Version 1.0 — paramètres validés par le Client (Flex Invest) le 27/07/2026. Ce document reste à faire relire par un conseil juridique avant mise en production, en particulier la clause de transferts hors UE (Stripe) et les délais.
Le Responsable de traitement — ci-après « le Client » : l'entreprise cliente souscrivant à l'abonnement TRIPoptim, telle qu'identifiée lors de la souscription (raison sociale, SIRET, adresse renseignés au moment du paiement et de l'acceptation des présentes).
Le Sous-traitant — ci-après « Flex Invest » : Flex Invest SAS, société par actions simplifiée immatriculée au RCS de Paris sous le numéro 931 524 086, dont le siège social est situé 60 rue François 1ᵉʳ, 75008 Paris (France), N° TVA intracommunautaire FR39931524086, éditrice des services TRIPoptim et TANKoptim. Contact en matière de protection des données : contact@tripoptim.com.
Ci-après ensemble « les Parties ».
Le présent accord (« DPA ») définit les conditions dans lesquelles Flex Invest, en qualité de sous-traitant, traite pour le compte du Client, responsable de traitement, les données à caractère personnel nécessaires à la fourniture du service TRIPoptim, conformément à l'article 28 du RGPD. Il complète les Conditions Générales de Vente (CGV) ; en cas de contradiction sur la protection des données, le présent DPA prévaut.
Finalité : fournir au Client le service TRIPoptim, à savoir l'aide à la décision d'achat de carburant (arbitrage cuve/route, optimisation des trajets et des volumes, indexation), la planification des ravitaillements et la communication du plan de ravitaillement au chauffeur concerné.
Nature des opérations : collecte, enregistrement, organisation, structuration, conservation, consultation, utilisation, communication (transmission du plan au chauffeur) et effacement des données, par des moyens automatisés.
Durée : le traitement est réalisé pendant toute la durée de l'abonnement du Client. Il prend fin selon les modalités de l'article 9.
Personnes concernées : les salariés et collaborateurs du Client, notamment :
Catégories de données personnelles traitées :
Aucune donnée sensible au sens de l'article 9 du RGPD n'est traitée. Aucune donnée relative à des personnes mineures.
Conformément à l'article 28.3 du RGPD, Flex Invest s'engage à :
a) Instructions documentées. Ne traiter les données que sur instruction documentée du Client (la souscription, les CGV et le présent DPA valant instructions initiales), y compris pour les transferts hors UE, sauf obligation légale — auquel cas Flex Invest en informe le Client avant traitement, sauf interdiction légale.
b) Confidentialité. Veiller à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
c) Sécurité. Mettre en œuvre les mesures techniques et organisationnelles appropriées prévues à l'Annexe 2 (article 32 du RGPD).
d) Sous-traitance ultérieure. Ne recourir à un sous-traitant ultérieur qu'avec l'autorisation du Client. Le Client autorise le recours aux sous-traitants listés en Annexe 1. Flex Invest informe le Client de tout changement envisagé (ajout/remplacement) avec un préavis de 30 jours, permettant au Client de s'y opposer pour un motif légitime. Flex Invest impose à tout sous-traitant ultérieur les mêmes obligations de protection des données que celles du présent DPA et demeure responsable de leur exécution.
e) Droits des personnes. Aider le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition — articles 12 à 23). Si une demande est adressée directement à Flex Invest, il la transmet au Client dans les meilleurs délais.
f) Assistance. Aider le Client à garantir le respect des obligations de sécurité (art. 32), de notification de violation (art. 33-34), d'analyse d'impact (art. 35) et de consultation préalable (art. 36), compte tenu de la nature du traitement et des informations à disposition de Flex Invest.
g) Sort des données en fin de contrat. Au choix du Client, restituer et/ou supprimer les données, selon l'article 9.
h) Mise à disposition et audit. Mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28, et permettre la réalisation d'audits selon l'article 8.
Le Client s'engage à :
Les données sont hébergées dans l'Union européenne (voir Annexe 1). Tout transfert hors UE éventuel par un sous-traitant ultérieur (notamment le prestataire de paiement) est encadré par un mécanisme conforme au chapitre V du RGPD (Clauses Contractuelles Types de la Commission européenne et/ou Data Privacy Framework).
Flex Invest notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail au contact désigné par le Client. La notification comporte, dans la mesure du possible, les informations de l'article 33.3 du RGPD (nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou proposées). Flex Invest coopère avec le Client et documente la violation.
Flex Invest met à disposition du Client, sur demande écrite, les informations et la documentation permettant de démontrer sa conformité. Le Client peut réaliser un audit (sur pièces, ou sur site avec un préavis de 30 jours, au maximum une fois par an sauf incident), directement ou via un tiers indépendant tenu à la confidentialité, dans des conditions n'entravant pas l'activité de Flex Invest et aux frais du Client.
À la cessation du service, quelle qu'en soit la cause, Flex Invest :
Flex Invest atteste par écrit de la suppression sur demande du Client.
Le présent DPA prend effet à l'acceptation par le Client (au moment de la souscription) et demeure en vigueur pendant toute la durée du traitement. Il est régi par le droit français. Tout litige relève de la compétence des tribunaux de Paris, sauf disposition impérative contraire.
| Sous-traitant | Rôle | Localisation | Données concernées |
|---|---|---|---|
| OVHcloud SAS | Hébergement (serveurs applicatifs + sauvegardes) | France (UE) | L'ensemble des données du service |
| Stripe Payments Europe, Ltd. | Paiement et facturation par abonnement | Irlande (UE) — transferts éventuels vers Stripe Inc. (USA) encadrés par CCT + DPF | Nom, e-mail, adresse de facturation, N° TVA du contact payeur |
| Sinch France SAS (Mailjet) | Envoi des e-mails transactionnels (liens de connexion, notifications d'abonnement) | France (UE) | Adresses e-mail des utilisateurs |
| HeiGIT gGmbH (OpenRouteService) | Calcul d'itinéraires poids lourd | Allemagne (UE) | Coordonnées géographiques des points de départ/arrivée/étape (aucun nom de personne transmis) |
Liste confirmée par le Client. Non inclus car aucune donnée personnelle transmise : fournisseurs de prix carburant (Tankerkönig, prix-carburants.gouv.fr, etc.). Non actif à ce jour : tout prestataire d'envoi de SMS (le canal SMS chauffeur n'est pas activé ; à ajouter ici le jour où il le sera).
HttpOnly / SameSite / Secure.Fait pour acceptation électronique lors de la souscription. Version 1.0 — 27/07/2026.