Accord de traitement des données (DPA)

Le présent accord, conclu en application de l'article 28 du règlement (UE) 2016/679 (« RGPD »), fait partie intégrante des conditions générales de vente. Il encadre les traitements de données personnelles réalisés par Anas EL KHIAT EI (nom commercial Nextodev), entrepreneur individuel (« Louvia », sous-traitant) pour le compte de l'agence abonnée (« l'Agence », responsable de traitement), dans le cadre de la fourniture du logiciel Louvia.

• Nature et finalités : hébergement et fonctionnement du site de réservation et de l'espace de gestion de l'Agence — comptes clients, réservations, état des véhicules au départ et au retour, documents, encaissements, emails transactionnels, exports.
• Personnes concernées : clients de l'Agence (et prospects ayant écrit via son site), membres de son équipe.
• Données : identité, coordonnées, données de connexion, réservations et historique, informations de paiement (gérées par Stripe : Louvia ne stocke aucun numéro de carte), documents ajoutés par l'Agence (pièces d'identité, permis, contrats, photos).
• Durée : durée de l'abonnement, puis 30 jours (période d'export) avant suppression définitive.

• ne traiter les données que sur instruction documentée de l'Agence, constituée par les CGV, le présent accord et l'utilisation du Service ; informer l'Agence si une instruction lui paraît contraire à la réglementation ;
• garantir la confidentialité des données : seules les personnes habilitées de Louvia y accèdent, en cas de nécessité (support, incident), et sont soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité de l'article 32 du RGPD (section 4) ;
• aider l'Agence à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, portabilité) : l'espace de gestion permet de consulter, modifier, exporter et supprimer les données ;
• aider l'Agence à respecter ses obligations de sécurité, de notification des violations et, le cas échéant, d'analyse d'impact ;
• tenir à disposition de l'Agence les informations nécessaires pour démontrer le respect du présent accord et permettre des audits raisonnables, avec un préavis de 30 jours, à ses frais, au plus une fois par an hors incident.

• chiffrement des échanges (HTTPS) ; mots de passe stockés sous forme hachée ;
• cloisonnement strict des données de chaque agence et droits d'accès par rôle (administrateur, manager, agent) ;
• documents de réservation servis uniquement aux utilisateurs authentifiés de l'Agence ;
• protection contre les tentatives de connexion répétées et les requêtes malveillantes ;
• accès d'administration de la plateforme protégé par double authentification, journalisé et alerté ;
• hébergement dans l'Union européenne, sauvegardes quotidiennes copiées hors du serveur et conservées 30 jours.

L'Agence autorise Louvia à recourir aux sous-traitants suivants :

• OVH SAS — hébergement du serveur : logiciel, base de données et fichiers (Union européenne) ;
• prestataire d'envoi d'emails transactionnels (Union européenne).

Les paiements des clients de l'Agence sont traités par Stripe dans le cadre du contrat conclu directement entre l'Agence et Stripe (Stripe Connect). Louvia informe l'Agence par email de tout ajout ou remplacement de sous-traitant au moins 30 jours à l'avance ; l'Agence peut s'y opposer pour un motif légitime en résiliant son abonnement. Chaque sous-traitant est tenu à des obligations équivalentes à celles du présent accord. Tout transfert hors de l'Union européenne est encadré par une décision d'adéquation ou des clauses contractuelles types de la Commission européenne.

Louvia notifie à l'Agence toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec les informations disponibles (nature, données et personnes concernées, conséquences probables, mesures prises), afin de lui permettre de notifier la CNIL dans le délai de 72 heures (article 33 du RGPD).

À la fin de l'abonnement, l'Agence peut exporter ses données pendant 30 jours. Elles sont ensuite supprimées définitivement de la plateforme ; les copies de sauvegarde disparaissent au plus tard 30 jours plus tard, à leur rotation. Seules les informations nécessaires aux obligations comptables de Louvia envers l'Agence sont conservées.

L'Agence garantit la licéité des traitements qu'elle confie à Louvia : base légale, information de ses clients (sa propre politique de confidentialité, publiée sur son site), durées de conservation adaptées, réponse aux demandes d'exercice des droits, et pertinence des documents qu'elle ajoute.