Accord de sous-traitance des données personnelles

Article 1 : Parties et objet

Le présent accord est conclu entre le Client abonné à Datimmo Pro, responsable du traitement, et la SAS EOLG, éditrice de Datimmo, 12 Rue Des Genêts, 30900 Nîmes, RCS Nîmes 107 858 607, sous-traitant (ci-après « Datimmo »).

Il fixe les conditions dans lesquelles Datimmo traite, pour le compte du Client, les données personnelles contenues dans les dossiers que le Client crée dans son espace professionnel. Il est accepté en même temps que les conditions générales Datimmo Pro et prend fin avec elles, sous réserve de l'article 10.

Article 2 : Description du traitement

Article 3 : Obligations du Client

Le Client, responsable du traitement :

• détermine la finalité du traitement et s'assure de sa base légale ;
• informe les personnes concernées, en particulier le vendeur, du traitement de leurs données et de l'intervention de Datimmo ;
• ne dépose que les données nécessaires à l'établissement du pré-état daté ;
• répond aux demandes d'exercice des droits des personnes concernées, avec l'aide de Datimmo si besoin ;
• supprime les dossiers dont il n'a plus besoin. Le service lui permet de supprimer un dossier à tout moment.

Article 4 : Instructions

Datimmo ne traite les données que sur instruction documentée du Client. Les présentes conditions, le paramétrage du service et les actions du Client dans son espace (création, dépôt, analyse, génération, envoi d'un lien, suppression) constituent ses instructions.

Si Datimmo estime qu'une instruction constitue une violation du RGPD ou d'une autre règle de protection des données, elle en informe immédiatement le Client. Si le droit de l'Union ou le droit français l'oblige à un traitement, elle en informe le Client avant de le réaliser, sauf interdiction légale.

Article 5 : Confidentialité et personnes autorisées

Seuls les dirigeants de Datimmo ont accès aux données des dossiers. Ils sont tenus à la confidentialité. Ils n'y accèdent que pour assurer le support à la demande du Client, la maintenance, la sécurité du service ou répondre à une obligation légale.

Article 6 : Sécurité

Datimmo met en œuvre les mesures techniques et organisationnelles décrites en annexe 1, appropriées au risque. Elle peut les faire évoluer, à condition de ne pas réduire le niveau de protection.

Article 7 : Sous-traitants ultérieurs

Le Client autorise Datimmo à recourir aux sous-traitants ultérieurs listés en annexe 2. Datimmo leur impose, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et reste responsable envers le Client de leur exécution.

Datimmo informe l'administrateur du compte par email de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif lié à la protection des données. Faute d'accord, il peut résilier l'abonnement sans frais avant l'entrée en fonction du nouveau sous-traitant.

Article 8 : Transferts hors de l'Union européenne

Les données sont hébergées en Suisse, pays reconnu adéquat par la Commission européenne. Les transferts vers des pays tiers qui ne bénéficient pas d'une décision d'adéquation sont encadrés par les clauses contractuelles types de la Commission européenne ou par le Data Privacy Framework UE-États-Unis, comme indiqué en annexe 2.

Article 9 : Assistance au Client

• Droits des personnes : le Client peut consulter, corriger, exporter et supprimer les dossiers depuis son espace. Si une personne concernée s'adresse directement à Datimmo, Datimmo transmet sa demande au Client sans délai et n'y répond pas elle-même, sauf instruction du Client.
• Violation de données : Datimmo notifie au Client toute violation de données personnelles concernant ses dossiers dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations prévues à l'article 33.3 du RGPD dont elle dispose. Il appartient au Client de notifier la CNIL et, le cas échéant, les personnes concernées.
• Analyse d'impact et consultation préalable : Datimmo fournit au Client les informations utiles dont elle dispose.

Article 10 : Sort des données à la fin du contrat

À la fin de l'abonnement, le Client dispose de 90 jours pour télécharger les documents de ses dossiers depuis son espace. L'administrateur du compte est prévenu par email 15 jours avant la suppression. À l'issue de ce délai, Datimmo supprime les dossiers de l'agence, leurs documents et leurs PDF. Les données disparaissent des sauvegardes dans les 30 jours qui suivent.

Le Client peut aussi demander par écrit la suppression immédiate de l'ensemble de ses dossiers. Datimmo confirme la suppression par écrit sur demande.

Article 11 : Documentation et audit

Datimmo met à la disposition du Client, sur demande, les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, à ses frais, une fois par an au plus, par un auditeur tenu au secret et non concurrent de Datimmo, après un préavis écrit de 30 jours. L'audit se fait sur pièces ou à distance et ne doit ni perturber le service ni donner accès aux données d'autres clients.

Article 12 : Traitements réalisés par Datimmo pour son propre compte

Datimmo agit comme responsable de traitement distinct, et non comme sous-traitant, pour :

• la gestion des comptes des utilisateurs du Client, de l'agence, de l'abonnement et de la facturation ;
• la sécurité du service, ses journaux techniques et ses sauvegardes ;
• l'amélioration de la lecture automatique, à partir des seules valeurs corrigées sans aucune donnée d'identité, et des coordonnées professionnelles des cabinets de syndic ;
• la production de statistiques agrégées et anonymisées sur l'utilisation du service.

Ces traitements sont décrits dans la politique de confidentialité de Datimmo. Datimmo n'utilise jamais les données des dossiers du Client à des fins commerciales ni pour entraîner un modèle d'intelligence artificielle.

Annexe 1 : Mesures de sécurité

• Chiffrement des échanges (HTTPS, HSTS) ; politique de sécurité du contenu (CSP) ; cookies de session sécurisés.
• Cloisonnement strict par agence : un utilisateur ne voit que les dossiers de son agence, vérifié à chaque requête et couvert par des tests automatisés.
• Mots de passe hachés (bcrypt) ; limitation des tentatives de connexion ; contrôle anti-robot à l'inscription.
• Liens sans compte (vendeur, notaire, dépôt par téléphone) protégés par des jetons aléatoires de 192 bits, dont seule l'empreinte est conservée pour les liens vendeur et de dépôt ; liens limités dans le temps, révocables, masqués dans les journaux, pages sans référent ni mesure d'audience.
• Fichiers stockés sous des noms aléatoires et servis uniquement après contrôle d'accès ; contrôle du format des fichiers déposés.
• Pré-états datés signés scellés par un certificat, toute modification ultérieure étant détectable.
• Serveur accessible uniquement par clé SSH ; pare-feu ; mises à jour de sécurité automatiques ; postes d'administration chiffrés.
• Sauvegardes quotidiennes chiffrées en transit et au repos, dans l'Union européenne.
• Journal d'activité de chaque dossier (dépôts, générations, signature, téléchargements).
• Procédure écrite de gestion des violations de données et registre des violations.

Annexe 2 : Sous-traitants ultérieurs