Accord de traitement des données (DPA)

1. Parties au contrat

1.1 Le responsable du traitement est le client, tel qu’indiqué dans le contrat principal, dans la commande ou dans le compte client (ci-après le « client »).

1.2 Le sous-traitant est SimpliServ GmbH, Gewerbepark West 2a, 8504 Preding, Autriche, FN 676594t, Landesgericht für ZRS Graz, UID ATU83276107, représentée par son gérant Luca Malli (ci-après « SimpliServ »).

1.3 SimpliServ met à la disposition du client le logiciel SimpliServ en tant que logiciel en tant que service (SaaS) (ci-après le « contrat principal » : CGV de SimpliServ GmbH, y compris la commande, ou contrat SaaS individuel). Dans ce cadre, SimpliServ traite des données à caractère personnel pour le compte du client. Le présent accord s’applique à toutes les activités dans le cadre desquelles SimpliServ, ses employés ou ses sous-traitants ultérieurs entrent en contact avec des données à caractère personnel du client.

2. Objet et durée

2.1 SimpliServ traite des données à caractère personnel pour le compte du client afin de fournir, d’exploiter et de maintenir le logiciel SimpliServ et d’assister le client (support, configuration, importation de données, formation).

2.2 Le présent accord s’applique pendant toute la durée du contrat principal et au-delà, jusqu’à ce que SimpliServ ait supprimé ou restitué l’ensemble des données du client conformément au point 12.

3. Nature, finalité, catégories de données et personnes concernées

3.1 Nature du traitement : collecte, enregistrement, organisation, modification, consultation, utilisation, communication (à l’initiative du client), limitation et effacement.

3.2 Finalité : exploitation des fonctionnalités utilisées par le client, notamment la gestion des clients et des véhicules, les commandes et tickets, les rendez-vous, les devis, les factures et la caisse, les paiements, le stock et les achats, la communication avec les clients finaux (e-mail, SMS, WhatsApp, téléphone), le planning du personnel, le suivi du temps de travail et les dossiers du personnel, les signatures, les analyses ainsi que les fonctionnalités assistées par l’IA, dans la mesure où le client les active.

3.3 Catégories de données : données d’identification et de contact (nom, adresse, e-mail, téléphone, société, numéro de TVA) ; données relatives aux contrats, aux commandes et aux véhicules (p. ex. plaque d’immatriculation, numéro de châssis, historique des réparations) ; données de facturation, de paiement et bancaires (IBAN, mandats SEPA, statut de paiement) ; contenus de communication (messages, e-mails, enregistrements et transcriptions d’appels, dans la mesure où ils sont activés) ; données relatives aux employés du client (planning, horaires de travail, absences, contrats de travail, données salariales et fiscales, dans la mesure où elles sont saisies) ; signatures, photos, documents et fichiers téléversés par le client ; données d’accès et de journalisation (compte utilisateur, adresse IP, horodatage, activités).

3.4 Personnes concernées : clients finaux et prospects du client, employés et candidats du client, fournisseurs et partenaires commerciaux du client ainsi que leurs interlocuteurs, utilisateurs du logiciel.

3.5 Les catégories particulières de données au sens de l’art. 9 du RGPD ne font pas l’objet d’un traitement prévu. Si le client saisit de telles données (p. ex. arrêts maladie), il lui incombe de disposer d’une base juridique.

4. Instructions

4.1 SimpliServ ne traite les données que sur instruction documentée du client, sauf si le droit de l’Union ou le droit d’un État membre l’y oblige. Dans ce cas, SimpliServ informe préalablement le client de cette obligation, dans la mesure où la loi le permet.

4.2 Les instructions découlent du présent accord, du contrat principal et des paramètres que le client définit dans le logiciel. Le client donne des instructions ponctuelles sous forme textuelle (un e-mail suffit).

4.3 Si SimpliServ estime qu’une instruction est illicite, il en informe le client sans délai et peut en suspendre l’exécution jusqu’à clarification.

4.4 SimpliServ n’utilise pas les données à ses propres fins. En particulier, elles ne sont ni vendues ni utilisées pour l’entraînement de modèles d’IA. Sont autorisées les statistiques d’utilisation anonymisées, ne permettant pas d’identifier des personnes, servant à l’exploitation et à l’amélioration du logiciel.

5. Lieu du traitement

5.1 Les serveurs, bases de données et sauvegardes sont situés en Allemagne. Certains services mentionnés à l’annexe 1 peuvent également traiter des données en dehors de l’UE ou de l’EEE ; l’article 5.2 s’applique à ces services.

5.2 Un transfert vers un pays tiers n’a lieu que si les conditions des art. 44 et suivants du RGPD sont remplies (décision d’adéquation, notamment l’EU-US Data Privacy Framework, ou clauses contractuelles types). L’annexe 1 indique les sous-traitants ultérieurs concernés.

6. Confidentialité

6.1 Toutes les personnes ayant accès aux données chez SimpliServ sont soumises par écrit à une obligation de confidentialité (secret des données au sens du § 6 DSG autrichien). Cette obligation perdure après la fin de leur activité.

6.2 Seules les personnes qui en ont besoin pour l’exécution de leurs tâches, notamment pour le support à la demande du client, ont accès aux données du client.

7. Mesures techniques et organisationnelles

7.1 SimpliServ met en œuvre les mesures prévues à l’art. 32 du RGPD, décrites à l’annexe 2.

7.2 SimpliServ peut adapter les mesures à l’état de la technique, pour autant que le niveau de protection ne soit pas réduit. Les modifications substantielles sont documentées.

8. Sous-traitants ultérieurs

8.1 Le client autorise les sous-traitants ultérieurs mentionnés à l’annexe 1. Les services indiqués comme optionnels ne sont utilisés que si le client active la fonctionnalité correspondante.

8.2 SimpliServ notifie tout sous-traitant ultérieur nouveau ou remplacé au moins 4 semaines à l’avance sous forme textuelle (e-mail, avis dans le logiciel ou mise à jour de la présente page). Le client peut s’y opposer dans ce délai pour un motif légitime tenant à la protection des données. Si les parties ne parviennent pas à une solution, le client peut résilier de manière extraordinaire le contrat principal pour la prestation concernée.

8.3 SimpliServ impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles prévues au présent accord et répond de leur respect.

8.4 Ne constituent pas une sous-traitance ultérieure les prestations accessoires sans accès aux données du client (p. ex. télécommunications) ainsi que les services avec lesquels le client conclut lui-même un contrat et qu’il connecte lui-même. Le client en est lui-même responsable.

9. Assistance au client

9.1 SimpliServ assiste le client, par des mesures appropriées, dans le traitement des demandes des personnes concernées (art. 12 à 22 du RGPD). Le logiciel propose à cet effet des fonctions de consultation, d’exportation, de rectification et d’effacement. Si une personne concernée s’adresse directement à SimpliServ, SimpliServ transmet la demande au client sans délai.

9.2 SimpliServ assiste le client en matière de sécurité du traitement, de notification des violations de données, d’analyses d’impact relatives à la protection des données et de consultations préalables (art. 32 à 36 du RGPD).

9.3 SimpliServ peut facturer, selon le temps passé, toute assistance allant au-delà des fonctionnalités du logiciel et des renseignements usuels, sauf si elle résulte d’un manquement de SimpliServ.

10. Violations de données

10.1 SimpliServ notifie au client toute violation de données à caractère personnel sans délai, au plus tard 24 heures après en avoir pris connaissance. La notification contient, dans la mesure où elles sont connues, les informations prévues à l’art. 33, paragraphe 3, du RGPD.

10.2 SimpliServ prend immédiatement des mesures pour circonscrire la violation et en atténuer les conséquences.

11. Justificatifs et contrôles

11.1 SimpliServ met à la disposition du client, sur demande, les informations nécessaires pour démontrer le respect du présent accord. Les annexes, les renseignements écrits et les certificats des centres de données suffisent en règle générale à cet effet.

11.2 Le client ou un auditeur mandaté par lui et tenu au secret peut procéder à des contrôles sur place : moyennant un préavis d’au moins 14 jours, pendant les heures ouvrables, sans perturber l’activité, en règle générale au maximum une fois par an. Chaque partie supporte ses propres frais.

12. Effacement et restitution

12.1 Pendant la durée du contrat, le client peut à tout moment exporter lui-même ses données (p. ex. CSV, justificatifs PDF).

12.2 À la fin du contrat principal, SimpliServ efface les données du client dans un délai de 90 jours, sauf si le client en demande au préalable la restitution ou si la loi impose leur conservation. Les données contenues dans les sauvegardes sont écrasées à l’expiration de la durée de conservation des sauvegardes, au plus tard après 90 jours supplémentaires. Les données de caisse sont archivées de manière inaltérable pendant la durée légale de conservation et ne sont effacées qu’ensuite.

12.3 Le client satisfait à ses propres obligations de conservation (p. ex. pour les factures et les données de caisse) en exportant ses données en temps utile. Sur demande, SimpliServ confirme l’effacement sous forme textuelle.

13. Responsabilité et dispositions finales

13.1 La responsabilité est régie par l’art. 82 du RGPD. Pour le surplus, les règles de responsabilité du contrat principal s’appliquent.

13.2 En cas de contradiction, le présent accord prévaut sur le contrat principal pour les questions relatives à la protection des données.

13.3 Toute modification requiert la forme textuelle. Si une disposition est invalide, les autres dispositions demeurent en vigueur.

13.4 Le présent accord est régi par le droit autrichien, à l’exclusion de ses règles de conflit de lois. Le tribunal compétent est celui de Graz, dans la mesure où la loi le permet.

13.5 Contact de SimpliServ pour la protection des données : Luca Malli, gérant, datenschutz@simpliserv.com. SimpliServ GmbH n’est actuellement pas tenue de désigner un délégué à la protection des données.

Annexe 1 : Sous-traitants ultérieurs

Le client autorise les prestataires suivants. « Toujours » signifie : le service est utilisé pour chaque client. « Optionnel » signifie : le service n’est utilisé que si le client active la fonctionnalité.

Ne sont pas des sous-traitants ultérieurs

Les services que le client souscrit et connecte lui-même ne sont pas des sous-traitants ultérieurs de SimpliServ. En font partie Stripe, Mollie et SumUp (paiements), Lexware, ZIR, VeloConnect, JTL-Wawi, WooCommerce, Shopify et Wix (interfaces), DHL et Österreichische Post (expédition), JobRad et les vérifications de leasing, la récupération des données bancaires ainsi que Microsoft 365 (boîte de messagerie du client). Pour ces services, le client conclut son propre contrat avec le fournisseur.

Exploité en propre

La génération de PDF, la recherche, les notifications en temps réel, l’édition de documents, les rendez-vous vidéo et l’hébergement des e-mails fonctionnent sur les propres serveurs de SimpliServ chez Hetzner en Allemagne.

Annexe 2 : Mesures techniques et organisationnelles (art. 32 du RGPD)