Accord de sous-traitance des données personnelles

Version du 23 octobre 2026. Accord prévu à l'article 17 des conditions générales de vente Flexi Keys, accepté avec elles lors de la souscription.

Entre

Le Client, tel qu'identifié lors de la souscription au service Flexi Keys (ci-après le « Responsable de traitement »),

et

Flexi Solutions, SASU au capital de 10 000 €, immatriculée au RCS d'Annecy sous le n° 984 685 305, TVA FR79984685305, dont le siège est situé 86 Impasse de Mallet, 74150 Moye, France, éditrice du service Flexi Keys (ci-après le « Sous-traitant »),

ci-après ensemble les « Parties ».

Préambule

Le Client utilise le service Flexi Keys (le « Service ») pour gérer ses véhicules et ses locations : remise des clés par lien, suivi des véhicules, import des réservations, contacts des voyageurs et, en option, comptabilité des locations. Pour fournir le Service, Flexi Solutions traite des données personnelles des locataires du Client pour le compte de celui-ci.

Le présent accord fixe les conditions de ce traitement, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée. Il fait partie du contrat conclu entre les Parties (Conditions générales de vente Flexi Keys, ci-après les « CGV ») ; en cas de contradiction sur la protection des données, il prévaut sur les CGV.

Les données des Utilisateurs de l'espace loueur (comptes, connexions, facturation de l'abonnement) ne relèvent pas du présent accord : Flexi Solutions les traite en tant que responsable de traitement, selon sa politique de confidentialité.

Article 1 – Définitions

Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « violation de données personnelles » et « personne concernée » ont le sens que leur donne l'article 4 du RGPD.

• Locataire : toute personne qui loue ou conduit un véhicule du Client, ou dont la réservation est gérée dans le Service.
• Sous-traitant ultérieur : prestataire auquel Flexi Solutions confie tout ou partie du traitement.
• Données du Client : les données personnelles traitées par Flexi Solutions pour le compte du Client, décrites à l'annexe 1.

Article 2 – Objet et description du traitement

Flexi Solutions traite les Données du Client uniquement pour fournir le Service. La nature, les finalités, les catégories de données et de personnes concernées et les durées de conservation sont décrites à l'annexe 1.

Article 3 – Instructions du Client

3.1. Flexi Solutions traite les Données du Client uniquement sur instruction documentée du Client. Constituent des instructions : le contrat (CGV et présent accord), le paramétrage du Service et les actions réalisées par le Client dans son espace (création ou import d'une location, envoi d'un lien, consultation de la position, export…).

3.2. Si Flexi Solutions estime qu'une instruction constitue une violation du RGPD ou d'une autre règle relative à la protection des données, elle en informe immédiatement le Client.

3.3. Flexi Solutions n'utilise pas les Données du Client pour son propre compte, ne les vend pas et ne les exploite pas à des fins commerciales ou publicitaires. Elle peut produire des statistiques globales et anonymes de fonctionnement du Service (nombre de commandes, taux de réussite), ne permettant pas d'identifier un Locataire.

Article 4 – Confidentialité

Flexi Solutions veille à ce que les personnes autorisées à traiter les Données du Client s'engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et n'y accèdent que dans la mesure nécessaire à leurs missions (assistance, maintenance, sécurité).

Article 5 – Sécurité

Flexi Solutions met en œuvre les mesures techniques et organisationnelles appropriées décrites à l'annexe 2, afin de garantir un niveau de sécurité adapté au risque. Elle peut les faire évoluer, à condition de ne pas réduire le niveau de protection.

Article 6 – Sous-traitants ultérieurs

6.1. Le Client autorise de manière générale Flexi Solutions à recourir aux sous-traitants ultérieurs. Ceux utilisés à la date de l'accord sont listés à l'annexe 3.

6.2. Flexi Solutions informe le Client de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance, par e-mail ou par un message dans l'espace loueur. Le Client peut s'y opposer pour un motif légitime lié à la protection des données dans ce délai ; à défaut d'accord, il peut résilier le contrat sans frais avant l'entrée en vigueur du changement.

6.3. Flexi Solutions impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du présent accord, et reste responsable envers le Client de leur respect.

Article 7 – Transferts hors de l'Union européenne

Les Données du Client sont hébergées au Canada (OVH, centre de données de Beauharnois), pays bénéficiant d'une décision d'adéquation de la Commission européenne. Tout autre transfert hors de l'Espace économique européen n'a lieu que vers un pays adéquat ou sous les garanties prévues aux articles 44 à 49 du RGPD (par exemple, clauses contractuelles types de la Commission européenne), indiquées à l'annexe 3.

Article 8 – Droits des personnes concernées

8.1. Le Client reste seul compétent pour répondre aux demandes des Locataires (accès, rectification, effacement, limitation, opposition, portabilité). Le Service lui fournit les moyens de le faire : consultation et modification des locations, export du journal et de l'ensemble des données ; Flexi Solutions efface sur demande du Client les données d'un Locataire.

8.2. Si un Locataire s'adresse directement à Flexi Solutions, celle-ci transmet sa demande au Client dans les meilleurs délais, sans y répondre elle-même, sauf instruction du Client.

Article 9 – Assistance au Client

Flexi Solutions aide le Client, dans la mesure du possible et compte tenu des informations dont elle dispose, à respecter ses obligations relatives à la sécurité du traitement, à la notification des violations, aux analyses d'impact (notamment pour la géolocalisation des véhicules) et à la consultation préalable de la CNIL. Cette assistance est gratuite lorsqu'elle se limite à fournir la documentation existante ; au-delà, elle peut être facturée sur devis.

Article 10 – Violations de données personnelles

10.1. Flexi Solutions notifie au Client toute violation de données personnelles concernant les Données du Client dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l'adresse de l'administrateur du compte.

10.2. La notification indique, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables, les mesures prises ou proposées, et un contact. Les informations non disponibles immédiatement sont communiquées dès que possible.

10.3. Il revient au Client, responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, d'en informer les Locataires.

Article 11 – Sort des données en fin de contrat

11.1. À la fin du contrat, le Client peut exporter ses données pendant trente (30) jours (article 11 des CGV).

11.2. À l'issue de ce délai, Flexi Solutions supprime les Données du Client de ses systèmes actifs dans un délai de trente (30) jours. Les sauvegardes, conservées 14 jours sur le serveur, sont effacées par rotation à l'issue de leur durée de conservation.

11.3. Flexi Solutions peut conserver les données strictement nécessaires au respect de ses propres obligations légales (factures de l'abonnement, preuve de l'exécution du contrat), sans les traiter pour d'autres finalités. Sur demande, elle confirme la suppression par écrit.

Article 12 – Documentation et audits

12.1. Flexi Solutions tient à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord (description des mesures de sécurité, liste des sous-traitants ultérieurs, journal des actions disponible dans l'espace loueur).

12.2. Le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de Flexi Solutions, au plus une fois par an, sauf violation avérée, avec un préavis écrit d'au moins 30 jours. L'audit se déroule pendant les heures ouvrées, sans perturber le Service ni accéder aux données des autres clients. Ses frais sont à la charge du Client.

12.3. Flexi Solutions tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).

Article 13 – Obligations du Client

Le Client, responsable de traitement :

• détermine la base légale de ses traitements et informe les Locataires, notamment de la géolocalisation des véhicules et de la conservation de leurs coordonnées. Le Service met à disposition une notice d'information accessible depuis chaque lien d'accès ; le Client la complète si nécessaire (conditions de location, information au moment de la réservation) ;
• n'utilise la position des véhicules pendant une location que pour des motifs légitimes et proportionnés (vol, non-restitution, assistance) et en indique le motif, comme le Service le demande ;
• ne saisit pas de données sensibles ou excessives dans les champs libres (notes, libellés) ;
• respecte les conditions des plateformes de réservation dont proviennent les données (par exemple, l'interdiction de contacter un voyageur pour autre chose qu'une réservation) ;
• devient seul responsable des données qu'il exporte hors du Service (contacts importés dans sa messagerie ou son téléphone, fichiers CSV, journal) ;
• gère les accès de ses propres Utilisateurs et désactive ceux qui ne doivent plus accéder au Service.

Article 14 – Responsabilité

Chaque Partie est responsable des dommages causés par les manquements qui lui sont imputables, dans les conditions de l'article 82 du RGPD. Dans les relations entre les Parties, les limitations de responsabilité de l'article 15 des CGV s'appliquent, dans la mesure permise par la loi.

Article 15 – Durée

Le présent accord prend effet à la souscription et dure aussi longtemps que Flexi Solutions traite des Données du Client, y compris après la fin du contrat jusqu'à leur suppression.

Article 16 – Modification

Flexi Solutions peut modifier le présent accord pour tenir compte d'une évolution du Service, de la réglementation ou d'une recommandation de la CNIL, dans les conditions de l'article 19 des CGV (information préalable du Client et droit de résiliation).

Article 17 – Droit applicable et litiges

Le présent accord est soumis au droit français. Les litiges sont traités selon l'article 20 des CGV.

Annexe 1 – Description des traitements

Annexe 2 – Mesures de sécurité

• Chiffrement des échanges : les connexions des utilisateurs et des locataires au Service passent par HTTPS (TLS) ; la liaison entre les boîtiers et la plateforme Traccar utilise le protocole standard Teltonika, non chiffré ; les commandes aux boîtiers transitent par la plateforme Traccar, jamais directement depuis le téléphone du Locataire.
• Liens d'accès : jeton aléatoire, stocké uniquement sous forme d'empreinte, valable seulement pendant la location, révocable à tout moment, avec limite du nombre de commandes.
• Comptes : mots de passe stockés de façon irréversible (scrypt), double authentification obligatoire, codes de secours, sessions limitées dans le temps, limitation des tentatives de connexion.
• Cloisonnement : les données de chaque client sont séparées ; un boîtier ne peut être actif que chez un seul client et seule Flexi Solutions l'attribue ; les comptes de la plateforme n'accèdent pas à l'espace des loueurs.
• Traçabilité : journal des actions (commandes, liens, consultations de position avec leur motif, connexions, exports), consultable et exportable par le Client.
• Serveur : accès d'administration par clé SSH uniquement (mot de passe désactivé), pare-feu limité aux ports nécessaires, mises à jour de sécurité, secrets (clés d'API) hors du code, dans des variables d'environnement protégées.
• Sauvegardes : sauvegarde quotidienne de la base, conservée 14 jours.
• Minimisation : pas de stockage du permis ni des photos des Locataires ; la position n'est consultée pendant une location qu'avec un motif enregistré ; purge automatique selon les durées de l'annexe 1.
• Démonstration : l'espace de démonstration n'utilise que des données fictives, sans lien avec les données des clients.

Annexe 3 – Sous-traitants ultérieurs

Prestataires non concernés par cet accord (ils ne traitent pas les données des Locataires) : Stripe (paiement de l'abonnement du Client), Microsoft 365 (messagerie de Flexi Solutions), Cloudflare (site vitrine et gestion des noms de domaine, sans passage des données de l'application).