1. Objet, parties et définitions
Le présent accord de traitement des données (« DPA ») encadre les traitements de données à caractère personnel réalisés par Boxpilote pour le compte de ses clients, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée.
Il fait partie intégrante du contrat d'abonnement à la plateforme Boxpilote (Conditions Générales et, le cas échéant, conditions particulières) et s'applique dès leur acceptation.
- Le Client, utilisateur de la plateforme, agit en qualité de responsable de traitement.
- BOXPILOTE, SARL immatriculée au RCS de Bordeaux sous le numéro 933 389 827, siège social Lieu-dit Le Puch, 33650 Cabanac-et-Villagrains, éditrice de la plateforme, agit en qualité de sous-traitant.
Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données » ont le sens que leur donne l'article 4 du RGPD. Les « Données du Client » désignent les données personnelles traitées par Boxpilote pour le compte du Client dans le cadre du service.
Des stipulations spécifiques peuvent être convenues dans un accord signé entre les parties ; elles prévalent alors sur le présent document.
2. Description du traitement
| Rubrique | Contenu |
|---|
| Objet | Gestion de centres de self-stockage via la plateforme SaaS Boxpilote. |
|---|
| Nature des opérations | Collecte, enregistrement, conservation, consultation, utilisation, extraction, effacement. |
|---|
| Finalités | Gestion des locataires et prospects, contrats et devis, facturation, encaissements, relances, exports comptables et, si le Client les active, fonctionnalités d'assistance par intelligence artificielle. |
|---|
| Personnes concernées | Locataires (particuliers et professionnels), prospects, contacts et représentants des clients du Client, utilisateurs de la plateforme. |
|---|
| Catégories de données | Identité, coordonnées, données contractuelles, données financières (factures, règlements, coordonnées bancaires), données de signature électronique et, selon l'usage, justificatifs ou données d'accès aux centres. |
|---|
| Données sensibles | Aucune catégorie particulière de données (art. 9 RGPD) n'est requise par le service. |
|---|
| Durée | Durée de l'abonnement, puis restitution et suppression dans les conditions de l'article 6. |
|---|
3. Obligations des parties
Boxpilote s'engage à :
- traiter les Données du Client uniquement sur ses instructions documentées et pour les seuls besoins du service, et l'informer si une instruction lui paraît contraire au RGPD ;
- ne pas utiliser les Données du Client pour ses propres finalités, ni les céder ou les commercialiser ;
- soumettre les personnes autorisées à traiter les données à une obligation de confidentialité ;
- mettre en œuvre des mesures de sécurité appropriées (article 4) ;
- aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées et à respecter ses obligations de sécurité, de notification des violations et d'analyse d'impact ;
- tenir un registre des traitements effectués pour le compte de ses clients.
Le Client s'engage à :
- fournir des instructions licites et documentées ;
- disposer d'une base légale pour chaque traitement et informer les personnes concernées ;
- respecter ses propres obligations au titre du RGPD, notamment la sécurité des accès de ses utilisateurs (identifiants, habilitations) ;
- définir les durées de conservation applicables à ses données.
4. Sécurité, sous-traitants ultérieurs et transferts
Mesures de sécurité
Boxpilote met en œuvre des mesures techniques et organisationnelles adaptées aux risques (article 32 du RGPD), notamment :
- isolation des données de chaque client ;
- contrôle des accès par rôles et principe du moindre privilège ;
- authentification forte pour les accès d'administration ;
- chiffrement des données en transit et au repos ;
- sauvegardes automatisées régulières et tests de restauration ;
- journalisation des accès et opérations sensibles ;
- bonnes pratiques de développement sécurisé et mises à jour de sécurité.
Ces mesures peuvent évoluer, à un niveau de protection au moins équivalent.
Sous-traitants ultérieurs
Le Client autorise Boxpilote à recourir à des sous-traitants ultérieurs pour l'exécution du service, notamment pour l'hébergement, l'envoi d'e-mails transactionnels, la signature électronique, les paiements et les fonctionnalités d'intelligence artificielle. La liste à jour est communiquée sur simple demande. Boxpilote informe le Client de tout ajout ou remplacement avec un préavis raisonnable ; le Client peut s'y opposer pour un motif légitime. Boxpilote impose à ses sous-traitants ultérieurs des obligations équivalentes et demeure responsable de leur exécution.
Localisation et transferts
Les Données du Client sont hébergées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur est établi ou peut accéder aux données depuis un pays situé hors de l'UE/EEE, le transfert est encadré par un mécanisme conforme au chapitre V du RGPD (décision d'adéquation, dont le EU-US Data Privacy Framework, ou clauses contractuelles types de la Commission européenne).
5. Violations de données, droits des personnes et audits
Violations de données
Boxpilote notifie au Client toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, afin de lui permettre de respecter son propre délai de 72 heures envers la CNIL. La notification précise, dans la mesure du possible, la nature de la violation, les données et personnes concernées, ses conséquences probables et les mesures prises. Le Client reste seul responsable des notifications à l'autorité de contrôle et aux personnes concernées.
Droits des personnes
Lorsque la plateforme le permet, le Client exerce les droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition) de manière autonome depuis son interface. Toute demande reçue directement par Boxpilote est transmise au Client sans délai.
Documentation et audits
Boxpilote met à disposition du Client les informations nécessaires pour démontrer sa conformité. Le Client peut faire réaliser un audit, dans une limite raisonnable de fréquence, moyennant un préavis écrit, pendant les heures ouvrées, sous confidentialité et sans perturber le service. L'audit est mené par un auditeur indépendant tenu au secret professionnel, aux frais du Client.
6. Durée et fin du traitement
Le présent DPA s'applique pendant toute la durée de l'abonnement, puis pour les obligations qui lui survivent (restitution, suppression, confidentialité).
À la fin de l'abonnement, Boxpilote restitue au Client, à sa demande, ses données dans un format standard exploitable, puis les supprime, copies comprises, dans un délai raisonnable. Les sauvegardes sont purgées selon leur cycle normal de rotation. La conservation des données au titre des obligations légales du Client, notamment comptables, relève de ce dernier après restitution.
7. Responsabilité
Chaque partie répond des dommages résultant d'un manquement aux obligations qui lui incombent au titre du RGPD et du présent DPA, dans les limites prévues par les Conditions Générales de Vente, sauf disposition légale impérative contraire.
8. Dispositions finales
Boxpilote peut mettre à jour le présent DPA pour tenir compte de l'évolution du service ou de la réglementation ; toute modification substantielle est notifiée au Client. Le DPA est régi par le droit français ; tout litige relève des juridictions désignées dans les Conditions Générales de Vente.
Pour toute question relative à la protection des données : support@boxpilote.fr.
Dernière mise à jour : octobre 2026.
