Accord de traitement des données

Version 2.0 · En vigueur depuis le 26 octobre 2026

Ceci est une traduction fournie à titre de commodité. En cas de divergence avec le texte anglais, le texte anglais prévaut.

Sous-traitant: Transfer Runner Ltd (société immatriculée en Angleterre et au pays de Galles sous le numéro 17488928), 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Royaume-Uni, [email protected] ("TransferRunner")
Responsable du traitement: ("Entreprise")

Le présent accord fait partie intégrante du Contrat d'abonnement TransferRunner. Il régit la relation entre le responsable du traitement et le sous-traitant au titre de l'article 28 du UK GDPR, de l'article 28 du Règlement général sur la protection des données de l'UE (RGPD) et de l'article 12 de la loi turque n° 6698 sur la protection des données personnelles (KVKK), ainsi qu'au titre de toute autre loi sur la protection des données applicable à l'Entreprise (ensemble, la « Législation sur la protection des données »). TransferRunner est une société établie au Royaume-Uni.

1. Rôles

Pour les données des clients, des chauffeurs et du personnel de l'Entreprise traitées dans le Service, l'Entreprise est le responsable du traitement et TransferRunner est le sous-traitant. TransferRunner traite ces données uniquement pour le compte de l'Entreprise et pour fournir le Service.

2. Objet, durée et finalité

Objet et finalité : réception et gestion des réservations, publication du site de réservation de l'Entreprise, affectation des chauffeurs, envoi de notifications aux clients, suivi des vols, redirection des clients vers le prestataire de paiement, établissement de rapports, ainsi que l'hébergement et les sauvegardes nécessaires à ces opérations.
Durée : pendant la durée du Contrat d'abonnement et jusqu'à l'expiration du délai de suppression prévu à l'article 8.
Personnes concernées : clients et passagers, personnes effectuant des réservations, destinataires des factures, chauffeurs de l'Entreprise et utilisateurs du panneau.
Catégories de données : nom, adresse e-mail et numéro de téléphone ; adresses de prise en charge et de dépose, date et heure, numéro de vol, nombre de passagers et remarques ; montant et statut du paiement (aucune donnée de carte) ; informations de facturation ; avis ; position du chauffeur pendant une course ; informations relatives au permis de conduire et aux documents du véhicule des chauffeurs ; adresses IP et journaux techniques.
Catégories particulières de données : leur traitement n'est pas prévu. L'Entreprise veille à ce que des catégories particulières de données, telles que des informations de santé, ne soient pas saisies dans les champs de remarques.

3. Obligations de TransferRunner

Traiter les données uniquement sur instructions documentées de l'Entreprise. Le présent accord, le Contrat d'abonnement et les paramètres de l'Entreprise dans le panneau constituent ses instructions. Si TransferRunner estime qu'une instruction est illicite, il en informe immédiatement l'Entreprise.
Veiller à ce que les membres du personnel ayant accès aux données soient tenus à une obligation de confidentialité.
Mettre en œuvre et maintenir à jour les mesures de sécurité techniques et organisationnelles figurant à l'Annexe 1.
Aider l'Entreprise, au moyen des outils du panneau et dans une mesure raisonnable, à répondre aux demandes des personnes concernées (telles que l'accès, la rectification ou l'effacement), et lui transmettre sans délai toute demande reçue directement.
Informer l'Entreprise dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, de toute violation de données personnelles, avec les informations connues à ce moment, et aider l'Entreprise à notifier l'autorité de contrôle, telle que l'ICO, une autorité de l'UE ou l'Autorité turque de protection des données personnelles.
Fournir des informations raisonnables lorsqu'une analyse d'impact relative à la protection des données ou une consultation préalable d'une autorité est nécessaire.
Fournir les informations nécessaires pour démontrer le respect du présent accord et permettre un audit raisonnable par an, annoncé au moins 30 jours à l'avance et réalisé sans perturber l'exploitation.

4. Sous-traitants ultérieurs

L'Entreprise accorde à TransferRunner une autorisation générale de recourir à des sous-traitants ultérieurs des catégories ci-dessous. TransferRunner conclut avec eux des contrats écrits protégeant les données au moins aussi bien que le présent accord et demeure responsable envers l'Entreprise de leurs traitements. Tout nouveau sous-traitant ultérieur est annoncé dans le panneau au moins 30 jours avant son ajout ; l'Entreprise peut s'y opposer pour des motifs raisonnables et, si l'opposition ne peut être résolue, elle peut mettre fin à son abonnement avec le remboursement prévu au Contrat d'abonnement.

Hébergement de serveurs et sauvegardes
Envoi d'e-mails
Messagerie SMS et WhatsApp (par exemple Meta WhatsApp Business)
Cartes et suggestions d'adresses (Google Maps)
Fournisseur d'informations de vol (numéro de vol et date uniquement)

Le prestataire de paiement que l'Entreprise connecte avec son propre compte (tel que Stripe ou iyzico) et les balises de mesure et de publicité qu'elle ajoute à son propre site (telles que celles de Google ou de Meta) ne sont pas des sous-traitants ultérieurs de TransferRunner. La relation avec ces services s'établit directement entre l'Entreprise et le prestataire.

5. Transferts internationaux

Entreprises établies en Türkiye : l'envoi de données à TransferRunner au Royaume-Uni constitue un transfert à l'étranger au sens de l'article 9 de la KVKK. Pour ce transfert, les parties signent, sans modification, le contrat type « responsable du traitement à sous-traitant » publié par l'Autorité turque de protection des données personnelles, et l'Entreprise en informe l'Autorité dans les 5 jours ouvrables suivant la signature. TransferRunner fournit les informations et documents nécessaires à la signature.
Entreprises établies dans l'Espace économique européen : le transfert repose sur la décision d'adéquation de la Commission européenne concernant le Royaume-Uni. Si cette décision prend fin, les parties recourent aux clauses contractuelles types prévues à l'article 46 du RGPD.
Entreprises établies ailleurs : lorsque la Législation sur la protection des données applicable à l'Entreprise exige une garantie spécifique pour les transferts vers le Royaume-Uni, les parties la mettent en place, et TransferRunner fournit les informations nécessaires.
Sous-traitants ultérieurs : pour les sous-traitants ultérieurs qui traitent des données en dehors du Royaume-Uni, de l'Espace économique européen ou de la Türkiye, des garanties telles que des décisions d'adéquation, l'UK International Data Transfer Agreement (IDTA) ou les clauses contractuelles types de l'UE sont utilisées.

6. Obligations de l'Entreprise

Disposer d'une base juridique valable pour le traitement des données et informer les personnes concernées. TransferRunner fournit des textes prêts à l'emploi pour le site de réservation ; il incombe à l'Entreprise de vérifier qu'ils conviennent à son activité et de les compléter correctement.
S'enregistrer auprès de l'autorité lorsque cela est requis (par exemple VERBİS en Türkiye ou la redevance ICO au Royaume-Uni).
Ne donner à TransferRunner que des instructions licites et gérer correctement les droits d'accès des utilisateurs du panneau.

7. Confidentialité

TransferRunner ne divulgue pas les données à des tiers. Il ne transmet de données qu'à des sous-traitants ultérieurs conformément au présent accord, ou aux autorités compétentes lorsque la loi l'exige, et informe l'Entreprise d'une telle demande lorsque la loi le permet.

8. Fin du traitement, restitution et suppression

À la fin du Contrat d'abonnement, l'Entreprise peut exporter ses données depuis le panneau pendant 30 jours. À l'issue de ce délai, TransferRunner supprime les données de ses systèmes de production ; les copies figurant dans les sauvegardes sont supprimées automatiquement dans un délai maximal de 90 jours. Les données dont la conservation est imposée par la loi (telles que les propres factures de TransferRunner) sont conservées pendant la durée requise.

9. Responsabilité et ordre de priorité

La responsabilité au titre du présent accord est soumise aux limites prévues par le Contrat d'abonnement, à l'exception de la responsabilité qui ne peut être limitée par la loi. En matière de données personnelles, le présent accord prévaut sur le Contrat d'abonnement en cas de contradiction.

10. Langue et droit applicable

Le présent accord est conclu en anglais, et les traductions sont fournies à titre de commodité ; en cas de divergence d'une traduction, le texte anglais prévaut. Le droit et les tribunaux désignés dans le Contrat d'abonnement s'appliquent, sans préjudice de la Législation impérative sur la protection des données du pays de l'Entreprise.

Annexe 1 : Mesures de sécurité techniques et organisationnelles

Chiffrement de toutes les connexions (HTTPS / TLS)
Mots de passe conservés uniquement sous forme de hachages irréversibles ; connexion en deux étapes pour le panneau
Clés secrètes du prestataire de paiement conservées chiffrées (AES-256) dans la base de données ; données de carte jamais conservées
Accès fondé sur les rôles : les chauffeurs ne voient que les missions qui leur sont attribuées
Séparation des données entre entreprises : chaque entreprise ne voit que ses propres données
Sauvegardes régulières et tests de restauration
Accès aux serveurs limité aux personnes autorisées, avec journaux d'accès
Mises à jour de sécurité appliquées régulièrement