Accord de traitement des données

Version 2026-2, en vigueur à compter du 2026-10-30 pour tous les comptes ; pour les comptes existants, c'est l'Accord de traitement des données mentionné à la clause 10.1 des Conditions générales, version 2026-1 ; ses renvois aux Conditions générales visent la version 2026-2.

Annexe à nos Conditions générales. Les Définitions, version 2026-2, sur plugchoice.com/legal/definitions, font partie du présent Accord de traitement des données (ATD).

Parties : le Client (responsable du traitement) et nous, Volt Time B.V., agissant également sous le nom commercial Plugchoice (sous-traitant), KvK 77488873, De Entree 99, 1101 HE Amsterdam, support@plugchoice.com.

1. Champ d'application et rôles

1.1. Le présent ATD ne s'applique que lorsque et dans la mesure où nous traitons des données personnelles pour un Client professionnel qui en détermine les finalités, et uniquement pour exécuter ce service (Conditions générales, clause 10.1).

1.2. L'Annexe 1 décrit les détails du traitement et les mesures de sécurité.

1.3. En dehors du présent ATD, et quelles que soient les instructions du Client, nous sommes responsable du traitement au titre de notre Politique de confidentialité : pour les comptes des personnes disposant de leur propre compte et ce qu'elles y font pour elles-mêmes, pour nos obligations légales, et pour la sécurisation et l'exploitation de la Plateforme et l'anonymisation des données traitées au titre du présent ATD (Conditions générales, clause 10.3). Les données anonymisées et les traitements dont les parties déterminent conjointement les finalités et les moyens (Conditions générales, clause 10.1) ne relèvent pas du présent ATD.

2. Instructions

2.1. Nous ne traitons les données personnelles au titre du présent ATD que sur instruction documentée du Client, y compris pour les transferts hors de l'EEE, sauf si le droit de l'Union ou d'un État membre en dispose autrement ; nous en informons alors préalablement le Client, sauf si ce droit l'interdit. Les instructions sont constituées de l'Accord, y compris la clause 6, des réglages du Client dans la Plateforme et des connexions aux Services tiers que le Client ou ses utilisateurs autorisent. Nous informons le Client si nous estimons qu'une instruction enfreint le droit de la protection des données.

3. Confidentialité

3.1. Les personnes qui traitent les données sont tenues à la confidentialité et n'y ont accès que dans la mesure où elles en ont besoin.

4. Sécurité

4.1. Nous prenons des mesures techniques et organisationnelles appropriées (Annexe 1), compte tenu de l'état des connaissances, des coûts et des risques, et pouvons les modifier tant qu'elles restent appropriées.

5. Sous-traitants ultérieurs

5.1. Le Client autorise de manière générale les sous-traitants ultérieurs figurant sur notre Liste des sous-traitants ultérieurs. Nous annonçons un ajout ou un remplacement au moins 14 jours à l'avance, par e-mail au Titulaire du compte ou dans la Plateforme. La Liste des sous-traitants ultérieurs peut indiquer qu'un sous-traitant ultérieur est communiqué sur demande ; nous communiquons sans délai son nom à un Client professionnel qui le demande.

5.2. Dans ces 14 jours, le Client peut s'y opposer Par écrit, en indiquant un risque concret pour les personnes concernées auquel les garanties du sous-traitant ultérieur au titre de l'article 28, paragraphe 4, du RGPD ne répondent pas. À défaut de solution, le Client peut, comme seul recours, mettre fin aux services concernés à compter de la date à laquelle le sous-traitant ultérieur commence ; les frais prépayés ne sont pas remboursés et une durée déterminée se poursuit pour les autres services. À défaut d'opposition en temps utile, la modification est acceptée.

5.3. Nous imposons aux sous-traitants ultérieurs des obligations équivalentes sur le fond et restons responsables de ceux-ci.

6. Transferts

6.1. Les transferts hors de l'EEE reposent sur une décision d'adéquation de l'UE, y compris le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework), ou sur des clauses contractuelles types, comme l'indique la Liste des sous-traitants ultérieurs.

7. Assistance

7.1. Dans la mesure où la nature du traitement le permet raisonnablement, nous aidons le Client à répondre aux demandes des personnes concernées et à respecter ses obligations au titre des articles 32 à 36 du RGPD, d'abord par les fonctions en libre-service de la Plateforme ; toute autre assistance, nous pouvons la facturer à des tarifs raisonnables.

8. Violations

8.1. Nous notifions le Client dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles affectant ses données, avec les informations raisonnablement à notre disposition. Une notification ne constitue pas une reconnaissance de faute.

9. Audit

9.1. Nous fournissons les informations raisonnablement nécessaires pour démontrer la conformité.

9.2. Le Client peut procéder à un audit au plus une fois tous les 12 mois, uniquement lorsque le point 9.1 ne suffit pas, moyennant un préavis de 30 jours, pendant les Jours ouvrables, sous confidentialité, sans accès aux données d'autres clients et non par un auditeur qui est notre concurrent. Il supporte ses propres coûts, nous rembourse nos coûts raisonnables et nous communique les conclusions.

10. Restitution et suppression

10.1. À la fin du traitement, nous supprimons ou restituons les données personnelles, au choix du Client, dans un délai de clôture raisonnable, la restitution se faisant par les exports standard de la Plateforme ; à l'exception des données que la loi nous impose de conserver et des données que nous traitons en tant que responsable du traitement au titre de la clause 1.3.

11. Responsabilité et durée

11.1. La clause 12 des Conditions générales s'applique.

11.2. Nous pouvons modifier le présent ATD selon la même procédure et avec le même préavis que la clause 14.2 des Conditions générales.

Annexe 1 : Détails du traitement et mesures de sécurité

Objet, nature et finalités : l'exploitation de la Plateforme pour le Client (hébergement, connectivité des bornes, sessions, facturation et remboursement lorsqu'ils sont activés, assistance) pour des finalités qu'il détermine, comme sa propre facturation, le remboursement de conducteurs ou de salariés, ou sa politique d'accès.

Durée : la durée de l'Accord, plus la période de clôture.

Données : données de compte et de contact des utilisateurs et des conducteurs du Client ; données des bornes, des sites et de configuration ; données de session et de comptage ; identifiants des cartes de recharge ; statut de paiement ; communications avec le support.

Personnes concernées : les salariés, clients, conducteurs et autres utilisateurs des Bornes du Client.

Conservation : nos durées standard figurant dans notre Politique de confidentialité, que le Client accepte comme son instruction. Nous annonçons une durée standard plus longue comme la clause 5.1 le prévoit pour un sous-traitant ultérieur ; une durée plus courte ne nécessite aucune annonce. À la fin, la clause 10.1.

Mesures techniques et organisationnelles : chiffrement en transit (TLS) pour le trafic web, d'application et d'API et pour les Bornes connectées en wss, pas pour une connexion non chiffrée (ws) choisie par le Client pour une Borne ou un Service tiers (Conditions générales, clause 8.5) ; accès fondé sur les rôles selon le besoin d'en connaître ; authentification à deux facteurs disponible pour le personnel ; sauvegardes et restauration ; surveillance et journalisation des erreurs ; gestion des vulnérabilités selon notre politique de Divulgation responsable ; obligation de confidentialité du personnel ; un processus documenté de réponse aux incidents.