Accord de traitement des données (DPA)

Le présent accord fait partie du contrat geocodeme.net dès qu’un client transmet au Service des données à caractère personnel pour son propre compte. Le client est le « Responsable de traitement » et Christophe FAURE EI, éditeur de geocodeme.net, le « Sous-traitant ». Il complète les CGU, les CGV et toute condition particulière. Une copie signable peut être demandée à [email protected], sans que l’absence de signature séparée empêche son application lorsqu’il a été accepté avec le contrat.

1. Objet, durée et instructions

Le Sous-traitant traite les données uniquement pour fournir, sécuriser et maintenir les fonctions de géocodage direct, géocodage inverse, routage, appariement cartographique et tuiles demandées par le Responsable. Le traitement dure pendant le contrat, augmenté des durées techniques de cache, restitution et suppression prévues ci-dessous.

Les appels API, la configuration du compte, la documentation et les demandes écrites autorisées constituent les instructions documentées. Le Sous-traitant informe immédiatement le Responsable si une instruction lui paraît contraire au RGPD ou au droit applicable et peut en suspendre l’exécution jusqu’à clarification. Il n’utilise pas les données confiées pour profiler les personnes, faire de la publicité, enrichir une base commerciale ou entraîner un modèle d’intelligence artificielle.

2. Description du traitement

• Opérations : réception, transmission interne, recherche, conversion, appariement, mise en cache temporaire, restitution et suppression.
• Finalités : convertir une adresse ou un lieu en coordonnées, convertir des coordonnées en adresse, calculer ou apparier un trajet et afficher des tuiles.
• Données : adresses, noms de lieux, latitude/longitude, suites de coordonnées, paramètres de route ou de carte et résultats correspondants. Les identifiants ajoutés librement par le Responsable restent sous sa responsabilité.
• Personnes : utilisateurs finaux, clients, salariés, prestataires ou toute personne dont le Responsable soumet licitement une adresse ou une position.
• Catégories particulières : non requises et interdites sans accord écrit préalable et mesures adaptées.
• Fréquence : selon les appels du Responsable, dans les limites de l’offre.

3. Obligations du Responsable de traitement

Le Responsable :

• détermine une finalité et une base légale, informe les personnes et répond à leurs droits ;
• limite les données à ce qui est nécessaire et évite tout identifiant dans les champs de recherche lorsqu’il n’est pas indispensable ;
• configure et utilise le Service conformément à la documentation, protège ses clés et limite les personnes autorisées ;
• réalise, lorsque nécessaire, son analyse d’impact et ses consultations préalables ;
• ne donne aucune instruction obligeant le Sous-traitant à violer le droit applicable ;
• informe le Sous-traitant de toute contrainte sectorielle ou durée spécifique avant le traitement.

4. Confidentialité et personnes autorisées

L’accès est limité aux personnes qui en ont besoin pour exploiter, maintenir, sécuriser ou assister le Service. Elles sont soumises à une obligation de confidentialité et reçoivent une sensibilisation adaptée. Le Sous-traitant maintient des droits d’accès proportionnés et les retire lorsqu’ils ne sont plus nécessaires.

5. Mesures techniques et organisationnelles

• chiffrement TLS des flux publics et administration sécurisée de l’infrastructure ;
• authentification par clés révocables, stockage d’empreintes plutôt que des clés complètes lorsque applicable, contrôle des permissions et séparation des secrets ;
• limitation de débit, quotas, protection réseau, filtrage des hôtes et validation des entrées ;
• journalisation d’usage sans contenu de recherche, surveillance, alertes et procédures de réponse aux incidents ;
• segmentation des composants et mises à jour de sécurité ;
• cache limité dans le temps, suppression périodique et anonymisation des journaux après suppression du compte ;
• revue des accès et principe du moindre privilège.

Ces mesures peuvent évoluer pour suivre l’état de l’art sans diminuer substantiellement le niveau global de protection. Le Responsable reconnaît qu’aucune mesure ne supprime tout risque et doit évaluer l’adéquation du Service à son traitement.

6. Sous-traitants ultérieurs

Le Responsable donne une autorisation générale au recours aux prestataires suivants pour les données confiées à l’API :

• Cloudflare (réseau mondial) : acheminement et protection du trafic public, selon la configuration du domaine.

À ce jour, l’infrastructure, le stockage, les bases, le cache et les moteurs cartographiques sont hébergés en France sur des serveurs exploités directement par le Sous-traitant : aucun hébergeur tiers n’intervient sur les données confiées à l’API. Le recours à un hébergeur tiers (à compléter : dénomination et pays de l’hébergeur) sera notifié au Responsable dans le délai de préavis prévu ci-dessous.

Stripe et Brevo traitent les données propres au compte, au paiement ou aux communications ; ils ne reçoivent pas le contenu ordinaire des appels de géocodage et ne sont donc pas des sous-traitants ultérieurs de ce traitement, sauf fonctionnalité future annoncée.

Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection équivalentes. Il informe le Responsable d’un ajout ou remplacement au moins 30 jours avant sa prise d’effet, sauf urgence de sécurité ou obligation légale. Le Responsable peut formuler une objection motivée liée à la protection des données ; les parties recherchent une solution raisonnable, à défaut de quoi le Responsable peut cesser la fonction concernée et résilier le Service avant le changement.

7. Localisation et transferts internationaux

Les composants applicatifs principaux sont exploités en France. Lorsque le passage par Cloudflare ou un autre prestataire autorisé implique un transfert hors de l’EEE, le Sous-traitant veille à ce qu’il repose sur une décision d’adéquation, des clauses contractuelles types ou une autre garantie conforme au chapitre V du RGPD, avec des mesures supplémentaires lorsque l’évaluation du transfert le nécessite. Une copie des garanties pertinentes est communiquée sur demande, sous réserve des secrets protégés.

8. Conservation, restitution et suppression

Les réponses de géocodage direct ou inverse peuvent être mises en cache pendant 24 heures au maximum. Les journaux d’usage associés au compte ne contiennent pas le contenu de recherche et sont supprimés après 90 jours. Les données nécessaires au routage ou map matching sont traitées pour répondre à la requête et ne font pas l’objet du cache de géocodage décrit ci-dessus.

À la fin du contrat, le Responsable récupère ses propres résultats avant fermeture s’il souhaite les conserver. Le Sous-traitant supprime ou rend inaccessibles les données encore détenues à l’expiration des délais techniques, sauf obligation légale de conservation. Toute copie résiduelle qui viendrait à subsister reste isolée, n’est pas remise en production sauf restauration nécessaire et est écrasée selon son cycle normal.

9. Droits des personnes

Le Responsable répond aux demandes. Si le Sous-traitant reçoit directement une demande identifiable relative aux données confiées, il la transmet au Responsable sans y répondre, sauf instruction ou obligation légale. Compte tenu de la brièveté du cache et de l’absence d’identifiant de personne dans les journaux, une donnée de requête ne peut généralement être retrouvée qu’avec les paramètres précis et la période fournis par le Responsable. L’assistance raisonnable est incluse ; une assistance exceptionnelle ou techniquement complexe peut être facturée après accord, sauf si elle résulte d’un manquement du Sous-traitant.

10. Sécurité, violations et assistance

Le Sous-traitant notifie au Responsable toute violation de données personnelles confiées dans les meilleurs délais après en avoir pris connaissance. La notification décrit, selon les informations disponibles, la nature de l’incident, les données et personnes concernées, les conséquences probables, les mesures prises et un contact. Les informations peuvent être fournies progressivement. Cette notification ne vaut pas reconnaissance de responsabilité.

Le Sous-traitant assiste raisonnablement le Responsable pour ses obligations de sécurité, notification, communication aux personnes, AIPD et consultation préalable, compte tenu de la nature du traitement et des informations disponibles.

11. Informations et audits

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l’article 28. Le Responsable privilégie les documents, questionnaires et rapports disponibles. Un audit sur site peut être demandé au maximum une fois par an, avec un préavis d’au moins 30 jours, pendant les heures ouvrées, par un auditeur indépendant tenu au secret, sans accès aux données d’autres clients ni aux secrets compromettant la sécurité. Ces limites ne s’appliquent pas après une violation significative ou sur demande d’une autorité. Les coûts raisonnables sont supportés par le Responsable, sauf manquement avéré du Sous-traitant.

12. Responsabilité et ordre de priorité

Chaque partie répond de ses obligations au titre du RGPD. Les limites de responsabilité du contrat principal s’appliquent au DPA dans la mesure permise par la loi, sans réduire les droits des personnes ni les pouvoirs des autorités. En cas de contradiction sur la protection des données, le DPA prévaut ; le contrat principal demeure applicable pour le reste.

13. Contact et droit applicable

Contact protection des données : [email protected]. Le DPA est soumis au droit français et à la compétence prévue par le contrat principal, sans préjudice des pouvoirs des autorités de contrôle et des droits impératifs des personnes concernées.

Voir également la politique de confidentialité, les CGU et les CGV.