Accord de sous-traitance des données
Cet accord fait partie des conditions d'utilisation de MyKarnet (CGU et CGV). Il s'applique dès la création d'un compte et répond à l'article 28 du Règlement général sur la protection des données (RGPD). Il encadre les données personnelles de vos clients, prospects et contacts que vous saisissez ou recevez dans MyKarnet.
Article 1 — Rôles
Vous, professionnel utilisateur de MyKarnet, êtes responsable de traitement des données de vos clients, prospects, fournisseurs et des personnes qui réservent, louent ou vous écrivent par l'intermédiaire du service. L'éditeur de MyKarnet (voir les mentions légales) est votre sous-traitant : il traite ces données uniquement pour vous fournir le service.
Les données de votre propre compte (identité, connexion, facturation de l'abonnement) relèvent de la politique de confidentialité : MyKarnet en est alors responsable de traitement.
Article 2 — Objet, nature et finalité
MyKarnet héberge, enregistre, affiche, met en forme, envoie (e-mails, liens) et supprime vos données dans le seul but de vous fournir les fonctions que vous utilisez : clients et prospects, devis et factures, relances, agenda, interventions, réservations, suivi client, formulaires de contact, location de matériel et modules optionnels.
Article 3 — Durée
L'accord s'applique tant que votre compte existe, puis jusqu'à l'effacement de vos données (article 12).
Article 4 — Personnes et données concernées
Personnes concernées : vos clients et prospects et leurs interlocuteurs, vos fournisseurs, les personnes qui réservent ou louent auprès de vous (et les voyageurs qui les accompagnent), les personnes qui vous écrivent par vos formulaires ou votre espace de suivi.
- identité et coordonnées : nom, e-mail, téléphone, adresse ;
- données commerciales et comptables : devis, factures, paiements, montants, notes ;
- réservations et locations : dates, nombre de personnes et, si vous tenez un registre des voyageurs, date de naissance, nationalité et pièce d'identité ;
- preuve d'acceptation des devis : nom saisi, signature, adresse IP, navigateur, date ;
- messages et photos échangés dans l'espace de suivi client ;
- demandes reçues par vos formulaires de contact (champs que vous avez choisis).
MyKarnet n'est pas conçu pour les données sensibles au sens de l'article 9 du RGPD (santé, opinions, religion…) : n'en saisissez pas.
Article 5 — Vos instructions
MyKarnet traite les données uniquement sur vos instructions documentées : elles résultent de votre utilisation du service (saisie, paramétrage, envois que vous déclenchez ou programmez) et du présent accord. Si une instruction lui paraît contraire au RGPD, MyKarnet vous en informe. Si la loi l'oblige à traiter des données autrement (réquisition d'une autorité, par exemple), il vous en informe avant, sauf si la loi l'interdit.
Article 6 — Confidentialité
Seules les personnes autorisées par l'éditeur, tenues à la confidentialité, peuvent accéder à vos données, et uniquement pour le support que vous demandez, la maintenance, la sécurité du service ou une obligation légale. Vos données ne sont jamais vendues, ni utilisées à des fins publicitaires, ni utilisées pour entraîner des modèles d'intelligence artificielle.
Article 7 — Sécurité
MyKarnet met en œuvre les mesures suivantes (article 32 du RGPD) :
- connexions chiffrées (HTTPS) ;
- base de données hébergée dans l'Union européenne, chiffrée au repos par son hébergeur ;
- cloisonnement des comptes : chaque compte n'accède qu'à ses propres données, contrôle appliqué directement dans la base de données ;
- mots de passe jamais stockés en clair, et mot de passe redemandé pour les actions sensibles (changement de mot de passe, suppression du compte) ;
- liens envoyés à vos clients (devis, factures, suivi) construits sur des identifiants aléatoires impossibles à deviner, avec un code à 6 chiffres pour l'espace de suivi ;
- limitation du nombre de tentatives sur les fonctions sensibles ;
- factures figées une fois émises.
Article 8 — Sous-traitants ultérieurs
Vous autorisez MyKarnet à faire appel aux prestataires ci-dessous. Chacun est lié par un contrat qui lui impose des obligations de protection des données équivalentes à celles du présent accord. MyKarnet vous prévient au moins 30 jours avant d'ajouter ou de remplacer un prestataire, par e-mail ou dans l'application. Vous pouvez vous y opposer en écrivant à rgpd@mykarnet.fr ; à défaut de solution, vous pouvez résilier votre abonnement sans frais.
| Prestataire | Rôle | Localisation |
|---|---|---|
| Supabase | Base de données, authentification et stockage de fichiers | Union européenne |
| Vercel Inc. | Hébergement de l'application et diffusion des pages Clauses contractuelles types de la Commission européenne (CCT). | États-Unis |
| Stripe Payments Europe Ltd | Paiement de l'abonnement et des modules par carte bancaire Clauses contractuelles types de la Commission européenne (CCT). | Union européenne (Irlande), avec des transferts possibles vers les États-Unis |
| Resend | Envoi des e-mails transactionnels (devis, factures, relances) Clauses contractuelles types de la Commission européenne (CCT). | États-Unis |
| Anthropic PBC | Assistant IA, uniquement si vous l'utilisez : les éléments que vous soumettez à l'assistant sont transmis pour être traités Clauses contractuelles types de la Commission européenne (CCT). Les contenus transmis via l'API ne sont pas utilisés pour entraîner les modèles. | États-Unis |
| OpenAI | Assistant IA et dictée vocale, uniquement si vous les utilisez : les éléments que vous soumettez peuvent être transmis pour être traités Clauses contractuelles types de la Commission européenne (CCT) et cadre de protection des données UE–États-Unis (Data Privacy Framework). Les contenus transmis via l'API ne sont pas utilisés pour entraîner les modèles. | États-Unis |
| Sentry (Functional Software Inc.) | Suivi des erreurs techniques du service : description de l'erreur et page concernée, sans adresse IP, cookies, contenu des formulaires ni identité de l'utilisateur. Rapports conservés 30 jours Société établie aux États-Unis : clauses contractuelles types de la Commission européenne (CCT) et cadre de protection des données UE–États-Unis (Data Privacy Framework). | Union européenne (Allemagne) |
| IGN (Institut national de l'information géographique et forestière) | Suggestions d'adresses pendant la saisie (Base Adresse Nationale, service public) : seul le texte de l'adresse en cours de saisie est transmis, sans nom ni autre information | France |
| Loyaltis | Carte de fidélité numérique, uniquement si vous activez le module Loyaltis | France |
Les paiements par carte de vos réservations, de vos factures et des acomptes de vos devis passent par votre propre compte Stripe, et l'envoi automatique de factures électroniques par votre propre compte auprès de la plateforme agréée : ces prestataires agissent alors dans le cadre du contrat que vous avez conclu directement avec eux.
Article 9 — Transferts hors de l'Union européenne
Lorsqu'un prestataire de la liste est établi hors de l'Union européenne, le transfert est encadré par les clauses contractuelles types de la Commission européenne ou par une décision d'adéquation (cadre de protection des données UE–États-Unis), comme indiqué dans le tableau.
Article 10 — Droits des personnes
Vous pouvez consulter, corriger, exporter et supprimer les données de vos clients directement dans MyKarnet. Si une personne s'adresse à MyKarnet pour exercer ses droits sur des données que vous gérez, MyKarnet vous transmet sa demande dans les meilleurs délais, sans y répondre à votre place.
Article 11 — Violation de données
En cas de violation de données touchant vos données, MyKarnet vous prévient dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance. Il vous indique ce qu'il sait : nature de la violation, données et personnes concernées, conséquences probables, mesures prises. Vous pouvez ainsi prévenir la CNIL dans les 72 heures si nécessaire. MyKarnet vous aide aussi, avec les informations dont il dispose, pour une analyse d'impact ou une consultation de la CNIL.
Article 12 — Fin du contrat
À la fin de votre abonnement, vos données restent consultables et exportables tant que votre compte existe. Vous pouvez à tout moment les exporter (fichiers tableur, PDF de vos factures), puis supprimer votre compte depuis votre espace ou sur simple demande : les données sont alors effacées de la base de données. Les copies techniques chez les prestataires (journaux, envois d'e-mails) disparaissent selon leurs propres durées de conservation. Pensez à exporter vos factures avant : vous devez les conserver 10 ans.
Article 13 — Preuve de conformité et audits
MyKarnet met à votre disposition les informations nécessaires pour démontrer le respect du présent accord. Vous pouvez faire réaliser un audit, y compris une inspection, par vous-même ou par un auditeur tenu à la confidentialité : avec un préavis de 30 jours, à vos frais, une fois par an au plus (sauf après une violation de données), et sans accès aux données des autres utilisateurs.
Article 14 — Vos engagements
En tant que responsable de traitement, vous vous assurez d'avoir une base légale pour chaque donnée saisie, vous informez les personnes concernées (par exemple sur vos formulaires et vos pages de réservation), vous ne saisissez que les données utiles à votre activité et vous gardez vos identifiants confidentiels.
Article 15 — Dispositions générales
En matière de protection des données, le présent accord prévaut sur les CGU et les CGV. Toute modification vous est signalée avant son entrée en vigueur. Il est régi par le droit français. Contact : rgpd@mykarnet.fr.
Dernière mise à jour : 12 octobre 2026.