Accord de traitement
des données personnelles

Préambule

Le présent accord (l'« Accord » ou « DPA ») fait partie intégrante du contrat de franchise BRIKER Mobile et constitue son Annexe 7. Il a pour objet d'encadrer les traitements de données à caractère personnel mis en œuvre dans le cadre de l'exécution dudit contrat, conformément aux exigences du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et de la loi française n°78-17 du 6 janvier 1978 modifiée.

BRIKER SAS et le Franchisé (les « Parties ») reconnaissent que leurs traitements relèvent de qualifications RGPD distinctes selon les flux de données concernés, telles que détaillées à l'article 2 ci-après.

Article 1 — Définitions

Les termes commençant par une majuscule renvoient aux définitions du contrat de franchise et, pour les notions RGPD, à celles de l'article 4 du Règlement (UE) 2016/679, notamment :

• Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable.
• Traitement : toute opération appliquée à des données (collecte, enregistrement, conservation, consultation, communication, etc.).
• Responsable de traitement : la personne qui détermine les finalités et les moyens du traitement.
• Sous-traitant : la personne qui traite les données pour le compte du Responsable de traitement.
• Responsables conjoints : les personnes qui déterminent conjointement les finalités et moyens (art. 26 RGPD).
• Personne concernée : la personne physique dont les données sont traitées.
• Violation de données : toute violation de la sécurité entraînant destruction, perte, altération ou divulgation non autorisées de données.

Article 2 — Cartographie des traitements et qualification des Parties

2.1 — Traitements relatifs aux Clients finaux

Pour les données des Clients finaux collectées via la Plateforme (compte utilisateur, historique de commandes, adresses, moyens de paiement, géolocalisation de livraison), BRIKER agit en qualité de Responsable de traitement. Le Franchisé, qui accède à ces données pour exécuter les commandes qui lui sont assignées, agit en qualité de sous-traitant de BRIKER pour les opérations de préparation et de livraison.

2.2 — Traitements relatifs au Franchisé

Pour les données du Franchisé lui-même et de ses préposés (identité, compte, position GPS du Véhicule franchisé, historique d'activité, performance), BRIKER agit en qualité de Responsable de traitement sur la base de l'exécution du contrat (article 6.1.b RGPD) et de l'intérêt légitime (article 6.1.f) à animer et superviser le réseau.

2.3 — Traitements relatifs aux clients propres du Franchisé

Lorsque le Franchisé collecte directement des données de clients (par exemple lors de devis en présentiel, fichier CRM local, fichier de prospection conforme), il agit en qualité de Responsable de traitement autonome, sous sa seule responsabilité, étant observé qu'il ne peut en aucun cas réutiliser les données des Clients finaux issus de la Plateforme à des fins de prospection ou de constitution d'un fichier propre.

2.4 — Traitements partagés (responsables conjoints, art. 26 RGPD)

Pour les données générées au cours de la relation tripartite (preuve de prestation, signature électronique de bon de livraison, photos de réception, notations croisées), les Parties conviennent qu'elles agissent en responsables conjoints. La répartition des rôles est la suivante : BRIKER assure les obligations d'information des personnes (art. 13-14 RGPD) et héberge les données ; le Franchisé assure la collecte loyale au moment de la prestation et coopère à l'exercice des droits des personnes.

Article 3 — Objet, nature et durée des traitements

Pour les traitements pour lesquels le Franchisé agit en sous-traitant de BRIKER (article 2.1) :

3.1 — Objet

Permettre l'exécution des commandes passées par les Clients finaux via la Plateforme, depuis la prise de commande jusqu'à la livraison effective et la facturation.

3.2 — Finalités

• préparation et livraison physique des commandes ;
• communication opérationnelle avec le Client final (appel, message, suivi en temps réel) ;
• encaissement et restitution éventuelle des paiements ;
• gestion des litiges, des retours et du SAV de premier niveau ;
• preuve de prestation (signature électronique, photo, géolocalisation horodatée).

3.3 — Catégories de personnes concernées

• Clients finaux particuliers (consommateurs) ;
• Clients finaux professionnels et leurs interlocuteurs sur chantier ;
• Tiers présents sur le lieu de livraison ou dépositaires.

3.4 — Catégories de données traitées

• identification (nom, prénom) ;
• contact (numéro de téléphone, adresse e-mail le cas échéant) ;
• adresse de livraison et instructions d'accès ;
• contenu de la commande ;
• données de géolocalisation horodatées de la prestation ;
• preuves de livraison (photographies, signatures électroniques) ;
• évaluations et commentaires laissés à l'issue de la prestation.

Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinion politique, religion, orientation sexuelle, données biométriques aux fins d'identifier une personne, etc.) n'est traitée. Aucune donnée relative à des condamnations pénales (art. 10) n'est traitée.

3.5 — Durée des traitements

Le présent Accord s'applique pendant toute la durée du contrat de franchise et survit à sa cessation pour les obligations qui le requièrent (article 11). Les durées de conservation spécifiques sont précisées à l'article 7.

Article 4 — Obligations du Franchisé en qualité de sous-traitant

Le Franchisé s'engage à :

1. traiter les données uniquement aux fins de l'exécution du contrat et selon les instructions documentées de BRIKER ;
2. ne procéder à aucun transfert hors Union européenne sans instruction écrite préalable de BRIKER assortie, le cas échéant, des garanties appropriées (clauses contractuelles types, décision d'adéquation) ;
3. garantir la confidentialité des données traitées et veiller à ce que toute personne autorisée à les traiter (préposés, sous-traitants ultérieurs autorisés) s'engage à respecter la confidentialité ou soit soumise à une obligation légale appropriée de confidentialité ;
4. mettre en œuvre les mesures techniques et organisationnelles appropriées énumérées à l'article 5, conformément à l'article 32 du RGPD ;
5. assister BRIKER, dans la mesure du possible et compte tenu de la nature du traitement, à :
   • répondre aux demandes des personnes concernées exerçant leurs droits d'accès, rectification, effacement, opposition, limitation, portabilité ;
   • se conformer à ses obligations en matière de sécurité (art. 32), de notification de violation (art. 33-34), d'analyse d'impact (art. 35) et de consultation préalable (art. 36) ;
6. au choix de BRIKER, supprimer ou renvoyer toutes les données à caractère personnel à l'issue de la prestation, et détruire les copies existantes, sauf obligation légale de conservation ;
7. mettre à la disposition de BRIKER toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et permettre la réalisation d'audits selon l'article 9.

Article 5 — Mesures techniques et organisationnelles de sécurité

Conformément à l'article 32 du RGPD, le Franchisé met en œuvre les mesures suivantes, dont le caractère approprié est apprécié au regard de l'état de l'art, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement :

5.1 — Sécurité des terminaux et accès

• verrouillage automatique de la tablette professionnelle après inactivité (5 minutes maximum) ;
• code PIN ou authentification biométrique sur l'application Magasin ;
• chiffrement intégral du stockage local (FileVault, BitLocker, ou équivalent natif iOS/Android) ;
• connexions exclusivement chiffrées (HTTPS / TLS 1.2 ou supérieur) ;
• mise à jour systématique de l'application Magasin et du système d'exploitation.

5.2 — Gestion des accès

• compte personnel et nominatif pour le Franchisé et chacun de ses préposés autorisés ;
• interdiction du partage d'identifiants ;
• retrait immédiat des accès en cas de départ d'un préposé ou de fin du contrat.

5.3 — Sauvegarde et continuité

• aucune base de données locale persistante n'est constituée par le Franchisé sur son terminal ;
• les données sont synchronisées en temps réel avec la Plateforme BRIKER, qui assure les sauvegardes et la continuité.

5.4 — Anti-malware et environnement de travail

• tablette dédiée à l'exploitation, sans installation d'applications non agréées ;
• antivirus à jour si la tablette permet l'installation tierce.

5.5 — Sensibilisation

• module de formation initial obligatoire sur le RGPD et les bonnes pratiques (Annexe 6) ;
• rappel annuel.

BRIKER met également en œuvre, en qualité de Responsable de traitement, des mesures appropriées au niveau de la Plateforme (chiffrement en transit et au repos, séparation des environnements, cloisonnement des accès, journalisation, tests d'intrusion périodiques, plan de reprise d'activité).

Article 6 — Sous-traitance ultérieure

Le Franchisé ne peut recourir à un sous-traitant ultérieur (par exemple un préposé extérieur ou un livreur indépendant tiers) qu'avec l'autorisation écrite préalable de BRIKER(art. 28.2 RGPD). Toute autorisation fait l'objet d'un contrat écrit imposant au sous-traitant ultérieur les mêmes obligations que celles qui incombent au Franchisé en application du présent Accord.

Le Franchisé demeure pleinement responsable, à l'égard de BRIKER, de l'exécution par le sous-traitant ultérieur de ses obligations.

La liste des sous-traitants ultérieurs autorisés à un instant donné est tenue à jour par les Parties dans l'espace Franchisé de la Plateforme.

Article 7 — Durées de conservation

Les durées de conservation par catégorie de données sont les suivantes :

Les données peuvent faire l'objet d'une conservation prolongée pour la stricte durée nécessaire à la défense des Parties dans le cadre d'un contentieux, notamment en application de la jurisprudence CNIL sur la conservation à des fins probatoires.

Article 8 — Notification des violations de données

Le Franchisé notifie à BRIKER toute violation de données dont il aurait connaissance dans un délai maximal de vingt-quatre (24) heures à compter de la constatation, par message adressé à dpo@briker.fr, accompagné de toutes les informations utiles à l'évaluation des risques pour les personnes concernées et à la décision de notification à l'autorité de contrôle (CNIL) et, le cas échéant, aux personnes concernées.

La notification comprend, dans la mesure du possible :

• la nature de la violation et, lorsque cela est possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ;
• le nom et les coordonnées du point de contact de la personne ayant détecté la violation ;
• les conséquences probables de la violation ;
• les mesures prises ou envisagées pour remédier à la violation et limiter ses effets négatifs.

BRIKER, en qualité de Responsable de traitement, assume seule la décision de notifier la CNIL et, le cas échéant, les personnes concernées, dans les délais prévus aux articles 33 et 34 du RGPD (72 heures à l'autorité, sans délai aux personnes en cas de risque élevé).

Article 9 — Audit et contrôle

BRIKER se réserve la faculté de procéder, par elle-même ou par tout tiers de son choix soumis à confidentialité, à des audits de la conformité du Franchisé aux obligations du présent Accord.

Tout audit fait l'objet d'un préavis écrit de quinze (15) jours ouvrables, sauf en cas d'urgence justifiée par une violation présumée. L'audit est conduit pendant les heures d'activité, ne perturbe pas l'exploitation du Franchisé et porte exclusivement sur les traitements visés au présent Accord.

Les frais d'audit sont à la charge de BRIKER, sauf si l'audit révèle un manquement substantiel aux obligations du Franchisé, auquel cas ils sont à la charge de ce dernier.

Article 10 — Droits des personnes concernées

Les personnes concernées exercent leurs droits (accès, rectification, effacement, opposition, limitation, portabilité — articles 15 à 22 du RGPD) directement auprès de BRIKER, à l'adresse dpo@briker.fr ou via les fonctionnalités dédiées de la Plateforme.

Lorsqu'une demande est adressée par erreur au Franchisé, celui-ci la transmet sans délai à BRIKER, par voie électronique sécurisée. Le Franchisé apporte son concours opérationnel à l'exécution de la demande, notamment lorsqu'il est nécessaire d'identifier ou de qualifier des données présentes dans son périmètre d'intervention.

BRIKER répond aux demandes dans le délai d'un (1) mois prévu à l'article 12 du RGPD, prorogé de deux mois si la complexité ou le nombre de demandes le justifie.

Article 11 — Sort des données à la cessation du contrat

À la cessation du contrat de franchise, pour quelque cause que ce soit, BRIKER notifie au Franchisé son choix entre les deux options prévues à l'article 28.3.g du RGPD :

1. renvoi des données dans un format lisible par machine ;
2. destruction des données par le Franchisé, qui s'engage à fournir une attestation écrite.

Sont exclues de cette obligation les données que le Franchisé est tenu de conserver en application d'une obligation légale (notamment comptable et fiscale), pour la stricte durée nécessaire à cette obligation, sous régime d'archivage intermédiaire à accès restreint.

Article 12 — Géolocalisation du Véhicule franchisé (référentiel CNIL NS-51)

Compte tenu de la sensibilité du traitement de géolocalisation, les Parties précisent, en conformité avec les recommandations de la CNIL relatives à la géolocalisation des véhicules professionnels :

12.1 — Finalités déterminées et exclusives

• diffusion temps réel de la position aux Clients finaux pendant les plages d'activité déclarées par le Franchisé ;
• optimisation de la tournée et de l'assignation des commandes ;
• preuve de prestation et de localisation lors des livraisons ;
• sécurité du Véhicule franchisé et des marchandises (en cas de vol ou perte signalée par le Franchisé) ;
• analyse statistique agrégée et anonymisée à fin d'amélioration du Savoir-faire et du service.

12.2 — Finalités proscrites

• aucune surveillance permanente hors plages d'activité ;
• aucun usage RH ou disciplinaire (le Franchisé étant un partenaire indépendant et non un salarié) ;
• aucun croisement avec des données nominatives à des fins de profilage commercial du Franchisé.

12.3 — Maîtrise par le Franchisé

Le Franchisé conserve à tout moment la faculté d'activer ou désactiver la diffusion de sa géolocalisation depuis l'application Magasin, sans impact négatif autre que la mise en indisponibilité commerciale temporaire. La désactivation hors plage déclarée constitue un comportement attendu et n'est pas un manquement.

12.4 — Information des préposés

Si le Franchisé fait conduire le Véhicule franchisé par un préposé (salarié, travailleur indépendant), il informe celui-ci des modalités de géolocalisation et recueille les consentements ou réalise les formalités préalables qui s'imposent (information CSE en cas de salariés concernés).

Article 13 — Délégué à la Protection des Données (DPO)

BRIKER a désigné un Délégué à la Protection des Données dont les coordonnées sont :

Le DPO est l'interlocuteur unique du Franchisé pour toute question relative à la protection des données personnelles dans l'exécution du contrat.

Article 14 — Coopération avec l'autorité de contrôle

Les Parties coopèrent, sur demande, avec la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, conformément à l'article 31 du RGPD.

Article 15 — Durée et entrée en vigueur

Le présent Accord entre en vigueur à la même date que le contrat de franchise dont il constitue l'Annexe 7. Il prend fin à la cessation du contrat, sous réserve de la survie des obligations qui le requièrent (article 11 et conservation légale des preuves).

Article 16 — Modification

Toute modification substantielle du présent Accord, notamment en cas d'évolution réglementaire ou de lignes directrices nouvelles du Comité européen de la protection des données ou de la CNIL, est notifiée au Franchisé par écrit avec un préavis raisonnable et fait l'objet d'un avenant signé.