Accord de traitement des données (DPA)

Modèle à faire valider par un juriste. Remplacez les [PLACEHOLDER]. Conclu au titre de l'article 28 du RGPD. Version [X.Y] — [DATE].

Préambule

Dans le cadre de l'utilisation de la Plateforme Rollie, le Loueur (« le Responsable de traitement ») confie à Rollie ([RAISON SOCIALE], « le Sous-traitant ») le traitement de données personnelles concernant les clients finaux du Loueur et les personnes liées à ses réservations. Le présent accord fait partie intégrante des CGU/CGV et prévaut sur elles pour les questions de protection des données.

1. Objet et rôles

  • Responsable de traitement : le Loueur, qui détermine les finalités et moyens du traitement de ses clients finaux.
  • Sous-traitant : Rollie, qui traite ces données uniquement sur instruction documentée du Loueur (l'usage de la Plateforme valant instruction) et pour fournir le service.

2. Nature et finalité du traitement

Gestion des réservations de location : collecte, stockage, organisation, consultation, édition de documents (devis, factures, contrats, états des lieux), et encaissement (via Stripe Connect).

3. Catégories de données et de personnes

  • Personnes : clients finaux du Loueur (locataires, conducteurs).
  • Données : identité, coordonnées, adresse, pièces justificatives (permis, pièce d'identité, justificatif de domicile), données de réservation et de paiement, photos d'état des lieux.

[Le Loueur s'assure de ne pas téléverser de données sensibles non nécessaires.]

4. Obligations de Rollie (sous-traitant)

Rollie s'engage à :

  1. traiter les données uniquement sur instruction du Loueur et pour le service ;
  2. garantir la confidentialité (personnel habilité et tenu au secret) ;
  3. mettre en œuvre des mesures de sécurité appropriées (art. 32 RGPD : chiffrement en transit, contrôle d'accès, cloisonnement par organisation, sauvegardes) ;
  4. n'avoir recours qu'à des sous-traitants ultérieurs autorisés (cf. §6) ;
  5. aider le Loueur à répondre aux demandes d'exercice de droits et à ses obligations de sécurité, de notification de violation et d'analyse d'impact ;
  6. notifier au Loueur toute violation de données dans les meilleurs délais après en avoir pris connaissance ;
  7. au terme de la prestation, supprimer ou restituer les données selon le choix du Loueur, sous réserve des obligations légales de conservation.

5. Obligations du Loueur (responsable de traitement)

Le Loueur s'engage à :

  • disposer d'une base légale et informer ses clients finaux du traitement ;
  • ne collecter que des données pertinentes et nécessaires ;
  • documenter ses propres traitements et gérer les demandes de droits de ses clients (Rollie fournit les outils d'export/anonymisation/suppression).

6. Sous-traitants ultérieurs

Le Loueur autorise Rollie à recourir aux sous-traitants ultérieurs suivants :

  • [Vercel Inc.] — Hébergement / exécution — [localisation].
  • [Supabase] — Base de données / stockage — [localisation].
  • Stripe — Paiement — [localisation].
  • [Resend / Brevo] — Emails transactionnels — [localisation].

Rollie informe le Loueur de tout changement (ajout/remplacement) et lui permet de s'y opposer pour un motif légitime.

7. Transferts hors UE

[Décrire les transferts éventuels hors UE et les garanties : clauses contractuelles types de la Commission européenne, mesures supplémentaires.]

8. Durée

Le présent accord s'applique pendant toute la durée de fourniture du service. À son terme, les données sont supprimées ou restituées conformément au §4.7.

9. Audit

Rollie met à disposition du Loueur les informations nécessaires pour démontrer le respect de ses obligations et se soumet à des audits raisonnables, dans des conditions préservant la confidentialité et la sécurité des autres clients.