Accord de sous-traitance des données (RGPD)
Accord conclu en application de l’article 28 du RGPD entre l’entreprise cliente (« le Responsable de traitement ») et l’éditeur de Hitransport, dont l’identité figure dans les mentions légales (« le Sous-traitant »). Il fait partie intégrante des CGV et s’applique dès l’activation du compte.
1. Objet
Le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement, uniquement pour fournir le service Hitransport.
2. Description des traitements
| Nature | Hébergement, stockage, consultation, organisation, transmission (e-mails, portails), suppression |
|---|---|
| Finalités | Gestion de flotte, chauffeurs, missions, expéditions, preuves de livraison, clients, facturation, documents, géolocalisation des véhicules si activée |
| Personnes concernées | Salariés et chauffeurs du Client, ses clients et destinataires, contacts commerciaux |
| Données | Identité, coordonnées professionnelles, permis et documents professionnels, données d’activité, positions GPS des véhicules, signatures et photos de livraison, données de facturation |
| Durée | Durée du contrat, puis 30 jours de réversibilité avant suppression |
3. Obligations du Sous-traitant
- Ne traiter les données que sur instruction documentée du Responsable de traitement (l’utilisation du service et ses réglages valent instruction) ;
- Garantir la confidentialité : personnel habilité et soumis à une obligation de confidentialité ;
- Mettre en œuvre les mesures de sécurité de l’annexe ci-dessous ;
- Aider le Responsable de traitement à répondre aux demandes d’exercice des droits et aux analyses d’impact ;
- Notifier toute violation de données dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance ;
- Supprimer ou restituer les données en fin de contrat ;
- Mettre à disposition les informations nécessaires pour démontrer le respect du présent accord et permettre des audits raisonnables, à la charge du Responsable de traitement, avec un préavis de 30 jours.
4. Sous-traitants ultérieurs
Le Responsable de traitement autorise le recours aux sous-traitants suivants : hébergement (à compléter dans l’administration), envoi d’e-mails transactionnels, cartographie. Tout ajout ou remplacement est notifié au moins 30 jours à l’avance ; le Responsable de traitement peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier sans pénalité.
5. Obligations du Responsable de traitement
Il garantit la licéité des traitements, l’information des personnes concernées (notamment des salariés géolocalisés), la définition des durées de conservation et l’attribution des droits d’accès à ses utilisateurs.
Annexe — Mesures de sécurité
- Chiffrement des échanges (HTTPS/TLS) ; mots de passe hachés ;
- Double authentification par e-mail, mots de passe temporaires à changer, blocage des comptes ;
- Cloisonnement strict des données entre entreprises ; droits par rôle ;
- Journal de sécurité ; limitation des tentatives de connexion ;
- Sauvegardes régulières ; purge de l’historique GPS de plus de 90 jours disponible.