Accord de traitement des données

1. Rôles

Pour les données des clients finaux de l'exploitant (réservations, contacts, véhicules, photos), le Client est responsable du traitement et Multipark, éditée par [à compléter : raison sociale], agit en qualité de sous-traitant, sur ses instructions documentées.

2. Description du traitement

• Finalité : gestion des réservations de stationnement du Client et de leur exploitation.
• Opérations : collecte auprès des Plateformes et par saisie, enregistrement, consultation, mise à jour, photographie des véhicules, conservation, suppression.
• Personnes concernées : les clients finaux du Client et ses Utilisateurs.
• Données : identité, e‑mail, téléphone, plaque et modèle du véhicule, dates de séjour, numéros de vol, montant, options commandées, photos et kilométrage du véhicule. Aucune donnée sensible au sens de l'article 9 du RGPD.
• Durée : la durée du contrat, puis la restitution et la suppression prévues à l'article 8.

3. Obligations de Multipark

Multipark s'engage à :

• ne traiter les données que sur instruction documentée du Client, y compris en ce qui concerne les transferts hors de l'Union européenne ;
• garantir la confidentialité des données et y soumettre les personnes autorisées à les traiter ;
• mettre en œuvre les mesures de sécurité décrites à l'article 5 ;
• aider le Client à répondre aux demandes d'exercice des droits des personnes concernées ;
• aider le Client à garantir le respect de ses obligations de sécurité, de notification des violations et d'analyse d'impact ;
• mettre à disposition les informations nécessaires pour démontrer le respect du présent accord.

4. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants suivants. Multipark l'informe de tout ajout ou remplacement, par e‑mail à l'administrateur de l'organisation, au moins trente jours à l'avance ; le Client peut s'y opposer pour un motif légitime.

Chaque sous-traitant est lié par des obligations au moins équivalentes à celles du présent accord.

5. Sécurité

• Identifiants des Plateformes chiffrés dans le navigateur avant leur envoi (chiffrement hybride RSA-OAEP et AES-GCM), déchiffrables par le seul service de synchronisation.
• Cloisonnement des données de chaque exploitant, appliqué par la base de données elle-même.
• Rôles d'accès : les opérateurs ne voient pas les montants ; les coordonnées des clients s'affichent à la demande, dans une limite quotidienne, et chaque consultation est journalisée.
• Historique de chaque modification de réservation, avec son auteur.
• Connexion par code à usage unique, chiffrement des échanges (TLS).
• Hébergement de la base de données et des photos dans l'Union européenne.

6. Violation de données

Multipark notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, avec les informations dont elle dispose.

7. Droits des personnes

Les demandes reçues directement par Multipark sont transmises au Client sans délai. Le Client peut modifier ou supprimer les données de ses clients depuis le service.

8. Fin du contrat

À la fin du contrat, le Client peut exporter ses données pendant trente jours. Passé ce délai, Multipark supprime les données du Client, sauf obligation légale de conservation.

9. Audit

Multipark fournit sur demande les informations nécessaires pour démontrer le respect du présent accord, et permet des audits raisonnables, à la charge du Client, moyennant un préavis de trente jours.