Accord de traitement des données (DPA)

1. Parties et rôles

Le Sous-traitant : Matthieu Sergent-Ferreri (EI), SIREN 798 298 832, TVA FR70798298832, 1139 chemin du Lavarin, 84000 Avignon — exploitant du Service Atria Motors.

Le Responsable du traitement : le Client professionnel identifié dans le devis ou bon de commande applicable.

Le Client détermine les finalités et les moyens essentiels des traitements dans le Service. Atria Motors traite les données pour le compte du Client, conformément au contrat principal, au présent DPA et aux instructions documentées du Client.

2. Objet, durée et hiérarchie

Le présent DPA s'applique pendant toute la durée du traitement de données personnelles opéré par Atria Motors pour le compte du Client, puis jusqu'à la suppression ou restitution effective des données. En cas de contradiction avec le contrat principal sur un sujet de protection des données, le DPA prévaut.

3. Instructions documentées

Le présent DPA, le contrat principal et les paramètres configurés par le Client dans le Service constituent les instructions documentées. Si Atria Motors estime qu'une instruction enfreint le RGPD, il en informe le Client dans les meilleurs délais.

4. Obligations d'Atria Motors en qualité de sous-traitant

• Traiter les données uniquement sur instruction documentée du Client, sauf obligation légale contraire ;
• S'assurer que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
• Mettre en œuvre des mesures techniques et organisationnelles appropriées (détaillées en Annexe 2) ;
• Aider le Client à répondre aux demandes d'exercice de droits des personnes concernées ;
• Aider le Client à satisfaire à ses obligations en matière de sécurité, notification de violation, documentation et analyse d'impact ;
• Mettre à disposition les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD.

5. Obligations du Client en qualité de responsable du traitement

• Disposer d'une base légale valable pour ses traitements ;
• Informer les personnes concernées de manière adéquate ;
• Ne confier à Atria Motors que des données et traitements licites et proportionnés ;
• Utiliser le Service conformément à ses obligations légales ;
• Ne pas introduire, sans accord écrit préalable, de catégories particulières de données sensibles.

6. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants listés en Annexe 3. En cas d'ajout ou de remplacement significatif, Atria Motors informe le Client avec un préavis raisonnable pour formuler une objection motivée.

7. Transferts hors EEE

Tout transfert hors de l'Espace économique européen est encadré par un mécanisme valide au regard du RGPD (décision d'adéquation ou Clauses Contractuelles Types — décision 2021/914/UE).

8. Droits des personnes concernées

Toute demande d'exercice de droits reçue directement par Atria Motors est transmise au Client dans les meilleurs délais. Atria Motors n'y répond pas directement sauf instruction documentée du Client ou obligation légale.

9. Violation de données personnelles

En cas de violation de données traitées pour le compte du Client, Atria Motors notifie le Client sans retard injustifié après en avoir pris connaissance et lui communique les informations disponibles pour l'aider à satisfaire à ses obligations réglementaires (notification CNIL sous 72h si applicable).

10. Audits et démonstration de conformité

Le Client peut demander des informations raisonnables pour démontrer le respect du présent DPA. Les audits privilégient la documentation et les échanges à distance. Un audit sur site est possible sur préavis raisonnable, sans perturbation excessive des opérations.

11. Fin du traitement, restitution et suppression

À l'expiration du contrat, Atria Motors met à disposition les moyens d'export des données pendant 30 jours, puis procède à leur suppression dans un délai raisonnable, sous réserve des obligations légales de conservation et des nécessités liées à la preuve ou à un litige en cours.