Accord de traitement des données (DPA)

1. Rôle des parties

Pour les traitements décrits ci-dessous, le Client agit en qualité de responsable de traitement et CFM en qualité de sous-traitant. CFM reste responsable de traitement pour ses propres traitements (relation commerciale avec le Client, facturation, sécurité et amélioration de ses services), décrits dans la Charte de protection des données personnelles.

2. Description du traitement

• Objet : établissement de devis carrosserie à partir de photos, orientation vers un réparateur du réseau CFM, organisation et suivi des réparations des véhicules du Client.
• Durée : la durée de la relation contractuelle entre le Client et CFM, augmentée de la période de restitution prévue à l’article 9.
• Nature des opérations : collecte, enregistrement, consultation, analyse de la qualité des photos, transmission au réparateur, conservation, suppression.
• Personnes concernées : conducteurs, salariés, assurés ou interlocuteurs désignés par le Client.
• Catégories de données : identité et coordonnées (nom, prénom, e-mail, téléphone), données du véhicule (immatriculation, marque, modèle), références de sinistre, photos du véhicule, disponibilités et lieu d’intervention, historique du dossier.
• Aucune donnée sensible au sens de l’article 9 du RGPD n’est traitée.

3. Instructions du Client

CFM traite les données uniquement sur instruction documentée du Client, notamment au regard des transferts hors de l’Union européenne. Les présentes, les Conditions générales de vente et la proposition commerciale constituent ces instructions. Si CFM considère qu’une instruction constitue une violation de la réglementation, elle en informe immédiatement le Client. Si CFM est tenue par la loi de procéder à un transfert ou à un traitement non prévu, elle en informe le Client avant le traitement, sauf interdiction légale.

4. Confidentialité

CFM garantit que les personnes autorisées à traiter les données s’engagent à en respecter la confidentialité ou sont soumises à une obligation légale de confidentialité, et qu’elles reçoivent la formation nécessaire en matière de protection des données. CFM s’interdit d’utiliser, modifier, céder ou transférer les données du Client en dehors des besoins d’exécution de ses obligations, sauf pour l’établissement de statistiques d’utilisation rendues anonymes.

5. Sécurité

CFM met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD, notamment :

• le chiffrement des données en transit et lors du stockage ;
• le stockage des photos et documents dans un espace privé, accessible par des liens temporaires ;
• des accès nominatifs, limités aux personnes qui en ont besoin ;
• des liens de dossier personnels, générés aléatoirement ;
• des sauvegardes régulières et des procédures de gestion des incidents.

6. Sous-traitants ultérieurs

Le Client autorise CFM à recourir aux sous-traitants ultérieurs suivants :

• Wooster Labs, Inc. (plateforme Remy, goremy.ai), États-Unis : hébergement de l’application et des fichiers (stockage dans l’Union européenne, à Francfort ; traitements aux États-Unis) ;
• Amazon Web Services (Amazon SES), États-Unis : envoi des e-mails ;
• Google (modèle Gemini), États-Unis, par l’intermédiaire de l’hébergeur : analyse automatique de la qualité des photos ;
• les garages et réparateurs du réseau CFM retenus pour chaque réparation, pour les seules données nécessaires à leur intervention.

CFM informe le Client de tout changement envisagé concernant l’ajout ou le remplacement d’un sous-traitant ultérieur, ce qui lui permet d’émettre des objections. CFM impose à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles prévues au présent Accord et demeure pleinement responsable à l’égard du Client de leur exécution.

7. Transferts hors de l’Union européenne

Lorsque des données sont traitées hors de l’Espace économique européen, CFM s’assure que le transfert repose sur des garanties appropriées : décision d’adéquation, clauses contractuelles types de la Commission européenne, adhésion au Data Privacy Framework lorsqu’il est applicable, ou tout autre mécanisme reconnu.

8. Assistance au Client

CFM aide le Client, dans la mesure du possible :

• à répondre aux demandes d’exercice des droits des personnes concernées ; toute demande reçue directement par CFM est transmise au Client dans les meilleurs délais ;
• à garantir la sécurité des traitements et, le cas échéant, à réaliser une analyse d’impact ;
• à notifier les violations de données : CFM notifie au Client toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles, afin de lui permettre de respecter le délai de 72 heures prévu à l’article 33 du RGPD.

9. Sort des données en fin de contrat

À la fin de la relation contractuelle, CFM conserve les données du Client pendant deux (2) mois, durant lesquels le Client peut demander leur restitution dans un format courant (PDF ou CSV). Passé ce délai, les données sont supprimées des bases de données de CFM, sauf obligation légale de conservation (pièces comptables notamment).

10. Documentation et audit

CFM met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations et tient un registre des traitements effectués pour son compte. CFM permet la réalisation d’audits, y compris d’inspections, par le Client ou un auditeur qu’il mandate, soumis à une obligation de confidentialité, moyennant un préavis raisonnable et dans la limite d’un audit par an, sauf violation de données avérée.

11. Obligations du Client

Le Client s’engage à fournir à CFM des données collectées loyalement et licitement, à informer les personnes concernées du traitement de leurs données, à documenter ses instructions et à veiller, au préalable et pendant toute la durée du traitement, au respect des obligations prévues par le RGPD.

12. Contact

Pour toute question relative au présent Accord : dpo@claimformobility.com, ou par courrier à DPO – PROOV GROUP (Claim For Mobility), 40 avenue des Terroirs de France, 75012 Paris.