Accord de sous-traitance

Mission et rôles

Le client identifié dans le devis ou la confirmation de commande est responsable du traitement de ses dossiers ; Drivaro est sous-traitant. Si le client traite lui-même des données pour un transporteur, son mandat doit permettre le recours à Drivaro comme sous-traitant ultérieur. Chaque partie conserve ses responsabilités légales.

La mission couvre la réception, l’organisation, la conservation, l’affichage, la modification, la transmission, la restitution et la suppression des données pour les fonctions Drivaxo convenues. Elle dure pendant le service et sa clôture convenue, jusqu’à restitution ou suppression des données concernées.

Quelles données et quelles personnes ?

• Personnes : utilisateurs, responsables, chauffeurs, contacts des clients et transporteurs, destinataires de colis et personnes citées dans un dossier nécessaire.
• Données : noms, coordonnées, rôles, dates d’emploi et de rappel, congés et absences, codes attribués par les transporteurs, données et affectations des véhicules, kilométrage, nombres de colis et d’arrêts, pleins, réclamations, adresses de livraison, correspondance, pièces jointes opérationnelles nécessaires et historique des actions.
• La mission exclut les copies et numéros de pièces d’identité ou de permis de conduire, les numéros de registre national ainsi que les copies et le contenu des contrats de travail ; les dates de rappel restent dans le périmètre décrit ci-dessus. Elle exclut aussi l’identification biométrique, les dossiers médicaux, les données pénales et la surveillance GPS continue. Une extension nécessaire exige une évaluation préalable distincte et un accord écrit.

Uniquement pour votre mission

Nous traitons uniquement sur instructions documentées : contrat, réglages autorisés et demandes écrites des contacts habilités. Si une instruction nous paraît contraire au RGPD ou à d’autres règles de protection des données, nous le signalons immédiatement et n’exécutons pas la partie contestée tant que le problème n’est pas résolu.

Si la loi impose un traitement, nous en informons préalablement le client, sauf interdiction légale pour des motifs importants. Nous n’utilisons pas les dossiers pour notre publicité, la vente de données personnelles ou une autre finalité autonome.

Confidentialité et sécurité

Seules les personnes autorisées et tenues à la confidentialité reçoivent les accès nécessaires. Nous appliquons des mesures techniques et organisationnelles adaptées aux risques, sans réduire la protection convenue lors d’un changement.

Ces mesures comprennent des droits distincts par entreprise, des contrôles sur le serveur et dans la base, des connexions chiffrées, des mots de passe hachés, des sessions protégées, une administration restreinte, la trace des actions importantes, des sauvegardes et des tests de sécurité. La page sécurité en précise la portée ; il ne s’agit pas d’une certification ni d’une garantie d’absence d’incident.

Sous-traitants ultérieurs et transferts

Lors de l’acceptation, le client autorise les sous-traitants nécessaires figurant sur la liste alors communiquée, pour les services décrits. Cette liste et sa version sont conservées avec le contrat. Nous annonçons par écrit tout ajout ou remplacement et laissons une possibilité suffisante d’objection fondée sur la protection des données avant le nouveau traitement.

Nous imposons des obligations équivalentes et restons responsables de l’exécution de leurs obligations de sous-traitant. Une objection justifiée doit être traitée avant la poursuite du traitement concerné.

Un traitement hors EEE nécessite une instruction documentée et un fondement valable au titre du chapitre V du RGPD. Selon le destinataire, il peut s’agir d’une décision d’adéquation applicable ou d’une autre garantie valable, comme des clauses contractuelles types avec l’évaluation et les mesures complémentaires nécessaires. L’hébergement belge n’exclut pas une assistance étrangère ou des transferts par d’autres services.

Demandes, incidents et contrôles

Nous aidons le client pour l’accès, la rectification, la suppression, la limitation et la portabilité, en tenant compte du traitement. Toute demande reçue directement est transmise sans retard inutile au client responsable. Nous ne répondons pas en son nom sans habilitation, sauf obligation légale.

Nous signalons une violation de données personnelles dans les meilleurs délais après en avoir pris connaissance. Nous communiquons les informations disponibles sur sa nature, les personnes et données concernées, ses conséquences, le contact et les mesures, puis les complétons. Le délai légal de notification du responsable n’est pas un délai d’attente pour nous.

Nous aidons pour la sécurité, les notifications, les analyses d’impact et la consultation préalable de l’autorité. Nous fournissons les éléments nécessaires pour démontrer la conformité et permettons des audits et inspections appropriés, y compris par un auditeur mandaté. Les modalités de sécurité et de confidentialité ne peuvent vider ces droits de leur substance.

Restitution et suppression

À la fin du service, le client choisit la restitution ou la suppression. Nous supprimons les copies existantes, sauf obligation de conservation en droit européen ou belge. Une exception légale reste limitée aux données concernées et à la finalité requise.

Les sauvegardes ne servent pas à l’usage quotidien. Les copies locales de la base sont nettoyées après environ deux semaines. Dans Google Cloud, une règle de suppression à 90 jours est suivie de sept jours pendant lesquels les objets supprimés restent récupérables. Si un effacement sélectif immédiat est impossible, les copies suivent ce cycle. Après restauration, les suppressions précédentes doivent être réappliquées. Les droits de transfert et délais de récupération convenus restent applicables.