Document de travail à faire valider par un juriste avant toute utilisation.
1. Parties et objet
Le présent contrat est conclu entre le garage client, responsable de traitement, et [À COMPLÉTER] (Carbox), sous-traitant, conformément à l'article 28 du RGPD. Il fait partie des conditions d'abonnement et définit le traitement des données personnelles effectué par Carbox pour le compte du garage dans l'application (objet : fourniture du service Carbox).
2. Durée
Le contrat dure aussi longtemps que l'abonnement et prend fin avec lui, sous réserve de la section 9.
3. Nature et finalité du traitement
Réception, stockage, organisation, consultation et mise à disposition des demandes d'acheteurs, préparation de réponses, gestion du stock et des documents, rapports. La finalité est exclusivement la fourniture du service au garage.
4. Types de données et personnes concernées
- Types de données : identification et coordonnées des acheteurs, messages, véhicule d'intérêt, données de vente.
- Personnes concernées : acheteurs, prospects, personnel du garage.
5. Obligations du sous-traitant
- Instructions : Carbox traite les données uniquement sur instruction documentée du garage (le présent contrat et l'utilisation de l'application) et l'informe si une instruction lui paraît contraire au RGPD.
- Confidentialité : les personnes autorisées à traiter les données sont tenues à la confidentialité.
- Sécurité : hébergement dans l'UE, chiffrement des échanges (HTTPS), isolement par ligne entre garages, authentification à deux facteurs optionnelle, sauvegardes.
- Assistance : Carbox aide le garage à répondre aux demandes d'exercice des droits des personnes concernées et à réaliser, si nécessaire, des analyses d'impact.
- Violation de données : Carbox notifie le garage sans retard indu, avec un objectif de 48 heures après en avoir pris connaissance.
6. Sous-traitants ultérieurs
Le garage autorise le recours aux sous-traitants ultérieurs suivants. Carbox informe le garage de tout changement et leur impose des obligations équivalentes.
| Prestataire | Rôle | Localisation |
|---|---|---|
| Supabase | Hébergement, base de données | UE (Francfort) |
| Resend | Envoi d'e-mails | [À COMPLÉTER] |
| Postmark (ActiveCampaign) | Réception d'e-mails | [À COMPLÉTER] |
| Stripe | Paiements (données de facturation du garage uniquement, pas de données d'acheteurs) | Irlande (Stripe Payments Europe, Ltd.) |
| Cloudflare | Hébergement du site web | [À COMPLÉTER] |
Lorsque des transferts hors de l'UE ont lieu, ils sont encadrés par les clauses contractuelles types de l'UE ou le cadre de protection des données UE-États-Unis.
7. Droits des personnes concernées
Si Carbox reçoit directement une demande d'une personne concernée, il la transmet au garage sans délai excessif.
8. Audits
Carbox met à disposition du garage les informations nécessaires pour démontrer le respect du présent contrat et permet les audits, y compris les inspections, raisonnablement demandés par le garage, moyennant un préavis raisonnable.
9. Fin du contrat
À la fin de l'abonnement, les données sont restituées (export disponible avant la fin) puis supprimées dans les 90 jours, sauf obligation légale de conservation.
10. Droit applicable
Droit belge. Tribunaux de l'arrondissement de [À COMPLÉTER].