_Dernière mise à jour : 13 septembre 2026_
Le présent Accord de traitement des données (« DPA ») est un contrat au sens de l'art. 28 du RGPD entre le studio de detailing qui utilise DetailingManager (« Entreprise », « Responsable du traitement ») et Radoslav Moshev, Sofia, ul. Pirin, Bulgarie, admin@detailingmanager.com (« Sous-traitant »).
Il s'applique lorsque l'Entreprise enregistre des données personnelles de ses propres clients, employés ou autres personnes physiques dans la plateforme. Il ne remplace ni la Politique de confidentialité ni les Conditions. Ce texte est un document de travail, et non un instrument certifié par un avocat.
1. Objet et finalité
Le Sous-traitant fournit le SaaS DetailingManager (fiches clients et véhicules, tâches, documents, rappels, campagnes d'e-mails, statistiques, recherche VIN) afin que l'Entreprise puisse gérer son studio. Le traitement est effectué uniquement à cette fin, sur instructions documentées de l'Entreprise (utilisation du produit et demandes écrites à admin@detailingmanager.com).
2. Durée
Le DPA reste en vigueur tant que l'Entreprise dispose d'un compte actif. Après confirmation de la clôture, les données actives et les fichiers de stockage sont supprimés immédiatement. Les copies de sauvegarde sur le même serveur Hetzner à Nuremberg sont conservées pendant 7 jours au maximum, puis écrasées. Si une sauvegarde est restaurée pendant cette période, la suppression est appliquée à nouveau.
3. Catégories de données et personnes concernées
Personnes concernées : les clients de l'Entreprise et leurs contacts ; les membres du personnel du studio disposant d'un compte ; les destinataires des e-mails envoyés par l'Entreprise.
Données types : noms, téléphone, e-mail, adresse, date de naissance, consentement marketing, véhicules (y compris VIN et plaque), notes et photos des tâches, documents PDF, instantanés des destinataires de campagnes.
L'Entreprise décide de ce qu'elle saisit. Le Sous-traitant ne collecte pas de données sur les clients des studios auprès d'autres sources.
Si l'Entreprise active l'assistant IA, les questions saisies par son personnel et les enregistrements que l'assistant lit pour y répondre sont également traités comme décrit aux sections 5 et 6.
4. Obligations du sous-traitant
Le Sous-traitant s'engage à :
- traiter les données personnelles uniquement sur instructions de l'Entreprise, sauf si le droit de l'UE ou le droit bulgare l'exige autrement
- veiller à ce que les personnes autorisées à traiter les données soient liées par une obligation de confidentialité
- mettre en œuvre les mesures de sécurité de la section 7
- ne faire appel à d'autres sous-traitants que comme décrit à la section 5
- aider l'Entreprise à répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité), y compris l'export CSV des clients dans le produit
- aider l'Entreprise dans ses obligations de sécurité, de notification des violations et d'AIPD, compte tenu de la nature du traitement
- supprimer ou restituer les données personnelles à la fin du service, conformément à la section 2
- mettre à disposition les informations raisonnablement nécessaires pour démontrer la conformité et permettre les audits conformément à la section 9
5. Sous-traitants ultérieurs
L'Entreprise autorise les sous-traitants ultérieurs suivants. Les modifications importantes seront reflétées dans le présent DPA et dans la Politique de confidentialité.
| Prestataire | Rôle | Localisation |
|---|---|---|
| Supabase | Base de données, authentification, stockage de fichiers | Irlande (AWS eu-west-1) |
| Hetzner / Coolify | Hébergement de l'application et copies de sauvegarde (jusqu'à 7 jours) | Nuremberg, Allemagne |
| Resend | E-mails transactionnels et de campagne | Irlande (eu-west-1) |
| Upstash Redis | Limitation de débit (compteurs IP / requêtes) | Belgique (GCP europe-west1) |
| OpenAI Ireland Limited | Assistant IA (uniquement lorsque l'Entreprise l'active) | Irlande ; le traitement du modèle peut avoir lieu hors de l'UE |
| db.vin | Décodage VIN principal | VIN uniquement |
| NHTSA vPIC | Décodage VIN de secours | États-Unis (VIN uniquement) |
L'assistant IA est désactivé par défaut. Un administrateur de l'Entreprise doit l'activer et confirmer un avis mentionnant le prestataire ; jusque-là, rien n'est transmis à OpenAI. L'historique des conversations est stocké dans la plateforme et supprimé automatiquement après 14 jours au maximum.
Google Analytics 4 et Meta Pixel ne s'exécutent que si le visiteur accorde le consentement marketing. Ils ne sont pas utilisés pour traiter la base de données clients de l'Entreprise.
6. Transferts internationaux
L'hébergement principal, la base de données, les fichiers, l'application, Redis et l'envoi d'e-mails se trouvent dans l'UE (Irlande, Allemagne, Belgique).
Le VIN peut être envoyé à NHTSA vPIC aux États-Unis lorsque le décodeur européen ne renvoie pas de résultat. Aucun nom, téléphone ou e-mail n'est envoyé avec cette requête.
Si l'assistant IA est activé, les questions et les enregistrements nécessaires pour y répondre sont transmis à OpenAI Ireland Limited, qui traite les données de l'EEE dans le cadre du Data Processing Addendum d'OpenAI et ne les transfère hors de l'EEE que sur la base de clauses contractuelles types. Les entrées et sorties de l'API ne sont pas utilisées pour entraîner les modèles d'OpenAI. Les journaux de surveillance des abus peuvent les contenir et sont conservés pendant 30 jours au maximum, sauf si une conservation plus longue est exigée par la loi.
Les pixels marketing (si le consentement est donné) peuvent transférer des données hors de l'UE selon les conditions de ces prestataires.
7. Sécurité
- Chiffrement en transit (TLS 1.3) et au repos (AES-256)
- Sécurité au niveau des lignes (RLS) afin que chaque locataire ne voie que ses propres lignes
- Authentification à deux facteurs en option
- Délai d'expiration de session configurable par l'Entreprise
- Rôles à moindre privilège (administrateur / gestionnaire / employé)
8. Violation de données personnelles
Si le Sous-traitant prend connaissance d'une violation de données personnelles affectant les données de l'Entreprise, il en informe l'Entreprise sans retard indu, avec un objectif de 72 heures, à l'adresse e-mail de l'administrateur de l'Entreprise figurant au dossier, en indiquant les faits connus, les conséquences probables et les mesures prises. L'Entreprise reste responsable de la notification à son autorité de contrôle et aux personnes concernées lorsque le RGPD l'exige.
9. Audits
L'Entreprise peut demander, au maximum une fois par an sauf après une violation, des informations écrites ou un résumé des mesures de sécurité pertinentes. Les audits sur site ou intrusifs nécessitent un préavis raisonnable et ne doivent pas compromettre les autres locataires. Le Sous-traitant peut satisfaire la demande au moyen de certifications ou de rapports à jour de sous-traitants ultérieurs (par exemple SOC 2 de Supabase).
10. Effacement et export
L'Entreprise peut supprimer des clients individuels dans le produit. Cette opération efface le nom, le téléphone, l'e-mail et les coordonnées similaires ; le véhicule et les tâches terminées restent sans ces coordonnées (le VIN et la plaque demeurent au titre de l'historique des services). Les tâches inachevées sont supprimées.
Un export CSV lisible par machine de la liste des clients (et des entreprises) est disponible pour les administrateurs de l'Entreprise.
Pour supprimer l'intégralité du compte de l'Entreprise, écrivez à admin@detailingmanager.com. Les données actives sont supprimées après confirmation de la demande ; les copies de sauvegarde sur le même serveur Hetzner à Nuremberg sont conservées pendant 7 jours au maximum, puis écrasées.
11. Droit applicable
Le présent DPA est régi par le droit de la République de Bulgarie. Les litiges seront résolus par le tribunal bulgare compétent.
12. Contact
- E-mail : admin@detailingmanager.com
- Objet : DPA / Traitement des données