07 — Accord de sous-traitance de données personnelles

Version 1.6 — projet du 28 octobre 2026, annexe aux conditions du service. À compléter/adopter avant traitement externe sur instructions ; aucun contrat n’est signé par cette édition.

1. Parties et objet

Le Client, identifié dans la commande ou la convention de test, est responsable de traitement pour les dossiers locatifs dont il détermine les finalités et moyens essentiels. Lotfi Chraibi, en nom propre, 28 avenue de Verdun, 94450 Limeil-Brévannes, France, téléphone 06 34 33 08 91, contact@gestionlocia.fr, exploitant GestionLocIA, est sous-traitant pour ces opérations. Aucune société future ne lui est substituée sans cadrage de la reprise.

Le présent accord définit les obligations de l’article 28 du RGPD et les opérations de l’annexe A. Il ne couvre pas les finalités propres de compte, sécurité, assistance, facturation, nouvelles ou Parcours décrites dans la confidentialité. Une qualification contractuelle ne prévaut pas sur les finalités/moyens réellement déterminés. Une éventuelle exemption domestique du client est à apprécier, sans autoriser la réutilisation des dossiers par GestionLocIA.

2. Durée et instructions

L’accord s’applique pendant la prestation et tant que le sous-traitant traite encore des données confiées au titre de restitution, suppression ou conservation légalement requise. Le sous-traitant traite uniquement sur instructions documentées, y compris pour les transferts hors EEE, sauf exigence du droit de l’Union ou d’un État membre ; dans ce cas, il informe le Client avant traitement, sauf interdiction légale pour un motif important d’intérêt public.

Les instructions initiales résultent du contrat, des réglages et usages explicitement décrits : import, stockage, classement/extraction, traitements de cohérence, génération de documents, consultation, export et suppression. Le classement/enregistrement à partir de 95 % avec les autres gardes est une règle automatisée à expliquer avant adoption, pas un choix tacite de valider juridiquement une pièce. Une demande spécifique est adressée au contact protection des données ; aucune instruction n’autorise l’accès aux dossiers d’un autre client.

Si une instruction paraît contraire au RGPD ou au droit applicable de protection des données, le sous-traitant en informe immédiatement le Client, documente le point et suspend, si nécessaire, la seule opération concernée le temps de clarifier. Les conditions d’un service hors périmètre peuvent être convenues séparément sans entraver les obligations impératives.

3. Obligations du Client

Le Client détermine finalités, bases légales et durées ; informe les personnes conformément aux articles 12–14 ; ne collecte que les pièces nécessaires et licites ; respecte les restrictions applicables aux pièces exigibles d’un locataire/garant ; protège ses accès ; vérifie les extractions et décisions ; répond aux droits et incidents dont il est responsable. L’Éditeur fournit l’assistance convenue sans se substituer au Client dans ses décisions de bailleur.

Les données des articles 9/10 ne sont pas nécessaires au service et ne doivent pas être importées volontairement sans fondement et instructions appropriés. Une réception incidente exige une analyse/minimisation, pas l’affirmation qu’un chiffrement rend sa collecte licite.

4. Confidentialité et sécurité

Le sous-traitant limite les accès aux personnes habilitées, soumises à une obligation de confidentialité, informées de leurs responsabilités et formées selon leurs fonctions. Révoquer les habilitations à la fin de nécessité. Protéger les secrets, éviter toute copie de dossier dans un outil de développement ou rapport non nécessaire.

Il met en œuvre les mesures appropriées de l’article 32, compte tenu des risques, de l’état de l’art et des coûts de mise en œuvre : cloisonnement, contrôles d’accès, MFA d’administration, chiffrement des flux, gestion des secrets, journalisation minimisée, sauvegarde, procédure d’incident et contrôles. L’annexe B expose les mesures réellement prouvées et leurs limites ; aucune certification ou prestation antivirus n’est revendiquée. Une évolution de mesure ne doit pas réduire la protection convenue sans examen et information appropriés.

5. Sous-traitants ultérieurs et autorisation préalable

Le Client autorise par écrit les prestataires identifiés dans l’annexe C complétée, pour les seules opérations et garanties décrites. Pour un ajout ou remplacement destiné à traiter ses dossiers, GestionLocIA présente avant intervention l’entité, le service, les données, les lieux et garanties, puis recueille son autorisation expresse préalable dans la nouvelle version de l’annexe/des conditions concernées. L’écrit peut être électronique. Aucun délai fixe de quarante-cinq jours ni accord déduit du silence n’est retenu.

Lors de sa prochaine connexion, le Client voit un encadré identifiant la mise à jour et la version proposée, donnant accès aux textes complets et aux choix explicites de validation ou de refus. Les informations préalables et le support durable requis restent fournis ; leur retrait visuel d’un encadré ne supprime pas cette obligation. La preuve conserve le texte exact, la version et la date de son acceptation. Une connexion, une fermeture de l’encadré ou l’absence de connexion n’autorise pas le nouveau traitement. Aucun dossier d’un client inactif n’est transféré avant l’autorisation requise.

En cas de refus, rechercher une solution permettant de poursuivre sans le prestataire refusé ou organiser la restitution et la sortie sans pénalité. Ne pas supprimer immédiatement les dossiers ni entraver leur récupération. Aucun remboursement commercial supplémentaire n’est promis ; les remboursements et restitutions légalement dus, y compris les régimes de consommation lorsqu’applicables, restent intégralement préservés. La seule existence d’un nouveau prestataire ne préjuge pas le fondement d’un remboursement.

Les contrats et mécanismes connus des fournisseurs sont présentés dans l’annexe C et le document 15. Leur fonctionnement effectif doit être assuré avant le recours concerné. Un contrat fournisseur à autorisation générale ne doit pas être présenté comme offrant de lui-même le blocage individuel préalable promis ci-dessus. Toute incompatibilité doit être résolue avant adoption du circuit, sans traiter le silence d’un client comme son autorisation spécifique.

GestionLocIA impose par acte écrit les obligations de protection de l’article 28 pour les opérations confiées et vérifie les garanties suffisantes. Il demeure pleinement responsable envers le Client de l’exécution de ses sous-traitants ultérieurs selon l’article 28.4. Les prestataires de données publiques ne deviennent pas tous sous-traitants de dossiers.

Le dispositif de mise à jour et de blocage préalable doit être opérationnel avant d’appliquer cette clause ; sa rédaction ne l’installe pas et ne modifie aucun accord déjà accepté.

6. Localisations et transferts

Les composants de Staging sont décrits dans l’annexe C ; l’hébergement principal Francfort et la sauvegarde Paris ne prouvent pas une exécution globale en EEE. Avant transfert, identifier exportateur/importateur, rôle, données, pays d’accès, instrument valable du chapitre V, vérifications et mesures complémentaires nécessaires. Une décision d’adéquation ne se présume pas à partir d’une adresse américaine ; une certification éventuelle doit être vérifiée pour l’entité et le flux concernés.

Si les clauses contractuelles types 2021/914 sont utilisées, choisir le module selon le flux : responsable vers sous-traitant, ou sous-traitant vers sous-traitant, notamment ; pas le module 2 pour tous les flux par défaut. Fournir au Client les informations et garanties appropriées, sous occultation justifiée des secrets sans vider son droit d’information. En cas d’instrument invalide ou de garantie insuffisante, corriger ou suspendre le transfert concerné, et informer.

7. Droits des personnes

Compte tenu de la nature du traitement, aider le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes. Les fonctions de consultation/correction, de téléchargement/export et le parcours d’effacement existants sont utilisés selon le droit d’accès et le périmètre réel. Le code prévoit un export ZIP avec classeurs XLSX, fichiers autorisés et bilan ; son périmètre et les preuves restant nécessaires figurent dans l’annexe de restitution. Aucun export global JSON/CSV ou bouton de limitation non établi n’est promis. Une restriction nécessaire peut être organisée par procédure dédiée.

Une demande reçue directement relative aux dossiers confiés est transmise au Client sans retard injustifié ; objectif de transmission deux jours ouvrés, sans faire repartir le délai légal ni exiger la pièce d’identité par défaut. Informer la personne de l’interlocuteur compétent, sans dévoiler d’autres dossiers. Pour nos traitements propres, nous répondons nous-mêmes.

Le sous-traitant n’efface ni ne communique de sa propre initiative un dossier confié en réponse à l’inaction du Client, sauf obligation légale ou instruction valable. Il documente les relances et l’assistance ; les relances administratives proposées au document 11 ne sont pas toutes des e-mails automatiques en service. Le Client reste responsable de sa réponse ; cette clause n’exonère pas le sous-traitant de ses propres obligations légales.

8. Violations et assistance aux articles 32–36

Le sous-traitant notifie au Client une violation affectant ses données sans retard injustifié, avec plafond contractuel confirmé par Lotfi de 24 heures après en avoir pris connaissance. Ce plafond n’autorise pas à attendre 24 heures quand l’information peut être donnée plus tôt. Avis initial puis compléments : nature, catégories/nombres approximatifs, contact, conséquences, mesures, chronologie et informations manquantes. Les canaux doivent rester disponibles hors de l’outil compromis.

Le délai de notification du responsable à l’autorité court à compter de sa propre prise de connaissance selon l’article 33, en principe lorsque son sous-traitant l’informe, et non automatiquement à l’heure où le sous-traitant en a eu connaissance. Le Client peut avoir eu connaissance auparavant ; consigner les deux heures et ne jamais retarder l’alerte. Lignes directrices WP250 rev.01, p.14.

Le sous-traitant aide à l’évaluation des risques, aux mesures de sécurité, à l’analyse d’impact, à la consultation préalable et aux notifications/communications nécessaires, compte tenu des informations dont il dispose. Il ne notifie pas à la place du Client sans mandat approprié ; il agit pour ses propres traitements lorsqu’il en est responsable. Conserver un registre minimisé des violations et des motifs de non-notification.

9. Fin de prestation, restitution et suppression

À son choix documenté, le Client obtient restitution ou suppression des données confiées et suppression des copies existantes, sauf conservation requise par le droit de l’Union ou d’un État membre. Définir préalablement les catégories, formats/fichiers, moyen sécurisé et vérifications de complétude. La convention de bêta prévoit six semaines d’usage gratuit puis, sans abonnement, douze mois calendaires de consultation/export et la suppression des dossiers au terme annoncé, avec trois emails à six, trois et un mois. Une souscription expresse conserve le même espace. Les dates, gardes et avis sont implémentés sur Staging privé ; l’ouverture externe, les destinataires réels et l’exécution finale d’effacement restent contrôlés et soumis à autorisation. Ces règles ne permettent pas de retarder un effacement fondé ou une restitution légale.

Le changement de fournisseur doit respecter le régime Data Act lorsqu’applicable, avec transition et récupération distinctes ; les CGV et la checklist identifient les fonctions encore nécessaires. Aucun forfait 30+60 jours ni suppression à 90 jours issu de l’ancien projet n’est présenté comme décision actuelle.

Demande d’effacement : instruction et identité vérifiées, exceptions motivées, objectif interne sept jours, réponse/exécution dans les délais applicables ; effacement dédié et contrôlé, pas simple inscription au registre. Les traces résiduelles sont minimisées et conservées selon le document 10, pas les copies complètes des fiches après suppression.

Copies de secours : conformément au choix de Lotfi du 22 octobre, le programme conserve la dernière capture complète et rend les anciennes éligibles trente jours après une capture complète suivante réussie. Il arrête tout nettoyage lorsque la dernière complète dépasse 36 heures. Les documents actifs de la source ne sont pas dans son périmètre. Ces critères n’établissent pas un plafond de trente jours après un effacement à la source ; les projets ne promettent plus ce plafond.

En incident, documenter le périmètre, la nécessité de récupération, la cause du retard, l’action de reprise et la prochaine revue. Les copies restent hors usage courant ; les effacements postérieurs à leur date sont réappliqués avant remise en service. La procédure commune ne dispense pas de l’obligation de restituer/supprimer les copies selon les instructions et l’article 28. Si une obligation d’effacement total est incompatible avec la dernière copie protégée, informer immédiatement le responsable, qualifier le fondement et organiser une solution permettant d’exécuter l’instruction licite. La règle automatique ne remplace pas l’obligation de supprimer ou restituer et de détruire les copies. L’accord du Client ne peut écarter les droits impératifs des personnes. Le circuit technique exceptionnel d’exécution reste à organiser avant admission de dossiers réels de tiers sous ce DPA. Aucune suppression de dernière copie ou modification rétroactive d’un accord accepté n’est autorisée ici.

Sur demande, délivrer une attestation exacte de ce qui est supprimé, des exceptions et des copies encore en cycle, avec dates prévues/réserves vérifiables.

10. Documentation, audit et coopération

Tenir le registre de l’article 30.2, les habilitations, la liste des sous-traitants, les mesures et preuves de contrôle. Mettre à disposition les informations nécessaires pour démontrer l’article 28 ; permettre les audits et inspections par le Client ou son auditeur mandaté et y contribuer. Convenir d’un calendrier et d’une confidentialité raisonnables, protéger les autres clients et les secrets sans neutraliser l’audit. Une cadence ordinaire annuelle/préavis raisonnable n’interdit pas un audit nécessaire après incident, doute étayé ou demande d’autorité ; aucun coût dissuasif ne doit vider l’obligation.

Coopérer avec la CNIL, informer le Client des demandes légales lorsque permis, vérifier leur validité et limiter toute communication. Les limites techniques et tests partiels sont fournis avec leurs preuves, pas remplacés par une déclaration générale de conformité.

11. Adoption et hiérarchie

Droit français sous réserve des règles impératives. Le présent accord prime les clauses contradictoires du contrat principal pour les données confiées ; il ne modifie pas les clauses contractuelles types d’un transfert au-delà de ce qu’elles permettent. Modification substantielle informée sur support durable, version conservée, droits de sortie appropriés ; aucune acceptation rétroactive. Les annexes A/B/C font partie de l’accord final.

Annexe A — Description des opérations

Annexe B — Mesures et limites constatées sur Staging

Contrôles d’isolation applicative/RLS et Storage, MFA Super Admin, accès documentaire limité et tracé, TLS et secrets serveur ; sauvegarde chiffrée Paris et restauration locale de données prouvée ; purges de traces et registre des droits livrés ; arrêt d’urgence et maintenance ciblée disponibles. Les preuves, dates et réserves figurent dans la sécurité et le plan de sauvegarde, à joindre sous une forme appropriée au contrat final. Aucune certification, antivirus, SLA ou reprise complète du service n’est attesté.

Annexe C — Prestataires et lieux

Le document 15, l’annexe transferts et le registre détaillé en précisent les rôles par flux. Ces prestataires ne sont pas tous destinataires de chaque dossier. OVH domaine/DNS, GitHub et sources publiques ne deviennent pas des sous-traitants de tous les dossiers. L’adoption finale doit correspondre à la cible et aux garanties effectivement retenues.

Adoption future

Client / qualité / référence : [À COMPLÉTER LORS DE LA CONCLUSION]. Sous-traitant : Lotfi Chraibi en nom propre, aux coordonnées du §1. Édition rédigée : 1.6 du 28 octobre 2026. Date d’effet et preuve de conclusion : [À COMPLÉTER LORS DE L’ADOPTION EFFECTIVE]. Aucune signature générée ; pas de conclusion déduite de la lecture du présent dossier.