Contrat de traitement des données (RGPD, article 28)

1.Objet et parties

Ce contrat est conclu entre le garage client, responsable de traitement (le « Client »), et Orfi BODLLI EI, entrepreneur individuel exerçant sous le nom commercial Praz SI (185 avenue des Nations, 57970 Yutz, France ; SIREN 131 404 634 — RCS Thionville), sous-traitant (« Praz SI »). Il s’applique à toutes les données personnelles que Praz SI traite pour le compte du Client dans le cadre du service, pendant toute la durée de l’abonnement.

Il complète les conditions générales de vente et prime sur elles pour tout ce qui concerne les données personnelles. La version signée par le Client dans « Mes documents » fait foi ; cette page en reprend le contenu pour être lue par tous.

2.Rôles

Le Client décide pourquoi et comment les données de ses clients sont traitées : il est responsable de traitement. Praz SI agit pour lui, selon ses instructions : il est sous-traitant.

Pour les données du Client lui-même (compte, facturation, journal de sécurité, documents signés), Praz SI est responsable de traitement : ces traitements sont décrits dans la politique de confidentialité.

3.Personnes concernées et catégories de données

Personnes concernées : les clients et prospects du garage, les personnes qui l’appellent ou lui écrivent, et les membres de son équipe.

Données traitées : identité, téléphone, e-mail, adresse ; véhicules (immatriculation, marque et modèle, kilométrage, photo de la carte grise) ; contenu des appels et des messages (résumé, transcription et, si le Client l’active, enregistrement audio) ; rendez-vous, devis, factures et paiements ; photos envoyées pour une réparation ; préférences de contact et consentements.

Aucune donnée dite sensible (santé, opinions, etc.) n’est demandée. Si une personne en communique spontanément au téléphone, elle n’est pas exploitée.

4.Registre des traitements confiés : finalité, base légale, durée

Chaque traitement ci-dessous est réalisé pour le compte du Client. La base légale est celle qui fonde le traitement entre le garage et son client ; les durées sont des durées par défaut ; le Client peut les raccourcir pour une personne en effaçant sa fiche.

– Appels entrants (réception par Sia, prise de rendez-vous, prise de message) : exécution du contrat entre le garage et son client ou mesures précontractuelles ; transcription et résumé conservés tant que la fiche du client existe.

– Enregistrements audio des appels (option activée par le Client) : intérêt légitime du garage, avec information des appelants au début de chaque appel ; quatre-vingt-dix jours, puis suppression automatique.

– Appels sortants de Sia (voiture prête, confirmation de la veille, rappels d’entretien, de contrôle technique et de pneus, relance de devis) : exécution du contrat pour les messages liés à une prestation en cours ; consentement du client pour les rappels qui proposent un service ; même durée que les appels entrants. Disponibles seulement quand ils auront été vérifiés et activés.

– Messages automatiques par SMS, e-mail ou messagerie (confirmations, rappels, relances) : mêmes bases que ci-dessus ; conservés avec la conversation du client.

– E-mails de la boîte mail du garage, si le Client la relie au service : la boîte de réception est lue (rien n’y est effacé ni marqué lu) et chaque e-mail est rangé dans Messages comme les autres messages reçus ; mêmes bases et même conservation. Le Client retire cet accès d’un clic ; il est retiré à la fin du contrat. Le mot de passe de la boîte est chiffré et n’est jamais affiché.

– Photo de la carte grise (lecture automatique de l’immatriculation et du modèle) : exécution du contrat ; tant que le véhicule figure au dossier du client.

– Photos envoyées par le client pour une réparation (fuite, pièce, voyant) : exécution du contrat ; tant que la fiche atelier existe.

– Demandes d’avis après intervention : intérêt légitime, envoi à tous les clients concernés sans tri ; douze mois, avec respect immédiat de toute désinscription.

– Réservation en ligne sur la mini-page du garage : mesures précontractuelles puis exécution du contrat ; comme les rendez-vous.

– Démonstration de Sia et demandes de rappel faites par un prospect du garage : consentement ; douze mois.

– Prospection du garage vers ses propres clients (campagnes SMS et e-mail) : consentement ou intérêt légitime selon le pays et la relation ; jusqu’au retrait du consentement ou à la désinscription, qui sont respectés immédiatement (mot « STOP », lien).

– Mémoire du garage (« Sia apprend votre garage » : habitudes, durées, réponses validées) : exécution du contrat ; aucune donnée de client, uniquement des règles de fonctionnement du garage, conservées tant que le contrat dure et modifiables par le Client.

– Diagnostic avec analyse de photos (aide au mécanicien) : exécution du contrat ; la photo est décrite par un modèle d’un prestataire puis n’est pas conservée par ce traitement ; seule la description entre dans l’analyse, conservée avec la fiche atelier.

– Interprète au comptoir, conversation sur le site internet du garage (assistante en ligne), annuaire public et paiement en ligne des factures : traitements prévus mais pas encore construits ; ils seront ajoutés ici, avec leur base légale et leur durée, avant d’être proposés.

– Statistiques d’usage sans cookie : intérêt légitime de Praz SI ; données agrégées, sans identification des personnes.

En tant que responsable de traitement, le Client vérifie que ces finalités, bases légales et durées conviennent à son pays et à son activité ; Praz SI applique les durées indiquées ci-dessus.

5.Instructions du Client

Praz SI ne traite les données que sur instruction documentée du Client, telle qu’elle résulte de ce contrat, des conditions générales et des réglages choisis par le Client dans son espace (annonces, enregistrement, canaux de message). Praz SI informe le Client si une instruction lui paraît contraire à la loi.

Praz SI n’utilise jamais les données des clients du garage pour son propre compte (prospection, revente, entraînement de modèles), sauf statistiques anonymes et agrégées.

6.Confidentialité et sécurité

Les personnes autorisées à traiter les données (équipe Praz SI) sont tenues à la confidentialité. Les mesures en place sont décrites sur la page « Sécurité » : données de chaque garage isolées des autres, chiffrement des échanges, contrôle des accès par rôle, journal de sécurité, sauvegardes chaque nuit, mots de passe jamais conservés en clair, vérification des messages automatiques reçus des prestataires.

Ce qui n’est pas encore en place est dit sur cette même page (aucune certification, pas d’audit externe à ce jour).

7.Sous-traitants ultérieurs

Le Client autorise Praz SI à recourir aux sous-traitants listés en annexe pour l’hébergement, l’acheminement des appels et des SMS, l’envoi d’e-mails, la synthèse et la reconnaissance vocale, les modèles de langage, le paiement et les services Google reliés par le Client.

Tout ajout ou remplacement est annoncé au Client au moins trente jours à l’avance (e-mail et « Mes documents »), avec possibilité d’objection ; en cas d’objection fondée, le Client peut résilier sans frais. Praz SI impose à chaque sous-traitant des obligations équivalentes à celles de ce contrat et reste responsable envers le Client de leur exécution.

8.Transferts hors Union européenne et hors Suisse

Plusieurs sous-traitants sont établis aux États-Unis ou y traitent des données. Praz SI ne transfère de données hors de l’Union européenne et de la Suisse qu’à des sous-traitants pour lesquels le transfert est encadré par une garantie prévue par le RGPD et la loi suisse : décision d’adéquation (cadre de protection des données UE–États-Unis et, pour la Suisse, son extension reconnue par le Conseil fédéral, pour les prestataires qui y sont certifiés) ou clauses contractuelles types. La garantie retenue pour chaque prestataire, d’après les documents qu’il publie, figure en annexe. Un fournisseur qui ne publie aucune garantie de transfert n’est pas utilisé : c’est pourquoi les voix d’un tel fournisseur, même proposées par la plateforme de l’assistante vocale, ne le sont pas par Praz SI.

Région d’hébergement (site, base de données et fichiers) : Francfort (Allemagne). L’hébergeur est une société établie aux États-Unis, où se trouvent ses principales opérations : des données peuvent y être traitées, avec les garanties ci-dessus.

9.Droits des personnes

Praz SI aide le Client à répondre aux demandes des personnes concernées (accès, rectification, effacement, opposition, portabilité) grâce aux fonctions de son espace : export complet des données d’un client, effacement définitif (qui retire aussi ces données des sauvegardes du garage et fait supprimer ses appels chez le prestataire de téléphonie ; les factures émises, gardées par obligation comptable, perdent le téléphone et l’e-mail du client : seuls le nom, l’adresse et le numéro d’entreprise y restent), désinscription des messages. Toute demande reçue directement par Praz SI est transmise au Client sans délai, sans y répondre à sa place.

10.Violation de données

Praz SI notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard soixante-douze heures après en avoir eu connaissance, avec les informations utiles pour la notification à l’autorité (CNIL en France, PFPDT en Suisse, CNPD au Luxembourg) et, si nécessaire, aux personnes concernées.

11.Fin du contrat et conservation

À la fin du contrat, le Client peut exporter ses données (sauvegarde complète, exports par client). Praz SI les supprime ensuite, ainsi que leurs copies et sauvegardes, dans un délai de quatre-vingt-dix jours, sauf obligation légale de conservation (factures : au moins dix ans, obligation comptable). Sur ces factures ne restent que le nom, l’adresse et le numéro d’entreprise du client : son téléphone et son e-mail en sont retirés.

En cas de résiliation pour impayé, les données sont conservées plus longtemps (douze mois par défaut) pour permettre une reprise sans perte si le garage règle sa situation ; passé ce délai, elles sont supprimées. Ce délai est indiqué au Client au moment de la résiliation.

12.Contrôle et audit

Praz SI met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations (cette page, la page « Sécurité », la liste des sous-traitants, le registre) et permet, à la demande raisonnable du Client et à ses frais, un audit par un tiers indépendant tenu à la confidentialité, une fois par an au plus, sans accès aux données des autres garages.

13.Registre des traitements et analyse d’impact

Praz SI tient son propre registre des traitements (RGPD, article 30) : les traitements réalisés pour le compte des garages (ce document) et ceux dont il est responsable (politique de confidentialité). Le Client peut s’appuyer sur ce document pour tenir son propre registre.

L’analyse d’impact relative à la protection des données (AIPD, article 35 du RGPD) incombe au Client lorsqu’un traitement est susceptible d’engendrer un risque élevé : enregistrement des appels, appels sortants automatiques, usage de l’intelligence artificielle pour la prise de rendez-vous à grande échelle. Praz SI l’aide à la réaliser, en lui fournissant sur demande la description de ces traitements, des prestataires et des mesures de sécurité.

14.Garages établis en Suisse

Pour un Client établi en Suisse, les références au RGPD s’entendent aussi de la loi fédérale sur la protection des données (nLPD, en vigueur depuis le 1er septembre 2023, article 9 pour la sous-traitance) et de son ordonnance ; les notifications de violation sont faites au Préposé fédéral (PFPDT) lorsque la loi l’exige. En Suisse, enregistrer une conversation sans l’accord des autres participants est puni par la loi (article 179ter du code pénal suisse) : chaque appel enregistré commence par une annonce claire, et c’est au Client de ne pas activer l’enregistrement s’il estime que cette annonce ne suffit pas à recueillir l’accord de ses appelants.

15.Annexe : liste nominative des sous-traitants (à la date de cette version)

Cette annexe fait partie du contrat. Elle est mise à jour à chaque changement, avec le préavis de trente jours prévu ci-dessus. Pays : siège du prestataire ; garanties de transfert : en fin d’annexe, prestataire par prestataire.

– Render (Render Services, Inc., États-Unis) : hébergement du site, de la base de données et des fichiers. Région des serveurs : Francfort (Allemagne) ; principales opérations de l’entreprise aux États-Unis.

– Autocalls (MULTICODE S.R.L., Roumanie) : plateforme de l’assistante vocale (réception des appels par Sia, transcription, synthèse vocale) ; serveurs dans l’Espace économique européen ou aux États-Unis.

– Fournisseurs de voix utilisés par Autocalls : ElevenLabs (États-Unis), Cartesia (États-Unis), Microsoft Azure (États-Unis) : synthèse de la voix de Sia, selon la voix choisie.

– Twilio (Twilio Inc., États-Unis) : opérateur télécom (numéros de téléphone, acheminement des appels et des SMS).

– Anthropic (Anthropic, PBC, États-Unis, et Anthropic Ireland, Limited pour l’Union européenne et la Suisse ; traitement aux États-Unis) : modèles de langage de Sia (compréhension des demandes, rédaction des résumés et des réponses, description des photos pour le diagnostic) lorsque Praz SI active ce prestataire ; pour le compte de Praz SI seul, lecture et traduction des réponses des garages qu’il prospecte (voir la politique de confidentialité).

– OpenAI (OpenAI Ireland Ltd, Irlande, et OpenAI, L.L.C., États-Unis ; traitement aux États-Unis) : mêmes modèles de langage, lorsque Praz SI n’a pas activé Anthropic.

– Stripe (Stripe, Inc., États-Unis, et Stripe Payments Europe pour l’Union européenne) : paiement des abonnements, factures, et plus tard paiement en ligne des factures du garage.

– Resend (Plus Five Five, Inc., États-Unis) : envoi des e-mails (confirmations, rappels, invitations, factures).

– Google (Google LLC, États-Unis, et Google Ireland pour l’Union européenne) : agenda relié, demandes d’avis et fiche d’établissement, selon les services reliés par le Client.

– À venir, annoncés avec préavis avant usage : identification d’un véhicule par sa plaque, catalogue de pièces.

Garanties de transfert retenues pour chaque prestataire, d’après les documents qu’il publie : Render, Twilio et Stripe : certification au cadre de protection des données UE–États-Unis et à son extension suisse, et clauses contractuelles types de leur accord de traitement en secours ; Google : certification au même cadre et à son extension suisse ; Microsoft Azure : certification au cadre UE–États-Unis ; Resend, ElevenLabs et Cartesia : cadre UE–États-Unis et clauses contractuelles types ; Anthropic : certification au cadre UE–États-Unis et à son extension suisse, et clauses contractuelles types de son accord de traitement des données ; OpenAI : clauses contractuelles types de son accord de traitement des données ; Autocalls : établi dans l’Union européenne, il encadre lui-même les transferts vers ses serveurs et ses fournisseurs de voix.

Pour toute question sur cette liste : contact@praz.si.