Accord de sous-traitance (DPA)

Parties, objet et durée

Responsable du traitement : l'atelier titulaire du compte. Sous-traitant : RepariDZ, [À COMPLÉTER] (raison sociale, NIF, RC, adresse, représentant).

Le Sous-traitant traite des données personnelles pour le compte du Responsable afin de fournir le service de gestion de réparations, pour la durée du service et jusqu'à la purge des données.

Nature des données et personnes concernées

• Opérations : collecte, enregistrement, hébergement, consultation, restitution, effacement ou anonymisation, sauvegarde.
• Données : identité et contact des clients, IMEI / numéros de série, codes de déverrouillage chiffrés, photos et signatures, paiements et soldes, messages, notes ; données du personnel de l'atelier.
• Personnes : clients et personnel de l'atelier.

Aucune donnée sensible n'est prévue ; le Responsable s'interdit d'en saisir.

Obligations du Sous-traitant

• Traiter les données uniquement sur instruction documentée du Responsable (conditions d'utilisation, paramétrage, actions des utilisateurs).
• Garantir la confidentialité des personnes autorisées ; accès du support uniquement par impersonation journalisée.
• Appliquer les mesures de sécurité de l'annexe 2 et isoler les données de chaque atelier.
• Transmettre sous 5 jours ouvrés toute demande d'une personne concernée reçue directement, et assister le Responsable.
• Notifier toute violation de données sans délai indu et au plus tard 48 heures après en avoir pris connaissance.
• Mettre à disposition les informations nécessaires aux audits (un par an, préavis de 30 jours) et tenir un registre des traitements.

Sous-traitants ultérieurs et transferts

Le Responsable autorise de façon générale les sous-traitants ultérieurs listés sur la page « Sous-traitants ultérieurs ». Un préavis de 30 jours est donné avant tout ajout ou remplacement ; le Responsable peut s'y opposer pour un motif légitime, à défaut de quoi il peut résilier sans pénalité.

Les données sont hébergées dans l'Union européenne ([À COMPLÉTER]). Pour tout transfert hors UE, des garanties appropriées s'appliquent (clauses contractuelles types pour les ateliers de l'UE : [À COMPLÉTER PAR LE CONSEIL]).

Obligations du Responsable et droits des personnes

Le Responsable est tenu d'informer ses clients (mention sur le reçu, affichage), d'avoir une base légale, de tenir les données exactes, de gérer les accès de son personnel, de déclarer son propre fichier à l'ANPDP si nécessaire et de ne pas saisir de données sensibles.

Pour les demandes des personnes concernées, il utilise les fonctions de l'application : export, rectification, anonymisation. Les écritures financières sont conservées sous forme anonymisée.

Restitution et suppression

À la fin du service, le propriétaire peut exporter une sauvegarde complète. Les données sont purgées après la période de rétention (90 jours par défaut, valeur finale à confirmer) ; les pièces comptables propres à RepariDZ sont conservées 10 ans ; les sauvegardes expirent sous 30 jours.

Droit applicable, responsabilité et acceptation

Droit applicable et juridiction : [À COMPLÉTER PAR LE CONSEIL]. Responsabilité : selon les conditions d'utilisation [À COMPLÉTER PAR LE CONSEIL].

L'acceptation se fait en ligne à l'inscription (version du DPA, date et heure enregistrées) ou par signature sur demande.

Annexe 2 — Mesures techniques et organisationnelles

Chiffrement TLS et au repos ; chiffrement par champ des codes de déverrouillage (clé propre à chaque atelier) ; mots de passe hachés ; codes à usage unique limités en nombre ; double authentification obligatoire pour l'administration ; isolation des données par atelier et tests de fuite ; rôles et permissions ; journal d'audit non modifiable ; limitation de débit ; sauvegardes chiffrées avec tests de restauration ; chiffrement de la base locale des appareils et révocation à distance ; gestion des secrets ; analyse des dépendances ; test d'intrusion avant le lancement puis chaque année ; plan de réponse aux incidents.