Accord de traitement des données (DPA) : Driva

Le présent Accord de traitement des données (« DPA ») est conclu conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD ») entre l'auto-école cliente (« le Responsable de traitement ») et Driva (« le Sous-traitant »). Il fait partie intégrante des Conditions Générales d'Utilisation et s'applique à tout traitement de données à caractère personnel effectué par Driva pour le compte de l'auto-école.

1. Objet

Driva fournit une plateforme de gestion d'auto-école (gestion des élèves, du planning, des paiements, des documents, de la signature de contrats et des inscriptions aux examens). Dans ce cadre, Driva traite des données personnelles pour le compte de l'auto-école, qui en reste seule responsable de traitement.

2. Nature, finalité et durée du traitement

Nature : collecte, stockage, organisation, consultation, transmission et suppression.
Finalité : exécution du service de gestion d'auto-école souscrit.
Durée : pendant toute la durée de l'abonnement, puis conservation selon la politique de rétention (suppression des documents : fin de relation + 3 ans).

3. Catégories de personnes et de données

Personnes concernées : élèves/candidats, moniteurs, personnel administratif de l'auto-école.
Données traitées : identité (nom, prénom, date de naissance), coordonnées (email, téléphone, adresse), numéro NEPH, documents d'identité et justificatifs déposés (CNI/passeport/titre de séjour, justificatif de domicile, photos, ASSR/ASR, JDC, autorisation parentale, pièce du représentant légal), données de formation et de paiement.

4. Obligations du Sous-traitant

Driva s'engage à :

ne traiter les données que sur instruction documentée du Responsable de traitement (utilisation de la plateforme et présent DPA) ;
garantir la confidentialité (personnel soumis à une obligation de confidentialité) ;
mettre en œuvre des mesures de sécurité appropriées (art. 32 RGPD) : stockage privé chiffré, contrôle d'accès, cloisonnement par auto-école, journalisation des accès sensibles, accès aux documents médié côté serveur ;
assister le Responsable pour répondre aux demandes d'exercice des droits des personnes ;
notifier toute violation de données dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance ;
supprimer ou restituer les données en fin de prestation, conformément à la politique de rétention ;
tenir un registre des traitements et mettre à disposition les informations nécessaires à la démonstration de conformité.

5. Sous-traitants ultérieurs

Le Responsable de traitement autorise Driva à recourir aux sous-traitants ultérieurs listés ci-dessous. Driva informera le Responsable de tout changement et reste responsable du respect par ces tiers des obligations du présent DPA.

Sous-traitant	Finalité	Localisation
Vercel Inc.	Hébergement applicatif et stockage des fichiers (Vercel Blob, store privé)	UE / États-Unis (clauses contractuelles types)
Neon	Hébergement de la base de données	Union européenne
Firma.dev	Signature électronique des contrats et mandats ANTS	Union européenne
Stripe	Traitement des paiements et abonnements	UE / États-Unis (clauses contractuelles types)
Resend	Envoi des e-mails transactionnels	États-Unis (clauses contractuelles types)
Brevo (Sendinblue)	Envoi des SMS transactionnels	Union européenne (France)
ObjectifCode / La Poste	Inscription à l'examen du code de la route (ETG)	Union européenne (France)

6. Transferts hors UE

Tout transfert de données en dehors de l'Union européenne est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne) auprès des sous-traitants concernés.

7. Mesures de sécurité

Stockage des documents sur un store privé (URLs non publiques) ;
Cloisonnement strict des données par auto-école (isolation multi-locataire) ;
Authentification renforcée et re-vérification du mot de passe pour le téléchargement de pièces par l'élève ;
Journalisation des accès aux données sensibles ;
Suppression automatisée des documents à l'issue de la durée de rétention.

8. Acceptation

L'acceptation du présent DPA est recueillie lors de la souscription (case à cocher dédiée). La date, l'adresse IP et la version du document acceptés sont conservées à titre de preuve.