Accord de traitement des données

• La centrale est responsable de traitement des données de ses chauffeurs et candidats, de ses clients et passagers, et des membres de son équipe. Elle décide des finalités (organiser et suivre ses courses, gérer ses chauffeurs, ses règlements et sa relation client) et des moyens essentiels (paramétrage du dispatch, des commissions, des blocages, des documents demandés).
• L'éditeur est sous-traitant : il héberge ces données et les traite de façon automatisée pour le compte de la centrale, uniquement pour fournir le service.
• L'éditeur est responsable de traitement distinct pour la sécurité de la plateforme (journaux, limitation des abus, journal d'audit), la lutte contre la fraude à l'échelle de la plateforme (signalements et interdictions entre centrales), la gestion des comptes et la facturation de ses clients (abonnements, frais plateforme et leurs relances) et son site vitrine. Ces traitements sont décrits dans la politique de confidentialité.

• Objet : fourniture du logiciel de dispatch Rydar Drive (tableau de bord, application chauffeur, mini-site de réservation lorsque l'éditeur le propose, API).
• Durée : celle du contrat, puis le temps de la restitution et de la suppression (article 11).
• Nature : collecte, enregistrement, hébergement, consultation, calcul (distances, itinéraires, répartition des montants), transmission (notifications, relances, accusés de réception des réservations, API et webhooks), rapprochement, suppression.
• Finalités : réception des réservations, proposition des courses aux chauffeurs selon leur position, suivi des courses, guidage, messagerie et signalements, gains, commissions et règlements, documents des chauffeurs, alertes, statistiques, candidatures par lien d'inscription.
• Personnes concernées : chauffeurs et candidats, clients et passagers, membres de l'équipe de la centrale.
• Données : identité et coordonnées ; carte professionnelle VTC, véhicule et plaque ; justificatifs (permis, pièce d'identité, assurance…) ; positions GPS avec cap, vitesse, précision et niveau de batterie ; informations de l'appareil (identifiant, modèle, système, version de l'application, jeton de notification) ; adresse IP et navigateur du journal de sécurité ; historique des connexions (date, e-mail, adresse IP) ; courses (adresses, horaires, passagers, prix, numéro de vol, commentaires) ; messages et signalements ; gains, commissions et règlements ; empreintes (hachages) des identifiants d'un chauffeur banni ou parti en devant des commissions ; journal des actions de l'équipe. Aucune donnée sensible au sens de l'article 9 du RGPD, notamment de santé, ne doit être saisie : aucun justificatif médical n'est prévu.

L'éditeur ne traite les données que sur instruction documentée de la centrale : les CGV, le présent accord et le paramétrage qu'elle fait dans le tableau de bord, y compris les transmissions vers les systèmes qu'elle désigne (API, webhooks). Il informe immédiatement la centrale si une instruction lui paraît contraire au RGPD. Il ne vend pas les données et ne les utilise pas pour son propre compte, hors traitements dont il est responsable (article 1) et statistiques anonymes et agrégées.

Les personnes autorisées à traiter les données chez l'éditeur sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire à leur mission (support, maintenance, sécurité).

Pour la supervision technique du service (pannes du dispatch, positions qui n'arrivent plus, courses sans chauffeur), l'éditeur affiche dans son espace d'administration un état en direct des centrales et une carte des chauffeurs en ligne, sans nom ni coordonnées des chauffeurs ni des clients, ainsi que le journal des alertes et des erreurs du dispatch des 7 derniers jours, dont les messages peuvent nommer un chauffeur et indiquer les adresses d'une course restée sans chauffeur. Pour le reste, son accès nominatif aux données d'une centrale est limité au support qu'elle demande, à la sécurité et au traitement des signalements.

• Échanges chiffrés (HTTPS / TLS) entre les navigateurs, l'application et le serveur ; la base de données, sur ce même serveur, n'est joignable qu'en local (aucun port public).
• Cloisonnement par centrale : chaque ligne de la base est rattachée à une centrale et protégée par un contrôle d'accès par ligne ; les opérations sensibles passent par des fonctions qui vérifient les droits.
• Rôles distincts (propriétaire, administrateur, dispatcher, chauffeur, super admin) ; comptes chauffeurs suspendus ou bannis coupés immédiatement.
• Clés d'API stockées uniquement sous forme d'empreinte (hachage avec un secret du serveur) ; limitation du nombre de requêtes et des tentatives de connexion.
• Jetons d'accès WhatsApp Business stockés côté serveur, jamais lisibles par les utilisateurs ni renvoyés au navigateur.
• Journal d'audit des actions sensibles ; journaux d'appels de l'API.
• Session chiffrée sur le téléphone du chauffeur, avec une clé gardée dans le trousseau sécurisé du système.
• Sauvegarde de la base de données et des fichiers chaque nuit, par l'éditeur : une copie sur son serveur et une copie chiffrée avant son envoi, dont la clé est gardée hors du stockage, dans l'espace de stockage objet de l'hébergeur du serveur, dans l'Union européenne ; chaque sauvegarde est gardée 14 jours puis effacée ; restauration testée ; mises à jour de sécurité régulières.

La centrale donne une autorisation générale au recours aux sous-traitants ci-dessous. L'éditeur l'informe au moins 30 jours à l'avance de tout ajout ou remplacement (message dans le tableau de bord ou e-mail au propriétaire, et mise à jour de cette page). La centrale peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut de solution, elle peut résilier le service concerné sans frais. L'éditeur conclut avec chaque sous-traitant ultérieur un contrat conforme à l'article 28.4 du RGPD ; pour les fournisseurs qui n'acceptent que leurs conditions standard (Apple, Google, Meta, Expo), ce contrat est constitué de leurs conditions de traitement des données en vigueur, que la centrale déclare accepter. L'éditeur reste responsable envers la centrale dans les limites de l'article 28.4 du RGPD et des CGV. Le paiement des abonnements (Stripe) relève des traitements dont l'éditeur est responsable (article 1) : il est décrit dans la politique de confidentialité.

Services publics tiers, utilisés selon leurs propres conditions : ils ne sont pas des sous-traitants de l'éditeur (aucun contrat de sous-traitance n'est conclu avec eux) et ne reçoivent aucune identité.

• Images des cartes du tableau de bord et des mini-sites : OpenFreeMap, exploité par Hyperknot Software Kft. (Hongrie), qui reçoit l'adresse IP du navigateur qui affiche la carte (journaux contenant l'adresse IP gardés 30 jours au plus selon sa politique, aucun cookie) ; politique d'OpenFreeMap.
• Recherche d'adresses : Géoplateforme de l'IGN ou Base Adresse Nationale (France), interrogées par le serveur de l'éditeur avec les adresses saisies ou les points à convertir en adresse, sans identité.
• Itinéraires, tant que l'éditeur n'utilise pas son propre serveur de calcul : serveur public du projet OSRM, exploité par FOSSGIS e.V. (Allemagne), interrogé par le serveur de l'éditeur avec des points de départ et d'arrivée et la position du chauffeur, sans identité ; conditions de FOSSGIS.

La base de données (Supabase) est un logiciel installé et administré par l'éditeur sur son serveur : la société Supabase, Inc. ne reçoit aucune donnée du service. Les e-mails (invitation, mot de passe oublié, accusés de réception, annonces) partent du serveur d'envoi installé sur ce même serveur, directement vers la messagerie du destinataire, sans prestataire d'envoi. Les services marqués « si activé » ne reçoivent aucune donnée tant qu'ils ne sont pas utilisés.

Les données sont hébergées dans l'Union européenne, sur le serveur de l'éditeur (hébergeur et lieu : voir les mentions légales). Les transferts vers un pays tiers, limités aux services indiqués dans le tableau, sont encadrés par une décision d'adéquation (notamment le Data Privacy Framework UE–États-Unis pour les entreprises certifiées) ou par les clauses contractuelles types de la Commission européenne, complétées si besoin de mesures supplémentaires.

La centrale répond aux demandes de ses chauffeurs, clients et membres (accès, rectification, effacement, limitation, opposition, portabilité). L'éditeur l'y aide : consultation et correction des fiches dans le tableau de bord, suppression du compte chauffeur dans l'application ou par l'outil de l'éditeur, export sur demande. Une demande reçue directement par l'éditeur pour des données dont la centrale est responsable lui est transmise sans délai.

L'éditeur notifie à la centrale toute violation de données personnelles la concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations prévues à l'article 33.3 du RGPD disponibles à ce moment (nature, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises ou proposées, contact). Il l'aide à notifier la CNIL et, si nécessaire, à informer les personnes.

L'éditeur tient à la disposition de la centrale, sur demande écrite, une description technique de la géolocalisation des chauffeurs (données collectées, fréquence, conditions d'activation, durées de conservation, destinataires, mesures de sécurité) et des risques identifiés, qu'elle peut reprendre dans sa propre analyse d'impact (AIPD) ; il l'aide pour une éventuelle consultation préalable de la CNIL. L'éditeur a analysé l'impact des traitements dont il est responsable (lutte contre la fraude entre centrales) et tient cette analyse à jour. Chaque partie tient son registre des traitements ; celui que l'éditeur tient en qualité de sous-traitant est communiqué à la centrale sur demande.

• Historique des positions GPS, y compris la position relevée lors d'une alerte de course (chauffeur immobile, GPS muet) : 30 jours, ou jusqu'à la clôture de l'alerte si elle reste ouverte plus longtemps ; la dernière position connue est remplacée à chaque envoi.
• Messages, signalements de la flotte (y compris leur copie dans le journal de la centrale) et signalements de messages : 180 jours ; un message retiré par la centrale disparaît aussitôt de l'application, du tableau de bord et des alertes enregistrées (une notification déjà affichée sur un téléphone y reste jusqu'à ce que son destinataire l'efface) et il est effacé à la même échéance. Auteurs masqués par un chauffeur : tant que les deux comptes existent.
• Notifications, y compris les relances WhatsApp : 90 jours après leur envoi prévu, quel que soit leur résultat. Journaux d'appels de l'API : 90 jours.
• Journal des actions sensibles : pendant le contrat. Les adresses IP et navigateurs qu'il contient (inscription par lien, actions sensibles) et l'historique des connexions tenu par le service d'authentification : 1 an ; ceux d'un chauffeur qui supprime son compte sont effacés dès la suppression.
• Courses : téléphone et e-mail du client et précisions effacés 3 ans après la fin de l'année de la course ; le reste de la course, les gains, commissions et règlements, 10 ans après la fin de l'année de la course (obligations comptables), puis supprimés, y compris une course jamais terminée ; sans l'identité d'un chauffeur qui a supprimé son compte.
• Justificatifs des chauffeurs, y compris les versions remplacées : tant que le compte du chauffeur existe ; supprimés avec leurs fichiers dès la suppression du compte.
• Bannissement (par la centrale, ou interdiction sur toute la plateforme pour fraude) : empreintes des identifiants, motif et signalement effacés 3 ans après le bannissement, même si le compte du chauffeur existe toujours ; si le compte est supprimé, son nom et les indices partiels des empreintes sont effacés aussitôt.
• Chauffeur qui supprime son compte en devant encore des commissions à la centrale : empreintes (hachages, sans indice en clair) de son téléphone, de ses adresses e-mail et de son numéro de carte VTC, gardées pour le compte de la centrale (intérêt légitime de la centrale au recouvrement de sa créance) tant qu'une somme reste due, puis effacées ; elles empêchent seulement la validation automatique d'une nouvelle candidature par lien avec ces identifiants et signalent à la centrale le montant restant dû.

À la fin du contrat, le compte de la centrale est archivé : plus aucun accès au service. Sur demande écrite de la centrale avant la fin du contrat, l'éditeur lui restitue ses données (export au format CSV, transmis par un moyen sécurisé). Il supprime ensuite, dans les 30 jours, les données personnelles traitées pour son compte (comptes des chauffeurs et candidats, avec leurs justificatifs et leurs fichiers ; courses et coordonnées des clients ; messages ; positions ; comptes de l'équipe et journal de leurs actions ; mini-site), copies comprises, sauf obligation légale de conservation ; les sauvegardes, copie hors du serveur comprise, gardées 14 jours, en disparaissent à l'expiration de ce cycle. Il conserve, comme responsable de traitement distinct, la fiche archivée de la centrale, le registre des frais plateforme et les paiements, avec le journal des actions qui s'y rapportent (obligations comptables, 10 ans au moins) et la preuve d'acceptation des CGV et du présent accord, avec l'e-mail de la personne qui les a acceptés (preuve du contrat).

L'éditeur met à disposition la documentation nécessaire pour démontrer le respect du présent accord. La centrale peut, une fois par an, faire réaliser un audit, avec un préavis de 30 jours, à ses frais, par un auditeur indépendant tenu au secret et non concurrent de l'éditeur, sans accès aux données des autres centrales ni perturbation du service : d'abord sur pièces (questionnaire, documentation, attestations de l'hébergeur), puis, si ces pièces ne suffisent pas, dans les locaux de l'éditeur. Les centres de données de l'hébergeur sont couverts par ses propres certifications et rapports d'audit.

La centrale s'assure que ses traitements reposent sur une base légale et informe les personnes concernées : ses chauffeurs (géolocalisation, notifications, relances WhatsApp et leur droit de s'y opposer, règles de commission et de blocage, transmission possible d'un signalement de fraude à l'éditeur, qui le traite comme responsable distinct), ses clients (identité de l'exploitant, usage de leurs coordonnées) et son équipe. Elle réalise l'analyse d'impact de ses traitements lorsqu'elle est requise, notamment pour la géolocalisation de ses chauffeurs. Elle ne saisit que des données nécessaires et aucune donnée sensible (santé notamment).

Contact « données personnelles » de l'éditeur : contact@rydardrive.com ou le formulaire de contact.