Contrat de sous-traitance des données

À lire en premier : ce document s'applique automatiquement à toute auto-école qui utilise le service Kopilo. En souscrivant à un abonnement Kopilo, l'auto-école est réputée accepter ces conditions, qui complètent les conditions générales d'utilisation et de vente. Une version PDF signable est disponible sur demande à contact@kopilo.fr pour les auto-écoles souhaitant la formaliser par écrit.

1. Parties

Le sous-traitant :

• Ethan Moussaoui, entrepreneur individuel
• 23 rue Ranque, 13001 Marseille, France
• SIRET : 101 485 605 00014
• Désigné ci-après « Kopilo »

Le responsable de traitement :

L'auto-école cliente, désignée ci-après « le Client », identifiée dans son espace Kopilo (raison sociale, SIRET, adresse, représentant légal).

2. Objet

Le présent contrat a pour objet de définir les conditions dans lesquelles Kopilo, en sa qualité de sous-traitant, traite pour le compte du Client, en sa qualité de responsable de traitement, les données à caractère personnel décrites ci-après, dans le cadre de la fourniture du service Kopilo (logiciel SaaS de gestion d'auto-école).

Il vise à garantir le respect du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et de la loi Informatique et Libertés du 6 janvier 1978 modifiée.

3. Description du traitement

3.1 Nature et finalité

• Gestion administrative et pédagogique des élèves de l'auto-école
• Planification des leçons de conduite
• Suivi des paiements et des formules souscrites
• Stockage et partage de documents avec les élèves
• Communication entre l'auto-école et ses élèves (emails transactionnels)

3.2 Durée

Le traitement est effectué pendant toute la durée de l'abonnement du Client à Kopilo, prolongée le cas échéant par les durées légales de conservation des données comptables.

3.3 Catégories de personnes concernées

• Le personnel de l'auto-école (administrateurs, secrétaires, moniteurs)
• Les élèves inscrits dans l'auto-école

3.4 Catégories de données traitées

• Identité : nom, prénom, date de naissance
• Coordonnées : email, téléphone, adresse postale
• Données de formation : type de permis, numéro NEPH, formules souscrites, leçons effectuées, progression sur le livret de compétences
• Données comptables : montants payés, dates, modes de règlement
• Documents : factures, devis, attestations, courriers téléversés par le Client
• Données techniques : identifiants de connexion, journaux d'audit, adresses IP

Aucune donnée bancaire (numéro de carte, IBAN) n'est traitée par Kopilo : les paiements sont enregistrés à titre comptable mais le service n'effectue aucune transaction.

Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions, origine, etc.) n'est traitée.

4. Obligations de Kopilo

Kopilo s'engage à :

1. Traiter les données uniquement sur instructions documentées du Client, telles que résultant de l'utilisation normale du service ;
2. Garantir la confidentialité des données et s'assurer que les personnes autorisées à les traiter sont soumises à une obligation de confidentialité ;
3. Mettre en œuvre les mesures techniques et organisationnelles décrites en section 7 pour assurer un niveau de sécurité adapté au risque ;
4. Ne recourir à un autre sous-traitant qu'aux conditions prévues en section 5 ;
5. Aider le Client à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, portabilité) ;
6. Notifier au Client toute violation de données personnelles dans un délai maximal de 72 heures après en avoir pris connaissance ;
7. Au terme du contrat, restituer ou supprimer les données conformément à la section 9 ;
8. Mettre à disposition du Client toute information nécessaire pour démontrer le respect de ses obligations.

5. Sous-traitants ultérieurs

Le Client autorise expressément Kopilo à faire appel aux sous-traitants ultérieurs listés ci-dessous pour l'exécution du service :

Kopilo informera le Client de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, au moins 30 jours avant ce changement, par notification dans l'application ou par email. Le Client dispose alors d'un droit d'opposition motivé, sous 15 jours, pouvant entraîner la résiliation du contrat sans pénalité si l'opposition est jugée fondée.

6. Droits des personnes concernées

Le Client reste le point de contact principal pour l'exercice des droits par les personnes concernées (notamment ses élèves). Lorsque Kopilo reçoit directement une demande, il en informe le Client sans délai et l'assiste dans la mise en œuvre :

• Extraction des données dans un format structuré (JSON/CSV) pour le droit à la portabilité ;
• Suppression effective des données pour le droit à l'effacement (sous réserve des obligations légales de conservation) ;
• Rectification immédiate des données inexactes ;
• Mise à disposition de l'historique d'accès pour le droit d'accès.

7. Mesures de sécurité

Kopilo met en œuvre les mesures suivantes :

7.1 Sécurité des transferts

• Chiffrement HTTPS (TLS 1.3) obligatoire sur tous les domaines
• HSTS activé avec preload
• En-têtes de sécurité (CSP, X-Frame-Options, X-Content-Type-Options)

7.2 Sécurité du stockage

• Mots de passe hachés (bcrypt, 12 rounds)
• Isolation stricte des données entre auto-écoles via PostgreSQL Row-Level Security
• Bases de données non exposées sur Internet (accès interne uniquement)
• Sauvegardes chiffrées avec rotation 14 jours / 8 semaines / 12 mois

7.3 Sécurité de l'accès

• Authentification par token Bearer (Sanctum), cookies httpOnly + Secure + SameSite
• Rate limiting sur les tentatives de connexion (5 essais / 15 minutes / IP)
• Journaux d'audit des actions sensibles
• Accès serveur uniquement par clé SSH, root désactivé, fail2ban actif

7.4 Sécurité organisationnelle

• Accès aux données limité aux strictes nécessités de maintenance et de support
• Tous les accès du sous-traitant sont tracés
• Mises à jour de sécurité appliquées régulièrement

8. Notification de violation

En cas de violation de données personnelles, Kopilo notifiera le Client par email dans un délai maximal de 72 heures après en avoir pris connaissance, en précisant :

• La nature de la violation
• Les catégories de données et de personnes concernées (volume estimé)
• Les conséquences probables
• Les mesures prises ou proposées pour remédier à la violation et en atténuer les effets

Le Client reste responsable de la notification à la CNIL et, le cas échéant, aux personnes concernées.

9. Sort des données à la fin du contrat

Au terme du contrat, ou sur instruction écrite du Client, Kopilo s'engage à :

1. Mettre à disposition une copie exportable des données du Client, dans un format structuré (JSON/CSV/PDF), pendant une période de 30 jours après la fin du contrat ;
2. Supprimer définitivement les données au-delà de cette période, à l'exception :
   • Des données soumises à une obligation légale de conservation (notamment les données comptables, conservées 10 ans) ;
   • Des sauvegardes chiffrées, qui sont rotées et écrasées automatiquement selon le calendrier de rétention (maximum 12 mois).
3. Fournir au Client, à sa demande, une attestation écrite de suppression effective.

10. Audit

Le Client dispose du droit de réaliser, à ses frais et sous préavis raisonnable (minimum 30 jours), un audit du respect par Kopilo de ses obligations. L'audit peut prendre la forme d'un questionnaire écrit ou, si justifié, d'une visite sur site (limité à un audit par an, sauf cas exceptionnel).

À défaut, Kopilo s'engage à mettre à disposition du Client toute documentation pertinente (rapports d'incident, mesures de sécurité, registre des traitements) à première demande.

11. Responsabilité

Chaque partie est responsable des dommages causés par le non-respect de ses propres obligations. La responsabilité de Kopilo est plafonnée aux montants prévus dans les conditions générales de vente.

12. Modifications

Kopilo se réserve le droit de modifier le présent contrat pour tenir compte d'évolutions législatives, jurisprudentielles ou techniques. Toute modification substantielle sera notifiée au Client au moins 30 jours avant son entrée en vigueur, et n'entraîne pas tacitement renonciation pour le Client à ses droits.

13. Droit applicable et juridiction

Le présent contrat est régi par le droit français. Tout litige sera soumis aux tribunaux compétents de Marseille, après tentative de résolution amiable.

14. Contact

Pour toute question relative à ce contrat ou au traitement des données : contact@kopilo.fr.