Accord de sous-traitance des données (article 28 RGPD)

Parties et objet

Le présent accord fait partie intégrante du contrat conclu entre le client (responsable de traitement) et AMBAUTO (sous-traitant). Il définit les conditions dans lesquelles AMBAUTO traite des données personnelles pour le compte du client, pendant toute la durée de l’abonnement.

Nature et finalité des traitements

Collecte des données issues des boîtiers télématiques, hébergement, stockage, affichage dans la plateforme, calcul d’indicateurs, génération d’alertes et de rapports, assistance au support.

Données et personnes concernées

• Personnes concernées : conducteurs, salariés et utilisateurs désignés par le client.
• Données : identité du conducteur, position GPS, trajets, horaires, vitesse, comportement de conduite, immatriculation, VIN, kilométrage, codes défaut, identifiants et journaux de connexion.

Engagements d’AMBAUTO

• Traiter les données uniquement sur instruction documentée du client, y compris en matière de transferts hors UE, et l’informer si une instruction lui paraît contraire à la réglementation.
• Garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient soumises à une obligation de confidentialité.
• Mettre en œuvre les mesures de sécurité prévues à l’article 32 du RGPD (chiffrement, cloisonnement, contrôle d’accès, sauvegardes, journalisation).
• Ne recourir à un sous-traitant ultérieur qu’avec l’autorisation générale du client : la liste figure dans la Politique de confidentialité ; tout changement est notifié 30 jours à l’avance, le client pouvant s’y opposer. Les mêmes obligations sont imposées au sous-traitant ultérieur.
• Aider le client à répondre aux demandes d’exercice des droits des personnes concernées.
• Aider le client à respecter ses obligations de sécurité, d’analyse d’impact et de consultation préalable (articles 32 à 36 du RGPD).
• Notifier au client toute violation de données dans un délai maximal de 48 heures après en avoir pris connaissance.
• Au terme du contrat, restituer les données (export) puis les supprimer, ainsi que leurs copies, sauf obligation légale de conservation.
• Mettre à disposition du client les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits, sur préavis raisonnable.

Engagements du client

• Fournir des instructions licites et documentées, et disposer d’une base légale pour les traitements.
• Informer préalablement les conducteurs et salariés, consulter les instances représentatives du personnel le cas échéant.
• Tenir son propre registre des traitements et réaliser une analyse d’impact lorsque nécessaire.