe du moindre privilège).

Le Client est informé et accepte que le personnel habilité d'AutoStrix puisse accéder aux données de son espace uniquement pour le support, la maintenance et la sécurité du service. Ces comptes d'administration sont protégés par une double authentification obligatoire.

AutoStrix met en œuvre les mesures techniques et organisationnelles suivantes :

• Cloisonnement par agence : séparation logique des données de chaque agence au niveau de la base de données.
• Chiffrement au repos : chiffrement du stockage objet S3 (SSE) et de la base de données Aurora.
• Chiffrement en transit : communications protégées par TLS.
• Authentification : gestion des identités via Amazon Cognito, mots de passe non stockés en clair ; double authentification obligatoire pour les comptes d'administration AutoStrix.
• Contrôle d'accès par rôles : habilitations différenciées (propriété centrée véhicule, rôles directeur/agent), principe du moindre privilège.
• Journalisation : traçabilité des actions sensibles (création, modification, suppression de documents) ; journaux techniques conservés 30 jours.
• Sauvegardes : sauvegardes automatiques permettant la restauration ; les copies de sauvegarde sont effacées automatiquement en 90 jours au plus.
• Localisation UE : hébergement dans l'Union européenne (voir article 9).

AutoStrix peut faire évoluer ces mesures pour maintenir un niveau de sécurité au moins équivalent. Ces mesures sont mises en œuvre dans le cadre d'une obligation de moyens, compte tenu de l'état de l'art et des coûts de mise en œuvre, et ne constituent pas une garantie de résultat contre tout incident de sécurité.

1. Le Client autorise AutoStrix à recourir aux sous-traitants ultérieurs listés ci-dessous.
2. AutoStrix impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent DPA.
3. AutoStrix informe le Client de tout changement (ajout ou remplacement) de sous-traitant ultérieur avec un préavis de 30 jours. Le Client peut formuler une objection raisonnable et motivée dans ce délai ; à défaut, le changement est réputé accepté. En cas d'objection persistante, le Client peut résilier l'abonnement pour la fin de la période en cours, à l'exclusion de toute autre indemnité.

1. Les données sont hébergées et traitées dans l'Union européenne (AWS, région eu-central-1, Francfort).
2. Les services d'IA sont opérés via un profil d'inférence EU d'AWS Bedrock.
3. Aucun transfert de données hors de l'Union européenne n'est effectué dans le cadre du service ; l'hébergement et les traitements sont localisés dans l'UE.
4. Si un transfert hors UE devait devenir nécessaire, il ne serait réalisé qu'en présence de garanties appropriées (décision d'adéquation ou clauses contractuelles types) et après information du Client.

AutoStrix assiste le Client, dans la mesure du possible et compte tenu de la nature du traitement :

1. Droits des personnes concernées : le Client peut rectifier et supprimer les données depuis le service. Pour les autres demandes (export des données d'une personne, effacement complet), AutoStrix l'assiste via le support, sur demande écrite. Si une demande est adressée directement à AutoStrix, celle-ci la transmet au Client sans y répondre elle-même.
2. Sécurité et violations : AutoStrix assiste le Client dans le respect de ses obligations de sécurité.
3. Analyses d'impact (AIPD) : AutoStrix fournit les informations nécessaires à la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de l'autorité de contrôle.

1. AutoStrix notifie au Client toute violation de données à caractère personnel la concernant dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous 72 heures, afin de permettre au Client, en sa qualité de responsable de traitement, de respecter ses propres obligations de notification.
2. La notification précise, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.
3. AutoStrix coopère avec le Client pour la gestion de l'incident. Il appartient au Client, en tant que responsable, de notifier le cas échéant la CNIL et les personnes concernées.

1. Pendant le contrat, le Client peut exporter ses documents depuis le service. Il lui appartient de conserver lui-même les documents soumis à une obligation légale de conservation (pièces comptables, livre de police) ; AutoStrix n'assure aucun archivage légal pour son compte.
2. Au terme du contrat, AutoStrix restitue les données au Client sur demande formulée avant ce terme (export dans un format structuré), puis procède à leur effacement (base de données, fichiers et comptes de l'agence) quatre-vingt-dix (90) jours après la fin du contrat, après en avoir informé le Client par email au moins quinze (15) jours à l'avance.
3. AutoStrix ne conserve aucune donnée du Client au-delà de cet effacement, à l'exception des copies de sauvegarde, effacées automatiquement en 90 jours au plus.

1. AutoStrix met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations au titre de l'article 28 du RGPD.
2. Le Client peut réaliser un audit, y compris une inspection, lui-même ou via un tiers mandaté soumis à confidentialité (et non concurrent de l'Éditeur), au maximum une fois par an (sauf demande d'une autorité de contrôle), sous réserve d'un préavis écrit de 30 jours, pendant les heures ouvrées, sans perturber le service et sans accéder aux données d'autres clients. Les coûts de l'audit sont à la charge du Client.
3. AutoStrix peut répondre à une demande d'audit par la fourniture de rapports, certifications ou attestations de ses sous-traitants ultérieurs (ex. certifications AWS).