Accord de traitement des données

1. Parties

Le présent Accord de traitement des données ("DPA") est conclu entre le Client ("Responsable du traitement") et YARDtwin Ltd, enregistrée en Irlande ("Sous-traitant"), collectivement les "Parties". Ce DPA fait partie des, et est soumis aux, Conditions d'utilisation de YARDtwin Conditions d'utilisation.

2. Périmètre et finalité

Le Sous-traitant traite les données personnelles pour le compte du Responsable du traitement exclusivement aux fins de la fourniture de la plateforme de gestion de cour YARDtwin : planification des quais, gestion des entrées/sorties, visualisation du jumeau numérique de la cour, gestion des transporteurs et des chauffeurs, piste d'audit conçue pour les environnements GMP, analyses et intégrations. Le traitement est effectué pendant la durée de l'abonnement du Responsable du traitement et toute période de conservation requise par l'article 11.

3. Catégories de personnes concernées

• Employés et administrateurs du Responsable du traitement (utilisateurs nommés de la plateforme)
• Chauffeurs et personnels logistiques enregistrés aux portails du Responsable du traitement
• Représentants des transporteurs et contacts d'expédition
• Personnel de sécurité des portails et opérateurs d'entrepôt

4. Types de données personnelles

• Données d'identité : noms, adresses e-mail, numéros de téléphone, poste/intitulé de fonction, raison sociale et adresse de l'entreprise
• Données d'authentification : mots de passe hachés bcrypt (12 tours), jetons d'accès et de rafraîchissement JWT, horodatages de session, adresses IP, identifiants SSO (Google, Microsoft)
• Données opérationnelles : rendez-vous, affectations de quais, mouvements de remorques, enregistrements d'inspection, documents, attributions de tâches, immatriculations de véhicules
• Données chauffeurs : numéros de permis et images de permis. Le personnel de contrôle peut prendre une photo du visage du chauffeur comme preuve à l'entrée. Lorsqu'un site active la comparaison faciale par IA, notre fournisseur d'IA (Anthropic) compare cette photo en mode un-à-un avec la photo du permis ou la photo enregistrée du chauffeur afin d'aider le personnel à confirmer l'identité du chauffeur. Le résultat est consultatif : le personnel de contrôle décide et peut admettre un chauffeur que la comparaison n'a pas confirmé en indiquant un motif. Chaque comparaison est enregistrée sur nos serveurs avec son résultat. Lorsque la comparaison faciale est désactivée (par défaut), aucune photo du visage n'est envoyée au fournisseur d'IA et le personnel compare lui-même le chauffeur avec la photo du permis ; les images de permis sont toujours lues par IA lorsque la lecture par IA est activée. YARDtwin ne stocke aucun gabarit facial et n'effectue aucune identification de type un-à-plusieurs.
• Données d'audit : actions des utilisateurs, horodatages, adresses IP, chaînes user-agent, différences anciennes/nouvelles valeurs, enregistrements marqués GMP

5. Obligations du Sous-traitant

• Traiter les données personnelles uniquement sur instructions documentées du Responsable du traitement (l'interface utilisateur de la plateforme et l'API constituent des instructions documentées)
• S'assurer que les personnes autorisées à traiter les données sont liées par des accords de confidentialité
• Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées (art. 32) — voir Section 7 ci-dessous
• Ne faire appel qu'aux sous-traitants ultérieurs listés à l'article 6, pour lesquels le Responsable du traitement donne une autorisation écrite générale ; notifier tout nouveau sous-traitant ultérieur avec un préavis d'au moins 30 jours, auquel le Responsable du traitement peut s'opposer (article 6)
• Assister le Responsable du traitement dans les demandes des personnes concernées (art. 15–22) via les points de terminaison DSAR décrits à la Section 9
• Notifier le Responsable du traitement dans les meilleurs délais, et en tout état de cause dans les 48 heures suivant la prise de connaissance d'une violation de données personnelles ; fournir une notification initiale dans les 24 heures suivant tout incident de sécurité confirmé affectant les données du Responsable du traitement (article 8)
• Supprimer ou restituer l'ensemble des données personnelles à la fin des services (Section 11)
• Mettre à disposition toutes les informations nécessaires pour démontrer la conformité et faciliter les audits (Section 12)

6. Sous-traitants ultérieurs

Le Sous-traitant fait actuellement appel aux sous-traitants ultérieurs suivants, chacun agissant dans le cadre d'un accord de traitement des données et (le cas échéant) des Clauses Contractuelles Types 2021 :

Le Responsable du traitement donne une autorisation écrite générale pour les sous-traitants ultérieurs listés ci-dessus. Le Sous-traitant notifiera tout nouveau sous-traitant ultérieur avec un préavis d'au moins 30 jours ; le Responsable du traitement peut s'y opposer pour des motifs raisonnables et, si l'opposition ne peut être résolue, résilier le service concerné sans pénalité.

Services réservés au site web (aucune donnée opérationnelle client)

Ces services fonctionnent uniquement sur le site web public. Ils ne reçoivent aucune donnée opérationnelle client et n'en sont pas des sous-traitants ; ceux qui déposent des cookies ne se chargent qu'avec consentement.

7. Mesures de sécurité (art. 32)

• Chiffrement en transit : TLS 1.2+ sur chaque point de terminaison ; certificats gérés par Microsoft Azure (DigiCert)
• Chiffrement au repos : Chiffrement transparent des données Azure Postgres Flexible Server ; chiffrement Azure Blob Storage
• Images de permis de conduire et signatures : Les images de permis de conduire et les signatures sont chiffrées au repos en AES-256 par Azure Storage et Azure Database for PostgreSQL (clés gérées par Microsoft), et leur accès est limité selon le rôle et l'organisation
• Hachage des mots de passe : bcrypt, 12 tours
• Authentification : Jetons d'accès JWT (expiration à 1 heure) et jetons de rafraîchissement (expiration à 7 jours, renouvelés à chaque utilisation, jamais valides au-delà de 30 jours après la connexion). Authentification unique (SAML 2.0, Google, Microsoft) ; MFA par mot de passe à usage unique temporel, obligatoire pour les administrateurs de la plateforme et disponible pour tous les utilisateurs
• Isolation des locataires : appliqué côté serveur par le cloisonnement par locataire, et testé automatiquement avant chaque mise en production : la vérification croisée entre locataires appelle l'API en tant qu'une organisation avec les identifiants d'enregistrement d'une autre organisation, et la mise en production est bloquée si des données de cette organisation peuvent être lues ou modifiées
• Contrôle d'accès basé sur les rôles : permissions basées sur les rôles sur les routes authentifiées, avec un cloisonnement par locataire appliqué côté serveur
• Pare-feu applicatif Web : Azure Front Door WAF en mode Prévention, avec des règles personnalisées de limitation du débit sur les points de terminaison d'authentification, d'inscription, de réinitialisation du mot de passe et de demandes des personnes concernées, ainsi qu'une protection DDoS L7 au niveau de la plateforme. Aucun ensemble de règles OWASP managé n'est associé — cela nécessite le niveau Front Door Premium.
• Limitation du débit : limites par route, plus strictes sur les points d'accès d'authentification ; suivi des tentatives en mémoire et persisté
• Piste d'audit : rendant toute altération détectable et en ajout seul (appliqué au niveau de la base de données), les entrées relatives aux GMP signalées séparément et conservées pendant au moins 7 ans durant l'exécution du contrat de service (à la fin du contrat, elles sont exportées vers le Responsable du traitement, sauf si le Responsable du traitement refuse l'export par écrit ou ne peut pas être contacté après des tentatives raisonnables, puis supprimées — Section 11), les autres entrées pendant 365 jours, pseudonymisées (non supprimées) lors d'une demande d'effacement au titre de l'Art. 17 en vertu de l'Art. 17(3)(b)
• Surveillance continue : Azure Application Insights ; un test de disponibilité du site toutes les 10 minutes ; une alerte de dérive de schéma (fenêtre de 15 minutes) ; une alerte lorsque plus de 10 erreurs serveur (HTTP 5xx) surviennent en 5 minutes ; et un worker de surveillance des violations qui vérifie le journal d'audit toutes les 5 minutes pour détecter des pics de tentatives de connexion échouées (10 ou plus pour un compte en une heure), des tentatives de connexion sur un compte depuis 5 adresses IP ou plus en 24 heures, et des connexions réussies depuis une adresse IP non vue pour cet utilisateur au cours des 30 derniers jours
• Chaîne d'approvisionnement logicielle : Chaque pull request doit passer npm audit (vulnérabilités des dépendances), Semgrep (analyse statique) et gitleaks (détection de secrets) avant de pouvoir être fusionnée, avec un scan d'image de conteneur Trivy à titre consultatif ; ces vérifications s'exécutent également à chaque push sur master et chaque nuit, accompagnées d'un scan de base OWASP ZAP consultatif (tests dynamiques) du site de production. Secrets : Azure Key Vault accessible via l'identité managée d'App Service ; aucun secret dans le code, les fichiers d'environnement ou les images de conteneur

8. Notification des violations de données personnelles

Le Sous-traitant notifie le Responsable du traitement dans les meilleurs délais, et en tout état de cause dans les 48 heures suivant la prise de connaissance d'une violation de données personnelles affectant les données du Responsable du traitement, et fournit une notification initiale dans les 24 heures suivant tout incident de sécurité confirmé affectant les données du Responsable du traitement. La notification comprend la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables, les mesures prises ou envisagées, ainsi que la référence au registre des violations. Les anomalies détectées sont acheminées vers Azure Monitor Action Group yardtwin-breach-actions ; les incidents confirmés sont suivis dans la table du registre des violations avec un compte à rebours de 72 heures pour la DPC.

9. Droits des personnes concernées

Le Sous-traitant met à la disposition du Responsable du traitement les points d'accès suivants pour satisfaire aux droits des personnes concernées dans le délai de 30 jours prévu par l'Art. 12(3) :

• POST /api/v1/dsar/export/by-email — export lisible par machine couvrant l'Art. 15 (accès) et l'Art. 20 (portabilité)
• POST /api/v1/dsar/erase/by-email — effacement sur demande vérifiée : les comptes utilisateur propres de la personne dans les comptes clients sélectionnés sont anonymisés et ses sessions, jetons, notifications, invitations en attente, enregistrements de newsletter et d'inscription ainsi que son propre avatar sont supprimés ; les enregistrements opérationnels détenus par le Responsable du traitement (réservations, enregistrements de portail et de visite, liste des chauffeurs, contacts) sont listés pour que le Responsable du traitement y donne suite ; la piste d'audit conserve une référence anonymisée à l'auteur pour l'intégrité GMP (art. 17, paragraphe 3, point b))
• Portail de demande en libre-service à /data-request

10. Transferts internationaux

Les données opérationnelles sont stockées au sein de l'Espace économique européen (Microsoft Azure, Suède Centre et Norvège Est). Les Clauses contractuelles types (2021) s'appliquent à chaque transfert vers un sous-traitant ultérieur situé hors de l'EEE ; lorsqu'un destinataire est certifié dans le cadre du EU-US Data Privacy Framework, ce mécanisme est également invoqué. Les évaluations d'impact des transferts sont en cours de finalisation (objectif : novembre 2026).

11. Durée, résiliation et restitution des données

Le présent DPA reste en vigueur pendant toute la durée du contrat de service. À la résiliation :

• Le Responsable du traitement peut exporter l'ensemble de ses données dans les 30 jours via les fonctions d'export intégrées ou sur demande
• Après 30 jours, le Sous-traitant supprimera toutes les données personnelles opérationnelles du Responsable du traitement
• Pendant la durée du contrat de service, les journaux d'audit sont conservés à l'état pseudonymisé : les entrées pertinentes au regard des GMP pendant au moins 7 ans après l'événement, afin de satisfaire aux exigences de conservation des enregistrements GMP (21 CFR Part 11 / EU GMP Annex 11 ; dérogation pour obligation légale Art. 17(3)(b)), les autres entrées d'audit pendant 365 jours. À la fin du contrat, avant la suppression des données du Responsable du traitement, celui-ci reçoit une exportation complète de sa piste d'audit, accompagnée d'un reçu de vérification, à conserver pour sa propre durée de conservation, sauf s'il refuse l'exportation par écrit ou s'il ne peut pas être contacté après des tentatives raisonnables ; le Sous-traitant supprime alors la piste d'audit avec le reste des données du Responsable du traitement. À l'exception des sauvegardes décrites ci-dessous, qui expirent selon leur propre calendrier, et du propre enregistrement du Sous-traitant concernant la remise (le reçu, les hachages et comptages de l'exportation, ainsi que l'identité de la personne qui l'a effectuée et de celle qui l'a reçue), la piste d'audit n'est conservée plus longtemps que si le Responsable du traitement en instruit le Sous-traitant par écrit, dans le cadre d'un accord séparé.
• Les données opérationnelles sont supprimées dans les 30 jours suivant la fin du contrat. Les sauvegardes de base de données à un instant donné expirent dans les 7 jours. Les sauvegardes d'archives mensuelles chiffrées sont conservées jusqu'à 7 ans à des fins de reprise après sinistre uniquement ; elles ne sont restaurées que pour rétablir le service, les données qu'elles contiennent sont inutilisables et elles expirent avec la sauvegarde.
• Une sauvegarde complète de la base de données est effectuée chaque nuit et conservée pendant 35 jours dans un stockage chiffré séparé dans l'EEE (Sweden Central, géo-répliqué vers Sweden South) ; les données effacées du service en production restent dans ces sauvegardes, hors d'usage, jusqu'à leur expiration.

12. Droits d'audit

Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer la conformité à l'art. 28 du RGPD. Les clients peuvent demander : le registre actuel des sous-traitants ultérieurs, le dernier rapport de tests de régression d'isolation des locataires, le résumé du test de pénétration externe une fois celui-ci réalisé (voir Politique RGPD 11.1), ainsi que des réponses à un questionnaire de sécurité fournisseur. Des audits raisonnables sur site ou à distance peuvent être organisés avec un préavis d'au moins 30 jours, menés par le Responsable du traitement ou un tiers indépendant soumis à une obligation de confidentialité. Le Sous-traitant ne détient à ce jour aucune certification ISO 27001 ou SOC 2 ; une fois la certification ISO 27001 obtenue (objectif T1 2027), le Sous-traitant proposera le certificat comme preuve de substitution.

13. Responsabilité et droit applicable

La responsabilité au titre du présent DPA est soumise aux limitations énoncées dans les conditions générales de YARDtwin Conditions d'utilisation. Le présent DPA est régi par le droit irlandais et le Règlement général sur la protection des données (RGPD) de l'UE. Tout litige relève de la compétence exclusive des juridictions irlandaises.

14. Contact

Pour toute question relative à ce DPA, pour demander une copie de révision (une édition contre-signée est émise une fois l'immatriculation de la société complète), ou pour exercer l'un des droits énoncés ci-dessus, contactez admin@yardtwin.com ou au contact protection des données à dpo@yardtwin.com. Il s'agit d'une boîte aux lettres de rôle surveillée par le responsable de la protection des données chez YARDtwin Ltd. YARDtwin n'a pas désigné de Délégué à la Protection des Données statutaire au titre de l'article 37 du RGPD, ce qui n'est pas obligatoire pour ses traitements (Politique RGPD 11.2) ; l'adresse de contact est publiée à la place du nom d'une personne physique.