Cet accord fixe les conditions dans lesquelles MecaPilot traite, pour le compte du Client, les données personnelles nécessaires au fonctionnement du logiciel.
| Finalités | Gestion des clients et des véhicules du garage, devis, factures, rendez-vous et agenda, suivi d'atelier et ordres de réparation, envoi de SMS et d'e-mails au nom du garage, demandes d'avis, assistant automatique, agents IA qui répondent aux clients du garage sur son site web, sur WhatsApp et au téléphone (réponses, demandes de rendez-vous, résumé des échanges), recherche des caractéristiques d'un véhicule par sa plaque. |
|---|---|
| Personnes concernées | Clients et prospects du garage ; Utilisateurs du Client (gérant, salariés). |
| Données | Identité, coordonnées (téléphone, e-mail, adresse), véhicules (plaque, numéro de série, marque, modèle, kilométrage), devis, factures, rendez-vous, notes saisies par le garage, messages échangés avec l'assistant et avec les agents IA (texte des conversations ; pour le téléphone, numéro de l'appelant et transcription de l'appel) ; pour les Utilisateurs : identifiant, rôle, journaux de connexion. Aucune donnée sensible au sens de l'article 9 du RGPD n'est attendue : le Client s'abstient d'en saisir. |
| Durée | Celle du contrat, puis le temps de restituer et supprimer les données (article 9). |
MecaPilot met en œuvre des mesures adaptées au risque, notamment :
MecaPilot notifie au Client toute violation de données personnelles le concernant dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes, conséquences probables, mesures prises), pour lui permettre de notifier la CNIL et, si nécessaire, les personnes concernées.
Le Client autorise MecaPilot à faire appel aux sous-traitants suivants :
| Prestataire | Rôle | Lieu |
|---|---|---|
| Hetzner Online GmbH | Hébergement des serveurs et des données | Allemagne (UE) |
| IONOS SE | Envoi des e-mails | Union européenne |
| SMSFactor | Envoi des SMS | France (UE) |
| RapidAPI / fournisseur de données SIV | Caractéristiques d'un véhicule à partir de sa plaque (seule la plaque est transmise) | États-Unis (RapidAPI) |
| Meta Platforms Ireland Ltd | Messagerie WhatsApp Business (agent IA WhatsApp, si le Client l'active) | Irlande (UE), transferts possibles vers les États-Unis |
| Twilio Ireland Ltd | Acheminement des appels téléphoniques (agent IA au téléphone, si le Client l'active) | Irlande (UE), transferts possibles vers les États-Unis |
| Mistral AI | Assistant automatique (Baraka) et rédaction des courriers | France (UE) |
| OpenAI | Assistant automatique (Baraka), aide à la rédaction et agents IA (texte et voix) | États-Unis |
Le paiement de l'abonnement par Stripe concerne les données du Client lui-même, pas celles de ses clients : il relève de la politique de confidentialité.
MecaPilot informe le Client de tout ajout ou remplacement d'un sous-traitant au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais. MecaPilot impose à ses sous-traitants des obligations de protection équivalentes et reste responsable de leurs manquements envers le Client.
Lorsqu'un sous-traitant traite des données hors de l'Union européenne, le transfert est encadré par une décision d'adéquation de la Commission européenne (par exemple le cadre de protection des données UE–États-Unis pour les entreprises certifiées) ou par les clauses contractuelles types de la Commission européenne. Les données envoyées à l'assistant automatique se limitent à ce qui est nécessaire à la demande.
MecaPilot tient à la disposition du Client les informations nécessaires pour démontrer le respect de cet accord (registre des traitements, description des mesures de sécurité). Le Client peut faire réaliser un audit, à ses frais, une fois par an au plus, avec un préavis de 30 jours, par un auditeur tenu à la confidentialité et sans perturber le service.
À la fin du contrat, au choix du Client : MecaPilot lui restitue ses données dans un format courant (export disponible pendant la période de lecture seule, ou sur demande écrite dans les 30 jours suivant la fin du contrat), puis les supprime. Toutes les données, copies de sauvegarde comprises, sont supprimées au plus tard 6 mois après la fin du contrat, sauf obligation légale de conservation. Sur demande, MecaPilot confirme la suppression par écrit.
Le Client fournit les données et les instructions, informe ses clients du traitement (mention sur ses devis, factures ou ordres de réparation, affichage), recueille leur consentement lorsque la loi l'exige (notamment pour les SMS publicitaires), ne saisit que les données nécessaires et veille au respect du RGPD par ses Utilisateurs.
Pour toute question sur cet accord ou sur la protection des données : contact@mecapilot.fr — STECTRA CONSULTING SARL, 51 rue Saint-Maur, 75011 Paris.