TRAITEMENT DES DONNÉES
ACCORD ENTRE GAI ET LES RÉGIONS / MEMBRES GROUPAUTO
ACCORD DE TRAITEMENT DES DONNÉES ENTRE GAI ET LES RÉGIONS / MEMBRES GROUPAUTO
GROUPAUTO INTERNATIONAL (ci-après « GAI ») est un acteur de premier plan de la distribution de pièces de rechange. À ce titre, GAI anime des réseaux dont les membres assurent la distribution des pièces.
GAI a développé un projet permettant à ses Fournisseurs référencés GROUPAUTO de contacter les membres des réseaux GROUPAUTO afin de leur proposer leurs produits et services.
Dans le cadre de ce projet, GAI, les Régions GROUPAUTO et les Fournisseurs référencés GROUPAUTO traitent des données à caractère personnel relatives aux Régions, aux Distributeurs et aux Ateliers à différentes finalités, selon la nature des données traitées et les personnes concernées.
Le présent accord de traitement des données (l'« Accord ») a pour objet de définir les obligations de GAI ainsi que celles des Membres et des Régions dans le traitement des données à caractère personnel relatives aux Membres, Régions, Distributeurs et Ateliers.
Les Parties conviennent que GAI peut modifier ponctuellement les Annexes 1 et 2 de l'Accord. Le cas échéant, GAI en informe les Entités en temps utile.
En cas de contradiction entre les stipulations de l'Accord et tout autre document contractuel relatif au traitement des Données à caractère personnel visées à l'Annexe 2, les stipulations du présent Accord prévalent sur tout autre document.
À cette fin, GAI ainsi que les Régions et les Membres respectent les obligations prévues par l'Accord pour le traitement de ces données à caractère personnel en France.
1. Définitions
1.1. CNIL : désigne la Commission Nationale de l'Informatique et des Libertés (CNIL), autorité administrative indépendante française chargée de veiller au respect de la réglementation relative aux Données à caractère personnel en France, et/ou toute autorité localement compétente en la matière pour le territoire concerné par le Contrat.
1.2. Violation de données : désigne tout événement entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données à caractère personnel de la Personne concernée, ou l'accès non autorisé à celles-ci
1.3. Responsable de traitement : a le sens qui lui est donné par la Réglementation relative aux Données à caractère personnel.
1.4. Personne concernée : désigne la personne physique dont les Données à caractère personnel sont collectées et traitées à des fins marketing dans le cadre de l'Accord, et qui est salariée d'une Entité, d'un Atelier ou d'un Distributeur membre des réseaux de GAI.
1.5. Contrat de distribution : désigne le contrat conclu entre GAI et l'Entité, en vertu duquel GAI propose ses services de distribution à l'Entité.
1.6. Distributeurs : désigne les distributeurs de pièces membres de la Région GROUPAUTO nationale.
1.7. Entité : désigne indistinctement les Régions et/ou les Membres, leurs obligations au titre de l'Accord étant identiques.
1.8. Informations obligatoires : désigne l'ensemble des informations que le Responsable de traitement doit communiquer à la Personne concernée, conformément à l'Accord et à la Réglementation relative aux Données à caractère personnel.
1.9. RÉGION GROUPAUTO : désigne les régions désignées par GAI, composées d'entités Membres et non-Membres appartenant à GROUPAUTO en vertu d'un contrat de Membre GROUPAUTO ou d'une affiliation à un tel contrat.
1.10. Destinataire : a le sens qui lui est donné par la Réglementation relative aux Données à caractère personnel.
1.11. Réglementation relative aux Données à caractère personnel : désigne (i) la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, telle que modifiée en dernier lieu par l'ordonnance n° 2018-1125 du 12 décembre 2018, communément appelée « Loi Informatique et Libertés », (ii) le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, communément appelé Règlement général sur la protection des données ou « RGPD », et (iii) les lignes directrices et recommandations de la CNIL et/ou du Comité européen de la protection des données, sous forme d'avis et de lignes directrices.
1.12. Partie(s) : désigne GAI et/ou l'Entité.
1.13. Données à caractère personnel : a le sens qui lui est donné par la Réglementation relative aux Données à caractère personnel, s'agissant des données collectées et traitées dans le cadre du Contrat.
1.14. Droits spécifiques : désigne les droits reconnus aux Personnes concernées par la Réglementation relative aux Données à caractère personnel, et notamment : le droit d'accès, le droit de rectification, le droit à l'effacement, le droit à la limitation du traitement, le droit à la portabilité, le droit d'opposition, le droit de définir des directives post-mortem, le droit de ne pas faire l'objet d'une décision individuelle automatisée (y compris le profilage) et le droit d'introduire une réclamation auprès de la CNIL.
1.15. Fournisseurs référencés GROUPAUTO : désigne les fournisseurs de GAI et de ses membres qui adressent des courriels marketing et, plus généralement, prennent contact et proposent leurs produits et services.
1.16. Membre du réseau d'Ateliers : désigne un membre du réseau local EUROGARAGE ou TOP TRUCK, animé par le MEMBRE GROUPAUTO national.
2. Objet de l'Accord
L'Accord a pour objet de déterminer les droits, obligations et responsabilités de chaque Partie dans le traitement des Données à caractère personnel des Personnes concernées par le MEMBRE GROUPAUTO et par GAI, afin de permettre la collecte et la communication de ces données aux Fournisseurs référencés GROUPAUTO en vue d'opérations marketing auprès des Distributeurs et des Ateliers.
Les Parties conviennent que chacune détermine ses propres finalités et moyens dans le traitement des Données à caractère personnel des Distributeurs et des Ateliers visées à l'Annexe 1, et agit en qualité de responsable de traitement indépendant.
En application de l'Accord, GAI agit en qualité de seul Responsable de traitement pour le traitement des Données à caractère personnel des Personnes concernées des Entités visées à l'Annexe 2.
3. Entrée en vigueur – Durée
L'Accord entre en vigueur à la plus tardive des dates suivantes : (i) la mise en ligne de l'Accord sur l'Intranet GAI ou (ii) la date d'entrée en vigueur du Contrat de distribution. L'Accord demeure en vigueur pendant toute la durée du Contrat de distribution.
4. Traitement des Données à caractère personnel des Distributeurs et des Ateliers
Les Données à caractère personnel des Personnes concernées relevant des Distributeurs et des Ateliers sont collectées par l'Entité directement auprès de ces personnes, dans le cadre de leur intégration au réseau local de Distributeurs ou d'Ateliers GROUPAUTO.
4.1. Obligations de GAI
Les Données à caractère personnel collectées auprès des Ateliers et des Distributeurs sont conservées par GAI ou les Fournisseurs référencés GROUPAUTO pendant toute la durée d'adhésion de l'Atelier ou du Distributeur au réseau de GAI, puis détruites.
GAI garantit traiter l'ensemble des Données à caractère personnel des Distributeurs et des Ateliers conformément à la Réglementation relative aux Données à caractère personnel et s'engage notamment à prendre toutes les précautions nécessaires afin de :
Préserver la sécurité des Données à caractère personnel collectées et en encadrer l'accès.
Empêcher que lesdites Données à caractère personnel soient déformées, endommagées ou communiquées à des personnes non autorisées.
S'assurer que les personnes autorisées à traiter les Données à caractère personnel ainsi collectées s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale ou contractuelle de confidentialité appropriée.
Ne pas transférer de Données à caractère personnel en dehors de l'Espace économique européen, sauf à ce que l'une des garanties spécifiques imposées par la Réglementation relative aux Données à caractère personnel ait été adoptée et formalisée avec le ou les Destinataires des Données concernées.
Ne partager les Données à caractère personnel qu'avec des Destinataires, y compris les Fournisseurs référencés GROUPAUTO, respectant la Réglementation relative aux Données à caractère personnel.
Ne pas utiliser les Données à caractère personnel traitées à des fins autres que celles précisées par GAI au titre du Contrat de distribution et de l'Accord.
GAI garantit utiliser les Données à caractère personnel conformément à l'Accord, dans les limites des Informations obligatoires communiquées à la Personne concernée par l'Entité et dans les limites du consentement recueilli par cette dernière, sous réserve du respect par celle-ci de ses obligations contractuelles au titre du présent Accord et de ses obligations légales au titre de la Réglementation relative aux Données à caractère personnel.
GAI communique à l'Entité, en temps utile, toutes les informations nécessaires pour lui permettre de satisfaire à ses obligations d'Informations obligatoires envers les Personnes concernées et de recueillir leur consentement en vue de l'exécution du Contrat de distribution conformément à l'Accord.
GAI communique, sur demande de l'Entité adressée au 147 Avenue Charles de Gaulle, 92200 Neuilly-sur-Seine, France, toute information sollicitée par cette dernière afin de s'assurer du respect de la Réglementation relative aux Données à caractère personnel lors du traitement des Données à caractère personnel par GAI, telles que, notamment, les mesures de sécurité mises en place pour assurer la protection des Données à caractère personnel et l'identité des Destinataires.
4.2. Obligations de l'Entité
L'Entité déclare et garantit fournir les Informations obligatoires aux Personnes concernées, et notamment :
Les finalités précises du traitement de leurs Données à caractère personnel collectées par l'Entité, conformément aux finalités communiquées par GAI.
Les sous-traitants liés au traitement de leurs Données à caractère personnel. Le cas échéant, l'Entité décide s'il y a lieu ou non de mettre à jour les informations communiquées aux Personnes concernées, en fonction de l'ampleur des mises à jour à apporter et après consultation de GAI et recueil de ses observations, et en supporte les conséquences.
L'information des Personnes concernées sur leur droit et leur faculté de s'opposer à tout moment au traitement de leurs Données à caractère personnel et à la réception d'opérations marketing.
Les grandes lignes du présent Accord.
La possibilité de consentir, de refuser ou de modifier le choix déjà exprimé, selon les mêmes modalités, par un acte positif clair, de manière indépendante et spécifique pour chaque finalité ou catégorie de finalités distincte de traitement des Données à caractère personnel.
En l'absence de consentement préalable de la Personne concernée au traitement de ses Données à caractère personnel, le cas échéant après consentement, aucune Donnée à caractère personnel ne doit être traitée par l'Entité ni transférée à GAI.
L'Entité doit être en mesure d'apporter une preuve certaine, individuelle et horodatée du recueil du consentement des Personnes concernées et de démontrer que le mécanisme mis en place, le cas échéant par un tiers, présente toutes les caractéristiques requises pour recueillir un consentement valable (libre, spécifique, éclairé et univoque) et respecte les obligations contractuelles de l'Entité au titre du présent Accord ainsi que ses obligations légales au titre de la Réglementation relative aux Données à caractère personnel.
5. Traitement des données des Entités
GAI traite les Données à caractère personnel des Personnes concernées des Entités afin de permettre l'envoi à celles-ci d'opérations commerciales et marketing par les Fournisseurs référencés GROUPAUTO, sur le fondement soit de l'exécution des relations contractuelles entre GAI et les Entités, soit du consentement des Personnes concernées.
Les Données à caractère personnel collectées sont conservées par GAI ou les Fournisseurs référencés GROUPAUTO pendant toute la durée d'adhésion des Entités au réseau de GAI, puis détruites.
Les Données à caractère personnel ne sont partagées avec les Fournisseurs référencés GROUPAUTO que pour leur permettre de mener des opérations marketing auprès des Entités.
GAI garantit traiter l'ensemble des Données à caractère personnel des Entités conformément à la Réglementation relative aux Données à caractère personnel et s'engage notamment à prendre toutes les précautions nécessaires afin de :
Préserver la sécurité des Données à caractère personnel collectées et en encadrer l'accès.
Empêcher que lesdites Données à caractère personnel soient déformées, endommagées ou communiquées à des personnes non autorisées.
S'assurer que les personnes autorisées à traiter les Données à caractère personnel ainsi collectées s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale ou contractuelle de confidentialité appropriée.
Ne pas transférer de Données à caractère personnel en dehors de l'Espace économique européen, sauf à ce que l'une des garanties spécifiques imposées par la Réglementation relative aux Données à caractère personnel ait été adoptée et formalisée avec le ou les Destinataires des Données concernées.
Ne partager les Données à caractère personnel qu'avec des Destinataires, y compris les Fournisseurs référencés GROUPAUTO, respectant la Réglementation relative aux Données à caractère personnel.
Ne pas utiliser les Données à caractère personnel traitées à des fins autres que celles précisées par GAI au titre du Contrat de distribution et de l'Accord.
6. Droits spécifiques de la Personne concernée
Chaque Personne concernée relevant des Entités, des Ateliers et des Distributeurs peut exercer les Droits spécifiques que lui confère la Réglementation relative aux Données à caractère personnel auprès de chacun des Responsables de traitement et à leur encontre. Les Parties se communiquent mutuellement toute demande d'une Personne concernée fondée sur ces Droits spécifiques dès sa réception, dès lors qu'elle porte sur un traitement de Données à caractère personnel réalisé dans le cadre du Contrat de distribution.
Les Parties examinent et analysent conjointement la demande de la Personne concernée dans un délai maximum de cinq (5) jours ouvrés et désignent conjointement, dans le même délai, la Partie qui répondra à la Personne concernée. Il est convenu que l'exercice de leurs Droits spécifiques par les Personnes concernées des Entités est traité en priorité par les Entités, sauf circonstances particulières justifiant que GAI prenne en charge la demande.
La Partie concernée traite la demande conformément à la Réglementation relative aux Données à caractère personnel et rend compte à l'autre Partie des suites données à la demande de la Personne concernée.
7. Violation de données et communication
Les Parties s'engagent à se notifier mutuellement, dans les meilleurs délais et dans un délai ne pouvant excéder 36 heures à compter de sa connaissance, toute Violation de données mettant en péril les Données à caractère personnel ou ayant des conséquences sur celles-ci.
Afin notamment de permettre aux Parties de maîtriser leur communication, chacune des Parties s'engage à ne pas informer de tiers, y compris les Personnes concernées ou la CNIL, à l'exception le cas échéant des Fournisseurs référencés GROUPAUTO concernés, d'une Violation de données survenue dans le cadre de l'Accord dont elle a eu connaissance, sans avoir obtenu l'accord écrit préalable de l'autre Partie dans un délai de quarante-huit (48) heures. À défaut d'obtenir cet accord écrit préalable, chaque Partie peut informer les tiers sans que sa responsabilité directe ou indirecte puisse être engagée de ce fait par l'autre Partie.
Les Parties désignent conjointement la ou les Parties habilitées à communiquer sur la Violation de données, étant précisé que GAI est prioritaire pour toute Violation de données trouvant son origine dans un traitement de Données à caractère personnel opéré par GAI et/ou une Entité dans l'exécution de l'Accord.
Les Parties se réunissent ensuite dans les douze (12) heures ouvrées suivant la notification de la Violation de données afin de déterminer :
La documentation nécessaire à la notification de cette Violation de données à la CNIL dans les 72 heures, ainsi que toute documentation complémentaire à transmettre à la CNIL après notification.
Les formes et modalités de la notification.
S'il est ou non nécessaire de notifier la violation de données aux personnes concernées.
La documentation nécessaire à la notification de la violation aux personnes concernées.
Les formes et modalités de la notification.
8. Registre des traitements
Chaque Partie s'engage à mettre à jour, au moins une fois par an, un registre des traitements qu'elle réalise au titre de l'Accord.
Le registre des traitements est tenu par le Délégué à la protection des données et/ou un interlocuteur privilégié de la Partie et comporte au minimum les informations suivantes :
Le nom et les coordonnées de la Partie et de son DPO.
Les finalités des traitements de données à caractère personnel identifiés.
Une description des catégories de personnes concernées et des catégories de données à caractère personnel.
Les catégories de destinataires auxquels les Données à caractère personnel ont été et/ou seront communiquées, y compris les destinataires situés en dehors de l'Espace économique européen.
Le cas échéant, les transferts de Données à caractère personnel vers des Destinataires situés en dehors de l'Espace économique européen, l'identification du pays tiers ou de l'organisation internationale et, en cas de tels transferts, les documents justifiant des garanties mises en œuvre conformément à la Réglementation relative aux Données à caractère personnel.
Une description générale des mesures de sécurité techniques et organisationnelles adoptées.
9. Fournisseurs référencés GROUPAUTO
GAI veille à disposer d'un accord écrit avec les Fournisseurs référencés GROUPAUTO garantissant la conformité des prestations fournies par ces derniers à la Réglementation relative aux Données à caractère personnel ainsi que la bonne exécution du Contrat de distribution et de l'Accord.
10. Garanties et responsabilité
En cas de litige, de réclamation et/ou d'action d'un tiers invoquant l'atteinte à l'un de ses droits, ou en cas de contrôle de la CNIL donnant lieu à une amende, seule la Partie responsable de l'élément en cause est, le cas échéant, tenue pour responsable. Afin de déterminer les Parties responsables et la part de leur responsabilité, les Parties peuvent se référer à la décision de la CNIL et/ou à toute décision de justice définitive.
En cas de causalité mixte d'une réclamation résultant d'éléments fournis par les Parties, leur responsabilité conjointe peut être retenue à hauteur de cette causalité.
Chaque Partie s'engage en conséquence à indemniser l'autre Partie de tout préjudice de quelque nature que ce soit que celle-ci pourrait subir du fait d'une contestation ou d'une sanction et, en tout état de cause, s'engage à régler les dommages et intérêts auxquels l'autre Partie pourrait être condamnée, ainsi que tous les frais résultant de toute action judiciaire ou extrajudiciaire engagée par un tiers ou par la CNIL, ou résultant d'une violation de données.
Aucune transaction ne peut être conclue sans l'accord de chacune des Parties.
Chaque Partie ne peut être tenue responsable qu'au titre de la réparation d'un préjudice certain, personnel et direct subi par l'autre Partie, à l'exclusion de tout préjudice indirect, tel qu'une perte de chiffre d'affaires, de clientèle ou d'image, subi par l'autre Partie du fait de l'exécution ou de l'inexécution, même partielle, du présent Accord.
Chaque Partie met tout en œuvre pour minimiser le préjudice qu'elle pourrait subir du fait de l'application du présent Accord.
En aucun cas une Partie ne peut être tenue responsable des traitements de données à caractère personnel réalisés par l'autre Partie pour lesquels elle n'agit pas en qualité de responsable conjoint avec cette dernière.
11. Collaboration
Les Parties s'engagent à collaborer et à coopérer activement, à se communiquer ou à faciliter mutuellement la consultation ou la transmission en temps utile de tous les éléments et/ou documents nécessaires à la bonne exécution de leurs obligations au titre de l'Accord, et à se réunir dans les meilleurs délais en cas de difficultés d'exécution.
Chaque Partie s'engage à se comporter à tout moment envers l'autre Partie en partenaire loyal et de bonne foi et, en particulier, à l'informer sans délai de tout litige ou difficulté qu'elle rencontrerait dans l'exécution de l'Accord.
Les Parties ont désigné un Délégué à la protection des données et un interlocuteur unique pour l'ensemble des notifications prévues par le présent Accord, dont les coordonnées figurent ci-dessous :
Toutes les notifications requises au titre de l'Accord sont effectuées par écrit et adressées aux adresses ci-dessus. Toute notification faite conformément aux stipulations du présent article prend effet : (a) au moment de la remise, en cas de remise en main propre contre récépissé ; (b) à la date de première présentation de la lettre à son destinataire par les services de La Poste, en cas d'envoi par lettre recommandée avec accusé de réception ; ou (c) à la date d'envoi de la notification par courrier électronique.
Annexe 1 : Données à caractère personnel des Ateliers et des Distributeurs traitées
Les Données à caractère personnel des Personnes concernées relevant des Ateliers et des Distributeurs sont les suivantes :
Nom du contact
Numéro de téléphone du contact
Adresse e-mail du contact
Annexe 2 : Données à caractère personnel des Entités traitées
Les Données à caractère personnel des Personnes concernées relevant des Entités sont les suivantes :
Nom du contact
Numéro de téléphone du contact
Adresse e-mail du contact