Contrat de sous-traitance

1.1 Le Sous-traitant

Ci-après « TaxiBuddy » ou le « Sous-traitant ».

1.2 Le Responsable du traitement

L'entreprise mentionnée dans la demande d'Onboarding (société de taxi titulaire d'une licence de taxi, en Flandre une licence IBP, ou dont la procédure de licence est en cours) — une personne morale ou une personne physique agissant en tant qu'entreprise individuelle, conformément à l'article 1.1 des CG — ci-après le « Client » ou le « Responsable du traitement ». Les données complètes de l'entreprise (nom, BCE, adresse, personne de contact) sont celles que le Client a indiquées lors de l'Onboarding et qui sont enregistrées dans la Plateforme ; conjointement avec la preuve de signature de l'Onboarding, elles font partie intégrante du présent DPA.

1.3 Ensemble les « Parties », chacune séparément une « Partie ».

2.1 Validité

Le présent Contrat de sous-traitance (« DPA ») est expressément accepté par le Client lors de l'activation de l'Abonnement, conjointement avec les Conditions générales (« CG »). Le DPA constitue l'Annexe A des CG et en fait partie intégrante et indissociable.

2.2 Hiérarchie

En cas de contradiction entre le présent DPA et les CG, le présent DPA prévaut pour ce qui concerne le traitement des Données à caractère personnel. Pour tous les autres sujets, les CG prévalent.

2.3 Cadre légal

Le présent DPA met en œuvre les obligations découlant de l'article 28 du RGPD (Règlement (UE) 2016/679) et — le cas échéant — de la loi belge d'exécution du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.

Dans le présent DPA, en plus des définitions figurant dans les CG, on entend par :

• « Personne concernée » — une personne physique identifiée ou identifiable (Art. 4(1) RGPD), en pratique : un chauffeur, un Admin du Client ou un passager du Client.
• « DSAR » — Data Subject Access Request — demande d'une Personne concernée visant à exercer ses droits au titre des articles 15 à 22 du RGPD.
• « APD » — l'Autorité belge de protection des données.
• « RGPD » — le Règlement (UE) 2016/679.
• « Violation » — une violation de données à caractère personnel (Art. 4(12) RGPD).
• « Instructions » — les instructions écrites du Client à TaxiBuddy concernant le traitement des Données à caractère personnel.
• « Sous-traitant ultérieur » — un tiers auquel TaxiBuddy fait appel pour traiter des Données à caractère personnel pour le compte du Client.
• « TOMs » — les mesures techniques et organisationnelles au sens de l'article 32 du RGPD.

4.1 Objet

TaxiBuddy traite les Données à caractère personnel exclusivement pour le compte et sur instruction du Client, dans la mesure nécessaire à la fourniture des Services décrits dans les CG.

4.2 Nature et finalité

La description détaillée des traitements — catégories de Personnes concernées, catégories de Données à caractère personnel, finalités et durées de conservation — figure à l'Annexe A du présent DPA.

4.3 Durée

Le DPA prend effet à la date d'activation de l'Abonnement et reste en vigueur aussi longtemps que TaxiBuddy traite des Données à caractère personnel pour le compte du Client. Le DPA prend fin automatiquement lorsque l'obligation de restitution ou de suppression prévue à l'article 15 a été entièrement exécutée.

4.4 Portée géographique

Le traitement a lieu pour l'essentiel au sein de l'Espace économique européen (EEE), à l'exception de quelques transferts strictement délimités vers des pays tiers, moyennant des garanties appropriées (voir l'article 12 et l'Annexe B).

5.1 Base juridique

Le Client garantit qu'il dispose d'une base juridique valable (Art. 6 RGPD) pour tous les traitements qu'il fait effectuer par TaxiBuddy via la Plateforme. Cela comprend notamment :

• L'exécution des contrats de transport conclus avec les passagers
• L'exécution des contrats de travail ou de prestation de services conclus avec les chauffeurs
• Les obligations légales (loi comptable, Code de la TVA, décret IBP, déclaration des courses à Chiron, droit social)
• L'intérêt légitime (administration des courses, gestion des litiges)

5.2 Obligation d'information envers les Personnes concernées

Le Client est responsable de l'information de ses chauffeurs, Admins et passagers sur le traitement de leurs Données à caractère personnel, conformément aux articles 13 et 14 du RGPD. TaxiBuddy fournit à cet effet un modèle (voir /fr/legal/passenger-info/pdf) pour l'obligation d'information envers les passagers. Le Client s'engage à montrer effectivement à ses passagers au moins l'un des formats qui y sont proposés et peut le démontrer à TaxiBuddy sur demande.

5.3 Gestion des droits d'accès

Le Client est responsable de l'attribution, de la gestion et du retrait corrects des rôles et des Comptes au sein de la Plateforme. La conservation des identifiants de connexion et la responsabilité qui en découle pour l'activité effectuée incombent au Client.

5.4 Transmission de Données à caractère personnel licitement collectées

Le Client s'engage à ne traiter via la Plateforme que des Données à caractère personnel qu'il a collectées licitement. TaxiBuddy n'assume aucune responsabilité quant à la licéité de la source des données.

6.1 Limitation aux Instructions

TaxiBuddy ne traite les Données à caractère personnel que sur la base d'Instructions documentées du Client, à moins qu'une disposition du droit de l'Union ou du droit d'un État membre n'impose autre chose à TaxiBuddy. Dans ce dernier cas, TaxiBuddy informe le Client avant le traitement, sauf si cette législation interdit une telle information pour des motifs importants d'intérêt public.

6.2 Instructions initiales

La signature du présent DPA conjointement avec les CG constitue l'Instruction initiale du Client à TaxiBuddy d'effectuer les traitements décrits à l'Annexe A dans le cadre de l'Abonnement.

6.3 Instructions supplémentaires

Les Instructions supplémentaires ou divergentes du Client doivent être données par écrit via privacy@taxibuddy.be. TaxiBuddy exécutera ces Instructions raisonnables, à condition qu'elles soient techniquement réalisables et n'entrent pas en conflit avec les obligations légales de TaxiBuddy.

6.4 Signalement en cas de conflit avec la loi

Si TaxiBuddy estime qu'une Instruction du Client est contraire au RGPD ou à d'autres dispositions applicables en matière de protection des données, TaxiBuddy en informe immédiatement le Client. Le Client a le droit (et l'obligation) d'adapter ou de retirer l'Instruction.

6.5 Coût des Instructions

L'exécution d'Instructions raisonnables et courantes est comprise dans le prix de l'Abonnement. Pour l'exécution d'Instructions exceptionnellement volumineuses ou complexes — par ex. une migration ponctuelle de centaines de courses vers un autre système — TaxiBuddy peut facturer une rémunération raisonnable, moyennant une offre écrite préalable et son acceptation par le Client.

7.1 Engagement de confidentialité du personnel

TaxiBuddy veille à ce que toutes les personnes qui, sous son autorité, ont accès aux Données à caractère personnel du Client — salariés, contractants indépendants, fondateurs — soient tenues, avant cet accès, à une obligation de confidentialité appropriée (contractuelle ou légale).

7.2 Limitation de l'accès

Au sein de TaxiBuddy, l'accès aux Données à caractère personnel du Client est limité à un petit nombre de collaborateurs internes disposant de droits administratifs, et uniquement dans la mesure nécessaire au support, à la maintenance ou à la gestion administrative des clients. Chaque collaborateur disposant d'un tel accès est contractuellement lié par un engagement de confidentialité.

7.3 Accès au back-office par TaxiBuddy

TaxiBuddy utilise un back-office interne pour le support et la gestion administrative des clients. L'accès est réservé aux collaborateurs habilités et limité au minimum nécessaire à l'exécution du présent DPA. TaxiBuddy évalue périodiquement ces contrôles d'accès et les affine à mesure que la taille de l'organisation augmente.

7.4 Durée

L'engagement de confidentialité reste en vigueur après la fin du présent DPA.

8.1 Engagement

TaxiBuddy prend des mesures techniques et organisationnelles appropriées pour protéger les Données à caractère personnel contre la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé, de manière accidentelle ou illicite, conformément à l'article 32 du RGPD.

8.2 Mesures concrètes

La liste complète des mesures — réseau, chiffrement, contrôle d'accès, monitoring, sauvegarde, suppression logique (soft delete), masquage des PII (PII scrubbing) — figure à l'Annexe C du présent DPA. Cette liste reflète la situation à la date de signature et est tenue à jour par TaxiBuddy.

8.3 Évaluation périodique

TaxiBuddy évalue les TOMs au moins une fois par an, ainsi qu'à chaque modification significative de l'architecture, des sous-traitants ultérieurs ou du paysage des menaces. L'Annexe C est mise à jour après chaque évaluation.

8.4 Pas de garantie statique

Aucun système n'offre une sécurité absolue. TaxiBuddy s'engage à appliquer des mesures raisonnables et appropriées au regard de l'état actuel des connaissances, et non à une obligation de résultat d'inviolabilité.

9.1 Autorisation générale

Par la signature du présent DPA, le Client donne une autorisation générale au recours par TaxiBuddy à des Sous-traitants ultérieurs, sous réserve du respect du présent article.

9.2 Liste des Sous-traitants ultérieurs

Les Sous-traitants ultérieurs utilisés à la date de signature du présent DPA figurent à l'Annexe B et peuvent être consultés sur taxibuddy.be/subprocessors.

9.3 Obligations de TaxiBuddy à l'égard des Sous-traitants ultérieurs

TaxiBuddy :

a) Conclut avec chaque Sous-traitant ultérieur un contrat écrit qui impose au moins les mêmes obligations en matière de protection des données que le présent DPA, conformément à l'article 28(4) du RGPD

b) Demeure pleinement responsable devant le Client de l'exécution par le Sous-traitant ultérieur de ses obligations, sans préjudice de sa propre responsabilité au titre de l'article 14 ci-dessous

c) Sélectionne des Sous-traitants ultérieurs présentant des garanties appropriées pour la protection des Données à caractère personnel

d) Évalue périodiquement l'aptitude des Sous-traitants ultérieurs existants

9.4 Modification des Sous-traitants ultérieurs

En cas d'ajout ou de remplacement d'un Sous-traitant ultérieur :

a) TaxiBuddy informe le Client au moins trente (30) jours calendrier à l'avance par une mise à jour de l'Annexe B (publiée sur taxibuddy.be/subprocessors) et par e-mail à l'adresse e-mail du Client enregistrée dans la Plateforme

b) Le Client a le droit de formuler, dans ces trente (30) jours, une objection motivée et reposant sur des motifs techniques ou juridiques fondés via privacy@taxibuddy.be. Une objection n'est fondée que si le Client peut démontrer que le Sous-traitant ultérieur proposé n'offre pas les garanties minimales de sécurité ou de transfert exigées par le RGPD

c) En cas d'objection fondée — à laquelle TaxiBuddy ne peut remédier dans un délai raisonnable — le Client a le droit de résilier l'Abonnement pour la date à laquelle la modification prend effet, ou pour la fin du cycle de facturation en cours si celle-ci est postérieure. Si la modification concerne une fonction qui peut être désactivée Client par Client, TaxiBuddy la désactive pour le Client, à sa demande, jusqu'à la date de fin ; l'infrastructure commune à toute la Plateforme (hébergement, base de données, fournisseur d'identité) ne peut pas être reportée Client par Client. Les redevances d'abonnement restantes jusqu'à la fin du cycle en cours restent dues ; les frais de dépassement de Lock-in ne sont pas dus

d) À défaut d'objection dans les trente (30) jours, le Client est réputé accepter la modification

e) TaxiBuddy n'est pas tenue de rechercher un Sous-traitant ultérieur alternatif si elle estime la modification nécessaire pour des raisons opérationnelles, de sécurité, de prix ou de stratégie en matière de fournisseurs

f) Des motifs tels qu'un simple désagrément commercial, une préférence pour d'autres fournisseurs ou des préoccupations qui ne touchent pas directement à la protection des données à caractère personnel ne constituent pas une objection fondée

9.5 Responsables du traitement distincts

Chiron (Mobilité et Travaux publics, autorités flamandes) n'est pas un Sous-traitant ultérieur mais un responsable du traitement distinct, auquel TaxiBuddy, pour un Client dont la Zone de licence est la Flandre, transmet des données de course sur instruction du Client, en exécution de l'obligation légale d'enregistrement de ce dernier (décret IBP — article 6(1)(c) du RGPD). Pour un Client ayant une autre Zone de licence, ou sans Zone de licence, la Plateforme ne transmet aucune course à une autorité publique. De même, Google Maps Platform (géocodage, saisie semi-automatique d'adresses et calcul d'itinéraire) traite les requêtes d'adresses et de coordonnées de la Plateforme en tant que responsable du traitement indépendant, en vertu des Controller-Controller Data Protection Terms de Google, et non en tant que Sous-traitant ultérieur. Ces requêtes ne contiennent ni ID de course ni compte. Pour la distance d'une course et pour une estimation de prix, le backend demande toutefois l'itinéraire entre le point de départ et le point d'arrivée ensemble (Routes), et l'app demande les adresses et les coordonnées à Google directement depuis l'appareil (Geocoding et Places), de sorte que Google reçoit aussi l'adresse IP de l'appareil. Le Client le reconnaît et l'accepte.

10.1 Assistance en cas de DSAR

Compte tenu de la nature du traitement et des informations dont elle dispose, TaxiBuddy apporte au Client une assistance raisonnable pour répondre aux DSAR. Cela comprend notamment :

• Accès (Art. 15) — extraction des données d'une Personne concernée depuis la Plateforme
• Rectification (Art. 16) — correction de données inexactes
• Effacement (Art. 17) — exécution manuelle selon notre procédure interne d'effacement, dans un délai d'un (1) mois à compter de la demande, prolongeable de deux (2) mois au maximum en cas de complexité (Art. 12(3) RGPD)
• Limitation (Art. 18)
• Portabilité (Art. 20) — export CSV/JSON
• Opposition (Art. 21)

10.2 Assistance pour la DPIA et la consultation préalable

TaxiBuddy apporte une assistance raisonnable pour l'élaboration d'une analyse d'impact relative à la protection des données (Data Protection Impact Assessment ou DPIA, Art. 35 RGPD) ou pour la consultation préalable de l'APD (Art. 36 RGPD), dans la mesure où cela concerne des traitements que TaxiBuddy effectue en tant que Sous-traitant. TaxiBuddy dispose de sa propre DPIA pour les relevés GPS ponctuels pendant les services et les courses ; le Client peut la consulter sur demande raisonnable.

10.3 Coût de l'assistance

L'assistance pour les DSAR est comprise dans le prix de l'Abonnement jusqu'à trois (3) demandes par mois civil par Client. À partir de la quatrième demande au cours du même mois civil, TaxiBuddy peut facturer une rémunération raisonnable pour l'effort fourni (généralement sur une base horaire, à un tarif conforme au marché), moyennant une offre écrite préalable et son acceptation par le Client.

L'assistance pour l'élaboration d'une DPIA, la collaboration à un audit en dehors du cadre de l'article 13.1 (a), la consultation préalable de l'APD ou d'autres demandes non routinières qui requièrent structurellement plus d'une demi-journée de travail est également facturée sur une base raisonnable et conforme au marché.

Les DSAR manifestement infondées ou excessives — notamment les demandes répétées portant sur les mêmes données dans un court laps de temps — peuvent être refusées par TaxiBuddy ou traitées moyennant une rémunération raisonnable, conformément à l'Art. 12(5) RGPD.

10.4 Canal

Toutes les demandes d'assistance sont introduites via privacy@taxibuddy.be, avec mention du nom du Client, de son numéro BCE et de la nature de la demande.

11.1 Notification au Client

TaxiBuddy notifie toute Violation constatée concernant des Données à caractère personnel traitées pour le compte du Client aussi rapidement que raisonnablement possible et au plus tard dans les soixante-douze (72) heures suivant la confirmation interne de la Violation et la détermination raisonnable de son impact sur les données du Client.

Ce délai ne court qu'à partir du moment où TaxiBuddy dispose elle-même d'informations vérifiées suffisantes pour pouvoir effectuer une notification utile. Si la Violation trouve son origine, en tout ou en partie, chez un Sous-traitant ultérieur ou un tiers, le délai ne commence à courir qu'à partir du moment où cette partie a fourni les informations pertinentes à TaxiBuddy.

11.2 Contenu de la notification

La notification contient au moins, dans la mesure où ces informations sont disponibles au moment de la notification :

• Nature de la Violation
• Catégories et nombre approximatif de Personnes concernées
• Catégories et quantité approximative de Données à caractère personnel
• Conséquences probables
• Mesures que TaxiBuddy a prises ou propose pour remédier à la Violation et en atténuer les conséquences
• Personne de contact pour de plus amples informations : privacy@taxibuddy.be

Si toutes les informations ne sont pas encore disponibles dans le délai de l'article 11.1, TaxiBuddy fournit dans ce délai une première notification portant la mention « en cours d'examen » pour les champs inconnus, puis la complète dès que possible. (En interne, TaxiBuddy applique un objectif plus strict — voir la politique interne en matière de fuites de données ; cet objectif n'est pas un délai contractuel.)

11.3 Obligation de notification propre du Client à l'APD et aux Personnes concernées

En tant que Responsable du traitement, le Client reste responsable de la notification à l'APD dans les 72 heures (Art. 33 RGPD) et, le cas échéant, de la communication aux Personnes concernées (Art. 34 RGPD). TaxiBuddy lui apporte une assistance raisonnable à cet effet.

11.4 Procédure propre de TaxiBuddy

TaxiBuddy dispose d'une procédure interne élaborée pour la détection des incidents, le triage, la communication et l'analyse post-mortem, avec des points de contact désignés et une chaîne de contact en cascade pour le cas où le point de contact principal ne serait pas joignable. Le Client peut consulter cette procédure sur demande raisonnable.

12.1 Principe

Les Données à caractère personnel du Client sont traitées autant que possible au sein de l'Espace économique européen (EEE). L'infrastructure principale (Microsoft Azure West Europe — Amsterdam) et Auth0 (tenant UE) traitent les données au sein de l'EEE ; chez Capawesome, le traitement a lieu principalement en Allemagne et en France. Pour Auth0 et Microsoft, un accès du support depuis l'extérieur de l'EEE reste possible ; celui-ci relève des clauses contractuelles types figurant dans leurs contrats de sous-traitance. Resend envoie les e-mails depuis une région de l'UE, mais déclare dans son propre contrat de sous-traitance que son traitement principal a lieu aux États-Unis ; c'est pourquoi Resend figure dans le tableau des transferts ci-dessous. Zoho Mail conserve les boîtes mail info@ et privacy@ dans des centres de données situés dans l'UE (Pays-Bas et Irlande) ; un accès du support depuis l'Inde est possible, et c'est pourquoi Zoho figure aussi dans le tableau des transferts.

12.2 Transferts vers des pays tiers

Pour un nombre limité de Sous-traitants ultérieurs, un transfert vers un pays tiers a lieu, dans la plupart des cas vers les États-Unis :

Google Maps Platform (responsable du traitement distinct, voir l'article 9.5 et l'Annexe B) reçoit également les requêtes d'adresses et de coordonnées aux États-Unis ; ce transfert relève des Controller-Controller Data Protection Terms de Google, avec le DPF UE-États-Unis et des CCT.

12.3 Contrôle des garanties

TaxiBuddy vérifie au moins une fois par an la certification DPF des Sous-traitants ultérieurs concernés via https://www.dataprivacyframework.gov ainsi que la validité des CCT. En cas de caducité d'une garantie sans qu'une alternative équivalente soit disponible, l'article 9.4 s'applique.

13.1 Droit d'audit — forme principale : documentation

Le Client a le droit de contrôler le respect du présent DPA par TaxiBuddy au moyen de :

a) Demande de documentation existante — liste des sous-traitants ultérieurs, politique de conservation, attestations de sécurité des principaux sous-traitants ultérieurs de TaxiBuddy (tels que les rapports SOC 2 et ISO 27001 d'Azure et d'Auth0) — gratuitement et sur simple demande écrite

b) Questionnaire écrit — TaxiBuddy répond aux questions raisonnables et pertinentes dans les trente (30) jours calendrier, dans la mesure où les réponses ne touchent pas à des données confidentielles d'autres Clients ou de fournisseurs

c) Audit sur place ou audit à distance — exclusivement aux conditions strictes de l'article 13.2

13.2 Audit sur place — limité aux soupçons étayés

Un audit sur place ou à distance n'est possible que si le Client peut démontrer, par écrit et de manière étayée, qu'il a un soupçon raisonnable de violation substantielle du présent DPA par TaxiBuddy. Cette justification comprend au minimum : des faits concrets, des dates ou des pièces justificatives qui indiquent une violation possible. Un simple souhait d'audit préventif ne suffit pas.

À cette condition, les règles suivantes s'appliquent :

• Au maximum un (1) audit sur place par année calendrier, sauf Violation récente confirmée ou modification substantielle des Sous-traitants ultérieurs touchant directement les données du Client ;
• Annonce écrite préalable d'au moins trente (30) jours calendrier ;
• Pendant les heures de bureau normales de TaxiBuddy (jours ouvrables, 9-17 h CET) ;
• Exclusivement par un auditeur tiers indépendant accepté par les deux Parties (qui n'est pas un concurrent de TaxiBuddy), tenu par un engagement écrit de confidentialité ;
• Dans le respect absolu de la confidentialité des données des autres Clients de TaxiBuddy (SaaS multi-tenant — aucun accès aux données de tiers) ;
• Limité au périmètre du soupçon initial — aucune recherche exploratoire.

13.3 Coûts de l'audit

Le Client supporte l'intégralité des coûts de son audit, y compris son propre temps, l'auditeur externe et tous les frais de préparation et de déplacement. En outre, le Client verse à TaxiBuddy un montant forfaitaire de 1 500 € par jour d'audit à titre de contribution aux frais de collaboration de TaxiBuddy (participation aux réunions, fourniture de documentation, mise à disposition de techniciens).

Ce n'est que si l'audit constate de manière objective et démontrable une violation substantielle du présent DPA par TaxiBuddy — reconnue par écrit par TaxiBuddy ou confirmée par un juge — que cette contribution forfaitaire devient caduque et que TaxiBuddy supporte les frais raisonnables exposés par le Client tant pour l'audit que pour la remédiation.

13.4 Pas d'accès permanent

Le Client n'obtient aucun accès permanent, périodique ou automatisé aux journaux, à l'infrastructure ou aux pistes d'audit de TaxiBuddy. L'accès à des fins d'audit est toujours ponctuel, limité dans le temps, demandé par écrit et motivé.

14.1 Lien avec les Conditions générales

La responsabilité de TaxiBuddy au titre du présent DPA est soumise aux limitations mentionnées à l'article 17 des Conditions générales (en particulier : par incident, au maximum 10 000 € ; par année calendrier, au maximum les redevances d'abonnement de l'abonnement de base des douze derniers mois, annualisées pour un Abonnement qui court depuis moins d'un an, avec un plafond absolu de 20 000 €), sous réserve des dispositions du présent article.

14.2 Régime de responsabilité du RGPD

Aucune disposition du présent DPA ou des CG ne limite ni n'exclut :

• La responsabilité directe de TaxiBuddy envers les Personnes concernées en vertu de l'article 82 du RGPD, pour autant et dans la mesure où TaxiBuddy en est légalement responsable en tant que Sous-traitant
• Le pouvoir de l'APD d'imposer des amendes administratives (Art. 83 RGPD)
• La responsabilité qui ne peut être limitée en vertu du droit impératif

14.3 Garantie entre les Parties

Dans le cadre d'une réclamation conjointe d'une Personne concernée (Art. 82(4) RGPD) dans laquelle les deux Parties sont mises en cause :

a) Chaque Partie supporte la part du dommage qui correspond à sa propre contribution à la violation

b) Si une Partie paie plus que sa part, elle peut récupérer le trop-payé auprès de l'autre Partie, sans préjudice de son propre plafond de responsabilité

c) TaxiBuddy ne garantit pas le Client contre les réclamations découlant d'une violation par le Client de ses propres obligations au titre du RGPD (par ex. absence de base juridique, information insuffisante des passagers, saisie erronée)

14.4 Amendes de l'APD

Une amende administrative infligée au Client par l'Autorité de protection des données ne peut être répercutée sur TaxiBuddy que si toutes les conditions suivantes sont remplies cumulativement :

a) L'amende découle directement et exclusivement d'une violation du présent DPA commise par TaxiBuddy, reconnue par écrit par TaxiBuddy ou établie de manière incontestable par une décision judiciaire définitive ;

b) La violation constitue une faute grave ou faute lourde au sens de l'article 17.4 des Conditions générales — une simple inattention, un bug ordinaire, une erreur d'un Sous-traitant ultérieur ou une indisponibilité causée par un cas de force majeure ne constitue pas une telle faute ;

c) Le Client a informé TaxiBuddy sans délai de la procédure devant l'APD, a partagé toute la documentation pertinente et a donné à TaxiBuddy la possibilité d'intervenir dans la procédure ou de proposer une transaction ;

d) Le Client a lui-même pris toutes les mesures raisonnables pour limiter l'amende (notamment une notification en temps utile, la coopération avec l'APD et le respect de ses propres obligations au titre du RGPD).

Si ces conditions sont remplies, TaxiBuddy rembourse l'amende jusqu'à un maximum absolu de cinquante mille euros (50 000 €) par année calendrier, toutes affaires APD confondues. Ce montant est distinct des plafonds généraux de responsabilité de l'article 17.1 des Conditions générales et constitue le plafond exclusif de la responsabilité liée à l'APD.

La partie de l'amende qui dépasse 50 000 €, ainsi que toute amende qui ne remplit pas les conditions cumulatives ci-dessus, reste entièrement à la charge du Client.

15.1 Fin du DPA

La fin des CG — pour quelque motif que ce soit, y compris en vertu de l'article 9.4(c) ci-dessus — met fin à la mission de traitement. Le présent DPA lui-même reste en vigueur, conformément à l'article 4.3, aussi longtemps que TaxiBuddy détient encore des Données à caractère personnel du Client, et ne prend fin que lorsque l'obligation de restitution ou de suppression prévue au présent article a été entièrement exécutée.

15.2 Choix du Client

Dans les quatre-vingt-dix (90) jours calendrier suivant la date de fin effective de l'Abonnement, le Client peut choisir, via privacy@taxibuddy.be, entre :

a) Restitution — un export gratuit et lisible par machine de ses données (CSV et/ou JSON), conformément à l'article 13 des CG, livré dans les trente (30) jours calendrier (prolongeable de trente (30) jours en cas de complexité), OU

b) Suppression — la suppression de ses données sans export, effectuée dans les trente (30) jours calendrier suivant le choix, sous réserve de l'obligation légale de conservation de l'article 15.3

À défaut de choix dans les quatre-vingt-dix (90) jours, ainsi qu'après la livraison d'un export demandé, TaxiBuddy supprime en tout état de cause les Données à caractère personnel du Client dans les trente (30) jours calendrier (option b). Après la fin du contrat, la politique interne de conservation de TaxiBuddy ne s'applique plus qu'aux données propres de TaxiBuddy visées à l'article 15.3.

15.3 Obligation légale de conservation

Les données que TaxiBuddy doit conserver à ses propres fins légales ou probatoires ne sont pas supprimées au moment de la fin du contrat : les factures d'abonnement et les données de paiement du Client (Code de la TVA et obligation fiscale de conservation, 10 ans), la preuve de l'acceptation des CG et du présent DPA et le journal d'audit du statut de l'entreprise (prescription, 10 ans), ainsi qu'un aperçu agrégé du nombre de Courses par période de facturation justifiant les lots facturés. Cet aperçu ne contient aucune donnée de localisation, de passagers ou de chauffeurs. Les obligations comptables et fiscales de conservation des données de courses, de passagers et de chauffeurs elles-mêmes incombent au Client ; il les remplit au moyen de son export (option a) ou de sa propre administration. Ces données propres sont supprimées à l'expiration de leur délai, conformément à la politique interne de conservation.

15.4 Sous-traitants ultérieurs

TaxiBuddy informe ses Sous-traitants ultérieurs dans les trente (30) jours suivant le choix du Client au titre de l'article 15.2 et exige d'eux l'exécution correspondante, dans le respect des politiques de conservation propres qui s'appliquent chez eux.

15.5 Confirmation

À la demande du Client, TaxiBuddy fournit dans un délai raisonnable une confirmation écrite de la restitution et/ou de la suppression effectuée(s).

16.1 Modifications matérielles

Pour les modifications matérielles du présent DPA — notamment la modification des catégories de traitements, des sous-traitants ultérieurs ayant un impact substantiel, des droits d'audit ou des délais de notification — TaxiBuddy adresse une notification écrite au moins trente (30) jours calendrier à l'avance, conformément à l'article 20 des CG. Le Client peut, dans ce délai, résilier sans indemnité supplémentaire si la modification l'affecte de manière déraisonnable.

16.2 Modifications non matérielles

Les modifications non matérielles (corrections linguistiques, clarifications, adaptation à une législation modifiée sans impact substantiel) sont publiées sur taxibuddy.be et s'appliquent à compter de la date qui y est mentionnée.

16.3 Mise à jour des Annexes

Les Annexes B (sous-traitants ultérieurs) et C (TOMs) sont tenues à jour par TaxiBuddy et peuvent être modifiées sans signature d'un nouveau DPA, moyennant le respect des mécanismes de notification et d'objection décrits ci-dessus.

17.1 Accord complet

Le présent DPA, avec les CG et les Annexes, constitue l'accord complet entre les parties en ce qui concerne le traitement des Données à caractère personnel et remplace tout accord antérieur à ce sujet.

17.2 Nullité partielle

Si une disposition du présent DPA est déclarée nulle ou non exécutoire, les autres dispositions restent pleinement en vigueur. Les Parties s'engagent à la remplacer par une disposition valable ayant autant que possible la même portée.

17.3 Communications

Toutes les communications au titre du présent DPA se font par écrit, par e-mail à :

• TaxiBuddy : privacy@taxibuddy.be — avec comme adresse postale Cools IT Solutions BV, Dorp 4E bus 021, 2820 Bonheiden, Belgique
• Client : l'adresse e-mail indiquée dans la demande d'Onboarding ou telle que modifiée ultérieurement par écrit

17.4 Pas de cession

Le Client ne peut céder ses droits et obligations au titre du présent DPA à un tiers sans l'accord écrit préalable de TaxiBuddy. TaxiBuddy peut céder le DPA à une entreprise liée ou dans le cadre d'une fusion/reprise, moyennant notification préalable.

18.1 Droit applicable

Le présent DPA est régi exclusivement par le droit belge, complété par le RGPD directement applicable.

18.2 Juridiction compétente

Pour tous les litiges, seuls les tribunaux de l'arrondissement judiciaire d'Anvers, division Malines sont compétents. L'obligation de dialogue préalable prévue à l'article 22.3 des CG reste d'application.

18.3 Compétence de l'APD

Aucune disposition du présent article ne limite le droit d'une Personne concernée d'introduire une réclamation auprès de l'Autorité belge de protection des données ou d'une autorité de contrôle équivalente dans l'État membre de sa résidence.

A.1 Catégories de Personnes concernées

• Chauffeurs (Drivers) du Client
• Gestionnaires (Admins — dispatcher / fleet manager / gérant) du Client
• Clients / passagers du Client (personnes physiques ou représentants de clients professionnels)
• Personnes de contact chez les fournisseurs ou partenaires du Client (dans la mesure où elles sont enregistrées via la Plateforme)

A.2 Catégories de Données à caractère personnel

A.3 Finalités du traitement

1. Exécution du contrat de transport et des Services

2. Enregistrement légal des courses auprès de Chiron, pour un Client dont la Zone de licence est la Flandre

3. Administration du temps de travail et des salaires (ONSS + droit social)

4. Facturation et comptabilité (Code de la TVA + loi comptable)

5. Audit et gestion des litiges

6. Sécurité et monitoring de la Plateforme

A.4 Description complète du processus

TaxiBuddy tient un registre interne détaillé des activités de traitement conformément à l'article 30 du RGPD, qui documente pour chaque traitement les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité. Ce registre peut être consulté sur demande par l'APD et — pour les traitements qui concernent le Client — par le Client dans le cadre de l'article 13 du présent DPA.

A.5 Durées de conservation

Résumé indicatif des durées de conservation pendant la durée de l'Abonnement. Elles valent Instruction permanente du Client (article 6.2) et suivent les obligations comptables, fiscales et sociales de conservation du Client. Après la fin du contrat, l'article 15 s'applique : export et/ou suppression, à l'exception des données propres de TaxiBuddy visées à l'article 15.3.

L'objet figure tel quel dans le journal des messages sortants et peut contenir des données à caractère personnel : dans la notification d'une demande de suppression adressée à privacy@taxibuddy.be, l'adresse e-mail complète du demandeur figure dans l'objet.

Liste actuelle consultable sur : https://taxibuddy.be/subprocessors

Fiches complètes par Sous-traitant ultérieur : /fr/subprocessors

La présente annexe ne contient que les parties qui traitent des données dont le Client est le responsable du traitement (bloc A de la liste publique). Les sous-traitants auxquels TaxiBuddy fait appel uniquement pour ses propres traitements (la facturation de l'Abonnement via OnFact, le formulaire de demande et l'analyse d'audience du site web, la connexion bancaire sur son propre compte) ne traitent pas de Données à caractère personnel du Client au sens du présent DPA et figurent donc uniquement dans la liste publique sur taxibuddy.be/subprocessors (bloc B), avec une mention dans la déclaration de confidentialité du site web. Zoho Mail (SP-14) est aussi la propre boîte mail de TaxiBuddy, mais figure dans la présente annexe et dans le bloc A parce que des données du Client y arrivent : chaque e-mail envoyé par la Plateforme a info@taxibuddy.be comme adresse de réponse, de sorte que les réponses des chauffeurs, gestionnaires et passagers arrivent dans cette boîte mail, et une demande de suppression depuis l'app envoie le nom, l'adresse e-mail, le nom de la société et l'ID de compte du demandeur à privacy@taxibuddy.be. Les numéros de fiche de la première colonne sont les mêmes que dans la liste publique et sont fixes (SP-1 à SP-14), de sorte que chaque ligne de la présente annexe renvoie à une seule fiche de cette liste ; la numérotation n'est donc pas continue. SP-6 (Google Maps Platform, responsable du traitement distinct) et SP-7 (Application Insights, intégré dans SP-2) ne sont plus utilisés.

Responsables du traitement distincts (pas de Sous-traitant ultérieur) :

Les mesures suivantes sont mises en œuvre à la date de signature du présent DPA. TaxiBuddy évalue ces mesures au moins une fois par an et les adapte en fonction de l'évolution des normes de sécurité et des besoins opérationnels.

C.1 Contrôle d'accès

• Auth0 (tenant UE) comme fournisseur d'identité, avec authentification par jeton
• Contrôle d'authentification et d'autorisation sur chaque requête sécurisée adressée au backend
• Accès basé sur les rôles, avec séparation entre les rôles côté client (chauffeur, gestionnaire) et les collaborateurs internes de TaxiBuddy
• Isolation multi-tenant — les données de clients différents ne peuvent pas être mélangées ni rendues visibles d'un client à l'autre
• Nombre strictement limité de collaborateurs internes disposant d'un accès administratif, tous contractuellement liés par un engagement de confidentialité

C.2 Chiffrement

• TLS 1.2 ou supérieur pour toutes les communications (application mobile ↔ backend ↔ Sous-traitants ultérieurs)
• HTTPS imposé sur tous les endpoints
• Azure SQL Transparent Data Encryption sur les bases de données (chiffrement au repos)
• Chiffrement Azure Blob Storage avec gestion des versions
• Azure Key Vault pour les secrets et les identifiants, avec protection contre la purge (purge protection) activée en production

C.3 Sécurité au niveau du réseau

• Restrictions CORS sur le backend
• Limitation du débit (rate limiting) sur les endpoints publics
• Base de données derrière le pare-feu du serveur Azure SQL, avec uniquement une authentification Entra ID (pas de logins SQL) et TLS 1.2 ou supérieur. Le pare-feu autorise toutes les adresses IP des services Azure (la règle pour les services Azure), y compris celles d'autres clients Azure ; la connexion n'est possible qu'avec une identité Entra ID à laquelle l'accès à la base de données a été accordé : les identités managées du backend, le service principal du pipeline de déploiement et le groupe d'administrateurs de TaxiBuddy
• Les déploiements tournent sur un agent de build auto-hébergé, sur un serveur chez Hetzner. Lors d'un déploiement en production, le pipeline ouvre temporairement le pare-feu de la base de données à l'adresse IP de cet agent et applique les migrations de la base de données avec le service principal du pipeline, qui est db_owner sur la base de données ; l'agent reçoit en outre à cette occasion les secrets de production de l'infrastructure ainsi que la configuration de production du site web et du back-office. En dehors d'un déploiement, l'agent ne traite pas de Données à caractère personnel, mais pendant un déploiement, il dispose d'un accès complet à la base de données
• Couche d'hébergement (Vercel) : les fonctions serveur du site web public et du back-office tournent dans la région UE Francfort ; les régions sont vérifiées chaque année et lors de chaque migration de projet ; transfert sous le Cadre UE-États-Unis de protection des données (EU-US Data Privacy Framework)

C.4 Monitoring et journalisation

• Microsoft Application Insights avec une durée de conservation de 90 jours en production
• Masquage automatique des PII (PII scrubbing) dans la télémétrie du backend en production : les adresses e-mail, les IBAN belges, les numéros de TVA belges et les numéros de téléphone belges sont rendus illisibles au moyen d'expressions régulières dans les lignes de journal, la télémétrie des requêtes et des dépendances (OpenTelemetry) et les événements personnalisés, avant que ces données ne quittent la production. Le filtre de masquage ne reconnaît pas les autres données à caractère personnel, comme les noms ou les numéros de compte et de téléphone étrangers. Les messages d'exception et les traces de pile ne passent pas par le filtre de masquage. La télémétrie ne contient pas de corps de requête ou de réponse et, en production, pas d'instructions SQL, mais un message d'erreur de la base de données peut contenir des valeurs issues d'une requête. L'application mobile envoie sa télémétrie sans masquage
• Masquage à la source des adresses e-mail dans les lignes de journal de l'intégration Auth0 (en production), avant qu'elles n'entrent dans le pipeline de journalisation ; d'autres composants, comme l'envoi d'e-mails, inscrivent en cas d'erreur l'adresse complète dans la ligne de journal et s'appuient alors sur le masquage décrit ci-dessus
• Journaux d'audit en ajout seul (append-only) pour les changements de statut de l'onboarding et de l'entreprise
• Journal d'audit de chaque modification qu'un collaborateur de TaxiBuddy effectue via le back-office : collaborateur, type d'action, enregistrement concerné, résultat et horodatage, sans les valeurs saisies. La consultation des données n'est pas journalisée

C.5 Sauvegarde, conservation et restauration

• Azure SQL Point-in-Time Restore (35 jours pour la production) avec des sauvegardes différentielles
• Suppression logique (soft delete) du stockage (30 jours) et gestion des versions des blobs
• Suppression logique (soft delete) de Key Vault (90 jours) avec protection contre la purge en production
• Suppression logique (soft delete) des données de clients, de véhicules et de comptes : les enregistrements supprimés ne sont plus utilisables dans la Plateforme mais continuent d'exister dans la base de données tant qu'ils n'ont pas été définitivement supprimés. La Plateforme ne dispose d'aucune fonction de restauration ; une restauration n'est possible que par une intervention directe dans la base de données. La suppression définitive ou l'anonymisation suit la politique interne de conservation et est actuellement effectuée au moyen d'une procédure manuelle documentée à rythme trimestriel (automatisation prévue)
• Nettoyage automatisé des files d'attente d'événements internes : messages traités au maximum trois (3) jours, messages en échec au maximum quatorze (14) jours, archives au maximum cent quatre-vingts (180) jours — durées configurées plus courtes en production

C.6 Mesures organisationnelles

• Engagement de confidentialité pour tout le personnel ayant accès à des données à caractère personnel
• Politique de mots de passe et de MFA pour les comptes administratifs internes
• Procédure élaborée de réponse aux fuites de données, avec des points de contact désignés et une chaîne de contact en cascade, conformément à l'article 11 du présent DPA
• Procédure d'effacement élaborée, conformément à l'article 10.1
• Évaluation périodique des TOMs, au moins une fois par an

Fin du Contrat de sous-traitance. Questions sur le présent DPA, les Sous-traitants ultérieurs, la sécurité ou les demandes des personnes concernées : privacy@taxibuddy.be.