Accord de sous-traitance des données personnelles (DPA)

Le présent DPA a pour objet de définir les conditions dans lesquelles l’Éditeur s’engage à effectuer, pour le compte du Client et sur ses instructions documentées, les opérations de traitement de données à caractère personnel nécessaires à la fourniture du Service.

• Nature des opérations : collecte, enregistrement, structuration, conservation, modification, consultation, transmission (au Locataire concerné, aux Utilisateurs autorisés) et effacement de données.
• Finalité : réalisation d’états des lieux et d’inventaires mobiliers, gestion des baux et des locataires, génération de documents PDF, recueil de signatures électroniques, envoi d’emails transactionnels liés à ces opérations.
• Catégories de personnes concernées : locataires et colocataires du Client, Utilisateurs (collaborateurs) du Client.
• Catégories de données traitées : identité et coordonnées des locataires (nom, email, téléphone), données relatives au bail (dates, loyer, dépôt de garantie), contenu des états des lieux et inventaires (observations, relevés de compteurs, photographies des lieux), données techniques liées à la signature électronique (horodatage, adresse IP, empreinte du document, user-agent), identifiants et journaux de connexion des Utilisateurs.
• Durée du traitement : pendant toute la durée de l’abonnement du Client, puis pendant la durée de conservation décrite à la section 8.

L’Éditeur ne traite les données que sur instruction documentée du Client, telle que formalisée par le paramétrage et l’usage normal du Service, y compris en ce qui concerne les transferts de données vers un pays tiers. Si l’Éditeur estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données, il en informe immédiatement le Client.

L’Éditeur veille à ce que les personnes autorisées à traiter les données personnelles en vertu du présent DPA s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et ne reçoivent l’accès aux données que dans la stricte mesure nécessaire à l’exécution de leurs missions.

Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature des données traitées, l’Éditeur met en œuvre notamment les mesures suivantes :

• isolation logique des données de chaque Organisation cliente à deux niveaux (application et base de données, avec sécurité au niveau ligne — Row-Level Security) ;
• authentification à double facteur (MFA) disponible pour les comptes Utilisateurs ;
• accès aux documents et photographies via un stockage compatible S3 avec contrôle d’accès, et liens de signature à usage unique pour les Locataires ;
• chiffrement des échanges en transit (HTTPS/TLS) ;
• sauvegardes régulières et procédure de restauration documentée ;
• journalisation des accès et des actions sensibles (journal d’audit) ;
• gestion des habilitations par rôle (Propriétaire/Gestionnaire) au sein de chaque Organisation.

Le Client autorise l’Éditeur à recourir aux sous-traitants ultérieurs suivants, nécessaires à la fourniture du Service :

En cas de déploiement en mode self-hosted (hébergement par le Client lui-même sur sa propre infrastructure), le Client se substitue à l’Éditeur pour l’ensemble des obligations d’hébergeur décrites ci-dessus et devient responsable du choix de ses propres sous-traitants d’infrastructure.

L’Éditeur informe le Client de tout changement prévu concernant l’ajout ou le remplacement d’un sous-traitant ultérieur, donnant au Client la possibilité de s’y opposer pour un motif légitime lié à la protection des données.

Le déploiement de référence du Service et de ses sous-traitants héberge les données au sein de l’Union européenne. Si un sous-traitant ultérieur impliquait un transfert de données hors de l’Union européenne, ce transfert serait encadré par les garanties appropriées prévues au chapitre V du RGPD (clauses contractuelles types de la Commission européenne ou décision d’adéquation), et le Client en serait informé préalablement.

Compte tenu de la nature du traitement, l’Éditeur assiste le Client, dans la mesure du possible, pour l’exécution de son obligation de répondre aux demandes d’exercice des droits des personnes concernées (le Service permettant nativement l’export et l’effacement des données d’un Locataire), ainsi que pour le respect de ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification de violation, analyse d’impact, consultation préalable de l’autorité de contrôle), compte tenu des informations dont dispose l’Éditeur.

L’Éditeur notifie au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans un délai permettant au Client de respecter, le cas échéant, le délai de 72 heures prévu à l’article 33 du RGPD pour la notification à l’autorité de contrôle. Cette notification est accompagnée des informations disponibles sur la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ainsi que les mesures prises ou proposées pour y remédier.

À la résiliation ou à l’expiration de l’abonnement, l’Éditeur met les données du Client à disposition pour export pendant un délai de 30 jours, puis procède à leur suppression définitive de ses systèmes de production, sauf obligation légale de conservation plus longue (notamment en matière comptable ou probatoire) limitée aux seules données strictement nécessaires à cette fin.

L’Éditeur met à la disposition du Client la documentation nécessaire pour démontrer le respect des obligations prévues au présent DPA et à l’article 28 du RGPD, et permet la réalisation d’audits, y compris des inspections, effectués par le Client ou un auditeur qu’il mandate, moyennant un préavis raisonnable et selon des modalités préservant la sécurité des autres Organisations hébergées sur le Service.

Pour toute question relative au présent DPA ou à la protection des données personnelles : contact@checkinout.app [adresse dédiée DPO à créer le cas échéant, ex. dpo@liava.app — domaine à confirmer].