Contrat de sous-traitance des données personnelles

1. Parties

2. Objet

CamperTech, en sa qualité de sous-traitant, traitera des données personnelles pour le compte de l'atelier client (responsable du traitement) exclusivement pour fournir le service de gestion d'ateliers d'aménagement décrit dans le contrat de services, et en aucun cas à des fins propres ou autres que celles qui y sont établies.

3. Nature et finalité du traitement

4. Obligations du sous-traitant (CamperTech)

• Traiter les données uniquement sur instruction documentée du responsable du traitement. S'il estime qu'une instruction constitue une violation du RGPD, il le signalera immédiatement.
• Veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité.
• Mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité des données (chiffrement en transit, contrôle d'accès, sauvegardes).
• Respecter les conditions pour recourir à un autre sous-traitant (sous-traitant ultérieur) et informer préalablement le responsable du traitement de tout changement prévu le concernant, en lui donnant la possibilité de s'y opposer.
• Aider le responsable du traitement à s'acquitter de ses obligations face aux demandes d'exercice des droits des personnes concernées.
• Aider le responsable du traitement à respecter les obligations en matière de sécurité (art. 32-36 RGPD), de notification des violations et d'analyses d'impact.
• Supprimer ou restituer toutes les données au responsable du traitement à la fin du contrat, selon ses instructions, et supprimer les copies existantes, sauf obligation légale de conservation.
• Mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations du présent contrat.

5. Sous-traitants ultérieurs

Le responsable du traitement autorise CamperTech à recourir aux sous-traitants ultérieurs suivants, nécessaires à la fourniture du service :

• Supabase Inc. — base de données et authentification (région Irlande, UE)
• Hetzner Online GmbH — serveur d'application (Nuremberg, Allemagne)
• Stripe Inc. — passerelle de paiement (États-Unis, avec clauses contractuelles types)
• Resend — envoi des e-mails que la Plateforme adresse au nom de l'atelier, comme les devis et les rappels (États-Unis, avec clauses contractuelles types)

En outre, CamperTech utilise Google Analytics (Google Ireland Limited) pour obtenir des statistiques d'utilisation de la Plateforme, uniquement si l'utilisateur y consent dans le bandeau de cookies. Pour ce traitement, CamperTech agit pour son propre compte et non en tant que sous-traitant ultérieur : Google Analytics ne reçoit pas les données que le responsable du traitement saisit dans la Plateforme (clients, véhicules, devis) et n'est pas chargé sur les pages publiques du devis ni du portail client.

CamperTech informera le responsable du traitement suffisamment à l'avance de tout changement prévu dans la liste des sous-traitants ultérieurs, en lui accordant un délai raisonnable pour s'y opposer.

6. Transferts internationaux

Les données sont stockées principalement sur des serveurs situés dans l'UE/EEE (Supabase Irlande, Hetzner Allemagne). L'utilisation de Stripe implique un transfert vers les États-Unis, couvert par des clauses contractuelles types approuvées par la Commission européenne conformément à l'art. 46 RGPD. L'envoi d'e-mails via Resend implique également un transfert vers les États-Unis, couvert par les mêmes garanties.

7. Durée

Le présent contrat restera en vigueur tant que le contrat de prestation de services entre l'atelier et CamperTech sera en vigueur. À son terme, CamperTech supprimera ou restituera les données conformément aux dispositions de la clause 4.

8. Responsabilités

Le responsable du traitement garantit qu'il dispose d'une base juridique pour le traitement des données de ses clients finaux et qu'il a respecté ses propres obligations d'information et de transparence. CamperTech n'assume aucune responsabilité pour les traitements réalisés en dehors du périmètre du service souscrit, ni pour les données saisies par le responsable du traitement sans base légale appropriée. Rien de ce qui précède ne limite la responsabilité de chaque partie envers les personnes concernées prévue à l'article 82 du RGPD, ni la responsabilité en cas de dol ou de faute lourde.

9. Législation applicable

Le présent contrat est régi par le Règlement (UE) 2016/679 (RGPD) et la loi organique espagnole 3/2018 relative à la protection des données personnelles et à la garantie des droits numériques (LOPDGDD). Pour tout litige, les parties se soumettent aux cours et tribunaux de Girona, sans préjudice des réclamations auprès de l'Agencia Española de Protección de Datos (autorité espagnole de protection des données, www.aepd.es).