Accord de sous-traitance des données

Version 1.0 — en vigueur le 17 août 2026. Conclu au titre de l'article 28 du règlement général sur la protection des données.

1. Qui est responsable de quoi

Cette distinction commande tout le reste, et elle est souvent mal comprise :

• Le garage est responsable de traitement. Ce sont ses clients, ses véhicules, ses interventions. C'est lui qui décide pourquoi ces données sont collectées et ce qu'on en fait.
• MécaIA est sous-traitant. L'Éditeur traite ces données uniquement pour faire fonctionner le service, sur instruction du garage, et jamais pour son propre compte.

L'Éditeur ne vend aucune donnée, n'en tire aucun produit dérivé, et ne s'en sert pas pour démarcher les clients du garage.

2. Objet, durée, nature et finalité

3. Personnes et données concernées

Personnes concernées : les clients du garage (particuliers et professionnels), leurs conducteurs éventuels, et les salariés du garage utilisateurs du service.

Catégories de données :

• identité et coordonnées : nom, prénom, adresse, téléphone, courriel ;
• véhicule : immatriculation, marque, modèle, kilométrage, historique d'entretien ;
• vie professionnelle, pour les clients professionnels : raison sociale, numéro d'identification ;
• données économiques : devis, factures, règlements, encours ;
• échanges : messages, appels, comptes rendus ;
• pour les salariés du garage : identifiants, rôle, traces de connexion.

Aucune donnée sensible n'est requise par le service. Le garage s'abstient d'en saisir dans les champs libres — un commentaire sur l'état de santé d'un client, par exemple, n'a pas sa place dans une fiche d'atelier.

4. Instructions

L'Éditeur ne traite les données que sur instruction documentée du garage. Les présentes conditions et l'usage normal du service valent instructions.

Si une instruction lui paraît contraire à la réglementation, l'Éditeur en informe le garage sans délai et peut suspendre son exécution.

5. Confidentialité et personnel

Les personnes autorisées à accéder aux données sont tenues à la confidentialité. L'accès en production est limité aux personnes qui en ont besoin pour l'exploitation et l'assistance, et il est tracé.

6. Sécurité

Les mesures ci-dessous sont celles réellement en place, pas une liste d'intentions :

• Cloisonnement entre garages au niveau de la base de données. Chaque garage ne peut atteindre que ses propres lignes ; la règle est appliquée par le moteur de base de données, pas seulement par l'application.
• Chiffrement des échanges de bout en bout (HTTPS, certificats renouvelés automatiquement et surveillés).
• Identification par mot de passe haché, jetons d'accès de courte durée, droits par rôle.
• Journal d'audit des opérations sensibles, et chaînage d'intégrité des factures qui rend toute modification postérieure détectable.
• Sauvegardes quotidiennes, restauration vérifiée, chiffrement avant toute copie hors du serveur.
• Surveillance continue de la disponibilité, avec alerte.
• Hébergement sur une infrastructure située en France.

7. Sous-traitants ultérieurs

Le garage autorise l'Éditeur à recourir aux prestataires suivants. Cette liste est tenue à jour ; tout ajout est notifié au moins trente jours avant sa mise en service, et le garage peut s'y opposer pour un motif légitime — auquel cas il peut résilier sans frais si aucune solution n'est trouvée.

Le cas particulier de l'intelligence artificielle

C'est le point qui mérite le plus d'attention, et le garage doit le savoir précisément. Quand un utilisateur pose une question à l'assistant, les éléments nécessaires à la réponse sont transmis au fournisseur du modèle : par exemple le nom d'un client et l'historique d'un véhicule si la question porte dessus.

Ces transmissions sont limitées à ce que la demande exige, elles ne servent pas à entraîner les modèles, et elles ne sont pas conservées par le fournisseur au-delà de ce que son propre contrat prévoit. Un garage qui ne souhaite pas ce traitement peut demander la désactivation des fonctions d'assistance : le reste du service continue de fonctionner.

8. Transferts hors de l'Union européenne

Les données sont hébergées en France. Certains prestataires ci-dessus opèrent depuis les États-Unis ; ces transferts reposent sur les garanties prévues par le règlement, notamment les clauses contractuelles types de la Commission européenne et, le cas échéant, la certification du prestataire au cadre de protection des données entre l'Union européenne et les États-Unis.

9. Fin du contrat : restitution et suppression

À la fin du contrat, au choix du garage :

• restitution — export complet dans un format lisible et réutilisable, disponible pendant trente jours ;
• suppression — effacement des systèmes actifs sous soixante jours, puis des sauvegardes au fil de leur rotation.

Les documents que la loi impose de conserver, notamment les factures, le sont pour la durée légale. L'Éditeur atteste par écrit de la suppression sur demande.

10. Assistance au garage

L'Éditeur aide le garage à respecter ses propres obligations :

• droits des personnes — le service permet au garage d'extraire, de rectifier et d'anonymiser la fiche d'un client sans intervention de l'Éditeur ;
• violation de données — l'Éditeur informe le garage dans les quarante-huit heures après en avoir pris connaissance, avec les éléments nécessaires à sa propre notification ;
• analyse d'impact — l'Éditeur fournit les informations techniques utiles si le garage doit en conduire une.

11. Registre et audit

L'Éditeur tient le registre des traitements effectués pour le compte de ses clients et le met à disposition sur demande.

Le garage peut demander, une fois par an et moyennant un préavis raisonnable, les éléments démontrant le respect du présent accord. Un audit sur place est possible s'il est justifié, aux frais du demandeur, sans perturber l'exploitation ni exposer les données des autres garages.

12. Contact

Pour toute question relative aux données : contact@mecaia.fr.