DeCA Portal
Pour quiFonctionnementTarifsRéglementationContrôle routierContact
fr
S’inscrire

Accord de traitement des données à caractère personnel

Traduction de travail fournie à titre purement informatif. Seule la version espagnole fait foi.

conformément à l’article 28 du RGPD

Go4Future Consulting e.U. – DeCA Portal

Version : 1er octobre 2026

Préambule

Le présent accord de traitement des données, qui constitue un contrat de sous-traitance (ci-après l’« Accord »), est conclu entre le Client, identifié par les données d’entreprise fournies lors de l’inscription (ci-après le « Responsable »), et Go4Future Consulting e.U., Dr. Rudolf Klafsky-Straße 18, 2500 Baden, Autriche, immatriculée au registre du commerce sous le numéro FN 684502x (Landesgericht Wiener Neustadt), numéro d’identification à la TVA (NIF-IVA) ATU83497057 (ci-après le « Sous-traitant » ou « G4F »).

Le Responsable utilise la plateforme DeCA Portal sur la base des Conditions générales de contrat et des Conditions d’utilisation (ci-après, ensemble, le « Contrat principal »). Dans ce cadre, G4F traite des données à caractère personnel pour le compte du Responsable. Le présent Accord régit les droits et obligations des parties conformément à l’article 28 du RGPD et fait partie intégrante du Contrat principal.

L’Accord est conclu sous forme électronique dans le cadre de l’inscription, satisfaisant ainsi à l’exigence de forme de l’article 28, paragraphe 9, du RGPD. G4F enregistre le moment de l’acceptation, le compte utilisateur qui l’a donnée et la version du texte acceptée, et met à la disposition permanente du Responsable, dans son compte client, tant la version en vigueur que toutes les versions antérieures.

1. Objet, nature et finalité du traitement

1.1 L’objet de la sous-traitance est la fourniture des services décrits dans le Contrat principal, dans la mesure où celle-ci implique le traitement de données à caractère personnel pour lesquelles le Responsable a la qualité de responsable du traitement.

1.2 La nature, la finalité et l’étendue du traitement, les catégories de personnes concernées et les types de données à caractère personnel sont déterminés à l’Annexe 1.

1.3 Le traitement est effectué exclusivement dans des États membres de l’Union européenne ou dans des États parties à l’accord sur l’Espace économique européen, sous réserve des dispositions du point 8.

1.4 Ne relèvent pas du présent Accord les traitements que G4F effectue sous sa propre responsabilité, en particulier la gestion de la relation contractuelle, la facturation, la sécurité des systèmes et l’utilisation de données anonymisées et agrégées. Ceux-ci font l’objet de la Politique de confidentialité de G4F.

2. Durée

2.1 Le présent Accord prend effet à la formation du Contrat principal et prend fin à l’extinction de celui-ci.

2.2 Les dispositions du présent Accord continuent de s’appliquer au-delà de l’extinction du Contrat principal aussi longtemps que G4F conserve des données à caractère personnel du Responsable, en particulier pendant les délais postérieurs prévus au point 12.

3. Pouvoir d’instruction du Responsable

3.1 G4F traite les données à caractère personnel exclusivement sur instructions documentées du Responsable. Cela vaut également pour le transfert de données à caractère personnel vers un pays tiers, à moins que G4F ne soit tenue d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel elle est soumise ; dans ce cas, G4F informe le Responsable de cette obligation juridique avant le traitement, sauf si le droit applicable interdit une telle information pour des motifs importants d’intérêt public.

3.2 Le Contrat principal, y compris les Conditions d’utilisation, ainsi que les paramétrages et saisies que le Responsable effectue au moyen des fonctions de la Plateforme, valent instructions documentées.

3.3 Valent notamment instruction expresse du Responsable :

3.4 Le Responsable reconnaît que l’accessibilité publique prévue au point 3.3, lettre a), constitue une exigence de la réglementation applicable et que, par conséquent, les données sont accessibles à toute personne disposant de l’adresse ou du code QR correspondant. G4F applique les mesures de réduction des risques décrites à l’Annexe 3.

3.5 Les instructions qui excèdent le Contrat principal doivent être formulées par écrit et adressées à datos@decaportal.es. Si elles requièrent un effort supplémentaire considérable, G4F peut exiger une rémunération raisonnable ; les parties conviennent au préalable de leur faisabilité et de l’effort qu’elles impliquent.

3.6 Si G4F estime qu’une instruction enfreint la réglementation en matière de protection des données, elle en informe le Responsable sans délai. G4F est en droit de suspendre l’exécution de cette instruction jusqu’à sa confirmation ou sa modification par le Responsable.

4. Obligations de G4F

G4F s’engage à :

4.1 traiter les données à caractère personnel exclusivement dans le cadre du présent Accord et des instructions du Responsable ;

4.2 veiller à ce que les personnes autorisées à traiter les données s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et former ces personnes au traitement des données à caractère personnel ;

4.3 mettre en œuvre et maintenir les mesures techniques et organisationnelles requises par l’article 32 du RGPD ; les mesures mises en œuvre sont décrites à l’Annexe 3. G4F peut les faire évoluer, à condition que le niveau de protection convenu ne soit pas réduit ;

4.4 aider le Responsable, par des mesures techniques et organisationnelles appropriées, à s’acquitter de son obligation de donner suite aux demandes des personnes concernées (point 9) ;

4.5 aider le Responsable à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à la disposition de G4F ;

4.6 informer le Responsable sans délai lorsqu’une autorité de contrôle ou une autre autorité mène auprès de G4F des mesures d’enquête susceptibles de concerner les données du Responsable ;

4.7 documenter les activités de traitement effectuées pour le compte du Responsable conformément à l’article 30, paragraphe 2, du RGPD.

5. Obligations du Responsable

5.1 Le Responsable répond de la licéité du traitement, de l’existence d’une base juridique et de la sauvegarde des droits des personnes concernées.

5.2 Le Responsable informe les personnes concernées conformément aux articles 13 et 14 du RGPD. Cela vaut en particulier pour les conducteurs et pour les personnes de contact des expéditeurs, des destinataires et des autres intervenants, dont les données ne sont pas collectées auprès d’eux-mêmes.

5.3 Le Responsable ne saisit dans la Plateforme que les données à caractère personnel nécessaires à la finalité concernée. La saisie de catégories particulières de données à caractère personnel au sens de l’article 9 du RGPD n’est pas prévue et doit être évitée.

5.4 Le Responsable gère sous sa propre responsabilité les autorisations d’accès de ses utilisateurs et les révoque sans délai dès que les conditions de leur octroi ne sont plus réunies.

5.5 Le Responsable informe G4F sans délai si, lors de la vérification des résultats du traitement, il constate des erreurs ou des irrégularités.

6. Sous-traitants ultérieurs

6.1 Le Responsable donne à G4F une autorisation écrite générale de recourir à d’autres sous-traitants conformément à l’article 28, paragraphe 2, du RGPD.

6.2 Les sous-traitants ultérieurs existant au moment de la conclusion du contrat figurent à l’Annexe 2. Le Responsable autorise leur intervention par la conclusion du présent Accord.

6.3 G4F informe le Responsable au moins 30 jours à l’avance de l’ajout d’un nouveau sous-traitant ultérieur ou du remplacement d’un sous-traitant ultérieur existant, par écrit ou au moyen d’une communication dans le compte client.

6.4 Le Responsable peut s’opposer à la modification par écrit, dans un délai de 30 jours à compter de la réception de la communication, pour un motif important lié à la protection des données. L’opposition doit être motivée.

6.5 En cas d’opposition motivée, les parties recherchent une solution d’un commun accord. Si aucune solution n’est trouvée dans un délai de 30 jours et que G4F ne peut fournir le service concerné sans le sous-traitant ultérieur dans des conditions raisonnables, chacune des parties est en droit de résilier le Contrat principal avec effet à la date d’entrée en vigueur de la modification. Les redevances déjà acquittées pour la période non utilisée sont remboursées au prorata.

6.6 G4F impose contractuellement à chaque sous-traitant ultérieur des obligations en matière de protection des données substantiellement équivalentes à celles du présent Accord et répond envers le Responsable de leur respect conformément au point 13.

6.7 Ne constituent pas une sous-traitance ultérieure les prestations accessoires que G4F obtient de tiers et qui ne visent pas le traitement de données à caractère personnel du Responsable, telles que les services de télécommunications, la maintenance, le nettoyage ou la destruction de supports de données. Dans ces cas également, G4F prend des mesures appropriées pour préserver la sécurité des données.

7. Lieux de traitement

7.1 L’infrastructure applicative et de base de données est exploitée dans des centres de données situés dans l’Union européenne.

7.2 G4F communique au Responsable tout transfert du lieu de traitement vers un autre pays selon la procédure prévue au point 6.3.

8. Transferts vers des pays tiers

8.1 Le traitement de données à caractère personnel en dehors de l’Espace économique européen n’a lieu que si les conditions des articles 44 et suivants du RGPD sont remplies, en particulier sur la base d’une décision d’adéquation ou des clauses contractuelles types de la Commission européenne, complétées par les garanties supplémentaires nécessaires.

8.2 Les sous-traitants ultérieurs concernés et la garantie appliquée dans chaque cas sont identifiés à l’Annexe 2.

8.3 G4F fournit au Responsable, à sa demande, des informations sur les garanties appliquées.

9. Droits des personnes concernées

9.1 Si une personne concernée s’adresse directement à G4F pour exercer des droits relatifs à des données que G4F traite pour le compte du Responsable, G4F transmet la demande sans délai au Responsable et n’y répond pas elle-même.

9.2 G4F aide le Responsable à donner suite aux demandes d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, dans la mesure où cela n’est pas possible sans la collaboration de G4F ou ne l’est qu’au prix d’un effort disproportionné. La Plateforme met à cet effet à la disposition du Responsable des fonctions de recherche, de téléchargement, de suppression et de nouveau téléversement.

9.3 Pour les prestations d’assistance excédant les fonctions mises à disposition par la Plateforme, G4F peut exiger une rémunération raisonnable.

10. Violations de données à caractère personnel

10.1 G4F informe le Responsable dans les meilleurs délais et, en tout état de cause, dans les 48 heures après en avoir pris connaissance, de toute violation de données à caractère personnel affectant les données du Responsable.

10.2 La communication comprend, dans la mesure où ces éléments sont connus, une description de la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées ainsi qu’un point de contact. Les informations non disponibles sont fournies de manière échelonnée.

10.3 G4F aide le Responsable à respecter ses obligations de notification et de communication prévues aux articles 33 et 34 du RGPD.

10.4 Les notifications à l’autorité de contrôle et les communications aux personnes concernées sont effectuées exclusivement par le Responsable, sauf si les parties en conviennent autrement dans un cas particulier.

11. Justificatifs et audits

11.1 G4F justifie, sur demande, du respect des obligations découlant du présent Accord, de préférence au moyen d’attestations en cours de validité, de certifications, de rapports d’auditeurs indépendants ou d’un questionnaire d’auto-évaluation rempli.

11.2 Si ces justificatifs ne sont pas suffisants dans un cas particulier, le Responsable peut réaliser un audit ou le confier à un auditeur qu’il désigne, tenu à une obligation de confidentialité, qui ne peut être un concurrent de G4F.

11.3 Les audits sont réalisés moyennant un préavis d’au moins 30 jours, pendant les heures de bureau habituelles, sans perturber le déroulement de l’activité et au maximum une fois par année civile. En cas de soupçon fondé d’un manquement grave ou à la suite d’une violation de données soumise à notification, les limitations de fréquence et de délai ne s’appliquent pas.

11.4 Le Responsable supporte les frais de l’audit qu’il a sollicité. Une rémunération raisonnable peut être exigée pour l’effort fourni par G4F, sauf si l’audit révèle un manquement de G4F.

12. Suppression et restitution après l’extinction

12.1 Après l’extinction du Contrat principal, G4F met à la disposition du Responsable, pour consultation et téléchargement, les données traitées pour son compte pendant une durée de 12 mois à compter du téléversement du document correspondant. Ce délai repose sur l’instruction expresse prévue au point 3.3, lettre c), et a pour finalité de permettre au Responsable de respecter ses obligations légales de conservation.

12.2 Le Responsable peut à tout moment donner instruction de supprimer de manière anticipée certaines données ou l’intégralité de l’ensemble de données. G4F procède à la suppression dans un délai de 30 jours et la confirme par écrit.

12.3 À l’expiration du délai prévu au point 12.1, G4F supprime les données traitées pour le compte du Responsable. La suppression est annoncée au moins 30 jours à l’avance et confirmée par écrit sur demande.

12.4 Les copies de sauvegarde sont supprimées selon les cycles de sauvegarde habituels de G4F et au plus tard 90 jours après la suppression dans le système de production. Jusqu’à cette date, elles restent protégées par les mesures du présent Accord et ne sont pas restaurées, sauf aux fins de la reprise après une défaillance du système.

12.5 Des données ne sont conservées au-delà des délais susmentionnés que dans la mesure où G4F y est tenue en vertu du droit de l’Union ou du droit d’un État membre. Dans ce cas, le traitement est limité à la finalité de conservation.

13. Responsabilité

13.1 La responsabilité dans les rapports entre les parties est régie par les dispositions des Conditions générales de contrat.

13.2 La responsabilité envers les personnes concernées et les dispositions de l’article 82 du RGPD demeurent réservées.

13.3 Si des réclamations sont formées contre l’une des parties pour violation de la réglementation en matière de protection des données, les parties se prêtent mutuellement assistance dans leur défense et se garantissent réciproquement à proportion de leur part respective de responsabilité.

14. Confidentialité

Les parties traitent de manière confidentielle toute information de l’autre partie obtenue dans le cadre du présent Accord. Cette obligation s’applique pendant la durée de l’Accord et pendant trois ans au-delà.

15. Modifications du présent Accord

15.1 G4F peut modifier le présent Accord et ses annexes dans la mesure nécessaire à leur adaptation à des exigences légales modifiées, à des décisions des autorités de contrôle ou à des évolutions techniques. Aucune modification ne peut réduire le niveau de protection convenu.

15.2 Les modifications sont annoncées au moins 30 jours avant leur entrée en vigueur, par écrit ou au moyen d’une communication dans le compte client.

15.3 En cas de modification affectant les intérêts du Responsable de manière non simplement négligeable, celui-ci peut résilier le Contrat principal sans frais jusqu’à la date d’entrée en vigueur, avec effet à cette date ; les redevances déjà acquittées pour la période non utilisée sont remboursées au prorata.

15.4 Les modifications de l’Annexe 2 sont, par dérogation, régies par les dispositions du point 6.

16. Dispositions finales

16.1 En cas de contradiction entre le présent Accord et les autres documents contractuels, le présent Accord prévaut en matière de protection des données.

16.2 La nullité de certaines dispositions n’affecte pas la validité des autres. La disposition nulle est réputée remplacée par la disposition légalement admissible qui se rapproche le plus de la finalité de la disposition remplacée.

16.3 La langue du contrat, le droit applicable et la juridiction compétente sont régis par les Conditions générales de contrat. Les dispositions impératives en matière de protection des données demeurent réservées.

Annexe 1 – Objet et détails du traitement

Objet du traitement

Mise à disposition d’une solution logicielle en tant que service pour la création, le téléversement, l’enregistrement, la mise à disposition, la transmission et la conservation de documents électroniques de contrôle administratif pour le transport routier de marchandises, générés par le Responsable dans ses propres systèmes ou dans la Plateforme.

Nature du traitement

Collecte, enregistrement, organisation, conservation, adaptation, extraction, consultation, utilisation, communication par transmission, mise à disposition, limitation, effacement et destruction.

Finalité du traitement

Respect des obligations de documentation qui incombent au Responsable dans le transport routier de marchandises, mise à disposition des documents aux conducteurs et aux organes de contrôle, et conservation des documents.

Catégories de personnes concernées

Catégories de données à caractère personnel

Catégories particulières de données à caractère personnel

Non prévues.

Annexe 2 – Sous-traitants ultérieurs

Stripe agit en qualité de responsable du traitement indépendant pour la gestion des paiements et n’est donc pas un sous-traitant ultérieur au sens du présent Accord.

La version en vigueur de la présente annexe est disponible dans le compte client.

Annexe 3 – Mesures techniques et organisationnelles

Confidentialité

Contrôle de l’accès physique : traitement exclusivement dans des centres de données certifiés des prestataires utilisés, avec contrôle d’accès, vidéosurveillance et gestion des visiteurs.

Contrôle de l’accès logique : comptes utilisateurs individuels, règles relatives aux mots de passe, authentification multifacteur pour les accès administratifs, verrouillage automatique en cas d’inactivité.

Contrôle des autorisations : modèle d’autorisations fondé sur les rôles conformément au principe du moindre privilège, séparation des clients, journalisation des accès administratifs.

Contrôle de la séparation : séparation logique des données par client, environnements distincts de développement, de test et de production, interdiction d’utiliser des données de production à des fins de test.

Pseudonymisation et chiffrement : chiffrement des transmissions au moyen de TLS 1.2 ou supérieur, chiffrement des données stockées, construction des adresses de téléchargement des documents de contrôle au moyen d’identifiants aléatoires à entropie élevée sans possibilité de déduction, exclusion de l’indexation par les moteurs de recherche, désactivation de l’accès public à l’expiration du délai prévu.

Intégrité

Contrôle de la transmission : transmission chiffrée, interfaces documentées, engagement contractuel des sous-traitants ultérieurs.

Contrôle de la saisie : journalisation du téléversement et de la modification des documents avec horodatage et compte utilisateur à l’origine de l’opération.

Disponibilité et résilience

Procédure de vérification régulière

Dernière mise à jour : 1er octobre 2026

Cliquez ici pour télécharger le document (version espagnole).