PRÉAMBULE
La présente Politique de Confidentialité a pour objet de décrire de manière transparente et juridiquement opposable les conditions dans lesquelles Nereva SA collecte, traite, conserve et protège les données à caractère personnel des utilisateurs de ses Services, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »), à la Loi fédérale suisse sur la protection des données du 25 septembre 2020 (« nLPD ») entrée en vigueur le 1ᵉʳ septembre 2023, et aux recommandations des autorités de contrôle compétentes, notamment le Préposé fédéral à la protection des données et à la transparence (PFPDT) et la Commission nationale de l'informatique et des libertés (CNIL).
Objet social statutaire de Nereva SA. Conformément à l'article 3 de ses statuts inscrits au Registre du commerce du canton de Vaud, Nereva SA a pour but la conception, le développement, l'édition, la commercialisation, l'intégration et l'exploitation, en Suisse et à l'étranger, de logiciels et solutions numériques d'orchestration et de synchronisation des flux logistiques opérés par véhicules, en particulier des flux de matériaux, déchets, machines, équipements et bennes liés aux activités de construction, de travaux publics, de recyclage, de transport de chantier et aux secteurs connexes.
La société peut notamment fournir, sous forme de logiciel à la demande (Software as a Service) ou de licences, des plateformes de planification, d'exécution, de documentation, de traçabilité et d'archivage des opérations logistiques, ainsi que des services associés de paramétrage, d'intégration, de support, de formation et de conseil.
La société peut acquérir, détenir, valoriser, concéder en licence et défendre tout droit de propriété intellectuelle, en particulier brevets, marques, dessins, modèles, droits d'auteur et savoir-faire, en lien direct ou indirect avec son but principal.
La société peut effectuer, tant en Suisse qu'à l'étranger, pour son propre compte ou pour le compte de tiers, toutes opérations administratives, techniques, commerciales, financières, mobilières et immobilières en relation directe ou indirecte avec son but principal. Elle peut créer des succursales et des filiales en Suisse et à l'étranger, prendre des participations dans des entreprises poursuivant un but similaire ou complémentaire, et accorder des prêts ou garanties à ses filiales et sociétés du groupe.
La société n'opère pas d'activité de transport et n'agit pas comme intermédiaire commercial entre donneurs d'ordre et entreprises de transport. Elle ne capte pas la relation contractuelle commerciale entre ses utilisateurs.
Articulation contractuelle. La présente Politique de Confidentialité s'articule étroitement avec, d'une part, les Conditions Générales d'Utilisation et notamment leur article 14 bis relatif à la fonctionnalité de géolocalisation issue de l'application mobile Chauffeurs, leur article 10 relatif à la propriété et à l'exploitation des données, leur article 20 relatif à la sécurité et leur article 25 bis relatif à l'indemnisation de Nereva SA par le Client ; d'autre part, l'Accord de Traitement des Données (« DPA ») qui régit les modalités opérationnelles du traitement des données à caractère personnel par Nereva SA en qualité de sous-traitant ; ensuite, la Politique IA & Données qui décrit spécifiquement le fonctionnement du data lake en deux zones (Zone A pseudonymisée pour les Services courants, Zone B anonymisée et irréversible pour l'entraînement des modèles d'intelligence artificielle), les processus d'anonymisation et les conditions d'entraînement des Modèles ; et enfin la Politique d'Usage Acceptable qui régit notamment les obligations du Client en matière de protection des Chauffeurs et l'interdiction de tout usage détourné des données.
TABLE DES MATIÈRES
Article 1 — Objet et statut juridique de Nereva
Article 2 — Responsable du traitement
Article 3 — Définitions
Article 4 — Données collectées
Article 5 — Finalités du traitement
Article 6 — Bases légales du traitement
Article 7 — Catégories de personnes concernées
Article 8 — Catégories de destinataires
Article 9 — Sous-traitants ultérieurs
Article 10 — Transferts internationaux de données
Article 11 — Durées de conservation
Article 12 — Sécurité des données
Article 13 — Notification des violations de données
Article 14 — Droits des personnes concernées
Article 15 — Modalités d'exercice des droits
Article 16 — Décisions automatisées et profilage
Article 17 — Cookies et technologies similaires
Article 18 — Délégué à la protection des données
Article 19 — Autorités de contrôle
Article 20 — Modification de la Politique
Article 21 — Droit applicable et juridiction
Article 22 — Langue de référence
Article 23 — Contact
Article 1 — Objet et statut juridique de Nereva
La présente Politique de Confidentialité a pour objet de décrire les conditions de collecte et de traitement par Nereva SA des données à caractère personnel des utilisateurs de ses Services. Le statut juridique de Nereva SA et le périmètre opposable de son objet social figurent au préambule de la présente Politique.
Nereva SA agit en qualité de responsable du traitement pour les données qu'elle collecte à l'occasion de la navigation sur son site internet et des espaces non-client de la plateforme. Lorsque Nereva SA traite des données à caractère personnel pour le compte d'un Client professionnel ayant souscrit à ses Services, Nereva SA agit en qualité de sous-traitant au sens de l'article 28 du RGPD et de l'article 9 de la nLPD, le Client étant dans ce cas le responsable du traitement. Les modalités spécifiques de cette sous-traitance sont régies par l'Accord de Traitement des Données (DPA) conclu avec le Client.
Article 2 — Responsable du traitement
Le responsable du traitement des données collectées via le site internet et les espaces non-client de la plateforme Nereva est Nereva SA, Rue de Rive 22D, CH-1260 Nyon, Suisse, inscrite au Registre du commerce du canton de Vaud sous le numéro d'identification des entreprises CHE-294.630.698, joignable à privacy@nereva.com.
Article 3 — Définitions
Les termes utilisés dans la présente Politique ont la signification suivante.
Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable.
Traitement : toute opération effectuée sur des données à caractère personnel, notamment collecte, enregistrement, conservation, modification, consultation, transmission et effacement.
Personne concernée : toute personne physique dont les données à caractère personnel sont traitées par Nereva SA.
Responsable du traitement : entité qui détermine les finalités et les moyens du traitement.
Sous-traitant : entité qui traite des données à caractère personnel pour le compte du responsable du traitement.
Services : ensemble des fonctionnalités logicielles fournies par Nereva SA via sa plateforme.
Site : site internet officiel de Nereva SA, accessible à l'adresse www.nereva.com et sur tout sous-domaine associé.
Article 4 — Données collectées
Nereva SA collecte les catégories de données à caractère personnel décrites ci-après.
4.1 Données fournies directement par les personnes concernées
Les données fournies directement par les personnes concernées comprennent les données d'identification (nom, prénom, fonction, raison sociale de l'employeur), les coordonnées professionnelles (adresse électronique, numéro de téléphone, adresse postale professionnelle), les données de compte (identifiants, mot de passe sous forme chiffrée) et les contenus communiqués via les formulaires de contact ou les demandes de démonstration.
4.2 Données collectées dans le cadre de l'utilisation des Services
Les données collectées dans le cadre de l'utilisation des Services comprennent les données d'activité (logs de connexion, actions effectuées sur la plateforme, horodatage), les données techniques (adresse IP anonymisée pour la mesure d'audience, informations sur le navigateur, le système d'exploitation et le terminal), les données opérationnelles saisies par le Client ou ses Utilisateurs dans le cadre des Services (lesquelles peuvent contenir des données à caractère personnel relatives à des tiers, notamment chauffeurs et contacts opérationnels), et les données de géolocalisation issues de l'application mobile Chauffeurs lorsque celle-ci est utilisée par un Chauffeur dans le cadre d'une mission de transport.
Les données de géolocalisation comprennent les positions GPS collectées de manière continue à compter de l'acceptation d'une mission et jusqu'à sa clôture, ainsi que les horodatages associés. Elles sont traitées par Nereva SA en qualité de sous-traitant pour le compte du Client employeur du Chauffeur, dans les conditions précisées au DPA. La navigation embarquée poids lourd est fournie via l'API HERE.
4.3 Données issues de tiers
Nereva SA peut collecter des données issues de sources publiques ou de partenaires commerciaux à des fins de prospection professionnelle (B2B), dans les conditions et limites prévues par la réglementation applicable.
Article 5 — Finalités du traitement
Nereva SA traite les données à caractère personnel aux finalités suivantes : (i) fourniture, exploitation, maintenance et amélioration des Services ; (ii) navigation embarquée poids lourd, traçabilité d'exécution des missions de transport et fourniture de visibilité opérationnelle en temps réel au Client et, le cas échéant, au donneur d'ordre désigné par le Client, sur la base des données de géolocalisation issues de l'application mobile Chauffeurs ; (iii) gestion de la relation contractuelle et commerciale avec les Clients ; (iv) facturation, recouvrement et gestion des paiements ; (v) communication avec les Clients et prospects ; (vi) réponse aux demandes adressées via les formulaires de contact ; (vii) analyse de l'usage des Services à des fins de statistiques agrégées et d'amélioration continue ; (viii) sécurité des Services et prévention des usages frauduleux ; (ix) respect des obligations légales et réglementaires applicables ; (x) défense des droits et des intérêts légitimes de Nereva SA.
Article 6 — Bases légales du traitement
Les traitements de données à caractère personnel mis en œuvre par Nereva SA reposent, selon les cas, sur l'une des bases légales suivantes au sens de l'article 6 du RGPD et des articles 31 et suivants de la nLPD.
Exécution contractuelle : traitement nécessaire à l'exécution d'un contrat conclu avec le Client ou à l'exécution de mesures précontractuelles prises à sa demande.
Obligation légale : traitement nécessaire au respect d'une obligation légale à laquelle Nereva SA est soumise, notamment en matière comptable, fiscale et de lutte contre le blanchiment.
Intérêt légitime : traitement nécessaire à la poursuite des intérêts légitimes de Nereva SA, notamment en matière de sécurité des Services, d'amélioration continue, de prospection professionnelle B2B et de défense des droits.
Consentement : le cas échéant, traitement fondé sur le consentement libre, spécifique, éclairé et univoque de la personne concernée, qui peut être retiré à tout moment.
Article 7 — Catégories de personnes concernées
Les personnes concernées par les traitements mis en œuvre par Nereva SA sont notamment les visiteurs du site internet, les prospects ayant manifesté un intérêt pour les Services, les représentants, dirigeants et points de contact des Clients, les Utilisateurs disposant d'un accès aux Services au titre d'une licence souscrite par un Client, et les personnes dont les données sont saisies par le Client ou ses Utilisateurs dans la plateforme dans le cadre des opérations logistiques, notamment les chauffeurs et contacts opérationnels.
Article 8 — Catégories de destinataires
Les données à caractère personnel traitées par Nereva SA peuvent être communiquées aux destinataires suivants, dans la stricte mesure nécessaire aux finalités poursuivies : (i) les collaborateurs habilités de Nereva SA, dans le cadre de leurs fonctions ; (ii) les sous-traitants techniques de Nereva SA dans les conditions de l'article 9 ; (iii) les donneurs d'ordre tiers désignés par le Client comme destinataires d'une visibilité opérationnelle sur l'exécution des missions de transport, dans le cadre et dans les conditions paramétrées par le Client au bon de commande ; (iv) les autorités publiques compétentes, sur la base d'une obligation légale ou d'une décision exécutoire ; (v) les conseils juridiques, fiscaux et comptables de Nereva SA, soumis à une obligation de confidentialité ; (vi) le cas échéant, les acquéreurs ou successeurs de tout ou partie de l'activité de Nereva SA, dans le cadre d'une opération de fusion-acquisition ou de cession d'activité, sous réserve de la continuité des engagements de confidentialité.
Nereva SA ne vend pas et ne loue pas les données à caractère personnel à des tiers.
Article 9 — Sous-traitants ultérieurs
Nereva SA fait appel à des sous-traitants techniques pour la fourniture de ses Services. Les principales catégories de sous-traitants comprennent l'hébergement d'infrastructure cloud (Amazon Web Services, région Suisse), les services d'authentification et de gestion d'identité, les services de monitoring et de supervision technique, les services de paiement, les services de communication et de messagerie transactionnelle, ainsi que le fournisseur d'API de cartographie, de calcul d'itinéraire et de navigation embarquée poids lourd intégrée à l'application mobile Chauffeurs (HERE Europe B.V., Pays-Bas).
Nereva SA conclut avec chacun de ses sous-traitants un contrat conforme à l'article 28 du RGPD et à l'article 9 de la nLPD, imposant des obligations de sécurité, de confidentialité et de respect des instructions de Nereva SA. La liste complète et à jour des sous-traitants significatifs traitant des données à caractère personnel est tenue à disposition des Clients sur demande adressée à privacy@nereva.com.
Article 10 — Transferts internationaux de données
Nereva SA héberge les données à caractère personnel traitées dans le cadre de ses Services exclusivement sur des infrastructures situées en Suisse.
Lorsque, dans des cas limités, des données à caractère personnel sont transmises à un sous-traitant situé hors de Suisse ou hors de l'Espace économique européen, Nereva SA met en œuvre les garanties appropriées prévues par le RGPD et la nLPD, et notamment (i) le recours aux Clauses Contractuelles Types adoptées par la Commission européenne ou agréées par le PFPDT ; (ii) la vérification du caractère adéquat du niveau de protection offert par le pays destinataire au sens de l'article 16 de la nLPD ou de l'article 45 du RGPD ; (iii) la mise en œuvre de mesures supplémentaires conformément aux lignes directrices du CEPD consécutives à l'arrêt Schrems II du 16 juillet 2020 (chiffrement, pseudonymisation, évaluation des risques d'accès extra-territorial).
Article 11 — Durées de conservation
Les données à caractère personnel sont conservées pour une durée n'excédant pas celle nécessaire à la poursuite des finalités pour lesquelles elles ont été collectées, selon les principes suivants.
Données de prospects : trois (3) ans à compter du dernier contact ayant manifesté un intérêt pour les Services.
Données des Clients et données de compte Utilisateur : durée de la relation contractuelle, prolongée des délais de prescription légale, sauf instruction contraire du Client.
Données de facturation et comptables : dix (10) ans à compter de la fin de l'exercice comptable concerné, conformément à l'article 958f du Code des obligations suisse.
Logs techniques et de sécurité : de six (6) à douze (12) mois à compter de leur enregistrement, sauf incident de sécurité nécessitant une conservation prolongée.
Données de géolocalisation issues de l'application mobile Chauffeurs : douze (12) mois à compter de leur enregistrement, à des fins de traçabilité d'exécution et de gestion d'éventuelles contestations de prestation, sauf besoin probatoire avéré dans le cadre d'un litige ou d'une contestation, auquel cas la conservation peut être prolongée pour le temps strictement nécessaire à la résolution du litige. La visibilité de l'historique de trajet par les donneurs d'ordre tiers désignés par le Client est limitée à trente (30) jours à compter de la clôture de la mission, sauf paramétrage contraire au bon de commande. Au-delà des durées précitées, seules des données agrégées et irréversiblement anonymisées peuvent être conservées, aux finalités prévues à l'article 10 des CGU.
Données de mesure d'audience anonymisées : douze (12) mois, conformément à la Politique de gestion des cookies.
À l'expiration des durées de conservation, les données sont supprimées ou irréversiblement anonymisées, sous réserve des obligations légales de conservation et des nécessités d'une procédure judiciaire ou administrative en cours.
Article 12 — Sécurité des données
Nereva SA met en œuvre des mesures techniques et organisationnelles appropriées au regard de l'état de l'art, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, conformément à l'article 32 du RGPD et aux principes équivalents de la nLPD.
Ces mesures comprennent notamment le chiffrement des données en transit (TLS) et au repos, la limitation et le contrôle des accès selon le principe du moindre privilège, l'authentification renforcée des accès administratifs, la journalisation des actions sensibles, la sauvegarde régulière des données et la documentation des procédures de reprise d'activité, la sensibilisation et la formation continue des collaborateurs, ainsi que la réalisation périodique de tests de sécurité.
Aucune mesure de sécurité ne peut être considérée comme absolue. Les engagements de Nereva SA en matière de sécurité constituent des obligations de moyens.
Article 13 — Notification des violations de données
En cas de violation de données à caractère personnel susceptible d'entraîner un risque élevé pour les droits et libertés des personnes concernées, Nereva SA met en œuvre les obligations de notification suivantes : (i) notification au PFPDT dans les meilleurs délais, conformément à l'article 24 de la nLPD ; (ii) notification à l'autorité de contrôle compétente dans un délai de soixante-douze (72) heures à compter de la prise de connaissance, conformément à l'article 33 du RGPD ; (iii) communication aux personnes concernées dans les conditions prévues à l'article 34 du RGPD ; (iv) communication au Client lorsque Nereva SA agit en qualité de sous-traitant, dans les conditions et délais prévus au DPA.
Article 14 — Droits des personnes concernées
Conformément au RGPD et à la nLPD, les personnes concernées disposent des droits suivants relatifs aux données à caractère personnel les concernant.
Droit d'accès : obtenir la confirmation que des données les concernant sont ou non traitées et, le cas échéant, en obtenir la communication.
Droit de rectification : obtenir la rectification des données inexactes ou incomplètes.
Droit à l'effacement : obtenir l'effacement des données dans les cas prévus par la réglementation.
Droit à la limitation : obtenir la limitation du traitement dans les cas prévus par la réglementation.
Droit d'opposition : s'opposer au traitement pour des raisons tenant à la situation particulière de la personne concernée, lorsque le traitement est fondé sur l'intérêt légitime de Nereva SA.
Droit à la portabilité : recevoir, lorsque techniquement possible, les données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine.
Droit de retrait du consentement : retirer à tout moment le consentement donné, sans que ce retrait ne porte atteinte à la licéité du traitement antérieur.
Droit d'introduire une réclamation : introduire une réclamation auprès de l'autorité de contrôle compétente dans les conditions de l'article 19.
Droit relatif au sort des données après le décès : définir des directives relatives au sort des données après le décès, dans les conditions prévues par la réglementation applicable.
Article 15 — Modalités d'exercice des droits
Les personnes concernées peuvent exercer leurs droits en adressant une demande à privacy@nereva.com ou par courrier à l'adresse mentionnée à l'article 23.
Nereva SA pourra demander à la personne concernée tout élément raisonnablement nécessaire à la vérification de son identité, afin de prévenir toute communication frauduleuse de données. Lorsque les données sont traitées par Nereva SA en qualité de sous-traitant pour le compte d'un Client, la demande est transmise au Client, qui est responsable de la réponse aux personnes concernées.
Nereva SA répond aux demandes dans un délai d'un (1) mois à compter de leur réception, susceptible d'extension de deux (2) mois supplémentaires en cas de complexité particulière ou de nombre élevé de demandes, conformément à l'article 12 du RGPD.
Article 16 — Décisions automatisées et profilage
Nereva SA ne met pas en œuvre, dans le cadre de ses Services à destination des visiteurs du site et des espaces non-client, de décisions automatisées au sens de l'article 22 du RGPD produisant des effets juridiques ou affectant significativement les personnes concernées.
Les fonctionnalités d'analytique et d'intelligence opérationnelle proposées au sein des Services produisent des indications, recommandations ou suggestions de nature exclusivement indicative, qui ne dispensent pas le Client de l'exercice de son propre jugement et ne constituent pas des décisions automatisées au sens précité.
Article 17 — Cookies et technologies similaires
Les modalités de collecte de données via cookies et technologies similaires sont régies par la Politique de gestion des cookies et technologies similaires de Nereva SA, accessible depuis le site internet.
Article 18 — Délégué à la protection des données
Nereva SA a désigné un point de contact pour toute question relative à la protection des données personnelles, joignable à l'adresse privacy@nereva.com.
Conformément à la nLPD, Nereva SA évalue l'opportunité de désigner un conseiller à la protection des données au sens de l'article 10 de cette loi. Le cas échéant, la désignation et les coordonnées du conseiller seront communiquées par mise à jour de la présente Politique et publiées sur le site internet.
Article 19 — Autorités de contrôle
Les bases légales invoquées au titre du RGPD et de la nLPD sont équivalentes dans leur portée aux fins de la présente Politique. Les personnes concernées disposent, indépendamment du régime applicable, des mêmes droits substantiels.
En cas de réclamation, les personnes concernées peuvent saisir, pour la Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, CH-3003 Berne, www.edoeb.admin.ch ; pour la France, la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr ; pour les autres États membres de l'Union européenne, l'autorité de contrôle nationale compétente, conformément à l'article 77 du RGPD.
Article 20 — Modification de la Politique
Nereva SA se réserve le droit de modifier la présente Politique à tout moment afin de tenir compte des évolutions techniques, réglementaires ou jurisprudentielles. Toute modification substantielle sera portée à la connaissance des personnes concernées par voie appropriée, notamment par publication sur le site internet.
Article 21 — Droit applicable et juridiction
Le présent document, ainsi que la relation contractuelle qu'il encadre, sont régis exclusivement par le droit suisse, à l'exclusion de toute règle de conflit de lois et à l'exclusion de la Convention des Nations Unies sur les contrats de vente internationale de marchandises (CVIM, Vienne, 1980).
Tout litige relatif à la formation, à la validité, à l'interprétation, à l'exécution ou à la résiliation du présent document relève de la compétence exclusive des tribunaux ordinaires du canton de Vaud, lieu du siège de Nereva SA, sous réserve d'un recours impératif au Tribunal fédéral suisse.
Article 22 — Langue de référence
La version française de la présente Politique fait seule foi juridiquement. Toute traduction est fournie à titre informatif et ne saurait engager Nereva SA.
Article 23 — Contact
Nereva SA, Rue de Rive 22D, CH-1260 Nyon, Suisse.
Protection des données : privacy@nereva.com.
Questions juridiques : legal@nereva.com.