Accord de traitement des données

Le présent accord complète les Conditions générales d'utilisation et s'applique conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).

1. Parties et rôles

• Responsable du traitement : l'entreprise cliente qui crée un compte TVA Routière (ci-après « le Client »).
• Sous-traitant : [raison sociale], [adresse], [numéro d'entreprise], contact : [adresse courriel] (ci-après « l'Éditeur »).

2. Objet et durée

L'Éditeur traite des données personnelles pour le compte du Client, uniquement afin de fournir le service d'aide à la préparation des demandes de remboursement de TVA, pendant l’activité du compte et jusqu’à la suppression définitive 30 jours après sa fermeture, au premier passage quotidien suivant (au maximum 24 heures plus tard). Les documents et montants sont enregistrés dans la base et le stockage privé de l’Éditeur.

3. Nature des données et personnes concernées

• Personnes concernées : gestionnaires et chauffeurs du Client, ainsi que les personnes éventuellement mentionnées sur les tickets et factures.
• Données : identité et identifiants de connexion, immatriculations, photos de tickets et factures, données extraites (dates, fournisseurs, pays, montants).

4. Obligations de l'Éditeur

• Traiter les données uniquement sur instruction documentée du Client.
• Garantir la confidentialité des données et l'engagement de confidentialité des personnes autorisées à les traiter.
• Mettre en œuvre des mesures de sécurité appropriées (article 32 RGPD) : accès authentifiés, cloisonnement par entreprise, chiffrement des échanges.
• Aider le Client à répondre aux demandes d'exercice des droits des personnes concernées.
• Notifier au Client toute violation de données dans les meilleurs délais, et au plus tard [48] heures après en avoir pris connaissance.
• Permettre une restitution par archive complète ZIP (photos, CSV/PDF) à tout moment avant fermeture, et la suppression volontaire de tickets ou de toutes les données d’une période. Bloquer les accès dès fermeture du compte et supprimer définitivement toutes les données et comptes associés après 30 jours, au premier passage quotidien suivant. Clôturer une demande ou exporter une archive ne supprime rien.
• Mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations et permettre des audits raisonnables.

5. Sous-traitants ultérieurs

Le Client autorise l'Éditeur à recourir aux sous-traitants suivants :

• Hébergeur : [raison sociale et prestataires d’infrastructure à compléter] — application, base de données et stockage privé des photos et données de facturation. Les informations disponibles indiquent une base de données aux États-Unis ; l’hébergement UE est souhaité mais non mis en place. [Localisation du stockage et garanties contractuelles à confirmer.]
• Fournisseur d'intelligence artificielle : [nom du fournisseur], via une passerelle d’IA [nom à compléter avant publication] — lecture des photos de tickets. [Localisation et garanties de transfert hors UE à préciser.]

L'Éditeur informe le Client de tout changement prévu de sous-traitant ; le Client peut s'y opposer pour un motif légitime.

6. Transferts hors UE

Les transferts hors de l’Union européenne doivent être encadrés par des garanties appropriées (décision d’adéquation ou clauses contractuelles types). [Garanties effectivement conclues, prestataires, pays et analyse de transfert à documenter et valider avant publication ; l’éditeur ne présente pas cette validation comme acquise.]

7. Obligations du Client

Le Client garantit disposer d'une base légale pour les données confiées, informe ses chauffeurs du traitement et reste responsable de la conservation légale de ses factures.

8. Contact

[adresse courriel]