Accord de traitement des données

1. Détails du traitement

• Objet et durée : fournir Carreh for Business pendant la durée du contrat et jusqu'à la suppression conformément à la section 10.
• Nature et finalité : héberger, organiser, consulter (y compris avec l'IA), afficher, exporter et supprimer les données de déplacements et de dépenses, selon la configuration et les instructions du Client.
• Personnes concernées : les employés, prestataires et autres utilisateurs du Client, ainsi que les personnes nommées dans leurs dossiers de voyage et de dépenses.
• Données personnelles : identité et coordonnées, rôle et service, demandes de déplacement, itinéraires, réservations et documents de voyage, reçus, dépenses, remboursements, validations et commentaires, enregistrements de connexion.
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. Instructions

Carreh traite les données personnelles uniquement sur les instructions documentées du Client, qui sont les Conditions, ce DPA et l'utilisation et la configuration du Service par le Client, sauf si le droit de l'UE ou d'un État membre en dispose autrement ; dans ce cas, Carreh en informe d'abord le Client, sauf si la loi l'interdit. Carreh informe le Client s'il estime qu'une instruction est illicite.

3. Confidentialité

Toute personne chez Carreh autorisée à traiter les données personnelles est tenue à la confidentialité.

4. Sécurité

Carreh met en œuvre les mesures techniques et organisationnelles de l'Annexe 1 et les maintient adaptées au risque. Carreh peut les mettre à jour à condition que le niveau global de protection ne diminue pas.

5. Sous-traitants

Le Client autorise Carreh à utiliser les sous-traitants listés ici. Carreh informe les Propriétaires d'espace de travail au moins 30 jours à l'avance par e-mail de l'ajout d'un nouveau sous-traitant. Le Client peut s'y opposer pour des motifs raisonnables de protection des données ; si aucune solution n'est trouvée, le Client peut mettre fin au Service concerné et obtenir le remboursement des frais prépayés pour la période restante. Carreh impose à chaque sous-traitant des obligations de protection des données équivalentes à celles du présent DPA et reste responsable de leur respect.

6. Transferts internationaux

Lorsque des données personnelles sont transférées en dehors de l'Espace économique européen vers un pays sans décision d'adéquation, Carreh s'appuie sur les clauses contractuelles types de la Commission européenne, avec des mesures supplémentaires si nécessaire.

7. Assistance

Compte tenu de la nature du traitement, Carreh aide le Client à répondre aux demandes des personnes concernées (le Service permet aux Owners et Admins de trouver, exporter, corriger et supprimer des enregistrements), ainsi qu'en matière de sécurité, de notifications de violation, d'analyses d'impact et de consultations avec les autorités de contrôle.

8. Violations de données personnelles

Carreh notifie le Client sans retard injustifié, et au plus tard 48 heures après avoir pris connaissance d'une violation de données personnelles affectant les données personnelles du Client, avec les informations disponibles à ce moment-là, puis les met à jour au fil de l'enquête.

9. Retour et suppression

Le Client peut exporter ses données à tout moment. À la fin du contrat, le Client dispose de 30 jours pour exporter ; Carreh supprime ensuite les données personnelles dans les 90 jours, sauf lorsque le droit de l'UE ou d'un État membre impose de les conserver. Les sauvegardes sont écrasées selon leur calendrier normal.

10. Audits

Carreh met à disposition les informations nécessaires pour démontrer la conformité au présent DPA. Le Client peut réaliser un audit une fois par an, moyennant un préavis écrit de 30 jours, pendant les heures ouvrables, sous confidentialité et à ses propres frais, ou s'appuyer sur les certifications indépendantes en vigueur des sous-traitants ultérieurs de Carreh lorsqu'elles couvrent le traitement.

11. Responsabilité et priorité

Les limitations de responsabilité des Conditions s'appliquent à ce DPA, dans la mesure permise par la loi. Pour le traitement des données personnelles, ce DPA prévaut sur les Conditions.

12. Annexe 1 : mesures techniques et organisationnelles

• Séparation : Carreh for Business dispose de ses propres comptes, base de données, stockage et clés, distincts des applications grand public de Carreh. Les données de chaque entreprise sont conservées séparément, et chaque requête est vérifiée par rapport à l'appartenance à l'entreprise et au rôle de l'utilisateur.
• Contrôle d'accès : codes de connexion à usage unique envoyés par e-mail ; sessions stockées uniquement sous forme de hachages ; le personnel Carreh a besoin d'un code par e-mail et d'une clé d'accès ; le personnel autorisé n'ouvre le contenu d'un espace de travail que pour fournir une assistance, assurer la sécurité du Service, prévenir la fraude et respecter ses obligations légales, et chaque ouverture est enregistrée dans le journal d'actions de l'espace de travail.
• Surveillance : les connexions et les actions sont enregistrées avec le réseau et l'appareil ; des contrôles automatiques signalent les connexions inhabituelles, les reçus en double ou modifiés et les abus, et bloquent les réseaux abusifs.
• Chiffrement : TLS en transit ; chiffrement au repos par l'hébergeur ; secrets d'authentification chiffrés avec AES-256-GCM ; codes et jetons hachés avec SHA-256 et une clé secrète.
• Journalisation : un journal d'actions en ajout seul et infalsifiable des connexions et des actions administratives.
• Résilience : base de données gérée avec restauration à un instant précis et sauvegardes ; procédures de restauration testées avant le lancement.
• Développement : revue de code, tests automatisés incluant des tests vérifiant qu'une entreprise ne peut pas accéder aux données d'une autre ; secrets tenus hors du code source.
• Minimisation : aucun traceur publicitaire ; les fournisseurs d'IA n'entraînent pas leurs modèles sur les données des Clients.