Traitement des données
La base contractuelle qui encadre le rôle de Tauto comme sous-traitant des professionnels pour leurs propres clients.
La présente annexe encadre les traitements de données personnelles réalisés par Tauto pour le compte du professionnel lorsque celui-ci utilise le service pour gérer ses propres clients, demandes, rendez-vous, devis, factures, paiements, photos et messages.
Elle s'applique pendant la durée du contrat d'abonnement, puis pendant les opérations de restitution, export, suppression ou archivage légalement nécessaires.
Les personnes concernées sont principalement les clients et prospects du professionnel, ainsi que les utilisateurs autorisés de l'espace professionnel.
Tauto traite les données des clients finaux uniquement pour fournir le service, selon les fonctionnalités activées et les instructions documentées du professionnel.
Le professionnel est responsable de la licéité de ses instructions, de l'information de ses clients, de la détermination des bases légales et du respect de ses obligations métier.
Si Tauto estime qu'une instruction est manifestement illicite ou présente un risque sérieux, Tauto peut alerter le professionnel et suspendre l'exécution de l'instruction concernée lorsque cela est nécessaire.
Tauto met en place des mesures raisonnables pour limiter l'accès aux données aux personnes et prestataires qui en ont besoin pour fournir le service.
Les mesures publiques ne doivent pas être comprises comme une certification ou une garantie absolue. Elles décrivent une approche de sécurité proportionnée au service.
| Promesse | Preuve technique | Statut | Action nécessaire |
|---|---|---|---|
| Données séparées par entreprise | Usage généralisé de business_id, espaces professionnels authentifiés et clients tokenisés. | to_verify | Faire valider l'ensemble des politiques RLS et contrôles d'accès avant production. |
| Liens client contrôlés | Routes /client/[token] et /reserver/[token] avec noindex déjà prévues. | to_verify | Tester les liens signés/tokenisés de bout en bout avant lancement. |
| Paiements via Stripe si activés | Routes Stripe Connect, Checkout et webhooks détectées. | ok | Confirmer les conditions Stripe, le compte actif et le modèle exact de charge avant commercialisation. |
| Pas de certification inventée | Aucune certification ISO, HDS, PCI complète ou RGPD certifiée n'est affirmée. | ok | Conserver cette prudence tant qu'aucun audit ou certificat n'existe. |
Tauto peut recourir à des sous-traitants ultérieurs pour l'hébergement, l'authentification, le stockage, le paiement, l'email, les canaux ou l'analyse assistée lorsque les modules sont activés.
La liste publique des sous-traitants doit être maintenue à jour. Les prestataires optionnels ne sont activés que selon le paramétrage et les fonctions utilisées.
Les transferts éventuels hors Espace économique européen dépendent des prestataires, régions de traitement, comptes et options réellement activés.
Les mécanismes de transfert, clauses contractuelles types, garanties complémentaires ou paramètres régionaux doivent être confirmés avant publication commerciale définitive.
Dans la mesure du possible et en tenant compte de la nature du traitement, Tauto assiste le professionnel pour répondre aux demandes d'accès, rectification, effacement, limitation, opposition ou portabilité relatives aux données traitées dans le service.
Tauto peut également assister le professionnel pour les analyses d'impact, demandes d'information d'autorités ou gestion d'incidents, selon les moyens raisonnables disponibles et les conditions contractuelles applicables.
En cas de violation de données personnelles affectant les données traitées pour le compte du professionnel, Tauto informe le professionnel dans les meilleurs délais après en avoir pris connaissance, lorsque la violation est confirmée et concerne son périmètre.
Le professionnel reste responsable de déterminer si une notification à l'autorité ou aux personnes concernées est nécessaire, sauf disposition contraire applicable.
À la fin du contrat, les données doivent pouvoir être restituées, exportées, supprimées ou archivées selon les instructions du professionnel, les obligations légales et les contraintes techniques raisonnables.
Les modalités exactes d'export, de délai et de suppression automatique doivent être finalisées contractuellement et techniquement.
| Donnée | Politique cible | Archivage | Automation |
|---|---|---|---|
| Données des clients des professionnels | Pendant la durée du contrat du professionnel et selon ses instructions | À déterminer avec le professionnel responsable du traitement | not_confirmed |
| Rendez-vous | Pendant la gestion de la prestation et le suivi client | Durée alignée avec le dossier client, devis et facture associés | not_confirmed |
| Devis du professionnel | Pendant la durée de validité du devis et le suivi commercial | Durée de preuve commerciale à confirmer selon le professionnel | not_confirmed |
| Factures du professionnel | Pendant la relation avec le client final | Durée légale applicable au professionnel, généralement comptable et fiscale | not_confirmed |
| Photos de véhicules | Pendant la qualification, le devis, la prestation et le support associé | Durée alignée avec le dossier client, à limiter selon les instructions du professionnel | not_confirmed |
| Messages, relances et emails | Pendant le suivi de la demande et la relation contractuelle | Durée de preuve à confirmer selon le type de message | partial |
| Sauvegardes techniques | Durée et fréquence à confirmer avec l'hébergeur et la configuration Supabase | Rotation technique à documenter | not_confirmed |
| Comptes supprimés | Suppression ou anonymisation après la fin des opérations nécessaires | Conservation limitée aux obligations de preuve, comptabilité ou litige | not_confirmed |
| Données d'essai ou de démonstration | Durée courte liée à la démonstration ou au test | Aucun archivage durable prévu sauf conversion en compte réel | not_confirmed |
Tauto tient à disposition une documentation raisonnable permettant de comprendre les mesures de traitement, dans les limites de la sécurité, du secret des affaires et des informations propres aux autres clients.
Les audits éventuels doivent être encadrés, proportionnés et ne pas porter atteinte à la sécurité du service ou aux données d'autres professionnels.
Contact pour les questions relatives au traitement des données : contact@tauto.fr.