Accord de sous-traitance
Version 1.0 du 23 octobre 2026
Comment Carmantic traite les données à caractère personnel figurant dans les dossiers du garage : uniquement pour le compte du garage, de manière sécurisée, avec des fournisseurs déterminés et avec une assistance pour chaque demande ou incident.
1. Parties et rôles
Cet accord de sous-traitance s'applique entre le client qui utilise Carmantic (« le responsable du traitement ») et Hebel & Margo SRL, Kapellekensweg 32, 3391 Meensel-Kiezegem, numéro d'entreprise BE 0794.199.079 (« le sous-traitant »). Il fait partie des conditions d'utilisation et s'applique tant que le sous-traitant traite des données à caractère personnel pour le client.
Les notions comme données à caractère personnel, traitement, violation de données à caractère personnel et sous-traitant ultérieur ont le sens du Règlement général sur la protection des données (UE) 2016/679 (« RGPD »).
2. Objet et nature du traitement
| Finalité | Établir des documents pour l'achat, l'intermédiation ou le dépôt-vente de véhicules, les faire signer, les conserver et les envoyer au client, à son client et à sa comptabilité |
|---|---|
| Nature | Collecte, enregistrement, conservation, consultation, conversion en PDF, envoi et effacement |
| Personnes concernées | Vendeurs, déposants, mandants et autres personnes figurant dans les dossiers du client, ainsi que les collaborateurs du client dans la mesure où ils figurent dans un dossier |
| Données | Identité et coordonnées, copie du document d'identité (avec photo et, le cas échéant, numéro de registre national), numéro de compte, données du véhicule et documents de bord, prix et mode de paiement, signature, éléments de preuve de la signature (heure, appareil, navigateur, adresse IP pseudonymisée) et journal |
| Durée | Pendant la durée du contrat, puis jusqu'à l'effacement des données selon le point 9 |
3. Instructions
Le sous-traitant ne traite les données à caractère personnel que sur instruction écrite du responsable du traitement. Les conditions d'utilisation, cet accord et l'utilisation que le client fait des fonctions de Carmantic (comme faire signer un document ou l'envoyer à son comptable) valent comme ces instructions.
Le sous-traitant n'utilise jamais les données à ses propres fins. S'il est légalement tenu de traiter des données autrement, il le signale au préalable, sauf si la loi interdit cette information. Si le sous-traitant estime qu'une instruction viole le RGPD, il le signale immédiatement.
Le responsable du traitement garantit la licéité du traitement : une base légale, l'information des personnes concernées et le choix des données qu'il fait traiter.
4. Confidentialité
Seules les personnes qui ont besoin des données pour fournir ou soutenir le service y ont accès. Elles sont tenues au secret. Le sous-traitant ne consulte le contenu des dossiers que si c'est nécessaire pour résoudre un problème pour lequel le client demande de l'aide, ou si la loi l'exige.
5. Sécurité
Le sous-traitant prend des mesures techniques et organisationnelles appropriées, notamment :
- des connexions chiffrées (TLS) et un stockage chiffré chez les fournisseurs ;
- une séparation stricte par client : chaque requête à la base de données est limitée à l'organisation de l'utilisateur ;
- mots de passe et liens personnels de signature uniquement sous forme de hash, adresses IP des éléments de preuve uniquement pseudonymisées ; vérification en deux étapes disponible pour chaque utilisateur et obligatoire pour les administrateurs du sous-traitant ;
- documents et photos accessibles uniquement après connexion ou via des liens temporaires signés ;
- un journal des actions dans chaque dossier et une empreinte (hash) de chaque document signé ;
- des signalements d'erreurs filtrés pour que les noms, numéros de compte et photos ne soient pas transmis ;
- une limitation du nombre de tentatives lors de la connexion et pour les liens personnels ;
- des sauvegardes régulières et la possibilité de restaurer une base de données.
Le sous-traitant peut adapter les mesures à l'état de la technique, tant que le niveau de sécurité ne diminue pas.
6. Sous-traitants ultérieurs
Le responsable du traitement donne une autorisation générale pour faire appel à ces sous-traitants ultérieurs :
| Sous-traitant ultérieur | Tâche | Lieu du traitement |
|---|---|---|
| Vercel Inc. | Hébergement de l'application | Francfort (Allemagne) |
| Neon Inc. (Databricks) | Base de données | Francfort (Allemagne) |
| DigitalOcean LLC | Stockage des documents et des photos | Amsterdam (Pays-Bas) |
| Resend Inc. | Envoi des e-mails avec documents et liens | États-Unis |
| Functional Software Inc. (Sentry) | Signalement des erreurs, filtré | États-Unis |
Le sous-traitant impose à chaque sous-traitant ultérieur au moins les mêmes obligations que dans cet accord et reste responsable envers le client pour eux. Il annonce tout sous-traitant ultérieur nouveau ou remplaçant au moins 30 jours à l'avance par e-mail. Le client peut s'y opposer de manière motivée dans ce délai ; si les parties ne trouvent pas de solution, le client peut mettre fin au contrat sans frais.
Les destinataires choisis par le client lui-même, comme son comptable, son logiciel comptable ou son propre client, ne sont pas des sous-traitants ultérieurs du sous-traitant.
7. Transferts en dehors de l'Espace économique européen
Les données ne sont traitées en dehors de l'EEE que moyennant des garanties appropriées, comme le EU-US Data Privacy Framework ou les clauses contractuelles types de la Commission européenne, complétées par des mesures comme le chiffrement.
8. Assistance et incidents
Le sous-traitant aide le responsable du traitement à répondre aux demandes des personnes concernées, notamment grâce aux fonctions permettant de consulter et télécharger les dossiers ; il efface un dossier signé à la demande du client. Si le sous-traitant reçoit lui-même une telle demande, il la transmet sans délai au client et n'y répond pas lui-même sur le fond.
Si le sous-traitant constate une violation de données à caractère personnel, il en informe le client dans les meilleurs délais et au plus tard dans les 48 heures, avec ce qui est connu à ce moment : la nature de la violation, les données et personnes concernées, les conséquences probables et les mesures prises ou proposées. Le client décide d'une notification à l'Autorité de protection des données et aux personnes concernées.
Le sous-traitant aide également lors d'une analyse d'impact relative à la protection des données ou d'une consultation préalable, dans la mesure où elle concerne Carmantic.
9. Fin : restitution et effacement
Pendant le contrat, le client peut à tout moment télécharger ses dossiers. Il efface lui-même les brouillons ; le sous-traitant efface un dossier signé à sa demande, afin que la numérotation du client ne présente pas de trous inexpliqués. Après la fin, le compte reste 30 jours en lecture seule pour que le client puisse tout télécharger. Ensuite, le sous-traitant efface les données à caractère personnel dans les 90 jours, sauf si la loi l'oblige à les conserver. Les sauvegardes sont écrasées automatiquement.
Le client détermine combien de temps il conserve les dossiers et les copies de documents d'identité et reste responsable des délais légaux de conservation qui lui sont applicables.
10. Contrôle
Le sous-traitant met à disposition les informations nécessaires pour démontrer qu'il respecte cet accord. Le client peut faire réaliser un audit par un auditeur indépendant tenu au secret, au maximum une fois par an et moyennant un préavis de 30 jours, sauf indice concret d'une violation. Les frais sont à charge du client. Un audit ne peut pas mettre en danger la sécurité ni les données d'autres clients.
11. Responsabilité et priorité
Les conditions d'utilisation s'appliquent à la responsabilité, sans préjudice de l'article 82 du RGPD. En cas de contradiction entre cet accord et les conditions d'utilisation, cet accord prévaut pour ce qui concerne le traitement des données à caractère personnel.
Cet accord existe en néerlandais, en français et en anglais ; en cas de divergence, le texte néerlandais prévaut. Le droit belge s'applique.