Version : 2026-10-09
Fait partie de : les Conditions générales (Annexe A).
Le présent contrat de sous-traitance (le « Contrat de sous-traitance ») est conclu entre :
Ci-après dénommées conjointement : les « Parties » ou individuellement une « Partie ».
Le contact du Sous-traitant en matière de protection de la vie privée est privacy@cmr-jet.eu. Le contact du Responsable du traitement en matière de protection de la vie privée est le contact identifié dans son compte ou dans son bon de commande, tel que mis à jour par notification écrite adressée au Sous-traitant.
Le présent Contrat de sous-traitance fait partie intégrante des Conditions générales (le « Contrat ») conclues entre les Parties. En cas de conflit entre le présent Contrat de sous-traitance et le Contrat en ce qui concerne le traitement des Données à caractère personnel, le présent Contrat de sous-traitance prévaut.
Les termes commençant par une majuscule qui ne sont pas définis dans le présent Contrat de sous-traitance ont la signification qui leur est donnée dans le règlement (UE) 2016/679 ou qui découle, dans l’ordre, de la jurisprudence de la Cour de justice de l’Union européenne, de la Cour des marchés, de l’Autorité de protection des données, des autres autorités et juridictions européennes en matière de protection des données ou du Contrat. En outre :
3.1 Objet. Le Sous-traitant traite des Données à caractère personnel pour le compte du Responsable du traitement dans le seul but de fournir le Service conformément au Contrat.
3.2 Nature et finalité. Le Traitement consiste en l’hébergement, le stockage, l’extraction, la transmission, l’affichage, l’impression, l’exportation et la suppression des Données à caractère personnel soumises au Service en lien avec les documents et enregistrements que le Responsable du traitement crée, gère et échange dans le Service (principalement des lettres de voiture CMR et d’autres documents de transport et de logistique, y compris des types de documents définis par le Responsable du traitement), ainsi que les données opérationnelles connexes (par exemple adresses, fiches de contact, historique des documents, pièces jointes et preuves de livraison). Le contenu autorisé du Service est régi par le Contrat (y compris ses conditions d’utilisation acceptable et l’interdiction relative aux catégories particulières figurant à l’Annexe I.E) ; le présent article décrit, sans l’étendre, ce que le Responsable du traitement peut soumettre.
3.3 Catégories de Données à caractère personnel. Énoncées à l’Annexe I du présent Contrat de sous-traitance.
3.4 Catégories de Personnes concernées. Énoncées à l’Annexe I du présent Contrat de sous-traitance.
3.5 Durée. Le Traitement se poursuit pendant la durée du Contrat, augmentée de la période de conservation postérieure à la résiliation décrite à l’article 10 (Restitution ou suppression des Données à caractère personnel).
4.1 Le Responsable du traitement est responsable de la licéité des Données à caractère personnel qu’il fournit au Service, et notamment de s’assurer qu’il dispose d’une base juridique valable au titre de l’article 6 du RGPD (et, le cas échéant, de l’article 9 du RGPD) pour le Traitement effectué pour son compte.
4.2 Le Responsable du traitement garantit qu’il a communiqué toutes les informations requises aux Personnes concernées dont il soumet les Données à caractère personnel au Service, et qu’il a obtenu de celles-ci tous les consentements requis.
4.3 Les instructions documentées du Responsable du traitement au Sous-traitant en ce qui concerne le Traitement sont : (a) le Contrat (y compris le présent Contrat de sous-traitance) ; (b) les choix de configuration que le Responsable du traitement effectue dans le Service (par exemple provisionnement des utilisateurs, paramètres de sécurité, options d’activation de sous-traitants ultérieurs lorsqu’elles sont proposées) ; et (c) toute autre instruction écrite conforme au Contrat.
Chaque fois que le Responsable du traitement donne une nouvelle instruction de Traitement ou modifie la finalité du Traitement, le Responsable du traitement proposera un avenant au Contrat, qui peut prendre la forme d’instructions écrites. Un tel avenant peut être conclu par écrit, y compris par voie électronique au moyen du Service conformément à l’article 12.5. Le Responsable du traitement reconnaît et accepte qu’il est responsable si un tel avenant n’est pas conclu en temps utile par les Parties.
4.4 Le Responsable du traitement ne doit pas soumettre au Service, sous quelque forme que ce soit, des Données à caractère personnel relevant de catégories particulières (article 9 du RGPD), des données relatives aux condamnations pénales (article 10 du RGPD) ou des données soumises à des protections sectorielles spécifiques (par exemple PCI-DSS, HIPAA), y compris, sans s’y limiter, dans des champs de texte libre, des fichiers téléversés, des images et photos, des pièces jointes et des données encodées sous une forme lisible par machine (par exemple codes QR ou codes-barres). Le Service n’est pas conçu pour traiter de telles catégories et n’est pas certifié à cet effet.
5.1 Traitement sur instructions documentées. Le Sous-traitant ne traite les Données à caractère personnel que sur instructions documentées du Responsable du traitement, y compris en ce qui concerne les transferts vers un pays tiers ou à une organisation internationale, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel le Sous-traitant est soumis. Dans ce cas, le Sous-traitant informera le Responsable du traitement de cette obligation juridique avant le Traitement, sauf si ce droit interdit une telle information pour des motifs importants d’intérêt public.
5.2 Confidentialité du personnel. Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données à caractère personnel se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce que l’accès soit limité aux membres du personnel qui en ont besoin pour fournir le Service.
5.3 Sécurité du Traitement. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles énoncées à l’Annexe II (les « MTO ») afin de garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD.
5.4 Notification des instructions illicites. Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d’autres dispositions applicables du droit de l’Union ou du droit des États membres relatives à la protection des données.
5.5 Assistance. Compte tenu de la nature du Traitement et des informations dont il dispose, le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation :
Une assistance raisonnable en matière d’audits ou d’AIPD qui excède les outils standard en libre-service fournis dans le Service peut être facturée aux tarifs de services professionnels du Sous-traitant alors en vigueur, sauf lorsque cette assistance est requise en conséquence directe d’une Violation de données à caractère personnel causée par le manquement du Sous-traitant à ses obligations au titre du présent Contrat de sous-traitance.
5.6 Demandes des Personnes concernées. Si le Sous-traitant reçoit directement d’une Personne concernée une demande relative à des Données à caractère personnel traitées en vertu du présent Contrat de sous-traitance, le Sous-traitant transmet la demande au Responsable du traitement dans les meilleurs délais. Le Sous-traitant ne répond pas à la demande au nom du Responsable du traitement, sauf s’il en a reçu l’instruction ou s’il y est légalement tenu.
À la suite d’une instruction documentée du Responsable du traitement, le Sous-traitant y donne la suite appropriée dans les meilleurs délais et au plus tard sept (7) jours ouvrables après la réception de cette instruction. Le Sous-traitant fournira les informations demandées, procédera à l’adaptation demandée, supprimera ou détruira les Données à caractère personnel concernées, ou expliquera pourquoi il ne peut s’y conformer dans ce délai.
Le Responsable du traitement reconnaît que le respect d’une instruction d’effacement n’exige pas nécessairement une suppression immédiate dans chaque sauvegarde. Les copies de sauvegarde résiduelles sont régies par l’article 10.3 et restent protégées par les MTO jusqu’à leur expiration conformément au calendrier de conservation fixe.
6.1 Autorisation générale. Le Responsable du traitement accorde au Sous-traitant une autorisation générale de faire appel à des Sous-traitants ultérieurs pour mener des activités de Traitement spécifiques, sous réserve des conditions du présent article 6.
6.2 Sous-traitants ultérieurs actuels. La liste actuelle des Sous-traitants ultérieurs est tenue par le Sous-traitant et, à compter du lancement public du Service, publiée sur la page publique https://cmr-jet.eu/subprocessors (la « Liste des Sous-traitants ultérieurs ») ; le texte actuel est fourni avec le présent Contrat de sous-traitance. La Liste des Sous-traitants ultérieurs mentionne chaque Sous-traitant ultérieur, sa fonction, ainsi que le pays ou la région où les Données à caractère personnel sont traitées.
6.3 Notification des modifications et opposition. Le Sous-traitant notifiera au Responsable du traitement tout ajout ou remplacement envisagé d’un Sous-traitant ultérieur au moins trente (30) jours avant que le nouveau Sous-traitant ultérieur ne commence à traiter des Données à caractère personnel, en mettant à jour la Liste publique des Sous-traitants ultérieurs et en en informant le Responsable du traitement (par e-mail adressé au contact facturation/administration, ou par une notification dans l’application). La notification comprend les informations nécessaires pour évaluer la modification : le nom du Sous-traitant ultérieur, sa fonction, la région de traitement et le mécanisme de transfert applicable.
Le Responsable du traitement peut s’opposer à la modification pour des motifs raisonnables et documentés liés à la protection des données dans un délai de quinze (15) jours à compter de la notification. En cas d’opposition formulée en temps utile, les Parties chercheront d’abord à résoudre l’opposition de bonne foi. Si l’opposition ne peut raisonnablement être résolue, le Sous-traitant peut s’abstenir d’utiliser le Sous-traitant ultérieur proposé pour les Données à caractère personnel du Responsable du traitement ou proposer une alternative commercialement raisonnable. Si aucune de ces solutions n’est réalisable, le Responsable du traitement peut résilier le Service concerné par notification écrite avant que le Sous-traitant ultérieur proposé ne commence à traiter des Données à caractère personnel, sans frais de résiliation anticipée et moyennant un remboursement au prorata des redevances payées d’avance pour la période non utilisée postérieure à la date d’effet de la résiliation. Une telle résiliation ne constitue pas une résiliation pour manquement.
Remplacement d’urgence. Lorsque l’ajout ou le remplacement d’un Sous-traitant ultérieur est requis d’urgence pour des raisons de sécurité, de continuité du service ou des raisons juridiques, le Sous-traitant peut déroger au délai de préavis ci-dessus. Dans ce cas, le Sous-traitant en informe le Responsable du traitement dès que cela est raisonnablement possible et au plus tard cinq (5) jours ouvrables après que le nouveau Sous-traitant ultérieur a commencé à traiter des Données à caractère personnel, et le mécanisme d’opposition et de sortie ci-dessus s’applique à compter de cette notification.
6.4 Obligations répercutées. Le Sous-traitant conclut avec chaque Sous-traitant ultérieur un contrat écrit qui impose des obligations en matière de protection des données non moins protectrices que celles du présent Contrat de sous-traitance, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le Traitement réponde aux exigences du RGPD.
6.5 Responsabilité pour les Sous-traitants ultérieurs. Lorsqu’un Sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le Sous-traitant demeure pleinement responsable à l’égard du Responsable du traitement de l’exécution des obligations de ce Sous-traitant ultérieur, sous réserve des limitations de responsabilité prévues dans le Contrat.
7.1 En cas de Violation de données à caractère personnel affectant des Données à caractère personnel traitées en vertu du présent Contrat de sous-traitance, le Sous-traitant en informe le Responsable du traitement par téléphone ou par e-mail sans retard injustifié et, si possible, dans un délai de soixante-douze (72) heures après avoir pris connaissance de cette Violation de données à caractère personnel.
7.2 Compte tenu de la nature du Traitement et des informations dont dispose le Sous-traitant, la notification contiendra au moins :
7.3 Si les informations ne peuvent pas toutes être fournies en même temps, elles seront fournies de manière échelonnée sans autre retard injustifié.
7.4 Le Sous-traitant coopère raisonnablement à l’évaluation que le Responsable du traitement effectue lui-même au titre des articles 33 et 34 du RGPD. Le Sous-traitant n’adresse aucune notification aux Autorités de contrôle ou aux Personnes concernées au nom du Responsable du traitement, sauf s’il y est tenu par la loi.
8.1 Par défaut, le Sous-traitant stocke et traite les Données à caractère personnel au sein de l’Espace économique européen (« EEE »). La ou les régions d’hébergement actuelles sont indiquées à l’Annexe II.
8.2 Lorsqu’un Sous-traitant ultérieur est établi en dehors de l’EEE, ou lorsque des Données à caractère personnel sont transférées en dehors de l’EEE dans le cadre de la fourniture de support, le Sous-traitant veille à ce qu’un niveau de protection équivalent soit maintenu pour les Données à caractère personnel et s’appuie sur l’un des mécanismes de transfert suivants, dans cet ordre de préférence :
9.1 Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD et dans le présent Contrat de sous-traitance, et permet la réalisation d’audits, y compris des inspections, par le Responsable du traitement ou un autre auditeur qu’il a mandaté, et contribue à ces audits.
9.2 Le Sous-traitant satisfait en premier lieu à son obligation de coopération en matière d’audit en fournissant :
9.3 Lorsque la documentation visée à l’article 9.2 est insuffisante pour répondre à une préoccupation spécifique, le Responsable du traitement peut demander un audit sur site ou à distance. De tels audits :
10.1 À la suite de la résiliation définitive ou de l’expiration du Contrat, les Données à caractère personnel restent disponibles pour le Responsable du traitement aux fins d’exportation via le Service pendant quatre-vingt-dix (90) jours. Pendant cette période d’exportation, le Responsable du traitement peut récupérer ses données mais ne peut pas créer de nouvelles Données du Client dans le Service.
10.2 À la fin de la période d’exportation visée à l’article 10.1, les Données à caractère personnel deviennent éligibles à la procédure de suppression délibérée et journalisée du Sous-traitant. Sauf si le droit de l’Union ou le droit d’un État membre exige une conservation plus longue, le Sous-traitant supprime ou anonymise les Données à caractère personnel des systèmes de production actifs dans un délai de trente (30) jours après la clôture de la période d’exportation.
10.3 Les Données à caractère personnel se trouvant dans des sauvegardes sont conservées pendant la durée opérationnelle de conservation des sauvegardes indiquée à l’Annexe II, à l’issue de laquelle elles sont écrasées ou détruites dans le cours normal des opérations. Pendant cette période résiduelle, le Sous-traitant n’accède pas activement aux Données à caractère personnel et ses MTO continuent de s’appliquer.
10.4 À la demande écrite du Responsable du traitement, le Sous-traitant fournit une confirmation écrite de la suppression dans les systèmes de production actifs et indique les durées résiduelles de conservation des sauvegardes applicables.
11.1 Sous réserve de l’article 11.3, la responsabilité du Sous-traitant au titre du présent Contrat de sous-traitance ou en lien avec celui-ci est en tout état de cause strictement limitée aux dommages directs subis par le Responsable du traitement, à concurrence de la limitation globale de responsabilité prévue dans le Contrat. Le Sous-traitant ne peut en aucun cas être tenu responsable de dommages indirects, accessoires ou consécutifs.
11.2 Le Responsable du traitement garantit à tout moment le Sous-traitant et le tient indemne contre toutes réclamations, pertes, dommages, responsabilités, coûts ou dépenses, y compris les frais juridiques, émanant de tiers ou de Personnes concernées et découlant du traitement des Données à caractère personnel au titre du présent Contrat de sous-traitance ou en lien avec celui-ci, sauf dans la mesure où ce dommage a été directement causé par un manquement substantiel du Sous-traitant au présent Contrat de sous-traitance.
11.3 Aucune disposition du présent Contrat de sous-traitance ne limite ni n’exclut la responsabilité de l’une ou l’autre des Parties :
11.4 Entre les Parties, la répartition de la responsabilité pour les dommages causés à une Personne concernée suit l’article 82(4)–(5) du RGPD.
12.1 Durée. Le présent Contrat de sous-traitance prend effet à la même date que le Contrat et reste en vigueur aussi longtemps que le Sous-traitant traite des Données à caractère personnel pour le compte du Responsable du traitement, y compris pendant les périodes postérieures à la résiliation visées à l’article 10.
12.2 Conflit. En cas de conflit ou d’incohérence entre le présent Contrat de sous-traitance et le Contrat, l’ordre de priorité est le suivant : (a) les CCT (lorsqu’elles s’appliquent en vertu de l’article 8) ; (b) le présent Contrat de sous-traitance ; (c) le Contrat.
12.3 Droit applicable et juridiction compétente. Sous réserve des CCT (qui contiennent leurs propres clauses relatives au droit applicable lorsqu’elles s’appliquent), le présent Contrat de sous-traitance est régi par le droit belge et les juridictions désignées dans le Contrat sont exclusivement compétentes.
12.4 Divisibilité. Si une disposition du présent Contrat de sous-traitance est ou devient invalide ou inapplicable, le reste demeure pleinement en vigueur et les Parties négocieront de bonne foi une disposition de remplacement qui réalise, dans la mesure du possible, l’intention économique et juridique initiale.
12.5 Modifications. Toute modification du présent Contrat de sous-traitance doit être faite par écrit (y compris par l’acceptation par clic d’une version mise à jour notifiée au moins 30 jours à l’avance, lorsque le Service est fourni selon des conditions standard).
La présente Annexe décrit les Données à caractère personnel que Ten Square traite en tant que sous-traitant pour le compte du Responsable du traitement, principalement le contenu des documents CMR et les données opérationnelles connexes présentes dans le tenant du Responsable du traitement. Le traitement, par Ten Square, des données de compte, de facturation, de support et de télémétrie en tant que responsable du traitement (pour administrer, facturer et sécuriser le Service) est régi par la Politique de confidentialité de Ten Square, et non par le présent Contrat de sous-traitance, même lorsqu’un même élément de données (par exemple le nom ou l’adresse e-mail d’un Utilisateur Autorisé) apparaît dans les deux contextes.
Les Données à caractère personnel traitées concernent les catégories suivantes de Personnes concernées :
Le traitement, par Ten Square, des données de compte et d’identité, des données de facturation, de la télémétrie opérationnelle et de la correspondance de support s’effectue dans le cadre de son rôle de Responsable du traitement (voir la note sur le périmètre ci-dessus) et est décrit dans la Politique de confidentialité de Ten Square.
Stockage, extraction, transmission, affichage, impression, exportation, recherche structurée et suppression des données décrites ci-dessus, aux fins (a) de la fourniture du Service et de l’enregistrement des preuves de livraison, (b) de la sécurisation de l’accès au Service et de la traçabilité de cet accès, et (c) du respect des obligations légales du Sous-traitant. L’administration des comptes, la facturation et le support client sont traités par Ten Square en tant que responsable du traitement (voir la note sur le périmètre ci-dessus).
Pendant la durée du Contrat, augmentée des périodes postérieures à la résiliation et de conservation des sauvegardes décrites à l’article 10 et à l’Annexe II. Les fichiers de preuve liés à des événements de livraison ou à des réclamations (tels que les photos servant de preuve de livraison) sont supprimés plus tôt, dès qu’expire un délai de conservation que le Service fixe par pays lors de l’activation du document (actuellement cinq à dix ans), sauf si une réclamation ouverte enregistrée dans le Service exige une conservation plus longue. Les enregistrements des jetons d’invité sont conservés pendant quatre-vingt-dix (90) jours après l’expiration du jeton.
Le Service n’est pas destiné à traiter, ni configuré pour traiter, des Données à caractère personnel relevant de catégories particulières (article 9 du RGPD) ou des données relatives aux condamnations pénales (article 10 du RGPD), et le Responsable du traitement s’engage à ne pas soumettre de telles données au Service. Il s’agit d’une interdiction stricte, en cohérence avec l’article 4.4 : aucune exception au cas par cas n’est prévue.
Les mesures énoncées dans la présente Annexe sont des mesures contraignantes et ne décrivent donc que des contrôles présentés comme mis en œuvre. Les mesures de stockage et de sauvegarde ont été vérifiées sur le système de production le 2026-10-06, les autres mesures d’infrastructure le 2026-07-03.
Contrôle des modifications. Le Sous-traitant peut mettre à jour les mesures de la présente Annexe en fonction de l’évolution de la technologie et des opérations, à condition que le niveau global de protection ne diminue pas de manière substantielle. Une modification qui réduirait de manière substantielle le niveau de protection sera notifiée au Responsable du traitement à l’avance, conformément à la procédure de modification du Contrat.
La production est hébergée par Hetzner dans l’UE (Allemagne) : l’application et la base de données sur un seul serveur virtuel, et les fichiers téléversés dans Hetzner Object Storage, dans un autre centre de données de Hetzner en Allemagne. La source faisant foi pour les hôtes et les régions effectifs est la Liste des Sous-traitants ultérieurs (publiée sur https://cmr-jet.eu/subprocessors).
La présente Annexe ne s’applique que lorsque les Clauses contractuelles types sont requises en vertu de l’article 8 du présent Contrat de sous-traitance.
| Clause / option des CCT | Sélection |
|---|---|
| Module | Module 2 (Responsable du traitement à Sous-traitant) par défaut ; Module 3 (Sous-traitant à Sous-traitant ultérieur) lorsque le Sous-traitant fait appel à un Sous-traitant ultérieur situé en dehors de l’EEE |
| Clause d’adhésion (Clause 7) | Applicable |
| Autorisation des sous-traitants ultérieurs (Clause 9) | Option 2 : autorisation écrite générale, avec le délai de préavis et le mécanisme d’opposition prévus à l’article 6 du présent Contrat de sous-traitance |
| Voies de recours (Clause 11(a)) | Formulation facultative non incluse par défaut |
| Droit applicable (Clause 17) | Le droit belge (État membre de l’exportateur de données) |
| Élection de for et juridiction (Clause 18) | Les juridictions belges désignées dans le Contrat |
| Annexe I.A (Parties) | Le Responsable du traitement et le Sous-traitant tels qu’identifiés à l’article 1 du présent Contrat de sous-traitance |
| Annexe I.B (Description du transfert) | Telle qu’énoncée à l’Annexe I du présent Contrat de sous-traitance |
| Annexe I.C (Autorité de contrôle compétente) | L’Autorité de protection des données belge (Gegevensbeschermingsautoriteit / Autorité de Protection des Données) |
| Annexe II (MTO) | Telles qu’énoncées à l’Annexe II du présent Contrat de sous-traitance |
| Annexe III (Liste des sous-traitants ultérieurs) | La Liste des Sous-traitants ultérieurs (publiée sur https://cmr-jet.eu/subprocessors) |
La présente Annexe constitue un dispositif de secours pour les cas dans lesquels les CCT sont requises. Les transferts vers des organisations américaines participant actuellement au cadre de protection des données UE-États-Unis (Data Privacy Framework) reposent en premier lieu sur la décision d’adéquation applicable ; les CCT des fournisseurs sont conservées comme solution de repli. La Liste des Sous-traitants ultérieurs indique le mécanisme utilisé pour chaque fournisseur.