Accord de sous-traitance (article 28 du RGPD)

1. Parties et objet

Le présent accord est conclu entre l'auto-école cliente du Service Drivea (le « Responsable de traitement ») et CZSYN SAS, SIREN 933 357 071, 69 Rue du Rouet, 13008 Marseille, éditeur du logiciel Drivea (le « Sous-traitant »).

Il définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données personnelles nécessaires au fonctionnement du Service. Il fait partie intégrante des conditions générales de vente du Service et s'applique dès la création du compte de l'auto-école, pour toute la durée d'utilisation du Service.

2. Description du traitement

• Nature et finalité : hébergement et mise à disposition d'un logiciel de gestion d'auto-école : dossiers élèves, planning des leçons, progression pédagogique, paiements, contrats de formation et signature électronique, notifications, inscriptions à l'examen du code.
• Personnes concernées : élèves (y compris mineurs), représentants légaux, moniteurs, gérants et personnel de l'auto-école.
• Catégories de données : identité et coordonnées, date et lieu de naissance, adresse, NEPH, données de formation et de progression, planning, paiements, contrats et preuves de signature, messages entre l'auto-école et ses élèves, avis des élèves, identifiants techniques (notifications push, journaux).
• Durée : durée d'utilisation du Service, augmentée des durées de conservation prévues à l'article 8.

3. Instructions du Responsable de traitement

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement, constituée par les fonctionnalités du Service et leur paramétrage par l'auto-école. Il informe le Responsable de traitement si une instruction lui paraît contraire à la réglementation. Il n'utilise pas les données pour son propre compte.

4. Confidentialité et sécurité

Les personnes autorisées à traiter les données au sein de CZSYN SAS sont soumises à une obligation de confidentialité. Le Sous-traitant met en œuvre les mesures prévues à l'article 32 du RGPD, notamment : chiffrement des communications (HTTPS/TLS), mots de passe chiffrés, jetons de session révocables, cloisonnement des données par auto-école et par rôle, limitation du nombre de requêtes, hébergement dans l'Union européenne, journalisation des erreurs expurgée des jetons.

5. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants :

• IONOS SE : hébergement du serveur applicatif et de la base de données MongoDB (serveur situé en France, Union européenne).
• Cloudflare, Inc. : DNS, certificat TLS et réseau de diffusion de contenu (CDN) placé devant le site et l'API. Société américaine : transfert encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne).
• Purelymail : envoi des emails transactionnels (invitation, vérification d'adresse, réinitialisation du mot de passe, contrat, notifications) via SMTP. Prestataire établi aux États-Unis : transfert encadré par des garanties appropriées.
• Stripe : paiement des abonnements des auto-écoles. Les données de carte bancaire sont saisies et traitées exclusivement par Stripe (certifié PCI-DSS) et ne transitent pas par nos serveurs.
• Expo (650 Industries, Inc.), Apple et Google : acheminement des notifications push vers les téléphones (identifiant technique de l'appareil et contenu de la notification).
• Functional Software, Inc. (Sentry) : détection des erreurs techniques de l'application et de l'API (message d'erreur, contexte technique, identifiant de l'utilisateur concerné le cas échéant ; les en-têtes d'authentification, cookies et paramètres d'URL sont retirés). Hébergement aux États-Unis : transfert encadré par des garanties appropriées.
• Discord : alertes techniques internes à l'équipe (erreurs serveur). Ces alertes ne contiennent ni mot de passe ni jeton ; les paramètres d'URL en sont retirés. Service établi aux États-Unis.
• SGS (ObjectifCode) : inscription des élèves à l'examen du code de la route, uniquement lorsque l'auto-école le demande (identité, date de naissance, NEPH, session choisie).

Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement par la mise à jour de la présente page et par email au gérant, ce qui permet au Responsable de traitement de formuler des objections. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes. Les transferts hors de l'Union européenne sont encadrés par les garanties prévues au chapitre V du RGPD.

6. Droits des personnes concernées

Le Service permet au Responsable de traitement de répondre aux demandes des personnes : consultation et rectification des fiches, export complet des données d'un élève au format JSON, effacement des données d'un élève depuis sa fiche. Le Sous-traitant transmet sans délai au Responsable de traitement toute demande reçue directement d'une personne concernée et l'assiste pour y répondre.

7. Violations de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, avec les informations disponibles permettant au Responsable de traitement de satisfaire à ses obligations de notification à la CNIL et, le cas échéant, aux personnes concernées.

8. Sort des données en fin de contrat

À la fin de l'utilisation du Service, le Responsable de traitement peut exporter ses données. Le Sous-traitant supprime ou anonymise ensuite les données personnelles, à l'exception de celles dont la conservation est imposée par la loi (pièces comptables, contrats signés), conservées pour la durée légale.

9. Assistance et audit

Le Sous-traitant aide le Responsable de traitement à réaliser, le cas échéant, une analyse d'impact et à respecter ses obligations de sécurité. Il met à sa disposition les informations nécessaires pour démontrer le respect du présent accord et permet la réalisation d'audits, dans des conditions raisonnables convenues à l'avance.

10. Contact

Pour toute question relative au présent accord : [email protected].