Accord de traitement des données

Version 2.9 — en vigueur le 10 octobre 2026

1. Objet du présent accord et champ d'application

Le présent Accord de traitement des données (« ATD ») fait partie intégrante de nos Conditions Générales d'Utilisation et de Vente et s'applique dès lors que vous utilisez MoverTrack pour traiter des données à caractère personnel concernant d'autres personnes — au premier rang desquelles vos clients.

Il existe parce que la réglementation sur la protection des données impose un contrat écrit entre un responsable de traitement et un sous-traitant, et parce que vous devez pouvoir voir exactement ce que nous faisons des coordonnées de vos clients.

2. Qui est qui

Vous êtes le responsable de traitement. Vous décidez quels clients saisir, ce qu'il convient d'enregistrer à leur sujet, et qui reçoit un lien de suivi. Ce sont vos clients, pas les nôtres.

Nous sommes votre sous-traitant. Nous stockons et transmettons ces données pour faire fonctionner le Service à votre bénéfice, et pour aucune finalité qui nous soit propre. Nous ne les vendons pas, nous ne démarchons pas vos clients, et nous ne nous en servons pour entraîner aucun système. Les informations qui ont été anonymisées et regroupées, de sorte qu'elles ne permettent plus d'identifier quiconque, ne constituent plus des données à caractère personnel, et nous pouvons les utiliser pour faire fonctionner, mesurer et améliorer le Service.

Par ailleurs, nous sommes responsable de traitement pour notre propre compte s'agissant des données qui vous concernent vous — votre compte, vos identifiants de connexion, votre facturation. Cela relève de notre Politique de confidentialité, et non du présent ATD.

3. Ce que nous traitons pour votre compte

Objet et finalité : la fourniture du service MoverTrack — planification, commandes, pages de suivi client, messagerie, gestion d'équipe et, lorsque votre formule le comprend, transformation des conversations WhatsApp en interventions suggérées.

Durée : aussi longtemps que votre compte est actif, majorée des durées de conservation prévues à l'article 10.

Catégories de personnes concernées : vos clients, les personnes qu'ils désignent comme contacts, et vos employés.

Catégories de données à caractère personnel :

les noms, numéros de téléphone et adresses e-mail de vos clients ;
les adresses de chaque intervention, ainsi que toute note que vous ajoutez à une intervention ;
les détails des commandes, les prix et l'historique des interventions ;
les photographies et fichiers que vous ou vos employés téléversez sur une intervention ;
la position du véhicule pendant que le suivi est actif, ainsi que l'itinéraire et l'heure d'arrivée estimée qui en résultent ;
les messages WhatsApp envoyés ou reçus via le Service — pour chaque message, qui l'a envoyé, quand, de quel type il était et son statut de remise (conservé afin que les messages ne soient envoyés que tant que WhatsApp le permet, dans sa fenêtre de service client de 24 heures), ainsi que son contenu (texte, photos, messages vocaux et fichiers) dans la mesure où le mode de fonctionnement que vous choisissez le conserve ;
les noms, numéros de téléphone et affectations de vos employés.

Le choix d'un mode de fonctionnement dans l'application constitue l'instruction que vous nous donnez quant à ce qu'il convient de conserver de vos conversations WhatsApp. Lorsque vous en choisissez un qui conserve moins, que votre formule ne comprend plus celui que vous aviez, ou que vous retirez votre numéro du Service, nous supprimons du Service, dans les messages de vos clients, ce que le Service ne conserve plus ; les conversations elles-mêmes restent dans WhatsApp.

Nous ne demandons pas et ne souhaitons pas recevoir de données relevant de catégories particulières — santé, convictions, données biométriques et assimilées. Merci de ne pas en faire figurer dans une note d'intervention.

4. Nous agissons uniquement sur vos instructions

Nous ne traitons ces données que dans la mesure nécessaire à la fourniture du Service, telle que prévue par les Conditions, et sur toute instruction documentée complémentaire que vous nous donnez. Si nous estimions un jour qu'une instruction enfreint la réglementation sur la protection des données, nous vous en informerions plutôt que de la suivre sans rien dire.

Si la loi nous contraint à traiter ou à divulguer des données au-delà de vos instructions, nous vous en informerons au préalable, sauf interdiction légale.

5. Confidentialité

L'accès est limité aux personnes qui en ont besoin pour exploiter le Service ou en assurer le support, et ces personnes sont tenues à des obligations de confidentialité. MoverTrack est exploité par une équipe très réduite ; l'accès est d'autant plus restreint.

6. Sécurité (Annex II — mesures techniques et organisationnelles)

Nous maintenons des mesures adaptées au risque, notamment :

le chiffrement en transit (TLS) pour toutes les connexions à nos serveurs, à nos applications et à nos bases de données ;
le chiffrement au repos de la base de données et des sauvegardes ;
des règles d'accès au niveau de chaque ligne dans la base de données, de sorte qu'un compte ne puisse pas lire les données d'un autre, et, sur nos propres serveurs, une vérification du compte connecté, et de ce qu'il est autorisé à voir, à chaque requête à laquelle ils répondent ;
une authentification sur chaque requête atteignant des données clients, et des fonctions d'administration réservées à des comptes opérateurs nommément identifiés ;
le numéro de téléphone d'un client ne parvient aux personnes qui travaillent pour vous que si vous l'autorisez, et une conversation que si vous leur y donnez accès ;
un hébergement auprès de fournisseurs d'infrastructure établis (voir l'article 7) ;
un réexamen régulier des personnes et des systèmes pouvant accéder aux données de production.

Il s'agit des mesures techniques et organisationnelles visées à l'Annex II des clauses contractuelles types incorporées par l'article 11. Nous pouvons les modifier, mais non d'une manière qui réduirait substantiellement le niveau global de sécurité.

Aucun système n'est parfaitement sûr, et nous ne prétendons pas le contraire.

7. Sous-traitants ultérieurs

Nous faisons appel aux sous-traitants ultérieurs suivants. Chacun est lié, comme la loi l'exige, par des conditions écrites de protection des données, et nous restons responsables envers vous de ce qu'ils font :

Supabase — base de données, authentification et stockage de fichiers (UE, région de Francfort)
Vultr — serveurs applicatifs pour le suivi et la messagerie (UE, Francfort)
Vercel — hébergement de nos sites web et des pages de suivi client
Google — cartographie, géocodage, calcul d'itinéraires et de distances ; lecture du texte d'une conversation ou d'un message pour remplir une intervention lorsque vous le demandez ; notre messagerie électronique
Meta Platforms — messagerie WhatsApp Business
Stripe — traitement des paiements (vos données de facturation ; pas celles de vos clients)
Resend — e-mails transactionnels et de facturation
Telnyx — téléphonie et identification de l'appelant, lorsque vous utilisez ces fonctionnalités
Apple et Google — acheminement des notifications push vers vos appareils et ceux des personnes qui travaillent pour vous
Expo — transmission des notifications push à Apple et Google ; une notification peut contenir le nom ou le numéro d'un client et le texte de son message

Cette liste constitue l'Annex III des clauses contractuelles types incorporées par l'article 11. Vous autorisez ces sous-traitants ultérieurs de manière générale, et vous nous autorisez à en désigner d'autres aux mêmes conditions.

Nous vous informerons moyennant un préavis d'au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer dans ce délai pour des motifs raisonnables et documentés tenant à la protection des données. Si vous le faites, nous nous efforcerons de proposer une solution permettant d'éviter l'objection ; si nous ne pouvons y parvenir à des conditions commercialement raisonnables, chacune des parties peut résilier la partie du Service concernée, et votre seul recours est le remboursement des sommes déjà versées au titre de la fraction non utilisée de la période. L'objection ne suspend pas la désignation pendant nos discussions.

8. Vous aider à faire respecter les droits de vos clients

Si l'un de vos clients vous demande une copie de ses données, vous demande de les rectifier ou de les effacer, c'est à vous qu'il revient de répondre — mais nous vous aiderons.

Vous pouvez faire l'essentiel vous-même depuis le Service. Lorsque cela n'est pas possible, écrivez à info@movertrack.com et nous vous assisterons dans un délai vous permettant de respecter le vôtre. Si un client nous contacte directement, nous ne répondrons pas en votre nom ; nous vous transmettrons sa demande.

9. En cas d'incident

Si nous avons connaissance d'une violation affectant des données à caractère personnel que nous traitons pour votre compte, nous vous en informerons dans les meilleurs délais, en vous communiquant ce que nous savons : ce qui s'est produit, qui et quoi est affecté dans la mesure où nous pouvons l'établir, ce que nous faisons pour y remédier, et ce que nous vous recommandons de faire.

Nous vous apporterons également une aide raisonnable pour toute analyse ou toute notification à une autorité de contrôle qui vous incomberait, ainsi que pour une analyse d'impact relative à la protection des données si vous devez en réaliser une.

10. Suppression et restitution

Vous pouvez exporter vos données à tout moment tant que votre compte est actif. Supprimer vous-même le compte dans l'application, c'est choisir la suppression : tout est effacé immédiatement, exportez donc d'abord ce dont vous avez besoin. Si le compte prend fin de toute autre manière, vous pouvez encore exporter pendant 30 jours après sa clôture.

À la fin du Service, vous choisissez si nous devons vous restituer vos données ou les supprimer. Faites-nous connaître votre choix dans ce délai de 30 jours. À défaut d'instruction de votre part, nous les supprimons.

Passé ce délai, nous supprimons ou anonymisons les données à caractère personnel que nous détenons pour votre compte, sauf lorsque la loi nous impose d'en conserver certaines — par exemple les enregistrements de transactions conservés à des fins fiscales. Les sauvegardes s'effacent selon leur propre cycle et sont supprimées dans un délai de 90 jours.

11. Transferts internationaux et clauses contractuelles types

Notre base de données et nos serveurs applicatifs destinés aux clients européens sont situés dans l'Union européenne (Francfort). Certains sous-traitants ultérieurs mentionnés à l'article 7 sont établis aux États-Unis, et MoverTrack, LLC est elle-même une société des États-Unis : certaines données à caractère personnel y sont donc transférées.

Pour ces transferts, les parties concluent les clauses contractuelles types approuvées par la Commission européenne dans l'Implementing Decision (EU) 2021/914, lesquelles sont incorporées au présent ATD par référence et complétées comme suit :

Module Two (du responsable de traitement au sous-traitant) s'applique. Vous êtes l'exportateur de données ; MoverTrack, LLC est l'importateur de données.
Clause 7 (clause d'adhésion) s'applique.
Clause 9 — option 2, autorisation écrite générale, avec le préavis de 30 jours prévu à l'article 7.
Clause 11 — la clause facultative de règlement indépendant des litiges ne s'applique pas.
Clause 17 — les Clauses sont régies par le droit de l'Irlande.
Clause 18 — les litiges sont tranchés par les juridictions d'Irlande.
Annex I.A (parties) — vous, tel qu'identifié par votre compte ; MoverTrack, LLC, 1111B S Governors Ave STE 42337, Dover, DE 19904, United States, info@movertrack.com.
Annex I.B (description du transfert) — les personnes concernées, les catégories de données, les finalités, la fréquence (continue) et la durée indiquées à l'article 3 du présent ATD.
Annex I.C (autorité de contrôle compétente) — l'autorité de l'État membre de l'EEE dans lequel vous êtes établi, ou dans lequel votre représentant est établi.
Annex II (mesures de sécurité) — l'article 6 du présent ATD.
Annex III (sous-traitants ultérieurs) — l'article 7 du présent ATD.

Pour les transferts de données à caractère personnel soumis au droit britannique de la protection des données, les parties concluent également le UK International Data Transfer Addendum pris en application de la section 119A of the Data Protection Act 2018, les clauses ci-dessus valant Approved SCCs, les Tables 1–3 étant complétées par renvoi à l'Annex I ci-dessus et la Table 4 étant fixée à neither party. Pour les transferts soumis au droit suisse, les références au RGPD s'entendent comme des références à la Swiss FADP et l'autorité compétente est la FDPIC.

Lorsqu'un sous-traitant ultérieur est certifié au titre de l'EU–US Data Privacy Framework, nous pouvons nous fonder sur cette certification pour les transferts effectués vers lui.

En cas de contradiction entre les Clauses et le présent ATD, les Clauses prévalent.

12. Audit et information

Nous vous fournirons les informations dont vous avez raisonnablement besoin pour démontrer que nous respectons les obligations prévues aux présentes, et nous contribuerons aux audits imposés par la réglementation sur la protection des données.

Parce que notre équipe est très réduite, cela prend la forme de réponses écrites et de documentation plutôt que d'une inspection sur site. Lorsqu'un audit est véritablement requis, il peut être réalisé une fois par période de douze mois (plus fréquemment uniquement si une autorité de contrôle l'exige ou à la suite d'une violation avérée affectant vos données), moyennant un préavis écrit de 30 jours, pendant les heures ouvrables, sans perturber le Service, par une personne qui n'est pas notre concurrent, sous réserve de confidentialité, et à vos frais.

13. Répartition des responsabilités entre nous

Vous garantissez que vous disposez d'une base légale pour chaque donnée à caractère personnel que vous introduisez dans le Service, que vous avez fourni à vos clients les informations exigées par la loi qui leur est applicable, que vos instructions sont licites, et que vous ne nous transmettrez pas de données relevant de catégories particulières.

Vous nous garantirez contre toute réclamation, toute amende et tous frais raisonnables découlant d'un manquement à cette garantie, de vos instructions, ou d'une réclamation de l'un de vos clients se rapportant à vos propres actes ou omissions plutôt qu'aux nôtres.

La responsabilité de chaque partie au titre du présent ATD est soumise aux limitations et exclusions prévues à l'article 18 des Conditions Générales d'Utilisation et de Vente, et ces limitations s'appliquent à l'ensemble des réclamations formées au titre du présent ATD, cumulativement avec l'ensemble des réclamations formées au titre des Conditions. Aucune disposition des présentes ne limite les droits dont une personne concernée dispose à l'encontre de l'une ou l'autre des parties au titre des clauses contractuelles types ou du droit applicable.

Si une autorité de contrôle ou une juridiction nous déclare solidairement responsables d'un fait causé par vos instructions ou par votre manquement, vous nous rembourserez la part qui vous est imputable.

14. Primauté et contact

En cas de contradiction entre le présent ATD et les Conditions Générales d'Utilisation et de Vente s'agissant du traitement des données à caractère personnel, le présent ATD prévaut.

MoverTrack, LLC
1111B S Governors Ave STE 42337, Dover, DE 19904, United States
E-mail : info@movertrack.com