Annexe A : Accord de traitement et d'utilisation des données (DPA)
Version 2026.05
La version allemande fait foi. Cette traduction française est fournie à titre informatif.
La présente Annexe A complète les Conditions Générales (CG) et la Politique de confidentialité de DRAIV. Elle décrit comment les données personnelles sont traitées dans le cadre de la Plateforme et des Contrats de location facilités par celle-ci.
1. Responsable du traitement
Le responsable du traitement au sens de la Loi fédérale suisse sur la protection des données (nLPD) est :
Steininger AG (opérant sous le nom « DRAIV ») c/o Zwicky & Partner, Gartenstrasse 4, 6300 Zug, Suisse
Contact pour les questions relatives à la protection des données : [email protected]
Responsables du traitement indépendants pour les véhicules de tiers : Lors de la location de véhicules de tiers, le/la propriétaire du véhicule et DRAIV sont chacun des responsables du traitement indépendants au sens de la nLPD. La transmission des données du/de la locataire au/à la propriétaire aux fins de l'exécution du contrat de location, ainsi que les obligations du/de la propriétaire dans le traitement de ces données, sont régies par le § 10.2 des Conditions pour les propriétaires de véhicules.
2. Objet et champ d'application
Le présent DPA décrit les catégories de données personnelles traitées, les finalités du traitement, les sous-traitants engagés et les mesures de sécurité mises en œuvre dans le cadre de l'exploitation de la Plateforme DRAIV et de la facilitation de la location de Véhicules.
3. Catégories de données personnelles traitées
| Catégorie | Éléments de données | Finalité |
|---|---|---|
| Données d'identité | Nom, date de naissance, adresse, nationalité | Création de compte, vérification d'identité, conformité légale |
| Données de contact | Adresse e-mail, numéro de téléphone | Communication, confirmations de réservation, assistance |
| Données du permis de conduire | Numéro de permis, catégorie, validité, autorité de délivrance, photographie | Vérification de l'autorisation de conduire |
| Données de paiement | Type de moyen de paiement, 4 derniers chiffres (données complètes de carte traitées par Stripe) | Traitement des paiements, remboursements, gestion des cautions |
| Données de réservation | Dates de location, sélection du véhicule, tarification, niveau d'exonération de dommages, options | Exécution du contrat, facturation, résolution de litiges |
| Données d'état du véhicule | Photographies à la prise en charge/restitution, rapports de dommages | Évaluation des dommages, examen de la caution |
| Données d'accès au véhicule | Horodatages de verrouillage/déverrouillage, géolocalisation lors de l'accès | Sécurité du véhicule, vérification de la période de location |
| Données de communication | Messages d'assistance, historique de conversation, messages WhatsApp | Assistance client, résolution de litiges |
| Données de localisation | Coordonnées GPS de prise en charge/restitution, vérification de proximité | Remise du véhicule, vérification d'accès |
| Données d'utilisation | Journaux d'interaction avec la Plateforme, historique de réservation | Amélioration du service, prévention de la fraude |
4. Base juridique du traitement
Le traitement est justifié au titre de la nLPD sur les fondements suivants :
- Exécution du contrat (art. 31 al. 2 let. a nLPD) : Traitement nécessaire au Contrat de location et aux services de la Plateforme.
- Intérêt privé prépondérant (art. 31 al. 1 nLPD) : Prévention de la fraude, sécurité de la plateforme, traitement des réclamations.
- Obligation légale : Conformité aux réglementations suisses en matière fiscale, d'assurance, de circulation routière et de poursuite pour dettes.
- Consentement : Lorsque requis pour les communications marketing et le suivi analytique.
5. Sous-traitants
DRAIV fait appel aux sous-traitants suivants pour le traitement des données personnelles. Chaque sous-traitant est lié par des obligations contractuelles en matière de protection des données.
5.1 Services de base de la Plateforme
| Sous-traitant | Finalité | Catégories de données | Localisation |
|---|---|---|---|
| Convex, Inc. | Base de données backend, synchronisation des données en temps réel | Toutes les données de réservation et d'utilisateur | États-Unis |
| Clerk, Inc. | Authentification, gestion des identités | E-mail, téléphone, identifiants utilisateur, jetons d'authentification | États-Unis |
| Stripe, Inc. | Traitement des paiements, cautions, remboursements | Données de paiement, informations de facturation, montants de réservation | États-Unis |
| Vercel, Inc. | Hébergement de l'application web, CDN | Données d'application, journaux de déploiement | États-Unis |
5.2 Services de communication
| Sous-traitant | Finalité | Catégories de données | Localisation |
|---|---|---|---|
| Resend, Inc. | Envoi d'e-mails transactionnels | Adresses e-mail, détails de réservation, noms | États-Unis |
| Meta Platforms (WhatsApp Business) | Messagerie d'assistance client | Numéros de téléphone, contenu des messages | États-Unis |
5.3 Connectivité des véhicules
| Sous-traitant | Finalité | Catégories de données | Localisation |
|---|---|---|---|
| Smartcar, Inc. | API d'accès aux véhicules | Données du véhicule, journaux d'accès | États-Unis |
| BMW AG (Connected Drive) | Verrouillage/déverrouillage du véhicule | Identifiants du véhicule, horodatages d'accès | Allemagne |
5.4 Services assistés par l'IA
| Sous-traitant | Finalité | Catégories de données | Localisation |
|---|---|---|---|
| Anthropic, PBC | Extraction des données du permis, IA d'assistance client | Images du permis, messages de conversation | États-Unis |
| Google LLC (Gemini) | Analyse d'images de véhicules | Photographies de véhicules | États-Unis |
5.5 Sécurité et infrastructure
| Sous-traitant | Finalité | Catégories de données | Localisation |
|---|---|---|---|
| Intuition Machines (hCaptcha) | Prévention des bots | Adresses IP, modèles d'interaction | États-Unis |
| Amazon Web Services | Stockage de fichiers (images, documents) | Photos de véhicules, images de permis | États-Unis |
| Google Cloud Platform | Hébergement d'infrastructure | Données de routage des messages | États-Unis |
5.6 Ancien système (migration uniquement)
| Sous-traitant | Finalité | Catégories de données | Localisation |
|---|---|---|---|
| Supabase, Inc. | Base de données historique (lecture seule, en cours de décommissionnement) | Données historiques d'utilisateurs et de réservations | États-Unis |
6. Transferts transfrontaliers de données
Lorsque des données personnelles sont transférées à des sous-traitants situés en dehors de la Suisse (principalement aux États-Unis), DRAIV assure une protection adéquate par :
- (a) des Clauses Contractuelles Types (CCT) reconnues par le PFPDT suisse ;
- (b) la participation du sous-traitant à des cadres reconnus de protection des données ;
- (c) des obligations contractuelles de protection des données équivalentes au droit suisse.
Le Locataire reconnaît que l'utilisation de la Plateforme implique nécessairement le transfert de données personnelles aux sous-traitants énumérés au § 5.
7. Conservation des données
| Catégorie de données | Durée de conservation | Fondement |
|---|---|---|
| Données du compte | Durée du compte + 2 ans | Exécution du contrat, créances légales |
| Dossiers de réservation | 10 ans à compter de la finalisation de la réservation | Droit fiscal et comptable suisse (CO art. 958f) |
| Relevés de paiement | 10 ans à compter de la transaction | Droit fiscal suisse |
| Données du permis de conduire | Durée du compte + 90 jours | Finalités de vérification |
| Journaux d'accès aux véhicules | 12 mois | Sécurité, résolution de litiges |
| Données de communication | 3 ans | Assistance, résolution de litiges |
| Rapports de dommages et photos | 5 ans | Réclamations d'assurance, litiges juridiques |
Les données sont supprimées ou anonymisées à l'expiration de la durée de conservation applicable, sauf si une conservation plus longue est requise par la loi.
8. Mesures de sécurité
DRAIV met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, notamment :
- (a) le chiffrement des données en transit (TLS) et au repos ;
- (b) des contrôles d'accès fondés sur les rôles et le principe du moindre privilège ;
- (c) des examens de sécurité réguliers ;
- (d) une authentification sécurisée via Clerk (authentification multifacteur le cas échéant) ;
- (e) les données de paiement traitées exclusivement par des prestataires conformes à la norme PCI DSS (Stripe) ;
- (f) une surveillance automatisée et des alertes pour les événements de sécurité.
9. Notification en cas de violation de données
En cas de violation de données personnelles :
- (a) DRAIV notifiera le Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais si la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées.
- (b) DRAIV notifiera les personnes concernées dans les meilleurs délais si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.
- (c) Les notifications incluront la nature de la violation, les catégories de données concernées, les conséquences probables et les mesures prises pour remédier à la violation.
10. Droits des personnes concernées
Les personnes concernées peuvent exercer les droits suivants en contactant [email protected] :
- (a) Droit d'accès (art. 25 nLPD) : Demander des informations sur les données personnelles traitées.
- (b) Droit de rectification : Demander la correction de données inexactes.
- (c) Droit à l'effacement : Demander la suppression des données personnelles, sous réserve des obligations légales de conservation.
- (d) Droit à la portabilité des données (art. 28 nLPD) : Recevoir les données personnelles dans un format structuré et couramment utilisé.
- (e) Droit d'opposition : S'opposer au traitement fondé sur des intérêts prépondérants.
- (f) Droit de retirer le consentement : Retirer le consentement à tout moment pour le traitement fondé sur le consentement.
DRAIV répondra aux demandes dans un délai de 30 jours. Les réclamations peuvent être déposées auprès du PFPDT suisse.
11. Modifications du présent DPA
DRAIV peut mettre à jour le présent DPA de temps à autre, notamment pour refléter les changements de sous-traitants ou d'activités de traitement. Les modifications substantielles seront communiquées conformément au § 11 des CG.
Steininger AG, Zug, Suisse
Version 2026.05