Contrat de sous-traitance (article 28 RGPD)

Contrat de sous-traitance conclu en application de l'article 28 du règlement (UE) 2016/679 (RGPD), entre vous — la structure titulaire de l'espace, ci-après « le Responsable de traitement » — et Beleez Groupe, éditeur de Beleez HomePilot Services, ci-après « le Sous-traitant ».

Article 1 — Objet

Le Sous-traitant traite, pour le compte et sur instruction du Responsable de traitement, les données personnelles nécessaires à la fourniture du service de gestion locative : hébergement, conservation, mise à disposition, production de documents et acheminement des notifications.

Article 2 — Description du traitement

• Nature : collecte, enregistrement, conservation, consultation, extraction, effacement.
• Finalité : gestion locative et administration des biens du Responsable de traitement.
• Durée : celle de l'adhésion, prolongée de trente jours pour l'export.
• Catégories de personnes : locataires et co-titulaires, garants, gérants, prestataires, contacts et collaborateurs du Responsable de traitement.
• Catégories de données : identité, coordonnées, données de bail et de logement, données financières de la location, échanges, pièces justificatives déposées.
• Données sensibles : aucune n'est requise par le service. Le Responsable de traitement s'abstient d'en déposer.

Article 3 — Obligations du Sous-traitant

• ne traiter les données que sur instruction documentée du Responsable de traitement, l'utilisation du service valant instruction ;
• garantir la confidentialité et n'autoriser l'accès qu'aux personnes habilitées et engagées à la confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 5 ;
• assister le Responsable de traitement dans la réponse aux demandes d'exercice de droits et dans ses obligations de sécurité, de notification et d'analyse d'impact ;
• notifier toute violation de données dans les quarante-huit heures de sa connaissance, avec les éléments utiles à la notification à l'autorité de contrôle ;
• ne procéder à aucun transfert hors de l'Espace économique européen sans base juridique appropriée.

Article 4 — Sous-traitance ultérieure

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants :

• OVHcloud (France) — hébergement de l'infrastructure et des sauvegardes ;
• Infomaniak (Suisse) — acheminement des courriels sortants.

Toute nouvelle sous-traitance est annoncée avec un préavis de trente jours, pendant lequel le Responsable de traitement peut s'y opposer en résiliant son adhésion sans frais. Le Sous-traitant demeure pleinement responsable de l'exécution par ses sous-traitants ultérieurs.

Article 5 — Mesures de sécurité

• chiffrement des flux en transit (TLS) ;
• cloisonnement logique strict des données par structure, appliqué au niveau des requêtes ;
• contrôle d'accès par rôle, périmètre restreint pour les gérants délégués ;
• empreintes non réversibles pour les mots de passe ;
• stockage des pièces jointes hors des répertoires publics, servies par route contrôlée ;
• sauvegarde quotidienne, journalisation des envois et des actions sensibles ;
• signature électronique horodatée conservant nom, date, heure, adresse IP et empreinte du document.

Article 6 — Droits des personnes concernées

Le Sous-traitant met à disposition les fonctions permettant au Responsable de traitement de répondre lui-même aux demandes d'accès, de rectification, d'effacement et de portabilité. Toute demande qui lui serait directement adressée est transmise sans délai au Responsable de traitement, sans y répondre au fond.

Article 7 — Registre et documentation

Le Sous-traitant tient le registre des catégories d'activités de traitement effectuées pour le compte du Responsable de traitement et met à disposition, sur demande, les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, y compris en permettant des audits documentaires.

Article 8 — Sort des données au terme du contrat

À la clôture de l'espace, le Responsable de traitement dispose de trente jours pour exporter l'intégralité de ses données. À l'expiration de ce délai, les données personnelles sont effacées, à l'exception de la fiche d'archive d'ancien membre et des pièces dont la conservation est légalement imposée.

Article 9 — Responsabilité

Chaque partie répond des dommages causés par le traitement lorsqu'elle n'a pas respecté les obligations du RGPD qui lui incombent ou qu'elle a agi en dehors des instructions licites de l'autre partie.

Article 10 — Acceptation

Le présent contrat est accepté lors de la création de l'espace ; la date, la version et l'adresse IP de l'acceptation sont conservées au registre des consentements et consultables à tout moment depuis Paramètres → Conformité & données.