1. Objet et cadre
Le présent Accord de sous-traitance (« DPA », Data Processing Agreement) encadre le traitement des données à caractère personnel effectué par Auto France Performance pour le compte de son Client, dans le cadre de la fourniture du service ComptaPME Pro (le « Service »).
Il complète les Conditions Générales de Vente du Service et fait partie intégrante du contrat conclu entre les parties. En cas de contradiction sur le traitement des données personnelles, le présent DPA prévaut.
Il est conclu en application de l'article 28 du RGPD et détermine les obligations respectives des parties lorsque le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement.
2. Qualité et identification des parties
Responsable de traitement : le Client (l'entreprise ou le professionnel titulaire du compte ComptaPME Pro), qui détermine les finalités et les moyens du traitement des données de ses propres clients finaux et de son activité.
Sous-traitant :
Auto France Performance — Entreprise individuelle (entrepreneur individuel : Nordine Boumezaar)
Rue des Ferblantiers, ZI Brequettes, 57175 Gandrange, France
SIRET : 82270881400055 — SIREN : 822 708 814 (RNE)
Contact protection des données : diagbox57@gmail.com (Nordine Boumezaar)
Le Sous-traitant traite les données uniquement pour le compte et sur instruction du Responsable de traitement dans le cadre de la fourniture du Service.
3. Description du traitement (art. 28.3)
| Élément | Description |
|---|---|
| Objet | Fourniture d'un logiciel de gestion de garage et de comptabilité (SaaS) : fiches clients, véhicules, devis, factures, encaissements, TVA. |
| Nature des opérations | Collecte, enregistrement, structuration, conservation, consultation, modification, extraction, hébergement, transmission (facturation, emails), suppression. |
| Finalité | Permettre au Client d'assurer la gestion administrative, commerciale et comptable de son activité de garage via le Service. |
| Durée | Pendant toute la durée du contrat d'abonnement au Service, augmentée des obligations légales de conservation (voir art. 11). |
4. Catégories de données et de personnes concernées
Personnes concernées : les clients finaux du garage (particuliers et professionnels), les contacts et interlocuteurs du Client, le cas échéant les salariés/utilisateurs habilités par le Client.
Catégories de données traitées :
- Identité et contact des clients finaux : nom, prénom, raison sociale, adresse postale, téléphone, email.
- Données véhicule : plaque d'immatriculation, marque, modèle, VIN/numéro de série, kilométrage, historique d'entretien.
- Données de facturation et comptables : devis, factures, montants, TVA, moyens et historique de paiement.
- Données de compte utilisateur : identifiants de connexion des utilisateurs habilités par le Client.
Le Service n'a pas vocation à traiter de données relevant de catégories particulières au sens de l'article 9 du RGPD. Le Client s'engage à ne pas y saisir de telles données sans base légale ni instruction documentée.
5. Instructions documentées
Le Sous-traitant traite les données personnelles uniquement sur instruction documentée du Responsable de traitement, y compris pour les transferts hors UE, sauf obligation légale contraire. Dans ce dernier cas, le Sous-traitant en informe le Responsable avant traitement, sauf interdiction légale.
Le contrat, les CGV et l'utilisation normale des fonctionnalités du Service valent instructions documentées. Le Sous-traitant informe le Responsable si une instruction constitue selon lui une violation du RGPD.
6. Confidentialité
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. L'accès aux données est limité aux personnes ayant besoin d'en connaître pour l'exécution du Service.
7. Sécurité des traitements (art. 32)
Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :
- chiffrement des communications en transit (TLS) ;
- cloisonnement logique des données par compte (isolation par locataire) et contrôle d'accès applicatif ;
- authentification des utilisateurs et gestion des habilitations ;
- journalisation des opérations sensibles et registre d'audit sur les documents comptables (inaltérabilité NF525 / ISCA) ;
- sauvegardes régulières et hébergement en France ;
- mesures de restauration de la disponibilité et de l'accès aux données en cas d'incident.
8. Sous-traitants ultérieurs
Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs ci-dessous pour l'exécution du Service. Le Sous-traitant s'assure qu'ils présentent des garanties suffisantes et leur impose, par contrat, des obligations de protection des données équivalentes à celles du présent DPA.
| Sous-traitant ultérieur | Finalité | Localisation des données |
|---|---|---|
| LWS | Hébergement du Service et des bases de données | France (UE) |
| Stripe | Encaissement des paiements et abonnements | UE / États-Unis (garanties adéquates — DPF/CCT) |
| Brevo | Envoi des emails transactionnels | UE / États-Unis (CCT) |
| OpenAI (le cas échéant) | Fonctions d'assistance et de dictée vocale, lorsqu'activées | États-Unis (CCT) |
Le Sous-traitant informe le Responsable de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, laissant au Responsable la possibilité d'émettre des objections dans un délai raisonnable. En cas d'objection légitime non résolue, le Responsable peut résilier le Service.
9. Assistance — droits des personnes
Compte tenu de la nature du traitement, le Sous-traitant aide le Responsable, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité).
Le Service met à disposition du Client les fonctions d'export, de rectification et de suppression lui permettant de traiter ces demandes. Lorsqu'une demande est adressée directement au Sous-traitant, celui-ci la transmet sans délai au Responsable et ne répond pas directement, sauf instruction contraire.
10. Notification des violations de données
Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, en fournissant les informations utiles (nature, catégories et volume approximatif de données et de personnes concernées, conséquences probables, mesures prises ou proposées).
Il appartient au Responsable de traitement de procéder, le cas échéant, à la notification à la CNIL sous 72 heures et à l'information des personnes concernées. Le Sous-traitant apporte son assistance à cette fin.
11. Sort des données en fin de contrat
Au terme du contrat, selon le choix du Responsable de traitement, le Sous-traitant restitue l'ensemble des données personnelles (export dans un format structuré) ou les supprime, et détruit les copies existantes, sauf obligation légale de conservation.
À ce titre, les documents comptables et pièces de facturation sont conservés pendant la durée légale (10 ans, art. L.123-22 du Code de commerce) au titre des obligations comptables et fiscales, y compris NF525 / ISCA, avant suppression définitive.
12. Audit
Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD et permet la réalisation d'audits, y compris des inspections, dans des conditions raisonnables (préavis, respect de la confidentialité et de la sécurité, périodicité limitée, prise en charge des coûts par le demandeur). Les documents et attestations de conformité disponibles sont communiqués en priorité afin de limiter le recours aux inspections sur site.
13. Registre et documentation
Le Sous-traitant tient un registre de toutes les catégories d'activités de traitement effectuées pour le compte du Responsable, conformément à l'article 30.2 du RGPD, et le tient à disposition de l'autorité de contrôle sur demande.
14. Droit applicable
Le présent DPA est régi par le droit français et le RGPD. Il entre en vigueur à la date d'acceptation des CGV du Service et le demeure pendant toute la durée du traitement.
Auto France Performance — Marque AFP® · Entreprise individuelle (Nordine Boumezaar)
Rue des Ferblantiers, ZI Brequettes, 57175 Gandrange
SIRET 82270881400055 — SIREN 822 708 814 (RNE) — diagbox57@gmail.com
DPA en vigueur au 28/07/2026.