Contrat de sous-traitance RGPD — dossiers clients

1. Parties, rôles et objet

Le Client identifié et représenté à l’annexe 1 est le responsable du traitement des dossiers qu’il confie à Flotiqo. QUICKLY DRIVE SRL, 897 Chaussée d’Alsemberg, 1180 Uccle, Belgique, BCE/TVA BE 0688.782.647, contact : contact@flotiqo.com, ci-après « le Sous-traitant », traite ces données pour son compte afin de fournir les fonctions convenues.

Si le Client agit lui-même pour le compte d’une autre entité, il identifie ce rôle et le mandat à l’annexe 1, obtient l’autorisation requise et transmet les obligations applicables. Le présent accord ne lui attribue pas un pouvoir qu’il ne possède pas.

Les finalités propres de l’Éditeur relatives à ses comptes clients, sa facturation et la sécurité de son service sont décrites séparément dans la notice de confidentialité. Les rôles dépendent des traitements effectivement effectués ; l’accord ne permet pas de réutiliser les dossiers de flotte pour une finalité propre non autorisée.

2. Instructions documentées et durée

Le Sous-traitant n’utilise les données que sur instruction documentée du Client, pour les finalités et la durée de l’annexe 1, y compris pour les transferts internationaux. La commande, les fonctions activées et les actions des utilisateurs habilités matérialisent ces instructions dans leur périmètre autorisé ; elles ne permettent pas un traitement étranger à ce périmètre.

Si le droit de l’Union ou d’un État membre impose un traitement sans instruction, le Sous-traitant informe préalablement le Client de cette obligation, sauf interdiction légale fondée sur un motif important d’intérêt public. Il avertit immédiatement le Client s’il estime qu’une instruction viole le RGPD ou une autre règle de protection des données et suspend la seule opération concernée le temps de la clarification nécessaire.

Aucune collecte autonome, communication à un tiers, clôture de paie ou déclaration officielle ne découle de la signature de cet accord. Les instructions de connexion, d’import, de validation et d’envoi restent distinctes. Le traitement se poursuit pendant le service et sa sortie, puis uniquement pour les copies dont la conservation est légalement requise et précisément identifiée.

3. Obligations du Client

Le Client détermine les finalités, la base juridique, les personnes habilitées et les durées applicables à ses dossiers. Il informe les personnes, vérifie l’exactitude et la pertinence des données et limite les pièces au nécessaire. Il communique les instructions et restrictions utiles au Sous-traitant.

Pour les données révélant la santé ou le handicap et pour les identifiants nationaux, le Client identifie les conditions et garanties spécifiques applicables. Il ne déduit pas une autorisation de la seule présence d’un champ dans Flotiqo. Les conditions des articles 9 et 87 du RGPD, lorsqu’elles sont pertinentes, sont examinées avant leur utilisation.

Le Client conserve la possibilité de corriger ses données, contrôle les résultats avant les actes ayant un effet sur les personnes et coopère pour répondre aux demandes de droits, aux incidents et à la fin du traitement. Ces obligations ne réduisent pas celles du Sous-traitant.

4. Confidentialité et usages exclus

Le Sous-traitant limite l’accès aux personnes qui en ont besoin pour exécuter les instructions ou assurer la sécurité et l’assistance autorisées. Il veille à ce qu’elles soient tenues à une obligation de confidentialité et reçoivent les consignes adaptées à leurs missions.

Les dossiers confiés ne sont ni vendus, ni utilisés pour la publicité, ni employés pour entraîner un modèle général d’intelligence artificielle. Les analyses PDF actuelles sont exécutées par le serveur Flotiqo, sans service d’IA ou d’OCR externe. L’ajout d’un tel prestataire exigerait une information et une autorisation conformes au présent contrat avant tout transfert.

L’assistance n’autorise pas un accès indifférencié à toutes les flottes. Chaque intervention nécessitant un accès aux dossiers doit avoir un périmètre et une justification ; les moyens de traçabilité et de contrôle de ces interventions sont précisés à l’annexe 2.

5. Sécurité et preuve des mesures

Compte tenu des risques, de l’état de l’art, des coûts de mise en œuvre et de la nature des données, le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées de l’annexe 2. Elles doivent couvrir la confidentialité, l’intégrité, la disponibilité, la résilience, la restauration et l’évaluation régulière de leur efficacité.

L’annexe distingue les contrôles effectivement présents dans le produit des procédures d’exploitation qui restent à confirmer. Aucune certification, surveillance permanente, sauvegarde exhaustive, localisation exclusivement européenne ou délai de reprise n’est déduit d’une simple description technique.

Les mesures peuvent évoluer sans abaisser le niveau de protection convenu. Une évolution ayant un impact substantiel sur le traitement est communiquée au Client. Les lacunes de procédure ou de preuve identifiées doivent être résolues avant l’acceptation du périmètre de données concerné ; elles ne sont pas une dispense de sécurité.

6. Sous-traitants ultérieurs

Le recours à un sous-traitant ultérieur est soumis à l’autorisation écrite préalable spécifique du Client. L’annexe 3 identifie chaque entité, sa mission, les données, lieux et garanties concernés. Une case non complétée ou le seul nom commercial d’un service ne valent pas autorisation.

Avant tout ajout ou remplacement, le Sous-traitant communique les informations nécessaires et obtient l’accord écrit du Client. En cas de refus, les parties recherchent une solution conforme pour la fonction concernée ; le refus n’autorise ni un transfert caché, ni une réduction unilatérale de la protection. L’impossibilité de poursuivre cette fonction est traitée selon les règles du contrat, sans priver le Client de ses droits.

Le Sous-traitant impose par contrat au prestataire des obligations de protection au moins équivalentes pour les opérations confiées, vérifie les garanties suffisantes et demeure responsable envers le Client de leur exécution. Il tient la liste à jour et fournit les informations ou extraits nécessaires à la vérification, en protégeant les secrets légitimes et les données d’autres clients.

Un fournisseur directement choisi par le Client, son comptable ou un prestataire de paiement peut agir sous un autre rôle selon le service. La simple connexion à ce fournisseur ne le transforme pas automatiquement en sous-traitant de Flotiqo ; le rôle et les instructions sont documentés avant les échanges.

7. Transferts et demandes d’autorités

Les lieux d’hébergement, d’accès distant et de sous-traitance ainsi que les garanties applicables sont décrits à l’annexe 3 avant les traitements. Aucun transfert vers un pays tiers n’est effectué sans instruction documentée et respect du chapitre V du RGPD.

Selon le flux réellement concerné, le mécanisme doit être identifié et justifié : décision d’adéquation applicable au destinataire ou garanties appropriées, notamment clauses contractuelles types de transfert, évaluation requise et mesures complémentaires. Le présent contrat fondé sur l’article 28 ne constitue pas, à lui seul, un mécanisme de transfert international.

Face à une demande d’accès d’une autorité, le Sous-traitant examine sa validité et sa portée, utilise les voies de contestation légalement requises, limite les données divulguées et informe le Client lorsque cela est permis. Les garanties relatives aux accès internationaux aux données non personnelles sont aussi documentées au titre du Data Act ; une région de stockage ne prouve pas une absence d’accès international.

8. Droits des personnes et assistance

Le Sous-traitant transmet sans délai indu au Client les demandes concernant les dossiers confiés. Il ne décide pas seul de leur fond ni ne répond au nom du Client sans autorisation, sauf obligation légale. Il apporte l’assistance technique et organisationnelle nécessaire, compte tenu du traitement, pour permettre l’accès, la rectification, l’effacement, la limitation, la portabilité et l’opposition lorsque ces droits s’appliquent.

Il aide le Client, avec les informations dont il dispose, à assurer la sécurité, traiter les violations, réaliser les analyses d’impact et consultations préalables nécessaires et répondre aux demandes de l’autorité compétente. Les contacts, modalités de recherche, extraction, restriction et restitution sont précisés à l’annexe 2.

Les parties organisent cette assistance pour respecter les délais légaux. Aucun tarif d’assistance non convenu ne peut être opposé pour différer une obligation urgente de notification, de sécurité ou de coopération requise par la loi.

9. Violation de données personnelles

Dès qu’il en a connaissance, le Sous-traitant notifie au Client une violation de données personnelles sans retard indu, par les contacts d’incident de l’annexe 1. Il ne retarde pas cette première notification jusqu’à l’achèvement de son enquête.

La notification décrit les faits connus, les catégories et nombres approximatifs de personnes et d’enregistrements concernés lorsque disponibles, les conséquences probables, les mesures prises ou proposées et le contact pour le suivi. Les informations manquantes sont complétées progressivement sans retard indu ; les preuves utiles sont préservées de manière proportionnée.

Le Client décide des notifications à l’autorité et aux personnes dans son rôle de responsable du traitement, avec l’assistance du Sous-traitant. Le délai légal éventuellement applicable au Client ne constitue pas une autorisation pour le Sous-traitant d’attendre ce délai avant de l’alerter.

10. Informations, audits et responsabilité

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent contrat et permet les audits, y compris inspections, effectués par le Client ou un auditeur mandaté. Les modalités sont proportionnées au risque et protègent la sécurité, les secrets légitimes et les autres clients, sans rendre le contrôle illusoire.

Les parties peuvent convenir d’utiliser des preuves existantes pour éviter les répétitions inutiles. Cela ne supprime pas un contrôle justifié par un incident, une exigence d’autorité ou une lacune. Aucun nombre fixe d’audits, délai de préavis empêchant l’urgence ou paiement non convenu n’est imposé par ce modèle.

Le Sous-traitant informe le Client d’une difficulté à respecter les obligations et coopère à sa résolution. Les responsabilités respectives et droits des personnes, notamment au titre de l’article 82 du RGPD, restent ceux du droit applicable ; le contrat ne les transfère pas intégralement au Client.

11. Restitution, effacement et fin de traitement

Au terme des prestations, au choix documenté du Client, le Sous-traitant restitue les données personnelles et efface les copies, ou les efface, sauf disposition de l’Union ou d’un État membre qui en exige la conservation. Les formats, versions, métadonnées, moyens sécurisés, délais et vérifications sont définis à l’annexe 4, avec les droits de réversibilité applicables.

La suspension commerciale pour impayé ne vaut ni instruction d’effacement ni clôture du mandat ONSS. Les utilisateurs habilités conservent un accès à l’export des données et documents disponibles et à l’assistance. Les limites et éléments omis de l’archive sont inventoriés, puis les parties organisent leur remise complémentaire selon les modalités de sortie ; le téléchargement d’une archive ne constitue pas, à lui seul, une restitution exhaustive ou la fin des obligations de transition.

La fin du compte d’une personne ne vaut pas instruction d’effacer les archives d’une société entière. La propriété de l’espace, les mandats et les droits des autres utilisateurs sont vérifiés. Une demande déjà enregistrée est traitée dans ce parcours ; aucune formule du contrat ne doit imposer un second e-mail pour qu’elle soit prise en charge.

Toute copie conservée doit avoir une catégorie, une raison et une échéance ou un critère précis, avec accès restreint. Une obligation comptable ou sociale du Client ne justifie pas, à elle seule, la conservation indéfinie chez le Sous-traitant : le Client peut en assurer la conservation après restitution. Les obligations propres de l’Éditeur sont identifiées séparément.

Les copies techniques et sauvegardes, lorsqu’elles existent, sont incluses dans l’inventaire et le calendrier d’effacement ; elles ne sont pas exclues par défaut. Pendant leur délai résiduel justifié, elles restent isolées de l’usage courant et protégées. Le Sous-traitant fournit la confirmation des opérations réalisées et signale les exceptions, au lieu d’attester un effacement total non vérifié.

Annexe 1 — Parties et description du traitement

Sous-traitant : QUICKLY DRIVE SRL, 897 Chaussée d’Alsemberg, 1180 Uccle, Belgique, BCE/TVA BE 0688.782.647, contact : contact@flotiqo.com. Représentant habilité, contact opérationnel et contact d’urgence : [à compléter ; aucune permanence spécifique n’est présumée]. Client : [dénomination, adresse, BCE/TVA, représentant, rôle et mandat, contacts RGPD et incident à compléter].

Finalités : fournir les fonctions de gestion de flotte, documents, comptabilité et dossiers sociaux expressément retenues. Nature : réception, enregistrement, classement, extraction PDF, calcul assisté, comparaison, consultation, export, rectification, conservation versionnée et effacement sur instruction. Fréquence : selon les saisies, imports et actions des utilisateurs autorisés ; aucune collecte automatique n’est incluse par défaut.

Les personnes, catégories et fonctions ci-dessous sont sélectionnées dans l’exemplaire accepté. Les catégories inutiles sont retirées. Les données de salariés ou de tiers présentes dans une facture ne deviennent pas nécessaires simplement parce que le fichier peut être téléversé.

• Personnes concernées : représentants et utilisateurs du Client ; chauffeurs, salariés et anciens salariés ; contacts des fournisseurs et clients ; personnes à charge uniquement si nécessaire au dossier social. Périmètre exact : [à compléter].
• Données de gestion : identité, coordonnées, rôles, société, véhicules, revenus et espèces, courses et durées d’activité, carburant, décomptes, paiements, factures, relevés, écritures et déclarations conservées.
• Données sociales, si fonction activée : identité, naissance, adresse, NISS/BIS, IBAN, contrat, horaires et prestations, rémunérations, situation familiale et personnes à charge, documents historiques et propositions de comparaison.
• Données particulières éventuelles : santé ou handicap révélés par un champ, motif d’absence ou justificatif. Conditions applicables, minimisation, personnes autorisées et garanties renforcées : [à compléter avant utilisation]. Ne pas importer de dossier médical complet.
• Durée : période du service convenu, sortie et délai résiduel précisément défini à l’annexe 4. Début du traitement, sociétés couvertes et fonctions exclues : [à compléter].
• Moment de réception : le relevé mensuel sélectionné est envoyé pour analyse avant confirmation ; le bulletin historique est enregistré comme document social avant confirmation de ses valeurs. Un abandon ou échec d’analyse du bulletin peut laisser le PDF conservé. Les anciennes versions et propositions restent des données à inventorier.
• Signataires, date, version acceptée du contrat et des annexes : [à compléter pour les deux parties].

Annexe 2 — Mesures techniques et organisationnelles

Contrôles présents dans le produit examiné au 23 octobre 2026 : séparation des dossiers par société et contrôle des rôles côté serveur ; authentification et révocation des sessions ; mots de passe enregistrés sous forme d’empreintes salées ; jetons mobiles conservés dans le stockage sécurisé de l’appareil ; secrets des connexions chiffrés avec une clé dérivée par société ; transferts HTTPS sur le service publié ; téléchargements de pièces soumis à authentification ; contrôles de révision et conservation de versions sur les parcours concernés.

Ces éléments ne prouvent pas, à eux seuls, une politique d’exploitation complète. L’annexe acceptée doit joindre les procédures et preuves suivantes, adaptées au périmètre et au risque. L’absence de renseignement doit être résolue avant l’entrée en vigueur du traitement concerné.

• Accès du personnel : responsables, habilitations, engagements de confidentialité, formation, procédures d’arrivée/départ et validation des interventions d’assistance [à compléter].
• Traçabilité : événements effectivement enregistrés, protection et durée des journaux, contrôle des accès aux dossiers sensibles et traitement des anomalies [à compléter ; aucun audit exhaustif des lectures n’est présumé].
• Disponibilité : inventaire des sauvegardes réellement activées, lieux, couverture des bases et PDF, fréquences, rétention, restauration testée et objectifs acceptés [à compléter ; aucun RPO/RTO chiffré n’est présumé].
• Sécurité : gestion des mises à jour et vulnérabilités, accès à l’infrastructure et aux clés, tests d’isolation, évaluation des risques et vérification périodique [responsables et preuves à compléter].
• Incidents et droits : réception et qualification des demandes, contacts de remplacement, recherche par société/personne, export, restriction, rectification et effacement vérifiable [procédures et délais compatibles avec la loi à compléter].
• Données sensibles : liste des rôles strictement nécessaires, contrôle des pièces ajoutées, mesures complémentaires et formation des personnes habilitées [à compléter].

Annexe 3 — Prestataires, lieux et autorisations

L’architecture actuelle utilise Cloudflare pour l’exécution du service, la base et les documents. Resend peut être utilisé pour les e-mails de compte et d’assistance lorsqu’il est activé. Anthropic intervient pour les demandes volontairement adressées à l’assistant IA ; le contact direct avec l’équipe n’utilise pas ce service. Cette description n’atteste pas l’entité contractante exacte, les lieux de tous les traitements, les garanties de transfert ni une autorisation client déjà obtenue.

Avant acceptation, établir pour chaque flux la fiche ci-dessous à partir des contrats et paramètres effectivement utilisés. L’infrastructure et les accès peuvent être internationaux. La seule sélection d’une région pour D1 ou R2 ne démontre pas que tous les traitements et personnels sont situés dans l’Espace économique européen.

Les services de connexion facultatifs sont ajoutés uniquement lorsqu’ils sont utilisés et lorsque leur rôle le nécessite. Stripe, lorsqu’il traite la facturation de l’Éditeur, relève d’un examen séparé de ses rôles et de la notice de confidentialité ; les dossiers de paie ne doivent pas lui être envoyés pour ce seul paiement.

• Cloudflare — exécution, stockage des données et documents, services techniques nécessaires. Entité légale/adresse/contact, contrat/DPA applicable, pays d’hébergement et d’accès, sous-traitants en chaîne, garanties de transfert, catégories traitées et date d’autorisation spécifique du Client : [à confirmer et compléter].
• Resend — uniquement si activé, adresse destinataire et contenu nécessaire aux messages de compte et aux notifications d’assistance, qui peuvent inclure un extrait du texte saisi. Ne pas y joindre automatiquement de bulletin ou de dossier de flotte pour cet usage. Entité légale/adresse/contact, contrat/DPA, pays, garanties et autorisation : [à compléter ou indiquer non utilisé].
• Anthropic — assistant IA facultatif via API commerciale : texte saisi, échanges récents et contexte limité de compte selon le rôle et le canal ; pas de documents de flotte automatiquement joints. Les textes libres peuvent contenir des données personnelles : minimisation et consignes aux utilisateurs à préciser. L’API commerciale est annoncée sans entraînement par défaut et avec suppression des entrées/sorties sous 30 jours, sous réserve des exceptions publiées. Aucune résidence exclusivement européenne ni rétention zéro n’est présumée. Entité contractante, DPA et clauses contractuelles types, lieux et accès, modèle/configuration réellement retenus et autorisation spécifique du Client : [à compléter avant le traitement concerné].
• Autre prestataire réellement utilisé — identité et rôle, fonction, données, lieux et accès, garantie de transfert, contrat et autorisation préalable : [à ajouter avant toute utilisation].
• Accès internationaux aux données non personnelles : juridictions de l’infrastructure, examen des demandes d’autorités et mesures techniques, organisationnelles et contractuelles effectivement appliquées ; lien vers les informations publiques tenues à jour : [à compléter avant souscription].

Annexe 4 — Conservation et sortie à compléter

Les parties doivent fixer des règles suffisamment précises et vérifiables ; « pendant le temps nécessaire » sans critère ni responsable ne suffit pas à compléter cette annexe. Ce modèle ne crée pas une nouvelle durée légale de conservation des dossiers comptables ou sociaux.

Pour chaque catégorie ci-dessous : préciser le responsable de l’instruction, la finalité, la durée ou le critère calculable et son point de départ, le format de restitution, le délai d’effacement, le traitement des versions/sauvegardes et la preuve de réalisation. Une obligation légale invoquée mentionne son texte et la partie à laquelle elle s’impose.

• Données et documents opérationnels de flotte, pièces mensuelles et justificatifs : [règles à compléter].
• Dossiers salariés, contrats, prestations, bulletins importés ou générés, anciennes versions, comparaisons et déclarations : [règles à compléter].
• Fichiers d’analyse temporaire, imports abandonnés et PDF historiques enregistrés avant confirmation : [inventaire, instruction et délai à compléter].
• Comptes, invitations, sessions, journaux techniques, demandes de suppression et preuves de traitement : [rôles propres de l’Éditeur à distinguer ; règles à compléter].
• Assistance : texte libre, réponses IA/humaines, contexte transmis et notifications e-mail ; durée locale, clôture, anonymisation, copies prestataires et preuve d’effacement [à définir séparément des délais annoncés par Anthropic et Resend].
• Copies techniques et sauvegardes réellement existantes : [inventaire, cycle de purge, restrictions et preuve à compléter].
• Sortie du Client : personne autorisée, inventaire exhaustif, formats et transferts sécurisés, test de restitution, période de récupération respectant le Data Act, exceptions légales, confirmation finale [à compléter].

Références officielles et documents prestataires

Consultés le 23 octobre 2026. Ces références éclairent le modèle ; elles ne prouvent pas l’acceptation d’un contrat prestataire ni une validation juridique de Flotiqo.

• RGPD — règlement (UE) 2016/679, notamment articles 28, 32 à 36 et chapitre V
• Décision (UE) 2021/915 — clauses types responsable/sous-traitant et annexes
• Autorité de protection des données belge — rôles et sous-traitance
• Cloudflare — accord de traitement des données (à confronter au contrat réellement utilisé)
• Resend — accord de traitement des données (si utilisé)
• Anthropic — accord de traitement commercial et clauses contractuelles types (si utilisé)