Accord de sous-traitance Leopol Fleet (article 28 du RGPD)

Versie 2026-10-30 / Version 2026-10-30

TrapSpotter BV · Trekschurenstraat 245, 3500 Hasselt, Belgique · numéro d'entreprise 1031.603.017 (RPM Anvers, division Hasselt) · TVA BE1031603017 · privacy@trapspotter.com

Le présent accord de sous-traitance est le contrat visé à l'article 28 du règlement général sur la protection des données (règlement (UE) 2016/679, RGPD). Il fait partie des conditions professionnelles de Leopol Fleet et s'applique entre l'entreprise qui utilise la console (le client), en tant que responsable du traitement, et TrapSpotter BV (Leopol), en tant que sous-traitant. Les termes utilisés ont le sens que leur donne le RGPD.

1Objet

1.1 Leopol traite des données à caractère personnel pour le compte du client afin de fournir la console et les fonctions de Fleet. L'annexe 1 décrit, pour chaque fonction, l'objet, la nature, la finalité, les personnes concernées, les données et la durée de conservation.

1.2 Pour le traitement des données à caractère personnel, le présent accord prévaut sur les conditions professionnelles.

2Rôles

2.1 Le client est responsable du traitement pour les données de l'annexe 1. Il détermine les finalités, dispose d'une base juridique pour chaque traitement (pour les données relatives aux infractions routières, également d'un fondement admis par l'article 10 du RGPD, voir l'annexe 4), informe les personnes concernées et répond à leurs demandes. Il détermine aussi, avec les moyens que le service fournit, la manière dont les pauses, le temps privé et le temps en dehors du travail restent en dehors de l'enregistrement (conditions professionnelles, article 9.3), et prend à cet effet les mesures que le RGPD exige d'un responsable du traitement (articles 24 et 25 du RGPD).

2.2 Leopol est sous-traitant pour ces données.

2.3 Leopol est elle-même responsable du traitement, en dehors du présent accord, pour : le compte Leopol personnel de chaque utilisateur et l'utilisation qu'il fait de l'application en dehors des fonctions de l'annexe 1 (comme les alertes, la navigation, les signalements et Leopol Pro), les données contractuelles et de facturation du client et de ses personnes de contact, la sécurité du service et la prévention des abus, et les statistiques qui n'identifient personne. La politique de confidentialité de Leopol décrit ces traitements.

3Instructions

3.1 Leopol ne traite les données que sur instruction documentée du client, y compris en ce qui concerne les transferts vers un pays tiers. Les instructions sont : le présent accord, les conditions professionnelles, et ce que le client et ses gestionnaires paramètrent ou font dans la console. Le client donne toute autre instruction par écrit.

3.2 Si le droit de l'Union ou le droit d'un État membre oblige Leopol à procéder à un traitement sans instruction, elle en informe le client au préalable, sauf si ce droit interdit cette information.

3.3 Si Leopol estime qu'une instruction enfreint le RGPD ou d'autres dispositions relatives à la protection des données, elle en informe immédiatement le client. Elle n'est alors pas tenue d'exécuter l'instruction tant que le client ne l'a pas confirmée ou modifiée.

4Confidentialité

4.1 Seuls les collaborateurs et les prestataires de Leopol qui ont besoin des données pour leur mission y ont accès, et ils sont tenus à une obligation de confidentialité.

4.2 La console d'administration de Leopol ne montre aux collaborateurs aucun trajet, itinéraire, adresse ou position, et ne permet pas d'ouvrir la console d'un client. Seuls les administrateurs techniques ont un accès technique à la base de données, pour la maintenance, la sécurité et la correction d'erreurs. Pour l'assistance, Leopol ne consulte les données d'un client que si celui-ci le demande, et uniquement ce qui est nécessaire à cette fin.

5Sécurité

Leopol prend les mesures techniques et organisationnelles de l'annexe 2 (article 32 du RGPD) et les maintient à niveau. Elle peut les adapter, à condition que le niveau de protection ne baisse pas.

6Sous-traitants ultérieurs

6.1 Le client donne à Leopol une autorisation générale de faire appel aux sous-traitants ultérieurs de l'annexe 3.

6.2 Leopol informe par e-mail le propriétaire du compte entreprise dans la console, au moins 30 jours à l'avance, de tout sous-traitant ultérieur nouveau ou remplaçant. Le client peut, dans ce délai, s'y opposer de manière motivée. Si les parties ne trouvent pas de solution, le client peut mettre fin au contrat avant que le sous-traitant ultérieur ne commence ; ce qu'il a payé à l'avance pour la période postérieure est remboursé.

6.3 Leopol impose contractuellement à chaque sous-traitant ultérieur des obligations en matière de protection des données qui correspondent au présent accord (article 28, paragraphe 4, du RGPD), et demeure pleinement responsable devant le client de leur exécution.

7Transferts hors de l'Espace économique européen

7.1 La base de données et les fichiers du service se trouvent dans l'Union européenne (Stockholm, Suède), les serveurs propres de Leopol en Allemagne et en Finlande (annexe 3, point 2). Certains sous-traitants ultérieurs traitent des données dans un pays situé hors de l'Espace économique européen (EEE) ou depuis un tel pays ; l'annexe 3 indique lesquels et où.

7.2 Un tel transfert n'a lieu qu'avec une garantie prévue au chapitre V du RGPD : une décision d'adéquation de la Commission européenne (pour les États-Unis : le cadre de protection des données UE-États-Unis, pour les entreprises certifiées dans ce cadre) ou les clauses contractuelles types de la Commission européenne. L'annexe 3 indique la garantie pour chaque sous-traitant ultérieur.

7.3 Si le client est établi en dehors de l'Espace économique européen, le transfert de données à caractère personnel par Leopol au client (dans la console, dans les exports et par e-mail) est régi par les clauses contractuelles types de la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021, module quatre : transfert de sous-traitant à responsable du traitement (article 46, paragraphe 2, point c), du RGPD). Les parties les concluent en acceptant les conditions professionnelles ; elles font partie du présent accord, complétées comme suit :

• Leopol est l'exportateur de données, en tant que sous-traitant ; le client est l'importateur de données, en tant que responsable du traitement ;
• la clause 7 (clause d'adhésion) et l'option de la clause 11, point a) (un organe indépendant de règlement des litiges), ne sont pas retenues ;
• clause 17 : les clauses sont régies par le droit belge ; clause 18 : les litiges sont tranchés par les juridictions belges ;
• annexe I.A : les parties telles qu'indiquées dans les conditions professionnelles et dans la console, avec privacy@trapspotter.com comme point de contact de Leopol et le propriétaire du compte entreprise dans la console comme point de contact du client ; l'acceptation dans la console vaut signature et date ;
• annexe I.B : les personnes concernées, les données, la nature et les finalités de l'annexe 1 ; données sensibles : les données relatives aux amendes (article 10 du RGPD), avec les restrictions de l'annexe 1, point 8, et de l'annexe 2 ; le transfert est continu, tant que le client utilise le service ; conservation chez Leopol selon l'annexe 1 et l'article 11, chez le client selon ce qu'il détermine en tant que responsable du traitement.

En cas de contradiction, les clauses contractuelles types prévalent (clause 5). Si une décision d'adéquation de la Commission européenne couvre le pays du client (article 45 du RGPD), le transfert repose également sur celle-ci.

8Assistance

8.1 Demandes des personnes concernées. Dans la console, le client peut consulter, exporter et rectifier les données, supprimer des véhicules et des documents, et désactiver des membres et des clients. Ce que le client ne peut pas faire lui-même, comme l'effacement de trajets, Leopol l'exécute sur demande écrite du client dans un délai de dix jours ouvrables.

8.2 Si Leopol reçoit elle-même une demande d'une personne concernée relative à des données du client, elle la transmet au client dans un délai de cinq jours ouvrables et n'y répond pas sur le fond, sauf si le client le demande.

8.3 Leopol aide le client en ce qui concerne la sécurité, l'analyse d'impact relative à la protection des données (AIPD) et une éventuelle consultation préalable de l'autorité de contrôle, au moyen des informations dont elle dispose, dont les présentes annexes et le modèle d'AIPD pour la Belgique, les Pays-Bas, le Luxembourg, la France et l'Allemagne.

8.4 Cette assistance est gratuite, sauf pour les demandes manifestement infondées ou excessives ; Leopol peut alors, après accord du client, demander des frais raisonnables.

9Violations de données à caractère personnel

9.1 Leopol notifie toute violation de données à caractère personnel du client dans les meilleurs délais et au plus tard dans les 48 heures après en avoir pris connaissance, par e-mail au propriétaire et aux gestionnaires du compte entreprise, ou à l'adresse que le client indique à cet effet.

9.2 La notification contient, dans la mesure où ces éléments sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et de données, les conséquences probables, les mesures prises et proposées, et une personne de contact. Les éléments encore inconnus sont communiqués dès qu'ils sont connus.

9.3 Le client décide de la notification à l'autorité de contrôle et de la communication aux personnes concernées (articles 33 et 34 du RGPD) ; Leopol l'aide à cet égard et documente la violation.

10Informations et audits

10.1 Leopol met à la disposition du client les informations nécessaires pour démontrer qu'elle respecte le présent accord : notamment le présent accord et ses annexes, une description des mesures et la liste des sous-traitants ultérieurs.

10.2 Si ces informations ne suffisent pas, le client peut faire réaliser, à ses frais, un audit par un auditeur indépendant tenu à une obligation de confidentialité. Un audit a lieu au maximum une fois par an (sauf après une violation ou à la demande d'une autorité de contrôle), sur la base d'un plan écrit communiqué au moins 30 jours à l'avance, pendant les heures de bureau, et sans accès aux données d'autres clients. Pour les sous-traitants ultérieurs, leurs propres rapports d'audit et certificats s'appliquent.

11Conservation et fin

11.1 Pendant la durée de l'accord, les durées de conservation de l'annexe 1 s'appliquent. Le client peut à tout moment demander par écrit que des données soient effacées plus tôt ; Leopol y procède dans un délai de dix jours ouvrables.

11.2 Après la fin de l'abonnement, le client peut encore exporter ses données dans la console pendant 30 jours. Ensuite, Leopol efface dans les 30 jours toutes les données de l'annexe 1, sauf si le droit de l'Union ou le droit d'un État membre exige leur conservation. Les données effacées disparaissent des sauvegardes lorsque celles-ci expirent, dans un délai de 30 jours au maximum, et de la copie mensuelle des fichiers conservés (annexe 2) dans un délai de 35 jours au maximum.

11.3 Sur demande, Leopol confirme l'effacement par écrit.

11.4 Si le client n'a jamais eu d'abonnement ni de pilote et n'a jamais payé, Leopol efface toutes les données de l'annexe 1 dès qu'aucun propriétaire ni gestionnaire n'a ouvert la console pendant 90 jours, et au plus tôt 30 jours après en avoir informé le propriétaire par e-mail (conditions professionnelles, article 17.4), sauf si le droit de l'Union ou le droit d'un État membre exige leur conservation. Les données effacées disparaissent des sauvegardes comme à l'article 11.2.

12Responsabilité

À l'égard des personnes concernées, l'article 82 du RGPD s'applique. Entre les parties, le régime de responsabilité des conditions professionnelles s'applique, sauf dans la mesure où la loi l'interdit.

13Durée, droit applicable et juridiction compétente

Le présent accord s'applique aussi longtemps que Leopol traite des données à caractère personnel pour le compte du client. Le présent accord est régi par le droit belge ; les litiges sont soumis à la juridiction désignée par les conditions professionnelles.

14Statistiques de circulation anonymes

14.1 Le client donne par la présente à Leopol l'instruction documentée (article 28, paragraphe 3, point a), du RGPD) d'anonymiser la vitesse contenue dans les positions en direct de ses chauffeurs en statistiques de circulation, comme le prévoit le présent article. Le client apprécie si ce traitement ultérieur est compatible avec la finalité pour laquelle il collecte les données (article 6, paragraphe 4, du RGPD).

14.2 À cette fin, Leopol conserve, d'une position en direct avec une vitesse, un échantillon : la semaine et l'heure (en UTC), la position arrondie à environ 11 mètres, la vitesse en km/h entiers, la direction à 10 degrés près, et un code pour le chauffeur calculé avec la clé secrète (sel) de cette semaine. Un échantillon ne contient ni entreprise, ni nom, ni véhicule, ni trajet, ni heure exacte ; seulement des vitesses de 5 à 200 km/h, au plus 60 par personne et par heure. L'échantillon est pseudonymisé (article 4, point 5, du RGPD) et reste une donnée à caractère personnel jusqu'à son effacement avec la clé de cette semaine : 9 jours après la fin de la semaine, donc au plus une quinzaine de jours (environ 16) après la mesure. Jusque-là, Leopol traite les échantillons en statistiques sur son propre serveur à Helsinki (annexe 3, point 2).

14.3 Une statistique porte sur un tronçon de route et une semaine (par exemple la médiane et le 95e percentile des vitesses et la part qui dépasse la limite de plus de 10 km/h) et ne contient ni entreprise, ni chauffeur, ni véhicule, ni appareil, ni trajet, ni position exacte. Les échantillons ne comptent que sur les tronçons où se trouvent aussi, cette semaine-là, les données de trajets propres à Leopol : un par personne, tronçon et heure, et au plus trois par personne, tronçon et semaine. Une statistique n'est conservée que si, toutes sources confondues, elle repose sur au moins 20 personnes différentes et 50 trajets et que les échantillons de Fleet représentent au plus la moitié de ces personnes et de ces trajets ; un chiffre pour les heures de pointe ou en dehors seulement si cette partie compte elle-même au moins 50 trajets. Les statistiques ainsi établies sont anonymes (considérant 26 du RGPD ; groupe de travail « Article 29 », avis 05/2014 sur les techniques d'anonymisation) et ne sont donc plus des données à caractère personnel. Leopol les utilise comme ses propres données, uniquement elle-même, pour ses propres statistiques de circulation et de conduite : elle ne les transmet pas, ne les partage pas et ne les vend pas. Elle ne tente jamais de les relier à une personne, un véhicule ou une entreprise.

14.4 Le client peut retirer cette instruction par e-mail à privacy@trapspotter.com ; Leopol l'exécute dans les dix jours ouvrables et efface alors aussi les échantillons de ses chauffeurs encore conservés. Les statistiques déjà établies subsistent : elles n'identifient personne.

Annexe 1. Description du traitement

Nature du traitement. Collecte via l'application et la console, conservation, organisation, affichage, calcul (heures, kilomètres, indemnités), export, envoi (e-mails, notifications push) et effacement.

Personnes concernées. Propriétaires et gestionnaires du client ; chauffeurs (membres du personnel et autres collaborateurs que le client invite) ; personnes invitées ; personnes de contact des clients du client.

Durée. Pendant toute la durée de l'accord, puis pendant le délai prévu à l'article 11.

Mode de travail. Les données des points 12 à 14 ne sont enregistrées qu'en mode pointeuse (conditions professionnelles, article 3.6). En mode sans suivi, aucune journée de travail, aucun trajet et aucune position ne sont enregistrés (points 2 à 4). En mode trajets, une pause reste en dehors de l'enregistrement lorsque le chauffeur termine la journée de travail : entre « Terminer la journée » et le « Démarrer la journée » suivant, rien n'est enregistré (conditions professionnelles, articles 3.2 et 9.3).

Par fonction :

1. Membres et invitations. Données : prénom, nom, adresse e-mail, téléphone, fonction, numéro de personnel, notes, rôle, statut, siège (une place de chauffeur payante), si un propriétaire ou un gestionnaire fait aussi enregistrer ses propres trajets professionnels, dates d'invitation, d'acceptation et de départ. Finalité : gérer les accès et les sièges. Conservation : tant que le membre existe ; un membre parti ou retiré reste conservé tant que des données de travail y sont liées, au plus tard jusqu'à la fin de l'accord. Une invitation est valable 7 jours et est effacée au plus tard 90 jours après son envoi, dès qu'elle a été utilisée ou révoquée, ou qu'elle a expiré.

2. Journées de travail. Données : début et fin, motif de la fin (arrêt par le chauffeur, arrêt automatique, fin des heures de travail, fin de l'abonnement, départ, changement de mode de travail), le véhicule ou la voiture personnelle, les heures de travail fixées par le client, pour l'entreprise ou par chauffeur, et, en mode pointeuse, si la journée doit être vérifiée (par exemple arrêtée automatiquement ou chantier inconnu). Finalité : temps de travail et kilomètres par journée de travail, et limiter l'enregistrement aux heures de travail. Conservation : jusqu'à la fin de l'accord, sauf si le client demande l'effacement plus tôt.

3. Trajets. Données : heures de début et de fin, positions de début et de fin avec l'adresse, l'itinéraire suivi (simplifié), la distance, le client, le véhicule ou la voiture personnelle, une note, et si le trajet est privé. D'un trajet privé, seules l'heure et la distance restent dans les données du client : les lieux, l'itinéraire et le client sont définitivement effacés du trajet, et la base de données n'accepte aucun trajet privé contenant de telles données. Les lieux et l'itinéraire sont conservés à part pour le seul chauffeur, qui les voit dans l'app : Leopol les conserve pour le chauffeur en tant que responsable du traitement à part entière, et non en tant que sous-traitant du client, et ne les met jamais à la disposition du client, de ses gestionnaires, de la console, d'un export ou d'un rapport. Ils sont effacés 60 jours après le trajet, lorsque le chauffeur quitte l'entreprise ou en est retiré, lorsque le chauffeur les supprime ou supprime son compte, et avec l'entreprise. Finalité : justifier les trajets et les visites, calculer les kilomètres et les indemnités. Conservation : l'itinéraire suivi et les positions exactes de départ et d'arrivée sont effacés 60 jours après le trajet ; dans tous les pays sauf la Belgique, les Pays-Bas et l'Allemagne, les adresses de départ et d'arrivée aussi. Le reste (heures, distance, client, véhicule, note et, ailleurs, les adresses) comme pour les journées de travail.

4. Positions en direct (uniquement si le client les active). Données : position, direction et vitesse selon le téléphone, et l'heure (la vitesse uniquement en Belgique et aux Pays-Bas et dans les pays où la console l'affiche) ; au maximum une fois par minute, uniquement pendant une journée de travail, jamais pendant un trajet privé et, en mode pointeuse, jamais pendant une pause. La console n'affiche la vitesse que dans un pays dont la loi permet à un employeur de la voir (conditions professionnelles 3.2 et 9.3) ; ailleurs, elle affiche la position, pas la vitesse. Finalité : savoir qui se trouve où pendant le travail (planification, assistance). Conservation : effacées après 30 minutes, à la fin de la journée de travail, lorsque le chauffeur quitte l'entreprise, et immédiatement pour tous les chauffeurs lorsque le client désactive les positions en direct. D'une position avec une vitesse, Leopol peut conserver un échantillon pseudonymisé, qui existe au plus une quinzaine de jours puis entre dans des statistiques de circulation anonymes (article 14).

5. Clients et adresses. Personnes concernées : clients du client et leurs personnes de contact. Données : nom, adresse, position, étiquette, personne de contact, téléphone, note. Finalité : afficher les adresses dans l'application, où les chauffeurs les trouvent en faisant une recherche, et relier les trajets aux visites. Conservation : jusqu'à la fin de l'accord, sauf si le client demande l'effacement plus tôt.

6. Véhicules et documents. Données : plaque d'immatriculation, marque, modèle, année de construction, carburant, kilométrage, chauffeur attribué et les attributions dans le temps (qui avait le véhicule et quand), et pour le matériel aussi son numéro propre, son type, sa catégorie, son numéro de série et son fournisseur ; type de document (par exemple certificat d'immatriculation, assurance, contrôle technique, carte verte ou contrat de leasing), référence, date d'expiration, et un scan ou une photo du document. Les scans sont conservés dans un stockage à accès restreint : seuls le propriétaire et les gestionnaires, ainsi que le chauffeur à qui le véhicule est attribué ou qui l'utilise pour une journée de travail, les voient, via des liens valables cinq minutes. Un e-mail au propriétaire et aux gestionnaires 30 et 7 jours avant l'expiration d'un document. Finalité : gérer le parc de véhicules et ses papiers, et savoir à qui un véhicule est attribué et qui le conduisait. Conservation : jusqu'à ce que le client les supprime, au plus tard jusqu'à la fin de l'accord.

7. Reçus. Données : date, type, commerçant, montant, TVA, litres, photo, statut, qui a décidé et quand. Les photos sont conservées dans un stockage à accès restreint : seuls le chauffeur qui les a envoyées ainsi que le propriétaire et les gestionnaires les voient, via des liens valables cinq minutes. Finalité : rembourser les frais. Conservation : jusqu'à la fin de l'accord, sauf si le client demande l'effacement plus tôt. Le client conserve lui-même ce qu'il doit conserver pour sa comptabilité.

8. Amendes (par « Qui conduisait ? » ; uniquement le propriétaire et les gestionnaires). Personnes concernées : chauffeurs. Données : plaque d'immatriculation, date, heure et lieu de l'infraction, référence de l'autorité, date du courrier, délai, statut, le chauffeur au nom duquel le client enregistre l'amende et le trajet trouvé, la question posée au chauffeur et sa réponse, notes. Il s'agit de données relatives à des infractions au sens de l'article 10 du RGPD. Finalité : établir qui conduisait et, lorsque la loi l'exige, désigner le conducteur dans le délai (annexe 4). Conservation : effacées automatiquement à l'issue du délai du pays du client : en Belgique, 24 mois après l'infraction ; en France et au Luxembourg, 45 jours après la date du courrier (à défaut de cette date, 90 jours après l'infraction) ; aux Pays-Bas, en Allemagne et dans tout autre pays, 30 jours après que le client a clôturé l'amende, et sinon au plus tard 24 mois après l'infraction. Le client peut effacer les amendes plus tôt, et le fait lorsque le droit qui lui est applicable ou son autorité de contrôle le demande (annexe 4).

9. Relevé kilométrique. Calculé à partir des journées de travail et des trajets lorsque le client le demande : kilomètres professionnels avec la voiture personnelle et avec un véhicule de société, nombre de trajets privés (sans les lieux), journées de travail, heures et indemnité ; par client : visites, kilomètres et temps passé sur place. Finalité : préparer l'indemnité kilométrique et la facturation aux clients. Conservation : il n'est pas conservé séparément.

10. Journal d'activité. Données : qui a fait quoi dans la console et quand (par exemple un membre invité ou retiré, un paramètre modifié). Finalité : sécurité et responsabilité. Conservation : jusqu'à la fin de l'accord.

11. E-mails et notifications push. Données : nom, adresse e-mail et nom de l'entreprise dans les invitations ; pour les chauffeurs, une notification push en cas de question concernant une amende ou lorsque le serveur a mis fin à une journée de travail ; pour les propriétaires et les gestionnaires, des rappels concernant les documents et les délais des amendes. Finalité : les fonctions ci-dessus. Conservation : les fournisseurs conservent les journaux d'envoi conformément à l'annexe 3.

12. Pointeuse (uniquement en mode pointeuse). Données : pour chaque tâche, pause ou départ, le début et la fin, le chantier ou l'adresse (pour un départ aussi la destination), l'activité, le type de travail et le sous-type, le matériel utilisé, une note, et la position au début de la tâche, arrondie à environ 100 mètres ; pour une pause, uniquement le début et la fin, sans lieu, matériel ni position ; en cas de correction ou d'ajout par un gestionnaire : qui, quand, le motif et l'enregistrement d'origine. La position au moment du pointage d'arrivée sert uniquement à proposer le chantier le plus proche et n'est pas conservée. Finalité : enregistrer et vérifier le temps de travail par tâche, chantier et élément de matériel, calculer les heures et imputer les coûts par chantier. Conservation : comme pour les journées de travail ; la position au début d'une tâche est effacée 60 jours après la tâche, et plus tôt lorsqu'un ancien membre est effacé.

13. Dernier lieu du matériel (uniquement en mode pointeuse). Données : un point par élément de matériel : la position, arrondie à environ 10 mètres, l'heure, le chantier, et la personne qui l'utilisait. Mis à jour lorsqu'une tâche avec ce matériel se termine et, tant que cette tâche est en cours, avec la position du téléphone, au maximum toutes les 45 secondes, même si les positions en direct sont désactivées ; jamais pendant une pause et jamais en dehors de la journée de travail ou des heures de travail. Chaque nouveau lieu remplace le précédent : il n'y a pas d'historique. Finalité : savoir où se trouve le matériel. Conservation : jusqu'à la suppression du matériel, au plus tard jusqu'à la fin de l'accord ; la personne qui l'utilisait est effacée 60 jours après l'heure, et plus tôt lorsqu'elle est effacée en tant qu'ancien membre.

14. Exports d'heures (uniquement en mode pointeuse). Calculés à partir des journées de travail et de la pointeuse lorsque le client les demande : par chauffeur et par jour (arrivée, départ, pause, temps travaillé, chantiers), par centre de coûts (chantier, activité, type de travail, sous-type et note), par élément de matériel et par chantier. Finalité : préparer la paie, la facturation aux clients et les coûts par chantier. Conservation : non conservés séparément.

Annexe 2. Mesures techniques et organisationnelles

• Hébergement dans l'UE. Base de données, stockage de fichiers et fonctions serveur chez Supabase dans la région AWS eu-north-1 (Stockholm, Suède) ; serveurs propres chez Hetzner à Falkenstein (Allemagne) et à Helsinki (Finlande).
• Chiffrement. TLS pendant le transport ; chiffrement des données stockées par le fournisseur d'hébergement.
• Accès via des fonctions contrôlées. Les applications et les navigateurs n'ont pas d'accès direct aux tables (row level security sur chaque table, sans droits pour les utilisateurs). À chaque appel, chaque fonction vérifie qui est l'utilisateur, à quelle entreprise il appartient, quel est son rôle, et si l'entreprise est active.
• Rôles. Propriétaire, gestionnaire et chauffeur. Un chauffeur ne voit que ses propres données. Les amendes ne sont visibles que pour le propriétaire et les gestionnaires.
• Enregistrement minimal. Fleet n'enregistre que pendant une journée de travail, avec un arrêt automatique, et pendant les heures de travail si le client les fixe ; le chauffeur peut terminer la journée de travail à tout moment, par exemple pour une pause, et rien n'est enregistré jusqu'à ce qu'il en démarre une nouvelle. Les trajets privés sont expurgés de leurs lieux et de leur itinéraire dans les données du client sur le serveur ; seul le chauffeur les voit encore, dans un stockage propre qu'aucune fonction du client ne peut lire. Les positions en direct sont désactivées par défaut, au maximum une par minute, et effacées après 30 minutes. Les amendes sont effacées à l'issue du délai du pays, au plus tard 24 mois après l'infraction. En mode pointeuse, aucune position n'est conservée pendant une pause et le service ne garde que le dernier lieu du matériel ; en mode sans suivi, aucune journée de travail, aucun trajet et aucune position ne sont enregistrés.
• Invitations. Une clé aléatoire de 256 bits, dont seul le hachage est conservé ; valable 7 jours et utilisable une seule fois.
• Reçus et scans de documents. Stockage à accès restreint ; lisibles uniquement via des liens valables cinq minutes.
• Abus. Limitation du nombre de requêtes pour les opérations d'écriture et les fonctions sensibles ; protection contre les robots lors de la connexion à la console.
• Journal d'activité. Les actions effectuées dans la console sont journalisées.
• Collaborateurs de Leopol. Accès selon le besoin et avec une obligation de confidentialité ; la console d'administration ne montre aucun trajet, itinéraire, adresse ou position et ne permet pas d'ouvrir la console d'un client.
• Secrets. Les clés sont conservées dans les environnements d'administration des fournisseurs, pas dans le code source.
• Vulnérabilités. Contrôle quotidien des logiciels utilisés afin de détecter les vulnérabilités connues.
• Tests. Des tests automatisés vérifient les règles d'accès par rôle.
• Rapports d'erreurs. Les erreurs sont signalées avec des données techniques (type d'erreur, version, appareil, identifiant de l'utilisateur), sans le contenu des trajets ou des positions.
• Sauvegardes par le fournisseur d'hébergement, qui expirent dans un délai de 30 jours au maximum, une copie hebdomadaire chiffrée de la base de données sur notre propre stockage chez Hetzner en Allemagne, qui ne peut plus être lue après une semaine, et une copie mensuelle chiffrée des fichiers conservés (reçus et scans de documents), gardée jusqu'à la suivante et 35 jours au maximum.
• Incidents. Une procédure pour détecter, limiter et documenter les violations, et les notifier au client dans les 48 heures.

Annexe 3. Sous-traitants ultérieurs

Pour le service :

1. Supabase Pte. Ltd. (Singapour), avec Amazon Web Services comme fournisseur d'hébergement. Base de données, authentification, stockage de fichiers (y compris les photos des reçus et les scans des documents des véhicules) et fonctions serveur. Lieu : région AWS eu-north-1 (Stockholm, Suède) ; l'assistance fournie par Supabase, Inc. depuis les États-Unis peut impliquer un accès. Garantie : clauses contractuelles types (module 2) dans l'accord de sous-traitance de Supabase.

2. Hetzner Online GmbH (Gunzenhausen, Allemagne). Les serveurs propres de Leopol : la carte dans la console, la recherche d'une adresse (correspondant à une position et dans les champs d'adresse de la console), les temps de trajet de « Chauffeur le plus proche » (calculés par Leopol ou via TomTom, point 10) et le traitement des échantillons de vitesse en statistiques (article 14). Lieu : Falkenstein (Allemagne) et Helsinki (Finlande). Aucun transfert.

3. Mapbox, Inc. (États-Unis). Solution de secours pour la recherche de l'adresse correspondant à une position, lorsque le serveur propre ne répond pas. Ne reçoit que des coordonnées, ni nom ni identifiant d'utilisateur. Lieu : États-Unis. Garantie : cadre de protection des données UE-États-Unis ; clauses contractuelles types.

4. Plus Five Five, Inc. (Resend, États-Unis). Envoi d'e-mails (invitations, rappels). Envoi depuis l'Irlande ; les données des e-mails et les journaux sont conservés aux États-Unis. Garantie : clauses contractuelles types ; cadre de protection des données UE-États-Unis.

5. Functional Software, Inc. (Sentry, États-Unis). Rapports d'erreurs de l'application et de la console : type d'erreur, version, appareil, identifiant de l'utilisateur. Lieu : Union européenne (Francfort) ; certaines données de compte aux États-Unis. Garantie : cadre de protection des données UE-États-Unis ; clauses contractuelles types à titre subsidiaire.

6. Vercel Inc. (États-Unis). Hébergement de la console sur fleet.trapspotter.com : fournit les pages et reçoit à cette occasion l'adresse IP et des données techniques du navigateur. Lieu : réseau mondial. Garantie : cadre de protection des données UE-États-Unis ; clauses contractuelles types.

7. Cloudflare, Inc. (États-Unis). Protection contre les robots (Turnstile) lors de la connexion à la console : adresse IP et signaux techniques du navigateur. Lieu : réseau mondial. Garantie : cadre de protection des données UE-États-Unis ; clauses contractuelles types. Cloudflare utilise également ces signaux en tant que responsable du traitement distinct pour améliorer sa détection des bots.

8. Google LLC et Google Ireland Limited (Firebase Cloud Messaging). Notifications push vers les téléphones Android : le jeton de l'appareil et le texte de la notification. Garantie : cadre de protection des données UE-États-Unis ; clauses contractuelles types.

9. Apple Inc. (États-Unis, Apple Push Notification service). Notifications push vers les iPhone : le jeton de l'appareil et le texte de la notification. Apple ne propose pour ce service ni accord de sous-traitance ni clauses contractuelles types ; c'est pourquoi les notifications push du service ne contiennent qu'un texte général, sans plaque d'immatriculation, lieu ni infraction. Le chauffeur ne voit les détails que dans l'application.

10. TomTom International B.V. (Amsterdam, Pays-Bas). Là où le service utilise TomTom : l'adresse au début et à la fin d'un trajet et la recherche d'une adresse dans la console (actuellement en Belgique, à partir de la version 2.7.80 de l'application et de la console de cette version), et les temps de trajet de « Chauffeur le plus proche » (dans un budget mensuel ; sinon, le serveur propre de Leopol les calcule). Via le serveur propre de Leopol à Helsinki, TomTom ne reçoit que des coordonnées (les points de départ et d'arrivée, les positions en direct des chauffeurs en service et la position de l'adresse) et le texte recherché, jamais le nom, l'identifiant d'utilisateur ou l'adresse IP d'un chauffeur. TomTom est établie dans l'Union européenne.

Pour la facturation (Leopol en tant que responsable du traitement ; pour information) :

• Stripe Payments Europe, Limited (Irlande) : abonnement, paiements et factures ; transfert à Stripe, LLC (États-Unis) au titre du cadre de protection des données UE-États-Unis et de clauses contractuelles types.
• Billit NV (Gand, Belgique), dès que l'envoi via Peppol est actif : factures aux clients belges via le réseau Peppol ; serveurs en Europe.

Annexe 4. Base juridique des données relatives aux amendes (à titre informatif)

Le client détermine sa base juridique. La présente annexe résume ce que Leopol a trouvé ; elle ne constitue pas un conseil juridique. Un délai court à partir de la date que fixe la loi (généralement l'envoi ou la date du courrier), et non à partir de la réception.

• Belgique. La personne morale, ou la personne physique qui la représente en droit, communique l'identité du conducteur ou, si elle ne la connaît pas, celle de la personne responsable du véhicule, dans les 15 jours suivant l'envoi de la demande de renseignements (article 67ter de la loi relative à la police de la circulation routière). Quiconque ne le fait pas encourt, depuis le 1er septembre 2026, une amende de 1 600 € à 32 000 €, à majorer des décimes additionnels (article 29ter). Base juridique : article 6, paragraphe 1, point c), du RGPD. Article 10 du RGPD : article 10, § 1er, 1°, de la loi du 30 juillet 2018 (gestion de ses propres contentieux), à confirmer par le client ; le client tient la liste des catégories de personnes ayant accès et veille à ce qu'elles soient tenues à la confidentialité (article 10, § 2).

• Luxembourg. Le représentant légal de la personne morale titulaire du certificat d'immatriculation communique les données permettant d'identifier le conducteur dans les 45 jours suivant la date du courrier, avec un mois supplémentaire pour les personnes qui ne résident pas au Luxembourg (articles 4, 8, 8bis et 9 de la loi modifiée du 25 juillet 2015). Quiconque ne le fait pas encourt une amende de 1 000 € à 10 000 € (article 12). Base juridique : article 6, paragraphe 1, point c), du RGPD. Article 10 du RGPD : la même obligation légale ; nous n'avons pas trouvé de règle luxembourgeoise expresse pour les employeurs privés.

• France. Le représentant légal d'une personne morale titulaire du certificat d'immatriculation ou détentrice du véhicule communique l'identité et l'adresse du conducteur dans les 45 jours suivant l'envoi ou la remise de l'avis d'infraction, pour les infractions constatées par un appareil de contrôle automatique (article L121-6 du Code de la route). Quiconque ne le fait pas expose la personne morale à une amende forfaitaire de 675 € (1 000 € si l'infraction initiale est un délit). Base juridique : article 6, paragraphe 1, point c), du RGPD. Article 10 du RGPD : article 46 de la loi n° 78-17 du 6 janvier 1978 (Informatique et Libertés), avec les articles A121-1 et suivants du Code de la route, comme le confirme le référentiel 2021-043 de la CNIL relatif à la désignation des conducteurs. Ce référentiel recommande de conserver les données servant à la désignation pendant 45 jours à compter de la réception de l'amende ; le service les efface automatiquement 45 jours après la date du courrier (annexe 1), et le client peut les effacer plus tôt dans la console.

• Pays-Bas. Pour une amende relevant de la loi Mulder (WAHV), il n'existe pas d'obligation de désigner le conducteur : le titulaire de l'immatriculation paie (article 5 de la WAHV) et peut, depuis le 1er septembre 2026, traiter des données à caractère personnel pour récupérer l'amende auprès du conducteur (article 5, alinéa 2, de la WAHV). En cas d'ordonnance pénale (strafbeschikking), le propriétaire ou le détenteur du véhicule est responsable, sauf s'il communique le nom et l'adresse du conducteur (article 181 de la Wegenverkeerswet 1994, dont l'alinéa 5 prévoit une base pour les données pénales) ; en cas de délit, il doit faire connaître le conducteur dans le délai fixé par la réquisition, qui est d'au moins 48 heures (article 165). Base juridique : article 6, paragraphe 1, point f), du RGPD, ou point c) dans le cas de l'article 165. Les données pénales relatives au personnel sont traitées selon des règles établies avec l'accord du conseil d'entreprise (article 33, alinéa 3, de l'UAVG). Le législateur souligne qu'un propriétaire ou un détenteur de véhicule ne peut pas tenir de registre des infractions et ne peut traiter des données que pour chaque sanction concrète. Selon le législateur, les amendes Mulder ne sont pas des données au sens de l'article 10 du RGPD ; le service les traite comme telles par précaution.

• Allemagne. Il n'existe pas d'obligation de désigner le conducteur. Si le conducteur ne peut pas être identifié, l'autorité peut, en vertu du § 31a StVZO, imposer au détenteur la tenue d'un carnet de bord (Fahrtenbuch). Base juridique : article 6, paragraphe 1, point f), du RGPD. Article 10 du RGPD : nous n'avons pas trouvé de base claire en droit allemand pour les employeurs ; le client, en tant que responsable du traitement, répond de sa base juridique. Le service conserve les amendes et les efface automatiquement 30 jours après que le client les a clôturées (annexe 1).

• Autres pays. La présente annexe ne résume pas les règles des autres pays. Le service n'y décompte aucun délai et efface une amende 30 jours après que le client l'a clôturée, et sinon au plus tard 24 mois après l'infraction (annexe 1). Le client, en tant que responsable du traitement, répond de sa base juridique.

Une infraction routière relève de l'article 10 du RGPD selon la Cour de justice (22 juin 2021, C-439/19).