Accord de sous-traitance (RGPD)

Parties

Responsable du traitement : la compagnie de taxi cliente (identité et numéro d’entreprise repris du contrat). Elle détermine les finalités et les moyens du traitement des données de ses chauffeurs, de son personnel et de ses clients.

Sous-traitant : DigitalWeave Studio (Yacine Frimi, BCE 1009.084.862, Rue des Croisiers 13/11, 7500 Tournai), éditeur de DashCab, agissant pour le seul compte de la compagnie. Voir les mentions légales. Point de contact pour toute question relative aux données : contact@digitalweave.studio.

Objet, nature et durée

Le sous-traitant héberge et exploite le logiciel DashCab pour le compte de la compagnie. Les opérations réalisées sont la collecte via les interfaces web et l’application chauffeur, l’enregistrement, la structuration, la conservation, la consultation, l’export et l’effacement des données, ainsi que l’envoi de notifications (email, SMS, push) déclenché par l’usage du service.

Finalités : gestion de la compagnie (chauffeurs, véhicules, shifts), tenue des feuilles de route électroniques et export vers le fichier central prévus par la réglementation wallonne, encodage et suivi des courses, calcul des recettes et des éléments de paie, planning, réservations et dispatch, facturation client, localisation des véhicules en service pour les besoins du dispatch et, pour les compagnies qui l’activent, l’assistant de gestion qui répond aux questions du patron.

L’accord produit ses effets pendant toute la durée de l’abonnement et jusqu’à l’accomplissement des opérations de restitution et de suppression décrites plus bas.

Catégories de personnes concernées et de données

Personnes concernées :

• Chauffeurs de la compagnie (salariés ou indépendants).
• Clients de la compagnie : particuliers, patients de transports médicaux, élèves et responsables d’établissements, clients professionnels facturés.
• Personnel du bureau : patron, dispatcheurs et gestionnaires disposant d’un accès à l’application.

Catégories de données :

• Identité et contact : nom, prénom, numéro de téléphone, adresse email, adresses de prise en charge et de destination, numéro de licence de conduite pour les chauffeurs.
• Géolocalisation en service : position courante du véhicule pendant un service ouvert, écrasée à chaque relevé (environ toutes les 30 secondes) et supprimée à la clôture du service. Aucun historique de trajet n’est conservé.
• Données de courses et de feuilles de route : date, heures, lieux, distance, prix, mode de paiement, chauffeur et véhicule, tels qu’exigés par le décret wallon du 28 septembre 2023 et son arrêté d’exécution.
• Données de service et de paie : shifts, heures prestées, recettes, prélèvements, remises de caisse et éléments de rémunération (CP 140.02).
• Données de facturation des clients comptes de la compagnie et pièces jointes déposées par les utilisateurs (photos, commentaires).
• Messagerie interne (si le module est activé) : messages écrits et vocaux entre le bureau et les chauffeurs, supprimés après 90 jours.
• Assistant de gestion (si le module est activé) : conversations du patron, conservées 90 jours après leur dernier message par défaut (réglable de 7 à 730 jours), et faits sur la compagnie validés par le patron, gardés jusqu’à ce qu’il les retire. L’effacement d’un client ou d’un chauffeur retire aussi son nom, son téléphone, son email et son adresse de ces conversations, et supprime les faits qui le nomment.
• Données techniques : identifiants de compte, empreintes de PIN, jetons de session et de notification, journaux d’accès.

Le service propose, sur la fiche client et sur les réservations, une case facultative « assistance particulière » et une précision courte, destinées à préparer la prise en charge (par exemple un fauteuil pliable à placer dans le coffre). Cette information peut révéler l’état de santé d’un passager, catégorie particulière au sens de l’article 9 du RGPD. Elle n’est jamais transmise à l’assistant de gestion et elle est effacée lors de l’anonymisation du client. La compagnie en limite le contenu au strict nécessaire à la course, sans diagnostic, et il en va de même pour toute information de santé qu’elle encoderait dans un champ libre (transport de dialyse par exemple).

Instructions documentées

Le sous-traitant ne traite les données que sur instruction documentée de la compagnie. Les instructions initiales sont constituées par le présent accord, les conditions générales et le paramétrage du service opéré par la compagnie (modules activés, utilisateurs, droits d’accès, durées de conservation configurables). Toute instruction complémentaire est adressée par écrit, par email, au point de contact ci-dessus.

Le sous-traitant n’utilise à aucune fin propre les données de la compagnie : ni revente, ni publicité, ni entraînement de modèles. Il informe la compagnie s’il estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition applicable en matière de protection des données, et peut suspendre son exécution jusqu’à clarification. Si le droit belge ou européen l’oblige à un traitement particulier, il en informe la compagnie avant de le réaliser, sauf interdiction légale.

Les personnes autorisées à accéder aux données chez le sous-traitant sont tenues à une obligation de confidentialité et l’accès est limité aux besoins de l’exploitation et du support.

Sous-traitants ultérieurs

La compagnie donne une autorisation générale au recours à des sous-traitants ultérieurs. Ceux-ci sont liés par des obligations de protection des données équivalentes à celles du présent accord.

• Hetzner Online GmbH : hébergement de l’application, de la base de données, des fichiers et de la passerelle vers l’assistant de gestion (Allemagne, Union européenne).
• Anthropic PBC : modèle d’intelligence artificielle de l’assistant de gestion (module à activer, réservé au patron). Reçoit les questions du patron, l’historique de la conversation, la pièce jointe éventuelle (photo ou PDF, ou un aperçu en texte d’un tableur, d’un document Word ou d’un fichier texte, tel que le patron l’a joint), les faits validés sur la compagnie et les données de la compagnie que l’assistant lit pour répondre (courses, réservations avec lieux et nom du client, chauffeurs, recettes, paie, factures), ainsi que les données du résumé du matin et du rapport de la semaine quand la compagnie les active. Les données lues par l’assistant ne contiennent ni position GPS, ni téléphone ou email, ni information d’assistance particulière, ni note libre. États-Unis, clauses contractuelles types reprises dans l’accord de traitement des données d’Anthropic ; pas d’entraînement de ses modèles sur ces données ; effacement de son côté dans les 30 jours selon ses conditions publiques, sauf obligation légale ou contenu signalé (jusqu’à 2 ans). Conversations conservées chez nous selon le réglage de la compagnie (90 jours après le dernier message par défaut, de 7 à 730 jours).
• Resend : envoi des emails transactionnels, dont les factures et rappels de paiement adressés aux clients de la compagnie.
• Brevo : envoi des SMS de connexion chauffeur (OTP) et du lien d’installation de l’application ; Twilio (États-Unis) en secours, seulement quand Brevo est indisponible (numéro du chauffeur et texte du SMS).
• Stripe : paiement des crédits de l’assistant de gestion (nom de la compagnie, email du patron ; données de carte saisies chez Stripe).
• Mollie B.V. (Pays-Bas, Union européenne) : paiement des crédits de l’assistant de gestion par Bancontact puis domiciliation SEPA, lorsque ce moyen de paiement est proposé (nom de la compagnie, email du patron, montant ; coordonnées bancaires saisies chez Mollie).
• Functional Software Inc. (Sentry) : suivi des erreurs techniques du site, de l’espace patron et de l’application chauffeur, sans les données personnelles ajoutées par défaut ; région européenne (Allemagne) pour le site et l’espace patron.
• Mapbox, le Service public de Wallonie (géoservices ICAR) et OpenStreetMap (Nominatim, fonds de carte) : conversion des adresses saisies en coordonnées et affichage des cartes du dispatch.
• GitHub Inc. : dépôt privé recevant les sauvegardes chiffrées hors site (États-Unis, clauses contractuelles types ; le contenu est chiffré avant transfert), et suivi interne des signalements envoyés depuis l’application (texte et commentaires, nom de la compagnie).
• Google (Firebase Cloud Messaging), Apple et Expo : notifications push et mises à jour de l’application chauffeur.
• Google (Google Workspace) : retrait d’un chauffeur du groupe des testeurs de l’application Android quand la compagnie le supprime ou l’anonymise (adresse email du chauffeur, s’il en a une).
• Recommand ou Billit, selon la compagnie : transmission des factures sur le réseau Peppol, uniquement pour les compagnies utilisant le module de facturation ; l’activation chez Billit passe par une vérification d’identité du patron avec itsme.

Tout ajout ou remplacement de sous-traitant ultérieur est notifié par email au moins 30 jours avant sa mise en service. La compagnie peut s’y opposer par écrit pour un motif raisonnable tenant à la protection des données pendant ce délai ; à défaut de solution alternative, elle peut résilier l’abonnement sans frais avec effet à la date du changement. La liste à jour est publiée dans la politique de confidentialité.

Transferts hors Union européenne

Les données sont hébergées dans l’Union européenne. Des données sortent de l’Union européenne vers les sous-traitants ultérieurs établis aux États-Unis ou qui peuvent y traiter des données : Anthropic (assistant de gestion, clauses contractuelles types de la Commission européenne), Stripe, Twilio, Sentry, Mapbox, Resend, GitHub (sauvegardes chiffrées avant transfert), Google (notifications push, et retrait d’un chauffeur du groupe des testeurs par Google Workspace), Apple et Expo (notifications push). Ces transferts reposent sur les garanties que prévoient les conditions de traitement des données de chacun et sont limités à ce qu’exige la fonction concernée : jeton d’appareil et texte de la notification pour les push (qui peut indiquer la date, l’heure et les lieux d’une course, ou l’expéditeur et le début d’un message), contenu chiffré pour les sauvegardes, numéro et texte du SMS, texte d’adresse ou position ponctuelle, détail technique de l’erreur, données décrites ci-dessus pour l’assistant.

Mesures techniques et organisationnelles

• Chiffrement en transit de toutes les communications (HTTPS/TLS entre les navigateurs, l’application chauffeur et les serveurs, comme entre les serveurs et la base de données).
• Cloisonnement strict par compagnie : chaque enregistrement porte un identifiant de compagnie et chaque requête applicative est limitée à la compagnie de l’utilisateur authentifié, ce qui rend structurellement impossible la lecture des données d’une autre compagnie.
• Authentification : accès patron par mot de passe (haché par scrypt), avec limitation des tentatives et double authentification facultative ; lien à usage unique par email pour l’invitation et la réinitialisation ; accès chauffeur par numéro de téléphone enregistré par la compagnie, code OTP par SMS à usage unique puis code PIN pour les reconnexions rapides. Sessions par cookies httpOnly, secure, sameSite ; jetons de l’application chauffeur en stockage sécurisé de l’appareil.
• Minimisation : la position des véhicules n’est conservée que sous forme de position courante, écrasée puis purgée à la clôture du service ; aucun historique de trajet n’existe.
• Sauvegardes chiffrées hors site : sauvegarde quotidienne de la base, chiffrée en AES-256 avant transfert, conservée sur un dépôt privé distinct de l’hébergement, avec surveillance du bon déroulement.
• Journalisation des accès et des actions d’administration, et traçabilité des acceptations et des exports.
• Gestion des secrets hors du code source, variables d’environnement restreintes, accès serveur limité au seul administrateur du sous-traitant, mises à jour de sécurité appliquées régulièrement.
• Immuabilité des feuilles de route clôturées et des factures validées, afin de garantir la valeur probante des documents légaux.

Assistance à la compagnie

Le sous-traitant aide la compagnie, compte tenu de la nature du traitement et des informations dont il dispose, à répondre aux demandes d’exercice de droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition), à réaliser une analyse d’impact si elle s’avère nécessaire et à consulter l’autorité de protection des données. Les fonctions d’export et de suppression disponibles dans l’application permettent à la compagnie de traiter elle-même la majorité de ces demandes. L’assistance est fournie sans frais dans une mesure raisonnable.

Violations de données

En cas de violation de données à caractère personnel affectant les données de la compagnie, le sous-traitant la notifie par email sans délai injustifié et au plus tard 72 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises ou proposées. Les informations manquantes sont communiquées au fur et à mesure. La notification à l’autorité de protection des données et aux personnes concernées incombe à la compagnie, en sa qualité de responsable du traitement.

Sort des données en fin de contrat

Pendant toute la durée du contrat et pendant 30 jours après sa fin, la compagnie exporte sans frais ses données (feuilles de route en PDF, courses, shifts, factures, fiches clients). Sur demande écrite formulée dans ce délai, le sous-traitant fournit une copie complète des données dans un format structuré et couramment utilisé.

À l’expiration de ce délai, les données sont supprimées des systèmes actifs, puis des sauvegardes selon leur cycle de rotation. Sont réservées les conservations imposées par la loi et pour la seule durée qu’elle impose : 3 ans au moins pour les documents d’exploitation, dont les feuilles de route, et 7 ans pour les pièces comptables. Pendant cette période, les données conservées ne font l’objet d’aucun autre traitement que leur stockage sécurisé et leur mise à disposition en cas de contrôle.

Audit

Le sous-traitant met à la disposition de la compagnie, sur demande écrite, la documentation nécessaire pour démontrer le respect des obligations du présent accord (description des mesures de sécurité, liste des sous-traitants ultérieurs, localisation des données, politique de sauvegarde). La compagnie peut faire réaliser un audit une fois par an, moyennant un préavis raisonnable d’au moins 30 jours, pendant les heures ouvrables, par elle-même ou par un auditeur indépendant soumis à confidentialité et n’étant pas un concurrent du sous-traitant. L’audit ne peut pas porter atteinte à la confidentialité des données des autres clients. Un audit supplémentaire est possible à la suite d’une violation de données avérée. Les coûts de l’audit sont à charge de la compagnie, sauf s’il révèle un manquement significatif du sous-traitant.

Contact

Toute question ou notification relative au présent accord s’adresse à contact@digitalweave.studio. Le présent accord est soumis au droit belge ; les tribunaux de l’arrondissement du Hainaut, division Tournai, sont compétents.