Accord de traitement des données

1. Parties et rôles

Le professionnel — titulaire d'un compte KARZLY — agit en qualité de responsable de traitement pour les données de ses clients. Il détermine les finalités et les moyens du traitement, et répond de sa licéité.

L'éditeur de KARZLY (voir les mentions légales) agit en qualité de sous-traitant : il ne traite ces données que pour fournir le service, sur instruction du professionnel.

Pour les données du professionnel lui-même — son compte, son abonnement, sa facturation — l'éditeur est en revanche responsable de traitement. Ce point est décrit dans la politique de confidentialité et ne relève pas du présent accord.

2. Objet, nature et finalité du traitement

L'éditeur héberge et exploite un service de prise de rendez-vous et d'abonnements. À ce titre il collecte, enregistre, conserve, organise, consulte et supprime les données des clients du professionnel, aux seules fins de :

• recevoir et gérer les réservations, devis, abonnements et listes d'attente ;
• envoyer les messages liés à ces rendez-vous (confirmation, rappel, annulation) et, si le professionnel les active, les messages d'automatisation qu'il a lui-même rédigés ;
• tenir le fichier client, l'historique des interventions et les statistiques présentées au professionnel ;
• calculer les frais de déplacement, ce qui suppose de convertir une adresse en coordonnées géographiques ;
• encaisser, le cas échéant, les acomptes et abonnements réglés en ligne.

L'éditeur n'utilise ces données à aucune autre fin. Il ne les vend pas, ne les loue pas, ne les exploite pas pour son propre compte, et ne s'en sert pas pour démarcher les clients du professionnel.

3. Durée

Le présent accord s'applique tant que le professionnel dispose d'un compte KARZLY, et cesse avec lui, sous réserve de l'article 9 (sort des données en fin de contrat).

4. Catégories de données et de personnes concernées

Personnes concernées : les clients, particuliers ou professionnels, du professionnel utilisateur, ainsi que les prospects ayant demandé un devis ou rejoint une liste d'attente.

Catégories de données, telles que le service les collecte :

• identité : nom, prénom ;
• coordonnées : adresse email, numéro de téléphone ;
• adresse d'intervention et coordonnées géographiques qui en sont déduites ;
• véhicules : marque, modèle, immatriculation, couleur, remarques saisies par le professionnel ;
• rendez-vous et abonnements : dates, prestations, montants, statuts, notes du client et notes internes du professionnel ;
• photographies du véhicule, lorsque le client en dépose à la réservation ;
• réponses aux questions personnalisées que le professionnel a lui-même définies ;
• consentements et préférences de contact, notamment l'accord de démarchage commercial ;
• avis et notes, lorsque le professionnel les enregistre.

Le service n'est pas conçu pour recevoir de données sensibles au sens de l'article 9 du RGPD (santé, opinions, origine, orientation sexuelle…), ni de données relatives à des infractions. Le professionnel s'engage à ne pas en saisir, y compris dans les champs libres — notes, remarques, questions personnalisées.

5. Instructions

L'éditeur ne traite les données que sur instruction documentée du professionnel. Constituent de telles instructions : les conditions générales, le présent accord, et l'usage que le professionnel fait des fonctions du service — la configuration de sa page de réservation, les automatisations qu'il active, les messages qu'il rédige, les données qu'il saisit, exporte ou supprime.

Si une instruction paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données, l'éditeur en informe le professionnel sans délai et peut suspendre son exécution.

L'éditeur peut être tenu de traiter des données en vertu du droit de l'Union ou d'un État membre ; il en informe alors le professionnel avant traitement, sauf interdiction légale.

6. Confidentialité

Les personnes autorisées à accéder aux données s'engagent à la confidentialité ou y sont légalement tenues. L'accès est limité à ce qu'exige l'exploitation du service — assistance, maintenance, incident — et n'est ouvert à aucun tiers.

7. Sécurité

L'éditeur met en œuvre les mesures techniques et organisationnelles suivantes :

• chiffrement de tous les échanges (HTTPS) ;
• chiffrement des données au repos par les hébergeurs de la base et des fichiers ;
• mots de passe conservés sous forme de condensat, jamais en clair ;
• cloisonnement des données par organisation : chaque requête est filtrée sur l'organisation de l'utilisateur connecté ;
• limitation du débit sur les points d'entrée publics et sur l'authentification ;
• en-têtes de sécurité, protection contre les injections par requêtes paramétrées, validation systématique des données reçues ;
• journalisation des envois et des erreurs, avec alerte en cas d'échecs en série ;
• sauvegardes de la base assurées par l'hébergeur, permettant une restauration.

8. Sous-traitants ultérieurs

Le professionnel autorise l'éditeur à recourir aux sous-traitants ultérieurs listés ci-dessous. Chacun est lié par un contrat imposant des obligations de protection équivalentes à celles du présent accord.

• Vercel Inc. (États-Unis) — hébergement de l'application ; diffusion depuis l'Union européenne.
• Vercel Blob — stockage des photographies déposées par les clients et des logos.
• Supabase — base de données, hébergée dans l'Union européenne (Francfort, Allemagne).
• Brevo (France) — envoi des emails et des SMS.
• Stripe — encaissement des paiements en ligne. Aucune donnée de carte bancaire ne transite par KARZLY ni n'y est conservée.
• Upstash — mémoire partagée servant à la limitation de débit ; y sont conservées, quelques minutes, des adresses IP.
• Google — uniquement si le professionnel connecte son agenda Google : les rendez-vous y sont alors répercutés.
• La Base Adresse Nationale (service public français) — conversion des adresses en coordonnées géographiques.

L'éditeur informe le professionnel de tout ajout ou remplacement de sous-traitant ultérieur avec un préavis raisonnable. Le professionnel peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut d'accord, il peut résilier son abonnement sans pénalité.

9. Transferts hors Union européenne

La base de données et les envois de messages sont assurés depuis l'Union européenne. Certains prestataires étant établis aux États-Unis, des transferts peuvent avoir lieu ; ils sont encadrés par les clauses contractuelles types de la Commission européenne ou par un mécanisme de conformité équivalent.

10. Assistance du professionnel

Compte tenu de la nature du traitement, l'éditeur assiste le professionnel :

• pour répondre aux demandes d'exercice de droits de ses clients — accès, rectification, effacement, opposition, limitation, portabilité. Le professionnel dispose pour cela, depuis son espace, de l'export de l'ensemble de ses données et de la modification ou suppression de chaque fiche client ;
• pour la sécurité du traitement, la notification des violations, les analyses d'impact et la consultation préalable, dans la limite des informations dont il dispose.

Une demande adressée directement à l'éditeur par un client du professionnel est transmise à ce dernier, à qui il revient d'y répondre.

11. Violation de données

L'éditeur notifie au professionnel toute violation de données à caractère personnel sans délai injustifié après en avoir pris connaissance, à l'adresse email de son compte. La notification décrit la nature de la violation, ses conséquences probables et les mesures prises. Il appartient au professionnel, en tant que responsable de traitement, d'apprécier s'il doit la notifier à la CNIL et aux personnes concernées.

12. Sort des données en fin de contrat

Avant la fin du contrat, le professionnel peut exporter à tout moment l'ensemble de ses données depuis son espace, dans un format structuré et lisible par machine.

La suppression de l'organisation depuis l'espace du professionnel efface définitivement ses données du service. À défaut de suppression à son initiative, les données sont effacées ou anonymisées dans un délai raisonnable après la clôture du compte, sous réserve des durées de conservation imposées par la loi — notamment comptables et fiscales — et des sauvegardes, dont la rotation entraîne l'effacement.

13. Audit

L'éditeur met à disposition du professionnel les informations nécessaires pour démontrer le respect du présent accord et permet la réalisation d'audits, y compris d'inspections, par le professionnel ou un auditeur qu'il mandate. Ces audits ont lieu pendant les heures ouvrables, sur préavis raisonnable, au plus une fois par an sauf incident de sécurité, et sans perturber le service. Les informations recueillies sont confidentielles.

14. Articulation avec les conditions générales

Le présent accord complète les conditions générales. En cas de contradiction sur le traitement des données personnelles des clients du professionnel, il prévaut.