Contrat de traitement des données

Règlement relatif à la protection et au traitement des données

‍

Shiftmove GmbH

Warschauer Straße 57

10243 Berlin

‍

- ci-après dénommé « sous-traitant » -

‍

et vous

‍

- ci-après dénommé le « Responsable du traitement » -

‍

- ci-après dénommés conjointement les « parties contractantes »

‍

Préambule

‍

Le présent accord sur le traitement des données (« ATD ») conclu en vertu de l’article 28 du RGPD fait partie intégrante de nos Conditions générales (« Contrat principal ») conclues entre nos utilisateurs et Shiftmove GmbH et est accessible ici : https://www.shiftmove.com/legal/agb. Conformément à ce contrat, le présent ATD s’applique au traitement de vos données à caractère personnel dans le cadre de la fourniture de notre produit.

En signant le bon de commande, les Conditions générales, y compris le présent ATD, sont réputées acceptées de manière contraignante, de sorte qu’une signature distincte de cet ATD n’est en principe pas requise.

Nous offrons néanmoins à nos clients la possibilité de télécharger séparément l’accord de traitement des données, de le signer et de nous le renvoyer. Dans ce cas, nous vous prions de bien vouloir envoyer une copie de la version signée à l’adresse privacy@shiftmove.com .

Le présent accord repose sur les dispositions du RGPD, de la loi fédérale allemande sur la protection des données (BDSG) et de la loi sur les données.

‍

§ 1 Objet, nature et finalité du traitement ; nature des données à caractère personnel, catégories de personnes concernées

‍

(1) L’objet du traitement est la fourniture d’un ou de plusieurs services sous forme de Software-as-a-Service par le groupe Shiftmove (« Services »). La nature et la finalité du traitement sont définies à l’annexe 1a. Le type de traitement est énuméré à l’annexe 1b.

(2) Les catégories de personnes concernées sont définies à l’annexe 1c.

(3) Le type de données à caractère personnel traitées est défini dans l’annexe 1d.

(4) L’annexe 1 fait partie intégrante du présent contrat.

(5) Le responsable du traitement charge le sous-traitant de traiter ces données aux fins susmentionnées.

‍

§ 2 Durée de la commande

La durée de la présente commande (durée de validité) correspond à la durée du contrat principal.

‍

§ 3 Responsabilité et pouvoir de donner des instructions

(1) Le responsable du traitement est chargé de veiller au respect des dispositions de la législation en matière de protection des données, en particulier à la licéité du transfert des données au sous-traitant et à la licéité du traitement des données (art. 4, n° 7 du RGPD). Le sous-traitant n’utilisera pas les données à d’autres fins que celles spécifiées dans le présent accord de traitement des données ainsi que dans le contrat principal et, en particulier, n’est pas autorisé à les transmettre à des tiers non visés par l’article 6 du présent accord. Aucune copie ni aucun duplicata ne sera réalisé à l’insu du responsable du traitement. Toute disposition contraire ne s’appliquera que dans la mesure prévue à l’article 3, paragraphe 2, du présent accord.

(2) Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, sauf s’il existe une autre obligation en vertu du droit de l’Union ou du droit de l’État membre auquel le sous-traitant est soumis. En cas d’autre obligation, le sous-traitant informe sans délai le responsable du traitement des exigences légales correspondantes avant ce traitement, si la loi le permet. 

(3) Le responsable du traitement, et non le sous-traitant, est le propriétaire des données (voir le considérant 22 de la loi sur la protection des données). Le sous-traitant s’engage à ne pas utiliser les données qui lui sont transmises par le responsable du traitement (données à caractère personnel et non personnel) à ses propres fins, à des fins de profilage ou d’amélioration de ses produits, sauf s’il y a été expressément autorisé. Le sous-traitant satisfait ainsi aux exigences des articles 6 et 8, paragraphe 2, de la loi sur la protection des données.

(4) Si le sous-traitant estime qu’une instruction du responsable du traitement enfreint les dispositions relatives à la protection des données, il en informe immédiatement ce dernier conformément à l’article 28, paragraphe 3, du RGPD. Jusqu’à ce que l’instruction en question soit confirmée ou modifiée, le sous-traitant est autorisé à suspendre le traitement fondé sur l’instruction litigieuse. 

(5) Toute modification de l’objet du traitement doit faire l’objet d’un accord commun et être documentée. Le sous-traitant ne peut communiquer des informations à des tiers ou à la personne concernée qu’avec l’accord écrit préalable du responsable du traitement. 

6) Les personnes habilitées à donner des instructions sont principalement désignées par l’attribution de droits d’administrateur au sein de l’environnement logiciel. Toute personne disposant d’un compte d’administrateur est réputée, aux fins du sous-traitant, habilitée à donner des instructions. Le responsable du traitement doit veiller, par le biais de processus internes, à ce que seules les personnes autorisées utilisent les comptes d’administrateur.

(7) Les instructions qui dépassent le cadre des fonctionnalités du logiciel doivent être transmises par écrit aux interlocuteurs du sous-traitant indiqués dans le bon de commande ou à l’adresse privacy@shiftmove.com. Ces instructions ne peuvent être données au nom du responsable du traitement que par les personnes mentionnées dans le bon de commande ou par des organes habilités à agir en son nom. Les instructions adressées à des personnes autres que celles mentionnées ici, ou les instructions verbales, ne lient pas le sous-traitant, sauf si elles sont confirmées par écrit sans délai.

‍

§ 4 Confidentialité 

Le sous-traitant ne donnera accès aux données à caractère personnel du responsable du traitement qu’aux salariés qui ont été soumis à une obligation de confidentialité conformément à l’article 28, paragraphe 3, point b), du RGPD et qui ont reçu une formation spécifique sur les dispositions en matière de protection des données qui les concernent. Le sous-traitant et toute personne qui lui est subordonnée et qui a accès aux données à caractère personnel ne peuvent traiter ces données que conformément aux instructions du responsable du traitement, y compris les autorisations accordées dans le présent accord de sous-traitance, sauf s’ils y sont légalement tenus.

‍

§ 5 Sécurité des données

(1) Les parties contractantes conviennent des mesures spécifiques de sécurité des données énoncées à l’annexe 2 « Mesures techniques et organisationnelles » du présent accord, conformément à l’article 28, paragraphe 3, point c), du RGPD, en liaison avec l’article 32, paragraphe 1, du RGPD, afin de garantir la sécurité du traitement pour le compte du responsable du traitement. Les mesures à mettre en œuvre par le sous-traitant sont des mesures de sécurité des données et des mesures visant à garantir un niveau de protection adapté au risque en ce qui concerne la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes. Le sous-traitant tiendra compte, lors de la mise en œuvre de ces mesures, de l’état de la technique, des coûts de mise en œuvre, ainsi que de la nature, de la portée et des finalités du traitement, et de la probabilité et de la gravité variables du risque pour les droits et libertés des personnes concernées au sens de l’article 32, paragraphe 1, du RGPD.

(2) L’annexe 2 fait partie intégrante du présent contrat.

(3) Le sous-traitant doit respecter les principes d’un traitement des données conforme. Il doit garantir les mesures de sécurité des données convenues contractuellement et requises par la loi. Les mesures techniques et organisationnelles sont soumises au progrès technique et à l’évolution. À cet égard, le sous-traitant est autorisé à mettre en œuvre des mesures alternatives adéquates. Ce faisant, le niveau de sécurité des mesures définies ne doit pas être compromis. Les modifications importantes doivent être documentées et communiquées par écrit au responsable du traitement.  

(4) En cas de violation de données à caractère personnel, le sous-traitant coopère avec le responsable du traitement et l’assiste afin de lui permettre de se conformer à ses obligations au titre des articles 33 et 34 du RGPD, en tenant compte de la nature du traitement et des informations dont dispose le sous-traitant.

(5) En cas de violation de données à caractère personnel liée aux données traitées par le sous-traitant, celui-ci en informe le responsable du traitement sans retard injustifié dès qu’il en a connaissance. Cette notification contient au moins les informations suivantes :

• une description de la nature de la violation (y compris, si possible, les catégories et le nombre approximatif de personnes concernées ainsi que le nombre approximatif d’enregistrements de données concernés) ;
• les coordonnées d’un point de contact auprès duquel des informations complémentaires sur la violation de données à caractère personnel peuvent être obtenues ;
• les conséquences probables et les mesures prises ou proposées pour remédier à la violation de données à caractère personnel, y compris les mesures visant à atténuer ses effets négatifs éventuels.

Si, et dans la mesure où, toutes ces informations ne peuvent être fournies en même temps, la notification initiale contiendra les informations disponibles à ce moment-là et les informations complémentaires seront fournies dès qu’elles seront disponibles, sans retard injustifié par la suite.

‍

§ 6 Recours à d’autres sous-traitants

(1) Aux fins du présent accord, les sous-traitants sont d’autres sous-traitants dont les services sont directement liés à la fourniture du service principal. Cela n’inclut pas les services auxiliaires auxquels le sous-traitant a recours, par exemple les services de télécommunications, les services postaux ou de transport et les services de nettoyage. Toutefois, le sous-traitant est tenu de conclure des accords contractuels appropriés et conformes à la législation et de mettre en place des mesures de contrôle afin de garantir la protection et la sécurité des données du responsable du traitement, même en cas de sous-traitance de services auxiliaires. 

(2) Le recours à des sous-traitants ou le changement de sous-traitant existant est autorisé, à condition que :

• le sous-traitant informe le responsable du traitement de cette externalisation auprès de sous-traitants 14 jours calendaires à l’avance, par écrit ou sous forme de texte, et
• le responsable du traitement ne s’oppose pas par écrit ou par message au sous-traitant au moment du transfert des données.

(3) Si le responsable du traitement s’oppose au changement de sous-traitant dans le délai d’opposition prévu au § 6, alinéa 2, le sous-traitant vérifiera et informera le responsable du traitement de la possibilité de fournir le service sans changer de sous-traitant. Si, sur la base de son examen, le sous-traitant ne peut pas fournir le service sans changer de sous-traitant, les deux parties ont le droit de résilier le contrat principal par écrit avec un préavis de 14 jours.

(4) Un accord contractuel doit être conclu avec le sous-traitant conformément à l’article 28, paragraphes 3 et 4, du RGPD.

(5) Le transfert de données à caractère personnel du responsable du traitement vers le sous-traitant et la première exécution des missions par le sous-traitant ne sont autorisés qu’une fois que toutes les exigences légales relatives au sous-traitement ont été respectées. Les sous-traitants agréés par le responsable du traitement au moment de la conclusion du contrat sont énumérés à l’annexe 3. Les sociétés affiliées du groupe Shiftmove sont désignées comme sous-traitants, à condition qu’elles figurent dans l’annexe relative aux sous-traitants.

(6) Tout transfert de traitement de données vers un pays tiers nécessite des instructions préalables et documentées de la part du responsable du traitement (article 28, paragraphe 3, point a), du RGPD) et ne peut avoir lieu que si les conditions spécifiques énoncées aux articles 44 à 49 du RGPD sont remplies.

(7) L’annexe 3 fait partie intégrante du présent accord.

‍

§ 7 Droits des personnes concernées

(1) Le sous-traitant est tenu d’assister le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, afin de respecter les obligations de répondre aux demandes des personnes concernées exerçant leurs droits en vertu des articles 12 à 22 du RGPD (article 28, paragraphe 3, point e), du RGPD). 

(2) Dans la mesure où la personne concernée dispose d’un droit à la portabilité des données vis-à-vis du responsable du traitement, le sous-traitant veille à ce que le responsable du traitement puisse recevoir les données à caractère personnel traitées dans le cadre de la responsabilité du sous-traitant dans un format structuré, couramment utilisé et lisible par machine.     

(3) Le sous-traitant ne peut divulguer, rectifier, effacer ou limiter le traitement des données à caractère personnel que conformément aux instructions documentées du responsable du traitement (article 28, paragraphe 3, point g), du RGPD). 

(4) Si une personne concernée contacte directement le sous-traitant afin d’exercer ses droits en vertu des articles 12 à 22 du RGPD, le sous-traitant transmet la demande au responsable du traitement sans retard injustifié.

(5) Le sous-traitant ne peut fournir des informations à des tiers ou à des personnes concernées qu’avec l’autorisation écrite préalable du responsable du traitement. 

(6) Le responsable du traitement est chargé d’informer les personnes concernées conformément aux articles 12 et 13 du RGPD. Les informations nécessaires liées à cette obligation, qui ne sont accessibles qu’au sous-traitant, seront mises à la disposition du responsable du traitement sur demande.

(7) Le sous-traitant assiste le responsable du traitement, à la demande de ce dernier, pour fournir les données dans un format structuré, interopérable et lisible par machine et, le cas échéant, pour les transférer à des tiers, dans la mesure où le responsable du traitement est tenu pour responsable en tant que propriétaire des données des utilisateurs conformément aux articles 4 et suivants et à l’article 8 de la loi sur la protection des données.

‍

§ 8 Obligations du sous-traitant

Outre le respect des dispositions du présent contrat, le sous-traitant doit se conformer aux obligations prévues aux articles 28 à 36 du RGPD. À cet égard, le sous-traitant veille notamment au respect des exigences suivantes :

• Si le sous-traitant est légalement tenu de désigner par écrit un délégué à la protection des données conformément à l’article 37 du RGPD et au § 38 de la BDSG, il doit communiquer au responsable du traitement les coordonnées de ce délégué afin de permettre un contact direct. Tout changement de délégué à la protection des données doit être immédiatement signalé au responsable du traitement.
  
  
• Le délégué à la protection des données externe du sous-traitant est 

clever datenschutz GmbH

E-mail: privacy@shiftmove.com

(2) Le sous-traitant doit aider le responsable du traitement à respecter les obligations énoncées aux articles 32 à 36 du RGPD concernant la sécurité des données à caractère personnel, les obligations de notification en cas de violation de données, les analyses d’impact relatives à la protection des données et les consultations préalables. Cela inclut notamment

• de garantir un niveau de protection adéquat au moyen de mesures techniques et organisationnelles tenant compte des circonstances et des finalités du traitement, ainsi que de la probabilité et de la gravité prévisibles d’une violation potentielle due à des failles de sécurité, et permettant la détection immédiate des incidents de violation pertinents
• l’obligation d’informer le responsable du traitement sans retard injustifié si le sous-traitant a connaissance d’une violation de données à caractère personnel (art. 28, paragraphe 3, point f), et art. 33, paragraphe 2, du RGPD) ;
• l’obligation d’assister le responsable du traitement dans le cadre de son obligation d’informer la personne concernée et de lui fournir sans délai toutes les informations pertinentes à cet égard ;
• le soutien apporté au responsable du traitement dans le cadre de son analyse d’impact relative à la protection des données ;
• l’assistance au responsable du traitement dans le cadre des consultations préalables avec l’autorité de contrôle.

(3) Tout transfert de données par le sous-traitant vers un pays tiers ou une organisation internationale doit être effectué exclusivement dans le respect des exigences légales relatives au transfert de données vers des pays tiers, conformément aux articles 44 et suivants du RGPD. Afin de garantir un niveau adéquat de protection des données, le sous-traitant ne transfère des données à des destinataires situés dans des pays tiers que s’il existe une décision d’adéquation de la Commission européenne pour le pays tiers en question (article 45 du RGPD), si des garanties appropriées pour le transfert, telles que des clauses contractuelles types, sont en place (article 46 du RGPD), si des règles internes en matière de protection des données (article 47 du RGPD) s’appliquent ou s’il existe d’autres circonstances exceptionnelles justifiant le transfert de données (article 48 du RGPD). Le responsable du traitement consent au transfert de données vers les sous-traitants visés au § 6, alinéa 5, du présent accord, qui peuvent être établis dans des pays tiers.

(4) Le sous-traitant assiste le responsable du traitement dans l’exécution de ses obligations en matière de portabilité des données et de changement de prestataire, conformément aux exigences de la loi sur les données, et fournit des informations sur les formats et interfaces pris en charge, conformément aux articles 23 à 29 de ladite loi.

(5) Le sous-traitant informe sans délai le responsable du traitement en cas de contrôles effectués par une autorité de contrôle dans les locaux du sous-traitant concernant les opérations de traitement régies par le présent accord.

‍

§ 9 Droits de contrôle du responsable du traitement, art. 28, al. 3, 2e phrase, point h) du RGPD

(1) Le sous-traitant s’engage à fournir au responsable du traitement, sur demande écrite et dans un délai raisonnable, toutes les informations et pièces justificatives nécessaires à la réalisation d’une inspection écrite.

(2) Droits d’audit et d’inspection du responsable du traitement

Le responsable du traitement a le droit, avant le début du traitement et régulièrement par la suite, de vérifier le respect des mesures techniques et organisationnelles mises en œuvre par le sous-traitant.

‍

Cela s’effectue principalement par:

• l’obtention d’informations auprès du sous-traitant ; et/ou
• la présentation de rapports d’audit indépendants ou de certifications reconnues.

‍

a) Inspections sur site liées à un événement

Le responsable du traitement est en droit de procéder à une inspection sur site dans les locaux du sous-traitant si:

• il existe des indices concrets suscitant des doutes quant à l’exactitude ou à l’exhaustivité des rapports d’audit ou des certifications présentés,
• un incident de sécurité au sens de l’article 33, paragraphe 1, du RGPD s’est produit en rapport avec le traitement des données, ou
• les documents fournis ne prouvent pas suffisamment l’existence des mesures de sécurité requises.

Dans ces cas, les inspections sur site doivent en principe être notifiées par écrit au moins 14 jours calendaires à l’avance.

Un délai de préavis plus court n’est admissible que dans des cas exceptionnels dûment justifiés, lorsque l’urgence résulte directement de l’événement en question (par exemple, en cas d’incident de sécurité). Dans de tels cas, le responsable du traitement doit fournir une justification compréhensible du délai de préavis raccourci et, sur demande, en apporter la preuve au sous-traitant.

‍

b) Inspections sur site non liées à un événement

Indépendamment de tout événement spécifique, le responsable du traitement peut effectuer une inspection sur site non liée à un événement par année civile.

Ces inspections doivent également faire l'objet d'une notification écrite au moins 14 jours calendaires à l'avance.

‍

c) Dispositions générales

L’exercice des droits d’inspection ne doit pas perturber indûment les activités commerciales du sous-traitant ni être exercé de manière abusive.

Le Responsable du traitement prendra en charge tous les frais réels engagés par le Sous-traitant à la suite d’inspections sur site non liées à un incident.

‍

(3) Le responsable du traitement est tenu d’établir un procès-verbal écrit de chaque inspection effectuée. Tout écart, toute lacune ou toute autre constatation significative identifiée au cours de l’inspection doit être communiquée au sous-traitant sans retard injustifié, et en tout état de cause dans un délai raisonnable après la fin de l’inspection, sous forme écrite. Le procès-verbal d’inspection doit être mis à la disposition du sous-traitant sur demande.

‍

§ 10 Responsabilité 

(1) La responsabilité des parties est régie par l’article 82 du RGPD. Cela n’affecte pas la responsabilité du sous-traitant envers le responsable du traitement en cas de manquement aux obligations découlant du présent contrat ou du contrat principal.

(2) Les parties se dégagent mutuellement de toute responsabilité si l’une d’entre elles prouve qu’elle n’est en aucune manière responsable de la circonstance ayant causé le préjudice à une personne concernée. L’article 10, paragraphe 2, première phrase, s’applique par analogie en cas d’amende infligée à une partie, l’indemnisation étant alors versée dans la mesure où l’autre partie porte une part de responsabilité dans la violation sanctionnée par l’amende.

‍

§ 11 Non-respect des clauses et résiliation du contrat (art. 28, paragraphe 3, point g), du RGPD)

(1) Sans préjudice des dispositions du RGPD, si le sous-traitant manque à ses obligations au titre des présentes clauses, le responsable du traitement peut lui ordonner de suspendre le traitement des données à caractère personnel jusqu’à ce que ce dernier se conforme aux présentes clauses ou que le contrat soit résilié. Le sous-traitant informe sans délai le responsable du traitement s’il n’est pas en mesure de se conformer aux présentes clauses, pour quelque raison que ce soit.

(2) Le responsable du traitement est en droit de résilier le contrat dans la mesure où celui-ci concerne le traitement de données à caractère personnel conformément aux présentes clauses si :

• le traitement des données à caractère personnel par le sous-traitant a été suspendu par le responsable du traitement en vertu de l’article 11, paragraphe 1, et si le respect des présentes clauses n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension ;
• le sous-traitant commet une violation persistante ou grave des présentes clauses ou de ses obligations au titre du RGPD ;
• le sous-traitant ne se conforme pas à une décision exécutoire rendue par une juridiction compétente ou par les autorités de contrôle compétentes concernant ses obligations au titre des présentes clauses ou du RGPD.

(3) Le sous-traitant est en droit de résilier le contrat dans la mesure où celui-ci concerne le traitement de données à caractère personnel en vertu des présentes clauses lorsque, après avoir informé le responsable du traitement que ses instructions enfreignent les exigences légales applicables, ce dernier insiste pour que ces instructions soient respectées.

(4) À l’issue de la prestation des services de traitement, le sous-traitant doit soit effacer, soit restituer toutes les données à caractère personnel, au choix du responsable du traitement, sauf s’il existe une obligation légale de conserver les données à caractère personnel ou si le responsable du traitement demande à y avoir accès conformément à la section 2.1.5 des Conditions générales.

(5) Dans ce cas, le sous-traitant confirmera au responsable du traitement, par écrit, en précisant la date et sans qu’une demande supplémentaire soit nécessaire, qu’il a restitué au responsable du traitement, détruit ou effacé de manière sécurisée tous les supports de données et autres documents qui lui ont été fournis et qu’il n’a donc conservé aucune donnée du responsable du traitement. 

(6) Les documents servant de preuve du traitement conforme des données doivent être conservés par le sous-traitant au-delà de la fin du contrat, conformément aux délais de conservation applicables.

‍

§ 12 Dispositions finales 

(1) Les supports de données et les enregistrements de données fournis restent la propriété du responsable du traitement. 

(2) Si une ou plusieurs dispositions du présent contrat s’avéraient nulles, cela n’affecterait pas la validité des autres dispositions. En cas de nullité d’une ou plusieurs dispositions, les parties contractantes remplaceront immédiatement la disposition nulle par une disposition qui s’en rapproche le plus possible sur le plan économique et au regard de la législation sur la protection des données.

(3) Les parties contractantes conviennent que l’exercice par le sous-traitant d’un droit de rétention au sens de l’article 273 du BGB (Code civil allemand) concernant les données à traiter et les supports de données associés est exclu.

(4) Il n’existe aucun accord verbal annexe entre les parties. Toute modification, tout complément ou toute résiliation du présent contrat requiert la forme écrite pour être valable ; il ne peut être dérogé à cette exigence que par écrit. L’exigence de la forme écrite est satisfaite par une signature apposée au moyen d’au moins une signature électronique simple enregistrée via un logiciel de signature électronique. La signature électronique a pleine valeur probante.

(5) Dans la mesure où d’autres accords existant au moment de la conclusion du présent contrat contiennent des dispositions contraires ou en contradiction avec celui-ci, le contenu du présent contrat prévaut.

(6) Les annexes suivantes font partie intégrante du présent contrat : Annexe 1 « Informations sur le traitement », Annexe 2 « Mesures techniques et organisationnelles », Annexe 3 « Sous-traitants ».

‍

Annexe 1

Informations relatives au traitement

Les informations exposées ci-dessous concernant l’objet et la finalité du traitement, les types de traitement, les catégories de personnes concernées et les catégories de données à caractère personnel traitées portent sur l’ensemble des services potentiellement proposés par le sous-traitant. Ne sont toutefois contraignants que les finalités, les types de traitement, les catégories de personnes concernées et les catégories de données à caractère personnel qui découlent du contrat-cadre, y compris le bon de commande correspondant, et qui sont nécessaires aux produits et fonctionnalités effectivement commandés par le responsable du traitement.

Objet et finalité du traitement

L’objet du traitement est la fourniture d’un ou plusieurs des services suivants sous forme de « Software-as-a-Service » :

Logiciel de gestion de flotte (Avrios), comprenant les finalités suivantes :

• Gestion des véhicules et des conducteurs
• Gestion des amendes
• Gestion des cartes carburant
• Gestion des déclarations de sinistres
• Vérification des permis de conduire
• Création de rapports et d'analyses
• Traitement automatisé des documents

Localisation en temps réel et enregistrement des itinéraires (Vimcar Fleet Geo), notamment dans le but de :

• Suivi en temps réel des véhicules
• Documentation des itinéraires des véhicules
• Notification de géorepérage pour les véhicules

Carnet de bord électronique (logbook), comprenant les fonctionnalités suivantes :

• Enregistrement des itinéraires des véhicules
• Exportation des données du carnet de bord

Type de traitement

Dans le cadre de la mission, le sous-traitant effectuera les types de traitements suivants, conformément à l’article 4, paragraphe 2, du RGPD : collecte, enregistrement, organisation, classement, conservation, adaptation, modification, extraction, consultation, transmission, limitation, effacement et destruction des données.

Catégories de personnes concernées et de données à caractère personnel

Dans le cadre de la prestation des services, les données à caractère personnel des catégories de personnes concernées suivantes peuvent être traitées:

1. les conducteurs (anciens et actuels salariés ainsi que leurs conjoints et personnes à charge, les prestataires actuels ainsi que les candidats et futurs salariés);
2. Utilisateurs (utilisateurs autorisés du client (qui ne sont pas des conducteurs) habilités à utiliser les services);
3. Tiers (clients, partenaires commerciaux, fournisseurs, consultants, représentants, travailleurs indépendants et/ou sous-traitants du client (personnes physiques)).

Type de données traitées

Gestion de flotte Avrios:

• Tâches et commentaires
• Informations relatives aux amendes (destinataire, montant, photos)
• Date d’entrée et date de sortie
• Informations sur le véhicule (émissions de CO₂, rapports de sinistres, numéro d'immatriculation, numéro de châssis)
• Photos (photos du permis de conduire et photos d'identité)
• Informations relatives au permis de conduire
• Coordonnées (numéro de téléphone, numéro de fax, numéro de portable, adresse e-mail)
• Historique de la correspondance (échanges par e-mail avec les fournisseurs, prestataires de services, compagnies d’assurance, etc.)
• Données personnelles de base (prénom, nom, adresse, sexe, date et lieu de naissance, langue, nationalité, titre de séjour, situation matrimoniale, informations sur les personnes à charge, numéro d'identification national)
• Données administratives de l’entreprise (identifiant interne, centre de coûts, organisation, service, site, secteur et sous-secteur, hiérarchie)
• Informations relatives à la gestion des salaires (avantages en nature liés aux véhicules de fonction), cahier des charges et informations associées (droit à un véhicule de fonction et catégorie de véhicule)
• Informations relatives à la carte carburant (fournisseur, coûts, date, produit)
• Résultats des tests relatifs à la réglementation en matière de prévention des accidents
• Données relatives aux appareils et à l’utilisation des technologies de l’information

Vimcar Fleet Geo:

• Prénom, nom
• Adresse e-mail, numéro de téléphone, numéro de portable
• Données du carnet de bord 
• Données relatives au trajet
• Suivi en temps réel et enregistrement de l'itinéraire ;
• NIV (numéro d'identification du véhicule)
• Informations de vérification pour effectuer le contrôle automatisé du permis de conduire (facultatif en cas d’utilisation du contrôle du permis de conduire)
• Données techniques du véhicule (par exemple, état des réparations), photos des véhicules (facultatif en cas d'utilisation du système de gestion des sinistres)
• Informations relatives à la carte carburant (fournisseur, coût, date, produit)
• Réservations de véhicules (date, véhicule, durée, conducteur)
• Données relatives aux appareils et données d'utilisation informatique

Carnet de bord Vimcar:

• Prénom, nom
• Adresse e-mail, numéro de téléphone, numéro de portable
• Données du carnet de bord
• Données relatives au trajet
• Point de départ et d'arrivée des trajets
• Kilomètres parcourus
• Classification des trajets privés et professionnels
• Coordonnées et adresse
• NIV (numéro d'identification du véhicule)
• Paramètres de test pour la vérification automatisée du permis de conduire (facultatif en cas d’utilisation de la fonction de vérification du permis de conduire)
• Données techniques du véhicule (par exemple, état des réparations), photos des véhicules (facultatif en cas d’utilisation de la fonction de gestion des sinistres)
• Données relatives aux appareils et à l'utilisation des technologies de l'information

‍

Annexe 2

Mesures techniques et organisationnelles

Vous trouverez nos mesures techniques et organisationnelles dans l'annexe 2 des fichiers .pdf mis à disposition ci-dessus.

‍

Annexe 3

Sous-traitants

Les parties conviennent que, afin de maintenir le contrat à jour et pour des raisons pratiques, il n’est pas nécessaire de modifier par écrit le présent contrat ou ses annexes de manière continue en cas de changement approuvé de sous-traitants. Le strict respect des obligations d’information et d’opposition énoncées à la clause 6, conjointement avec la liste mise à jour en permanence et disponible en ligne, est pleinement suffisant et contraignant pour l’intégration de nouveaux sous-traitants conformément au contrat et à la réglementation en matière de protection des données.

La liste complète des sous-traitants actuellement autorisés et mandatés par le sous-traitant est disponible via le lien suivant: https://www.shiftmove.com/legal/legal-overviewsubprocessors.

Le sous-traitant informera le responsable du traitement de tout changement envisagé concernant le recours à des sous-traitants ou leur remplacement, conformément aux délais et procédures prévus à la section 6 du présent accord.

‍