1. Parties et objet
Cet accord complète les Conditions générales conclues entre l'agence cliente (l'« Agence », responsable du traitement) et l'éditeur de SAYRIVO (« SAYRIVO », sous-traitant). Il s'applique dès que SAYRIVO traite des données personnelles pour le compte de l'Agence. Il répond aux obligations que la loi marocaine n° 09-08 impose au sous-traitant.
Il est accepté avec les conditions générales, sans signature séparée. Une version signée peut être fournie sur demande.
2. Description du traitement
Personnes concernées
- Description
- Les clients de l'Agence (locataires et conducteurs additionnels), les personnes qui envoient une demande depuis sa page de réservation, et les utilisateurs de l'Agence.
Données
- Description
- Identité et coordonnées : nom, téléphone, e-mail, adresse, date de naissance, nationalité. Pièces : photos ou scans de la carte nationale d'identité, du passeport et du permis de conduire, et les champs qui en sont lus (numéros, dates de validité). Réservations, contrats et signatures sur écran. Paiements et cautions. Photos et états des lieux des véhicules. Notes saisies par l'Agence.
Données sensibles
- Description
- Le Service n'est pas conçu pour des données sensibles (santé, opinions, etc.) : l'Agence n'en enregistre pas. Aucun traitement biométrique n'est fait sur la photo des pièces.
Finalités
- Description
- Fournir le Service à l'Agence : gérer les réservations, établir les contrats, vérifier l'identité et le permis du locataire, suivre les paiements et les véhicules, recevoir les demandes de la page publique.
Opérations
- Description
- Collecte par l'application, hébergement, consultation, lecture automatique des champs d'un document par IA, génération de documents, notifications, sauvegarde, suppression.
Durée
- Description
- La durée du contrat, puis suppression selon l'article 12.
3. Instructions de l'Agence
SAYRIVO traite ces données uniquement sur instruction documentée de l'Agence : cet accord, les conditions générales et l'usage que l'Agence fait des fonctions du Service. SAYRIVO ne les utilise pas pour ses propres fins, sauf pour des statistiques anonymes et agrégées. Si une instruction lui paraît contraire à la loi, SAYRIVO en informe l'Agence.
4. Obligations de l'Agence
- Disposer d'une base légale pour chaque donnée enregistrée et ne demander que les pièces nécessaires à la location.
- Informer ses clients du traitement de leurs données, y compris de la lecture automatique des pièces et du recours à SAYRIVO comme prestataire.
- Fixer la durée de conservation des copies de pièces et des contrats, et supprimer ce qui n'est plus nécessaire.
- Effectuer les déclarations et demandes d'autorisation qui lui incombent auprès de la CNDP ou de toute autre autorité compétente.
- Répondre aux demandes de ses clients sur leurs données, avec l'aide de SAYRIVO.
5. Pièces d'identité et lecture par IA
- Les copies de pièces sont stockées dans un stockage privé, réservé aux utilisateurs autorisés de l'Agence, et ne s'ouvrent que par des liens temporaires.
- Quand un utilisateur lance la lecture d'un document, l'image est transmise à un fournisseur d'IA (Anthropic, ou OpenAI s'il est configuré : voir la Liste des sous-traitants) dans le seul but d'en lire les champs. L'image est réduite si elle est trop lourde.
- Le fournisseur n'utilise pas ces données pour entraîner ses modèles et ne les conserve que pour la durée limitée prévue par ses conditions commerciales pour l'API.
- Le résultat est une proposition : il pré-remplit un formulaire que l'utilisateur vérifie, et les champs incertains sont signalés. Le Service ne prend aucune décision automatisée produisant des effets juridiques sur une personne.
- Aucune reconnaissance faciale ni comparaison biométrique n'est effectuée.
- L'Agence peut toujours saisir les informations à la main sans utiliser la lecture automatique.
6. Confidentialité
Les personnes autorisées à traiter ces données chez SAYRIVO sont tenues à la confidentialité et n'y accèdent que si c'est nécessaire : pour répondre à une demande de l'Agence, résoudre un incident ou faire fonctionner le Service.
7. Mesures de sécurité
- Chiffrement des échanges (HTTPS/TLS) et chiffrement au repos chez l'hébergeur.
- Isolation des données de chaque agence par des règles d'accès au niveau de la base de données, testées contre les accès d'une agence à une autre.
- Rôles et droits par utilisateur au sein de l'Agence ; mots de passe jamais stockés en clair ; clés d'accès (passkeys).
- Journalisation des événements de sécurité et des appels aux fonctions d'IA, avec des limites d'usage.
- Sauvegardes quotidiennes, dont une copie hors de l'hébergeur principal.
- Mises à jour régulières du logiciel et de ses dépendances.
8. Sous-traitants ultérieurs
L'Agence autorise SAYRIVO à faire appel aux sous-traitants listés dans la Liste des sous-traitants. SAYRIVO leur impose des obligations de protection équivalentes à celles de cet accord et reste responsable envers l'Agence de leur respect.
SAYRIVO prévient l'Agence par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant qui traite les données de ses clients. L'Agence peut s'y opposer pour un motif raisonnable. Faute de solution, elle peut résilier sans pénalité et obtenir le remboursement de la période payée non utilisée.
9. Transferts hors du pays
Les données sont hébergées dans l'Union européenne (Irlande). Certains sous-traitants, dont les fournisseurs d'IA, sont établis aux États-Unis. Ces transferts se font dans le cadre de la loi 09-08 (déclaration auprès de la CNDP en cours).
10. Assistance à l'Agence
- Demandes des personnes : l'Agence consulte et corrige les fiches de ses clients dans l'application. Pour une suppression ou un export, SAYRIVO l'exécute à la demande de l'Agence, dans un délai permettant à l'Agence de répondre dans les temps.
- Si un client de l'Agence s'adresse directement à SAYRIVO, sa demande est transmise à l'Agence sans y répondre sur le fond.
- SAYRIVO fournit à l'Agence les informations utiles à une analyse d'impact ou à une consultation de l'autorité de contrôle.
11. Violation de données
SAYRIVO informe l'Agence d'une violation de données la concernant dans les meilleurs délais, et au plus tard 48 heures après l'avoir constatée. L'information précise, selon ce qui est connu : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises. L'Agence notifie l'autorité compétente et les personnes concernées lorsque la loi l'exige.
12. Fin du contrat
À la fin du contrat, l'Agence peut demander pendant 30 jours un export de ses données. SAYRIVO les supprime ensuite, y compris des sauvegardes au fil de leur rotation, au plus tard 30 jours plus tard, sauf obligation légale de conservation. Une attestation de suppression est fournie sur demande.
13. Audit
SAYRIVO met à la disposition de l'Agence les informations nécessaires pour démontrer le respect de cet accord. L'Agence peut faire réaliser un audit une fois par an, avec un préavis de 30 jours, à ses frais, par un auditeur indépendant tenu à la confidentialité, et plus souvent après une violation de données.
14. Durée et ordre de priorité
Cet accord s'applique tant que SAYRIVO traite des données pour le compte de l'Agence. Pour tout ce qui concerne les données personnelles, il prévaut sur les conditions générales. Il est soumis au même droit et aux mêmes tribunaux qu'elles : le droit marocain.