Accord de sous-traitance des données (DPA)
Date d'effet : septembre 2026
Este documento tiene validez legal únicamente en su versión en español. Las versiones en otros idiomas son traducciones de referencia. / This document is legally binding only in its Spanish version.
1. Parties et champ d'application
Cet Accord fait partie des CGU et régit le traitement de données personnelles que MecánicOS effectue pour le compte de l'atelier lorsque celui-ci utilise le service (art. 28 RGPD).
- Sous-traitant : le prestataire identifié dans le Mentions légales (nom commercial MecánicOS).
- Responsable du traitement : l'atelier (personne physique ou morale) titulaire du compte, dont les données y figurent.
Il est réputé accepté par l'acceptation des Conditions et l'utilisation du service. L'atelier peut le consulter et en conserver une copie sur cette page à tout moment.
2. Objet et durée
Le sous-traitant traitera des données personnelles pour le compte du responsable afin de fournir le service de gestion d'atelier décrit dans les Conditions. La durée est celle de la relation contractuelle (essai compris), plus le délai raisonnable nécessaire à la restitution ou à la suppression des données.
3. Nature, finalité, données et personnes concernées
- Nature du traitement : hébergement, stockage, consultation, organisation et génération de documents ; envoi d'emails à la demande du responsable ; sauvegardes.
- Finalité : gestion opérationnelle de l'atelier du responsable.
- Types de données : identification et coordonnées des clients ; véhicules ; historique des ordres, réparations et documents (devis, bons de livraison, factures) ; photographies, signatures et notes ; données des utilisateurs de l'atelier (nom, email, rôle).
- Catégories de personnes concernées : clients de l'atelier et leurs contacts, utilisateurs et employés de l'atelier, et fournisseurs personnes physiques.
- Le traitement de catégories particulières de données n'est pas prévu ; le responsable évitera de les saisir.
4. Obligations du sous-traitant
- Traiter les données uniquement sur instructions documentées du responsable. Les Conditions, cet Accord et l'utilisation des fonctions du service constituent ces instructions.
- Informer le responsable s'il estime qu'une instruction enfreint la réglementation sur la protection des données.
- Veiller à ce que les personnes autorisées à traiter les données se soient engagées à la confidentialité.
- Appliquer des mesures techniques et organisationnelles adaptées au risque (art. 32 RGPD), notamment : chiffrement en transit, authentification des utilisateurs, contrôle d'accès par rôles, séparation logique des données de chaque atelier et journaux d'activité.
- Mettre à la disposition du responsable les informations nécessaires pour démontrer le respect de cet Accord et permettre des audits raisonnables, avec un préavis raisonnable, pendant les heures ouvrables, sans compromettre la sécurité ni les données de tiers et, de préférence, au moyen de documentation et de certifications. Les coûts sont à la charge de celui qui demande l'audit, sauf s'il révèle un manquement du sous-traitant.
5. Sous-traitants ultérieurs
Le responsable accorde une autorisation générale pour les sous-traitants ultérieurs suivants. Le sous-traitant leur impose des obligations équivalentes à celles de cet Accord et demeure responsable devant le responsable de leur respect.
| Sous-traitant ultérieur | Service | Remarques |
|---|---|---|
| Google (Firebase) | Base de données, authentification et stockage de fichiers | Peut impliquer un transfert hors EEE (section 10) |
| Vercel | Hébergement et exécution de l'application | Peut impliquer un transfert hors EEE (section 10) |
| Cloudinary | Stockage et diffusion de photographies | Peut impliquer un transfert hors EEE (section 10) |
| Resend | Envoi d'emails à la demande du responsable | Peut impliquer un transfert hors EEE (section 10) |
| Anthropic | Assistant d'IA, uniquement lorsqu'un utilisateur l'utilise et avec le contexte qu'il envoie | Peut impliquer un transfert hors EEE (section 10) |
| Sentry | Surveillance des erreurs (serveur dans l'UE) ; l'envoi de données de clients finaux n'est pas prévu | Données techniques |
Le sous-traitant informera le responsable de tout ajout ou remplacement de sous-traitants ultérieurs avec un préavis d'au moins 30 jours, par email au contact du compte ou par un avis dans le service. Le responsable peut s'y opposer pour des motifs raisonnables de protection des données pendant ce délai ; à défaut de solution, il pourra résilier le service sans pénalité.
6. Assistance au responsable
- Droits des personnes concernées : transmettre au responsable, dans un délai raisonnable, les demandes reçues, et lui offrir les outils du service (export, rectification et suppression) pour y répondre.
- Sécurité, violations, analyses d'impact et consultations préalables : fournir les informations dont il dispose et collaborer raisonnablement lorsque le responsable doit les réaliser.
7. Violations de données
Si le sous-traitant a connaissance d'une violation de la sécurité des données personnelles qu'il traite pour le compte du responsable, il la lui notifiera dans les meilleurs délais, par email au contact du compte de l'atelier (propriétaire ou administrateur enregistré). La notification comprendra, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de données et de personnes concernées, les conséquences probables, les mesures prises ou proposées et un point de contact. Il appartient au responsable de décider s'il doit la notifier à l'autorité de contrôle et aux personnes concernées.
8. Restitution ou suppression
À la fin du service, le propriétaire peut générer une sauvegarde locale chiffrée et versionnée depuis Paramètres. Elle contient les données restaurables et les fichiers téléchargeables ; le manifeste déclare les omissions et exclut les identifiants et secrets. Après la résiliation, le sous-traitant supprimera ou restituera les données dans un délai raisonnable, sauf obligation légale de conservation, et sans préjudice des sauvegardes des sous-traitants ultérieurs selon leurs politiques de conservation.
9. Obligations du responsable
Le responsable garantit disposer d'une base juridique et d'une information suffisantes pour les données qu'il saisit, et que ses instructions respectent la réglementation.
10. Transferts internationaux
Lorsqu'un sous-traitant ultérieur traite des données en dehors de l'Espace économique européen, le transfert repose sur une décision d'adéquation (comme le Data Privacy Framework UE-États-Unis si le prestataire est certifié), sur les clauses contractuelles types de la Commission européenne ou sur une autre garantie du chapitre V du RGPD.
11. Droit applicable
Cet Accord est régi par le RGPD (UE) 2016/679 et la LOPDGDD (loi organique espagnole 3/2018). Le droit espagnol s'applique, et les juridictions déterminées par la réglementation applicable sont compétentes.
12. Durée et modifications
Valable tant que la relation contractuelle existe. Il sera mis à jour en cas de changements réglementaires pertinents, avec un préavis de 30 jours par email ou avis dans le service.