Liste des sous-traitants

Comment nous classons. Une partie relève du bloc A lorsqu'elle traite pour notre compte des données dont la société de taxi est responsable du traitement (chauffeurs, passagers, courses, véhicules). Seules ces parties sont des sous-traitants ultérieurs au sens de l'art. 28(2) et (4) RGPD : elles figurent à l'annexe B du contrat de sous-traitance et relèvent du régime de notification et d'objection de son article 9.4. Si une partie travaille en outre pour des traitements de TaxiBuddy elle-même, elle ne figure qu'une seule fois dans la liste, dans le bloc A, et sa fiche décrit aussi ces traitements propres (ainsi, Zoho Mail est aussi la boîte mail de TaxiBuddy elle-même). Une partie relève du bloc B lorsqu'elle travaille uniquement pour des traitements dont TaxiBuddy est elle-même responsable (le site web et le formulaire de demande, la facturation de l'abonnement, la comptabilité) : elle est un sous-traitant de TaxiBuddy, figure dans cette liste publique et dans la déclaration de confidentialité concernée, mais pas à l'annexe B. Une partie relève du bloc C lorsqu'elle détermine elle-même la finalité et les moyens du traitement : elle n'est pas un sous-traitant ; nous la mentionnons comme destinataire. Un service qui ne traite pas de données personnelles de clients ou de visiteurs ne figure pas dans cette liste. Ainsi, Azure DevOps (code source et pipelines) et l'agent de build chez Hetzner, sur lequel tournent tous les déploiements, ne traitent pas de données personnelles en utilisation normale ; pendant un déploiement, cet agent dispose toutefois temporairement d'un accès complet : il applique les migrations de la base de données avec des droits db_owner sur la base de données de production et reçoit les clés de production du backend, du site web et du back-office. Les services publics que nous consultons ou dont une page charge quelque chose n'ont pas non plus de fiche : VIES de la Commission européenne (ne reçoit lors de l'onboarding que le numéro d'entreprise indiqué), assets.vlaanderen.be (la vidéo d'instructions Chiron dans l'onboarding) et, dans l'app, Google Fonts (polices de caractères, y compris sur l'écran de connexion) et ionicframework.com (un avatar standard), ces trois derniers recevant, comme tout serveur web, l'adresse IP et les données du navigateur ou de l'appareil.

Catégorisation : Critique = traite des données personnelles substantielles. Standard = traite des métadonnées, de la télémétrie ou un minimum de données personnelles. Les numéros de fiche (SP-, EC-) sont fixes, d'où des trous dans la série ; SP-6 (Google Maps Platform, désormais EC-3), SP-7 (Application Insights, intégré dans SP-2) et EC-2 (Azure DevOps, supprimé parce que ce service ne traite pas de données personnelles de clients ou de visiteurs) ne sont plus utilisés.

Bloc A — sous-traitants ultérieurs relevant du contrat de sous-traitance (annexe B)

Bloc B — sous-traitants pour les propres traitements de TaxiBuddy (pas à l'annexe B)

Bloc C — responsables du traitement distincts (pas de sous-traitant)

Ces parties traitent pour notre compte des données dont la société de taxi est responsable du traitement. Elles figurent à l'annexe B du contrat de sous-traitance ; tout ajout ou remplacement suit la notification et le droit d'objection du §6.

SP-1 — Auth0 (Okta, Inc.)

SP-2 — Microsoft Azure (incl. Application Insights / Azure Monitor)

SP-3 — Vercel Inc.

SP-4 — Resend (Resend, Inc.)

SP-10 — Capawesome Cloud (Genz IT Solutions GmbH)

SP-11 — Google Firebase Cloud Messaging (FCM)

SP-12 — Apple Push Notification service (APNs)

SP-14 — Zoho Mail (Zoho Corporation)

SP-8 — Google reCAPTCHA v3

Ces parties travaillent uniquement pour des traitements dont TaxiBuddy est elle-même responsable : le site web et le formulaire de demande, la facturation de l'abonnement et la comptabilité. Ce sont des sous-traitants de TaxiBuddy, et non des sous-traitants ultérieurs de la société de taxi ; c'est pourquoi elles ne figurent pas à l'annexe B. Elles figurent bien dans la déclaration de confidentialité du site web et, lorsque l'app les concerne, dans celle de l'app. Les boîtes mail de l'entreprise (Zoho Mail, SP-14) figurent dans le bloc A, parce qu'y arrivent aussi des données dont la société de taxi est responsable du traitement.

SP-5 — OnFact (Infinwebs BV)

SP-9 — Google Analytics 4

SP-13 — Enable Banking Oy

Ces parties déterminent elles-mêmes la finalité et les moyens de leur traitement. Elles ne sont pas des sous-traitants de TaxiBuddy ; nous les mentionnons comme destinataires dans les déclarations de confidentialité et, pour Chiron et Google Maps Platform, dans le tableau séparé en bas de l'annexe B.

EC-1 — Chiron (autorité flamande)

Pas un sous-traitant ultérieur — Chiron est un responsable du traitement distinct (obligation légale sous la réglementation IBP flamande : décret du 29 mars 2019 et arrêté du Gouvernement flamand du 9 juin 2023). TaxiBuddy transmet pour le compte de l'exploitant client, sur qui repose l'obligation d'enregistrement.

EC-3 — Google Maps Platform (responsable du traitement distinct)

Pas un sous-traitant ultérieur — Google place les API Google Maps sur sa liste de Controller Services et y applique ses Controller-Controller Data Protection Terms : Google détermine lui-même la finalité et les moyens du traitement ultérieur des requêtes et en est un responsable du traitement indépendant. Le numéro de fiche SP-6 n'est plus utilisé depuis cette correction. TaxiBuddy n'envoie à Google ni ID de course, ni compte, ni historique. En revanche, le backend demande pour chaque course l'itinéraire entre le point de départ et le point d'arrivée, et comme l'app demande les adresses et les coordonnées directement depuis l'appareil, Google reçoit aussi à cette occasion l'adresse IP et les données de l'appareil.

EC-4 — WhatsApp (Meta Platforms Ireland Ltd)

Pas un sous-traitant ultérieur — WhatsApp est un canal de communication que les prospects et clients choisissent eux-mêmes ; Meta y traite des données en tant que responsable du traitement distinct selon ses propres conditions. Le contenu des conversations se trouve sur le téléphone professionnel de TaxiBuddy (registre des traitements C8).

EC-5 — TCM Belgium SA (bureau de recouvrement)

Pas un sous-traitant ultérieur — TCM recouvre les factures d'abonnement impayées au nom de TaxiBuddy et détermine lui-même les moyens pour le faire (art. 7.3 de ses conditions) ; ces conditions le désignent expressément comme responsable du traitement (art. 11.4 du contrat de recouvrement signé le 29 septembre 2026). TCM ne reçoit que des données de la propre facturation de TaxiBuddy, pas de données que TaxiBuddy traite pour une société de taxi (registre des traitements C11).

Par souci de transparence, ce que nous n'utilisons pas aujourd'hui. Cette liste ne grandit que quand nous mettons effectivement en service une nouvelle partie, conformément à la procédure de la section suivante.

Conformément à l'art. 28(2) RGPD. Étape 0 — classez la partie selon le §1 : bloc A, B ou C, ou hors liste. La notification, le droit d'objection et la mise à jour de l'annexe B ci-dessous ne s'appliquent qu'au bloc A ; pour le bloc B, une mise à jour de cette liste et de la déclaration de confidentialité où la partie figure comme destinataire suffit ; pour le bloc C, une mise à jour de cette liste et des déclarations de confidentialité.

En cas d'ajout d'un nouveau sous-traitant ultérieur (bloc A) :

• Préalablement inscription dans cette liste (mise à jour de version + date)
• Notification à tous les clients existants par e-mail au moins 30 jours avant la mise en service
• Droit d'opposition pour les clients — en cas d'opposition motivée : solution alternative ou droit de résiliation
• La mise à jour de l'annexe B du DPA s'applique à l'expiration du délai de notification, sans nouvelle signature (DPA art. 16.3)

En cas de remplacement d'un sous-traitant :

• Notification au moins 30 jours à l'avance
• Plan de migration des données inclus dans la notification
• Preuve de destruction des données chez l'ancien sous-traitant

En cas de modification du périmètre (p. ex. catégories de données supplémentaires, autre région, garantie de transfert modifiée) :

• Modification substantielle du périmètre (nouvelles catégories de données personnelles, autre lieu de traitement ou garantie modifiée) : notification au moins 30 jours à l'avance, comme pour un ajout — conformément au DPA art. 9.4 (sous-traitants ultérieurs) et art. 16.1 (modifications substantielles)
• Précision non substantielle (description plus exacte, sans nouvelles données ni transfert) : mise à jour de cette liste, sans notification distincte ; la nouvelle version s'applique à compter de sa publication sur taxibuddy.be (DPA art. 16.2)
• Toujours : mise à jour de cette liste (version + date)

• Conditions générales : /fr/terms — la liste des sous-traitants y est l'Annexe B.
• Politique de confidentialité : /fr/privacy
• Autorité belge de protection des données (APD) : autoriteprotectiondonnees.be
• Cadre UE-États-Unis de protection des données : dataprivacyframework.gov

Questions sur cette liste ou sur les traitements RGPD : privacy@taxibuddy.be. Questions générales : info@taxibuddy.be.