Accord de sous-traitance (DPA)
Encadrement du traitement des données personnelles pour le compte des clients distributeurs de PartnAir.
Dernière mise à jour · 16 juillet 2026
Le présent Accord de sous-traitance (« DPA ») complète les Conditions générales de vente et encadre, conformément à l'article 28 du RGPD, les traitements de données personnelles réalisés par TBF (« le Sous-traitant ») pour le compte du Client contractant, exclusivement distributeur de pièces automobiles, grossiste, groupement de distribution ou centrale d'achat après-vente (« le Responsable de traitement »). Les garages partenaires sont des Utilisateurs bénéficiaires équipés par ce Client et ne sont pas parties au présent DPA. En cas de contradiction, le présent DPA prévaut sur les CGV pour les questions de protection des données.
1. Objet et durée
Le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement dans le seul but de fournir le Service PartnAir au Client et aux Utilisateurs de ses garages partenaires. Le traitement dure le temps du contrat d'abonnement conclu avec le Client, jusqu'à suppression ou restitution des données.
2. Nature, finalité et catégories
| Élément | Description |
|---|---|
| Finalité | Fourniture du Service : captation de demandes, identification de pièces, devis, commandes, messagerie, suivi |
| Nature des traitements | Collecte, enregistrement, hébergement, structuration, consultation, transmission au Client distributeur et aux Utilisateurs habilités de ses garages partenaires, suppression |
| Catégories de personnes | Clients finaux des garages partenaires équipés par le Client, collaborateurs du Client et de ces garages, contacts |
| Catégories de données | Identité et coordonnées, données véhicules et immatriculations, demandes et messages, photos de pièces, historique d'échanges |
| Données sensibles | Aucune donnée sensible n'est requise par le Service |
3. Obligations du Sous-traitant
- Traiter les données uniquement sur instruction documentée du Responsable de traitement, y compris pour les transferts hors UE, sauf obligation légale.
- Garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter s'y engagent.
- Mettre en œuvre les mesures techniques et organisationnelles appropriées (article 32 RGPD) décrites au §6.
- Aider le Responsable de traitement à répondre aux demandes d'exercice de droits des personnes concernées.
- Aider le Responsable de traitement à respecter ses obligations de sécurité, de notification de violation et d'analyse d'impact (articles 32 à 36).
- Ne pas entraîner de modèle d'IA tiers sur les données du Responsable de traitement : les traitements se limitent à l'inférence nécessaire au Service.
4. Sous-traitants ultérieurs
Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs listés ci-dessous. Le Sous-traitant leur impose par contrat des obligations équivalentes à celles du présent DPA et reste responsable de leur exécution. Toute évolution de la liste fait l'objet d'une information préalable, permettant au Responsable de traitement de formuler des objections légitimes.
| Sous-traitant | Finalité | Localisation | Garantie |
|---|---|---|---|
| Vercel Inc. | Hébergement du site et des applications web | États-Unis / UE (edge) | Clauses contractuelles types (UE) |
| Supabase Inc. | Base de données, authentification, stockage de fichiers | Union européenne (Francfort) | Hébergement dans l'Union européenne |
| OpenRouter, Inc. | Routage des requêtes vers les modèles d'IA (inférence) | États-Unis | Clauses contractuelles types (UE) |
| Google (Gemini API) | Modèles d'IA générative et de vision (analyse de photos de pièces) | Union européenne / États-Unis | Clauses contractuelles types (UE) |
| Resend, Inc. | Envoi des e-mails transactionnels | États-Unis | Clauses contractuelles types (UE) |
| Stripe Payments Europe, Ltd. | Traitement des paiements par abonnement | Union européenne (Irlande) | Hébergement dans l'Union européenne |
5. Transferts hors Union européenne
Lorsqu'un traitement implique un transfert de données hors de l'Union européenne, celui-ci est encadré par des garanties appropriées, notamment les clauses contractuelles types adoptées par la Commission européenne, complétées si nécessaire de mesures supplémentaires.
6. Mesures de sécurité
- Chiffrement des données en transit (TLS) et au repos.
- Cloisonnement logique des données par Client distributeur (Row Level Security PostgreSQL), avec droits limités pour les Utilisateurs des garages partenaires.
- Contrôle d'accès nominatif, authentification, principe du moindre privilège.
- Journalisation des accès et des événements de sécurité, supervision.
- Sauvegardes régulières et plan de restauration.
- Gestion des vulnérabilités et des correctifs.
7. Notification des violations
Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles pour permettre, le cas échéant, la notification à la CNIL dans les 72 heures. Contact : security@partn-air.com.
8. Sort des données en fin de contrat
Au terme du contrat, le Sous-traitant restitue les données dans un format structuré puis les supprime ou les anonymise dans un délai de 30 jours, sauf obligation légale de conservation, et supprime les copies existantes.
9. Audit
Le Sous-traitant met à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits, dans des conditions raisonnables convenues entre les parties (préavis, confidentialité, périodicité).