Accord de traitement des données (DPA) — Digitransys

Dernière mise à jour : 25/10/2026.

Préambule

Le présent Accord de traitement des données (« DPA ») est conclu entre :

• l'entreprise cliente ayant souscrit au Service (ci-après « le Client »), agissant en qualité de responsable de traitement ;
• Digitransys, SASU immatriculée au RCS de Marseille sous le numéro 130 146 392, dont le siège social est situé 55 Rue Grignan, 13006 Marseille (ci-après « Digitransys »), agissant en qualité de sous-traitant.

Il constitue le contrat prévu à l'article 28 du Règlement (UE) 2016/679 (« RGPD »). Il fait partie intégrante des Conditions Générales d'Utilisation (CGU) et des Conditions Générales de Vente (CGV), et il est accepté en même temps qu'elles ; il porte la même date que les CGU, toute modification du DPA constituant une nouvelle version des CGU (article 10 des CGU). En cas de contradiction sur la protection des données personnelles, le présent DPA prévaut sur les CGU et les CGV.

Les termes « données à caractère personnel », « traitement », « personne concernée », « violation de données » et « sous-traitant ultérieur » ont le sens que leur donne le RGPD.

Article 1 — Objet et description du traitement

Digitransys traite des données à caractère personnel pour le compte du Client, dans le seul but de lui fournir le Service décrit dans les CGU. Les caractéristiques du traitement (nature, finalités, catégories de données et de personnes, durée) figurent à l'Annexe 1.

Ne relèvent pas du présent DPA, et notamment de son article 10, les données que Digitransys traite pour son propre compte, en qualité de responsable de traitement : gestion des comptes, abonnement, facturation, et application du tarif fondateur (article 1.4 des CGV), dont les informations — date d'entrée dans l'offre, nombre de comptes chauffeurs demandés, date et motif de la perte du tarif — sont conservées après la fin de l'abonnement afin qu'un tarif perdu ne puisse être retrouvé. Ces traitements sont décrits dans la Politique de confidentialité.

Article 2 — Instructions du Client

2.1. Digitransys ne traite les données que sur instruction documentée du Client. Constituent de telles instructions : les CGU, les CGV, le présent DPA, ainsi que l'usage que le Client fait des fonctionnalités du Service (saisie, envoi d'une e-CMR, import d'un document, suppression, export).

2.2. Si Digitransys estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre, elle en informe immédiatement le Client.

2.3. Lorsque le droit de l'Union ou d'un État membre impose un traitement à Digitransys, notamment l'accès des autorités de contrôle compétentes aux données des e-CMR prévu par le règlement (UE) 2020/1056 (eFTI), Digitransys en informe le Client avant le traitement, sauf si la loi l'interdit. Ces accès sont journalisés et consultables par le Client.

Article 3 — Obligations du Client

Le Client, en tant que responsable de traitement :

• détermine la base légale de ses traitements et s'assure de leur licéité ;
• informe les personnes concernées, en particulier ses chauffeurs et salariés, des traitements réalisés au moyen du Service, dont la capture ponctuelle de la position à la signature d'une e-CMR (Annexe 1) ;
• ne saisit dans le Service que les données nécessaires à son activité, et aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions, etc.), ni aucune donnée relative aux infractions au sens de l'article 10, hors des champs et documents que la réglementation du transport impose ;
• tient son propre registre des activités de traitement.

Article 4 — Confidentialité

Digitransys veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité, ou soient soumises à une obligation légale de confidentialité, et n'y accèdent que dans la mesure nécessaire à l'exécution du Service (support, maintenance, sécurité).

Article 5 — Sécurité

Digitransys met en œuvre les mesures techniques et organisationnelles décrites à l'Annexe 2, conformément à l'article 32 du RGPD. Elle peut les faire évoluer, à condition de ne pas diminuer le niveau global de sécurité.

Article 6 — Sous-traitants ultérieurs

6.1. Le Client donne à Digitransys une autorisation générale de recourir aux sous-traitants ultérieurs. La liste en vigueur figure à l'Annexe 3.

6.2. Digitransys informe le Client de tout ajout ou remplacement de sous-traitant ultérieur, par e-mail ou dans le Service, au moins 30 jours avant qu'il ne prenne effet. Le Client peut s'y opposer, pour un motif raisonnable lié à la protection des données, dans ce délai. À défaut de solution trouvée entre les parties, le Client peut résilier son abonnement sans pénalité, avec remboursement de la période payée et non consommée.

6.3. Digitransys impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent DPA, et demeure pleinement responsable envers le Client de leur exécution.

Article 7 — Transferts hors de l'Union européenne

La base de données et les fichiers du Service sont hébergés en France. Lorsqu'un sous-traitant ultérieur traite des données hors de l'Espace économique européen (Annexe 3), le transfert est encadré par une décision d'adéquation de la Commission européenne (notamment l'EU-US Data Privacy Framework pour les prestataires certifiés) ou, à défaut, par les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021.

Article 8 — Assistance au Client

8.1. Droits des personnes. Le Service permet au Client de répondre lui-même aux demandes des personnes concernées : consultation et rectification des fiches, suppression de comptes par anonymisation, export complet des données de la société (page « Mes données »). Si une personne adresse une demande directement à Digitransys, celle-ci la transmet au Client sans délai et n'y répond pas elle-même sans son instruction.

8.2. Analyses d'impact et consultation de la CNIL. Digitransys fournit au Client, à sa demande, les informations dont elle dispose et qui lui sont nécessaires pour réaliser une analyse d'impact ou consulter l'autorité de contrôle.

Article 9 — Violation de données

9.1. Digitransys notifie au Client toute violation de données le concernant dans un délai maximal de 48 heures après en avoir pris connaissance, par e-mail à l'adresse de son compte administrateur, afin de lui permettre de respecter son propre délai de 72 heures envers la CNIL.

9.2. La notification précise, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées, ainsi que le nom d'un interlocuteur. Les informations indisponibles au moment de la notification sont transmises dès que possible.

Article 10 — Conservation, suppression et sort des données en fin de contrat

10.1. Pendant l'abonnement. Le Client donne instruction à Digitransys de conserver ses données pour l'année civile en cours et les 3 années civiles précédentes. Chaque année, l'année civile la plus ancienne est exportée par le Client, puis supprimée par Digitransys, selon la procédure de l'article 9.3 des CGU : avertissements par e-mail à tous les utilisateurs du bureau, export obligatoire à partir du 1er décembre (l'accès par le navigateur étant suspendu tant qu'il n'est pas fait, sans jamais bloquer les chauffeurs), puis suppression des seuls éléments exportés une fois le fichier confirmé lisible. Digitransys conserve, pour chaque facture supprimée, son numéro, sa date et son total, et arrête les soldes de palettes à la date de suppression. Les sauvegardes sont effacées au fil de leur cycle normal de rotation. Digitransys confirme chaque suppression par écrit sur demande et en tient un journal (société, année, date, empreinte du fichier exporté).

10.2. Fin de l'abonnement. À la fin de l'abonnement, quelle qu'en soit la cause, le Client donne instruction à Digitransys, au sens de l'article 28.3 g) du RGPD, de conserver ses données pendant 3 ans et de les lui laisser accessibles en consultation et en export, afin qu'il puisse récupérer ses documents et faire face aux litiges nés du contrat de transport. Ses obligations légales de conservation (lettres de voiture, documents commerciaux, factures et pièces comptables, jusqu'à 10 ans) lui incombent : il dispose pour cela de l'export complet et gratuit de ses données, et Digitransys l'avertit par e-mail avant la suppression. Pendant ce délai, les données ne font l'objet d'aucun autre traitement que leur hébergement, leur sécurisation et leur mise à disposition du Client (et, pour les données eFTI, des autorités habilitées).

10.3. Suppression à l'initiative du Client. Le créateur du compte du Client peut demander en ligne, depuis la page « Mes données », la résiliation de l'abonnement et la suppression de la société : l'abonnement s'arrête à la fin de la période en cours, le compte reste ouvert un mois pour l'export seulement, puis Digitransys supprime la société et toutes ses données, y compris les copies (article 10.4). Les données non exportées à cette date sont perdues ; Digitransys avertit le bureau par e-mail à la demande, à la fin du service, puis 7 jours et 1 jour avant, et confirme la suppression par e-mail.

10.3 bis. Suppression anticipée. Le Client peut à tout moment demander la restitution ou la suppression de l'ensemble de ses données, y compris à l'issue de l'essai gratuit, par une demande écrite d'un de ses représentants adressée à dpo@digitransys.com ; Digitransys y procède dans un délai d'un mois et ne garde qu'une trace de la suppression (société, date, nature de la demande, pendant 5 ans) et les informations nécessaires à l'application de la règle de l'essai gratuit unique. Le Client est alors seul responsable de la conservation de ses documents.

10.4. À l'issue du délai de 3 ans suivant la fin de l'abonnement, ou à la suppression anticipée, Digitransys supprime ou anonymise les données, y compris les copies. Les sauvegardes sont effacées au fil de leur cycle normal de rotation. Digitransys confirme la suppression par écrit sur demande.

Article 11 — Documentation et audit

11.1. Digitransys met à la disposition du Client, sur demande, les informations nécessaires pour démontrer le respect du présent DPA, notamment les synthèses de ses audits de sécurité.

11.2. Le Client peut faire réaliser un audit, à ses frais, par lui-même ou par un auditeur indépendant tenu au secret, au plus une fois par an sauf violation de données avérée, avec un préavis de 30 jours. L'audit ne peut porter atteinte à la sécurité du Service ni aux données des autres clients. Il s'exerce en priorité sur pièces.

Article 12 — Durée

Le présent DPA s'applique pendant toute la durée de l'abonnement et, au-delà, tant que Digitransys conserve des données du Client.

Article 13 — Registre et contact

Digitransys tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).

Contact pour toute question relative aux données personnelles : dpo@digitransys.com.

Annexe 1 — Description du traitement

Nature des opérations : collecte, enregistrement, organisation, conservation, consultation, génération de documents (PDF, format eFTI), transmission (e-mail, notification, accès des autorités eFTI, remise des factures à la plateforme agréée choisie par le Client et, par celle-ci, à l'administration fiscale), export, anonymisation, effacement.

Finalités : fourniture du Service au Client — établissement, signature, envoi et archivage des lettres de voiture électroniques (e-CMR) ; gestion de la flotte ; gestion des clients, expéditeurs, destinataires et sites ; planification des missions et affectation des chauffeurs, y compris la lecture automatique des ordres de transport importés ; facturation émise par le Client à ses propres clients, y compris, s'il le choisit, son émission au format électronique par une plateforme agréée ; notifications aux chauffeurs ; mise à disposition des données eFTI aux autorités de contrôle habilitées.

Personnes concernées :

• chauffeurs et salariés du Client (administrateurs, opérateurs) ;
• interlocuteurs des clients, expéditeurs et destinataires du Client ;
• signataires des e-CMR (chauffeur, expéditeur, destinataire).

Catégories de données :

• identification et contact : nom, prénom, téléphone, e-mail, fonction ;
• données de connexion : identifiants, journaux d'audit des actions ;
• données de transport : adresses d'enlèvement et de livraison, dates et heures, marchandises, réserves, immatriculations des véhicules, affectation des chauffeurs aux missions ;
• livraison effectuée ailleurs que chez le destinataire prévu (fonction « Livrer ailleurs ») : lieu de déchargement effectif, motif, note du bureau, nom de la personne ayant donné l'accord et date de cet accord, auteur et date de la demande ;
• signatures manuscrites électroniques et photos prises dans le cadre d'une e-CMR (marchandises, réserves, documents scannés) ;
• position GPS ponctuelle, relevée uniquement au moment de la signature d'une e-CMR par le chauffeur ou le destinataire, avec l'autorisation du téléphone ; aucun suivi continu ni en arrière-plan ;
• documents déposés par le Client ou ses utilisateurs (CGV transporteur, pièces jointes, documents personnels déposés par un utilisateur) ;
• données de facturation émises par le Client à ses propres clients : identité, adresse, n° SIREN et n° de TVA du client facturé, désignation et montants des prestations ;
• clés d'accès techniques (API, webhook) créées par le Client pour la remise de ses factures électroniques ;
• jetons techniques de notification des téléphones des chauffeurs.

Données sensibles : aucune n'est attendue (article 3).

Durée du traitement et de conservation :

• pendant l'abonnement : l'année civile en cours et les 3 années précédentes, l'année la plus ancienne étant exportée par le Client puis supprimée chaque année (article 10.1) ;
• à la fin de l'abonnement : 3 ans d'accès en consultation et en export, puis suppression ou anonymisation (article 10) ;
• e-CMR : conservées avec le reste des données du Client (durée de l'abonnement puis 3 ans) ; leur consultation par les autorités eFTI suit la durée fixée par la réglementation eFTI ;
• factures émises par le Client : conservées de même ; le Client reste tenu de les garder 10 ans (article L123-22 du Code de commerce) et les exporte avant la suppression ;
• sessions de remise par QR code : supprimées automatiquement après usage ;
• jetons de notification : supprimés à la déconnexion ou à la suppression du compte chauffeur.

Annexe 2 — Mesures techniques et organisationnelles

Hébergement et chiffrement

• base de données et fichiers hébergés en France (Supabase, région Paris, infrastructure Amazon Web Services certifiée ISO 27001) ;
• chiffrement des échanges (HTTPS/TLS) et chiffrement des données au repos assuré par l'hébergeur ;
• sauvegardes automatiques de la base par l'hébergeur ; leur fréquence et leur durée de conservation dépendent de l'offre souscrite et sont communiquées au Client sur demande.

Contrôle d'accès

• cloisonnement des données de chaque Client au niveau de la base de données (politiques de sécurité par ligne), et non de la seule interface ;
• droits différenciés selon le rôle : administrateur, opérateur, chauffeur ; un chauffeur n'accède qu'aux données nécessaires à ses missions ;
• double authentification obligatoire pour tous les comptes du bureau, exigée par la base de données elle-même et non par la seule interface ;
• société dont l'identité du dirigeant n'est pas vérifiée : aucun accès aux données, également imposé par la base de données ;
• mots de passe stockés sous forme hachée par le service d'authentification ;
• sur mobile, session conservée dans le coffre sécurisé du téléphone (Keychain sur iOS, Keystore sur Android) ;
• secrets techniques (clés d'API) conservés côté serveur, jamais dans les applications distribuées.

Intégrité et traçabilité

• verrouillage en base des e-CMR une fois envoyées : elles ne peuvent plus être modifiées, même par un appel direct à la base ;
• journal d'audit des e-CMR et journal d'audit de la société ;
• journalisation de chaque consultation des données par les autorités eFTI.

Organisation

• accès aux données de production limité au personnel de Digitransys qui en a besoin pour le support ou la sécurité ;
• audits de sécurité réguliers du Service, dont les plus récents (septembre et octobre 2026) ont porté sur la base de production, avec correction des failles identifiées ;
• procédure de gestion des violations de données (article 9) ;
• suppression de compte par anonymisation et export complet des données de la société, disponibles en libre-service.

Annexe 3 — Sous-traitants ultérieurs autorisés

Les services publics de l'État interrogés par le Service — l'Annuaire des entreprises, la Base adresse nationale (adresses de sites et d'entreprises) et la Géoplateforme de l'IGN (géocodage d'adresses pour la navigation) — ne reçoivent que les termes de recherche saisis ; ils ne sont pas des sous-traitants ultérieurs de Digitransys.

Liste mise à jour le 17/10/2026 : B2Brouter, plateforme de facturation électronique retenue le 13/10/2026 ; Clever Cloud, hébergement de l'application web depuis le 14/10/2026 ; OVH, messagerie, désormais mentionné à cette annexe.