Accord de traitement des données — France
Les stipulations de l'article 28 sous lesquelles Cerrax traite les données personnelles de vos clients sur vos instructions.
Le présent accord fait partie des Conditions générales et s'applique chaque fois que Cerrax traite des données personnelles pour votre compte. Il emploie les définitions du règlement (UE) 2016/679 (le « RGPD ») et de la loi n° 78-17 du 6 janvier 1978. En cas de contradiction entre le présent accord et les Conditions sur la protection des données, le présent accord prévaut.
1. Qui est quoi
Vous êtes le responsable du traitement des données personnelles de vos clients. Nous en sommes le sous-traitant : nous agissons sur vos instructions et pour aucune finalité qui nous soit propre. Pour les données de votre propre compte — votre nom, vos identifiants, les réglages et la facturation de votre entreprise — nous sommes responsable du traitement, et notre Politique de confidentialité s'y applique.
2. Ce que nous traitons, et pendant combien de temps
- Objet et finalité : produire des devis de déménagement et accompagner les chantiers qui en découlent, sur vos instructions.
- Durée : tant que votre compte est ouvert, puis uniquement dans les limites de l'article 8.
- Nature des données personnelles : noms, adresses, coordonnées, dates de déménagement, et les caractéristiques du logement et de son contenu que vous ou votre client saisissez ; lorsque vos équipes utilisent Cerrax le jour du déménagement, les photographies du logement, de ses accès et de tout dommage constaté, ainsi que le nom et la signature tracée de la personne qui valide l'inventaire ; et, lorsque vous l'y invitez et que votre client le choisit, une vidéo de son logement.
- Catégories de personnes concernées : vos clients, les personnes présentes aux adresses entre lesquelles vous déménagez, et les personnes que vous autorisez à utiliser Cerrax pour votre compte.
Nous ne demandons pas et ne souhaitons pas recevoir de données sensibles. Merci de ne pas saisir d'informations de santé, biométriques ou similaires dans les champs libres.
Une signature recueillie sur un inventaire est conservée comme preuve que votre client a approuvé ce qui a été déménagé et dans quel état. Rien ne la mesure, ne la compare ni ne la rapproche d'une autre, et elle ne sert jamais à identifier quelqu'un — nous ne la traitons donc pas comme une donnée biométrique. Le recueil de signatures est facultatif : si vous préférez que vos équipes ne le fassent pas, n'utilisez simplement pas cette fonction.
3. Nous agissons sur vos instructions
Nous ne traitons les données personnelles de vos clients que sur vos instructions documentées — qui comprennent votre utilisation du produit et le présent accord — sauf obligation contraire du droit de l'Union ou d'un État membre, auquel cas nous vous en informons au préalable à moins que la loi ne l'interdise. Si une instruction nous paraît contraire au droit de la protection des données, nous vous le disons.
4. Confidentialité
Toute personne que nous autorisons à accéder aux données personnelles de vos clients est tenue à la confidentialité et ne voit que ce que son rôle exige. Au sein du produit, l'accès est régi par des rôles et des permissions individuelles, vérifiés côté serveur à chaque requête.
5. Sécurité
Nous mettons en œuvre les mesures techniques et organisationnelles requises par l'article 32, décrites dans notre présentation de la sécurité (en anglais) — chiffrement en transit et au repos, contrôle d'accès fondé sur les rôles, journal d'audit des actions importantes, restauration à un instant donné et sauvegardes quotidiennes distinctes. Cette page indique clairement ce que nous n'avons pas encore.
6. Sous-traitants ultérieurs
Vous nous donnez une autorisation écrite générale de recourir à des sous-traitants ultérieurs. La liste actuelle figure à la section 8 de notre Politique de confidentialité et y est tenue à jour. Nous imposons à chacun d'eux des obligations de protection des données au moins aussi protectrices que les présentes, et nous demeurons pleinement responsables envers vous de leur exécution. Nous vous informons avec un préavis raisonnable avant d'en ajouter ou d'en remplacer un, et vous pouvez vous y opposer pour des motifs légitimes tenant à la protection des données ; si nous ne parvenons pas à lever votre objection, vous pouvez résilier.
7. Vous aider à respecter vos propres obligations
Compte tenu de la nature du traitement, nous vous aidons à répondre aux demandes des personnes concernées — accès, rectification, effacement, portabilité, opposition — et à satisfaire à vos obligations au titre des articles 32 à 36 en matière de sécurité, de notification des violations et d'analyse d'impact. Si une personne concernée nous contacte directement au sujet de données que nous détenons pour vous, nous la renvoyons vers vous plutôt que de répondre à votre place. Si nous avons connaissance d'une violation de données personnelles affectant vos données, nous vous en informons dans les meilleurs délais, avec les informations dont vous avez besoin pour notifier la CNIL dans vos 72 heures.
8. Suppression et restitution
À la fin de l'accord, vous pouvez nous demander de supprimer ou de restituer les données personnelles de vos clients, ce que nous faisons dans un délai raisonnable, sauf lorsque le droit de l'Union ou d'un État membre nous impose de les conserver. Les enregistrements de tarification validés ne sont jamais modifiés en silence — mais les identifiants personnels qu'ils contiennent peuvent être caviardés, ce qui permet d'honorer l'effacement sans falsifier la trace de ce qui a été devisé.
9. Données de chantier dé-identifiées
Cerrax gagne en précision à mesure qu'il observe des résultats réels. Une fois les données personnelles supprimées ou caviardées, nous conservons la forme dé-identifiée du chantier et ce qu'il a coûté — volume, distance, accès, équipe, heures, prix — et pouvons continuer à l'utiliser. Cela survit à la suppression et à la fin du présent accord, car il ne s'agit alors plus de données personnelles.
Nous ne considérons des données comme dé-identifiées que lorsqu'elles ne peuvent plus être rattachées à une personne, et nous appliquons ce critère avant tout usage de ce type.
10. Apprentissage entre entreprises
Nous utilisons des données de résultat dé-identifiées provenant de l'ensemble des entreprises utilisant Cerrax, dans tous les pays, pour améliorer le moteur de tarification au bénéfice de toutes, vous compris. Nous le disons ici plutôt que de le laisser supposer, parce que c'est ainsi que le produit s'améliore et que nous préférons que vous le sachiez plutôt que vous le découvriez.
11. Vos chiffres restent les vôtres
Vos tarifs, vos marges, vos clients et vos prix ne sont jamais visibles d'une autre entreprise, ni montrés aux personnes auxquelles vous adressez un devis. L'apprentissage décrit à l'article 10 repose sur un signal agrégé et dé-identifié — jamais sur un accès de quiconque aux données d'une entreprise donnée.
12. Audit
Nous mettons à votre disposition les informations raisonnablement nécessaires pour démontrer le respect des présentes obligations, et nous permettons la réalisation d'audits par vous ou un auditeur que vous mandatez, et y contribuons, moyennant un préavis raisonnable et au plus une fois par an, sauf exigence d'une autorité de contrôle ou survenance d'une violation.
13. Transferts internationaux
Nous conservons les données personnelles de vos clients au Royaume-Uni, à Londres. Il s'agit d'un transfert hors de l'Union européenne, licite parce que la Commission européenne a reconnu au Royaume-Uni un niveau de protection adéquat (décision (UE) 2021/1772, prorogée en 2025). Vous l'autorisez sur ce fondement. Lorsqu'un sous-traitant ultérieur traite des données hors de l'Union et du Royaume-Uni, nous nous fondons sur les clauses contractuelles types de l'Union (décision (UE) 2021/914), complétées des mesures supplémentaires que le transfert requiert. Vous pouvez à tout moment nous demander où vos données sont conservées, et nous vous répondrons pour le jour de votre demande.
14. Contact
Questions de protection des données, demandes des personnes concernées et notifications de violation : hello@cerrax.io.