Accord de sous-traitance des données (DPA)

CMproperty — Projet contractuel à compléter et à faire valider

Article 1 — Parties

Le présent accord est conclu entre :

Le client professionnel, désigné comme « Responsable de traitement », dont les informations figurent dans le contrat d'abonnement.

Et :

CMproperty, exploité par [Identification juridique complète], désigné comme « Sous-traitant ».

Le présent accord s'applique lorsque CMproperty traite des données personnelles pour le compte du client dans le cadre de la fourniture de son logiciel.

Article 2 — Objet et durée

Le présent accord encadre les opérations de traitement réalisées par CMproperty pour le compte du client.

Les traitements sont effectués pendant la durée du contrat principal, puis pendant les périodes de restitution, de suppression ou de conservation légalement nécessaires.

Article 3 — Nature et finalités des traitements

Les opérations peuvent comprendre :

• L'enregistrement et l'hébergement des données.
• Leur organisation, consultation et modification.
• Leur transmission aux utilisateurs habilités.
• Leur exportation.
• Leur sauvegarde.
• Leur suppression conformément aux instructions applicables.

Les finalités sont notamment la gestion immobilière, la maintenance, la coordination des interventions, la gestion documentaire et les communications opérationnelles.

Article 4 — Catégories de personnes concernées

Selon les données saisies par le client :

• Locataires et résidents.
• Bailleurs et propriétaires.
• Collaborateurs des entreprises clientes.
• Artisans et prestataires.
• Coursiers et personnels de ménage.
• Autres personnes dont les données sont légitimement traitées dans le cadre des opérations du client.

Article 5 — Catégories de données personnelles

Les traitements peuvent porter sur :

• Identités et coordonnées.
• Adresses et informations relatives aux logements.
• Identifiants et habilitations.
• Messages et demandes d'intervention.
• Photographies, vidéos et documents.
• Historique des missions.
• Informations de facturation ou de paiement, selon les fonctionnalités effectivement activées.

Les catégories exactes doivent être adaptées aux fonctionnalités réellement utilisées.

Le client s'engage à éviter la saisie de données sensibles non nécessaires.

Article 6 — Instructions du responsable de traitement

CMproperty traite les données uniquement sur instruction documentée du client, sauf obligation légale applicable.

Les instructions comprennent notamment les opérations nécessaires à l'exécution du contrat principal et les paramètres définis par les utilisateurs autorisés.

Si CMproperty estime qu'une instruction constitue une violation de la réglementation applicable, elle en informe le client dans les conditions prévues par le RGPD.

Article 7 — Confidentialité

CMproperty veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation appropriée de confidentialité.

Les accès doivent être limités aux besoins professionnels légitimes.

Article 8 — Sécurité

CMproperty s'engage à mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques, conformément à l'article 32 du RGPD.

Ces mesures doivent notamment couvrir, selon les risques et l'architecture réelle :

• Le contrôle des accès.
• La séparation des données entre clients.
• La protection des communications.
• La gestion des habilitations.
• La journalisation appropriée.
• La protection des documents.
• La sauvegarde et la restauration.
• La gestion des incidents de sécurité.

Les mesures effectivement mises en œuvre doivent être détaillées dans une annexe de sécurité vérifiée.

Article 9 — Sous-traitants ultérieurs

Le recours à des sous-traitants ultérieurs est soumis à une autorisation préalable spécifique ou générale du client, dans les conditions de l'article 28 du RGPD.

CMproperty tient à disposition une liste actualisée des sous-traitants ultérieurs concernés.

En cas d'autorisation générale, le client est informé des changements envisagés et dispose de la possibilité de s'y opposer selon les modalités contractuelles définies.

CMproperty impose aux sous-traitants ultérieurs des obligations de protection des données appropriées.

La liste réelle des sous-traitants et les modalités de notification restent à compléter.

Article 10 — Assistance au client

Compte tenu de la nature des traitements et des informations disponibles, CMproperty assiste raisonnablement le client pour :

• Répondre aux demandes d'exercice des droits.
• Gérer les violations de données personnelles.
• Réaliser, lorsque nécessaire, les analyses d'impact.
• Répondre aux consultations préalables des autorités compétentes.

Les modalités opérationnelles et éventuelles conditions financières doivent être précisées contractuellement.

Article 11 — Violations de données

CMproperty informe le client de toute violation de données personnelles dont elle a connaissance, dans les meilleurs délais et sans retard injustifié.

La notification comprend les informations disponibles permettant au client d'évaluer l'incident et de satisfaire à ses propres obligations.

CMproperty coopère à l'analyse et à la gestion de l'incident.

Article 12 — Transferts internationaux

Tout transfert de données vers un pays tiers doit respecter les exigences du RGPD.

Lorsque cela est nécessaire, CMproperty met en place les garanties appropriées, notamment les clauses contractuelles types applicables et les mesures complémentaires requises.

Les transferts effectivement réalisés doivent être documentés.

Article 13 — Restitution et suppression

À l'issue du contrat, CMproperty restitue ou supprime les données personnelles traitées pour le compte du client, selon son choix, sauf obligation légale de conservation.

Les modalités d'export, les formats, les délais et le traitement des sauvegardes doivent être précisés dans une annexe opérationnelle.

Article 14 — Contrôles et audits

CMproperty met à disposition les informations nécessaires pour démontrer le respect des obligations qui lui incombent au titre de l'article 28 du RGPD.

Elle permet et contribue aux audits et inspections dans les conditions prévues par cet article, selon des modalités proportionnées assurant la confidentialité et la sécurité des autres clients.

Article 15 — Obligations du client

Le client demeure responsable notamment :

• De la détermination des finalités et des bases légales des traitements qu'il décide.
• De l'information des personnes concernées.
• De la gestion des droits d'accès qu'il attribue.
• De la pertinence des données saisies.
• Du traitement des demandes des personnes concernées, avec l'assistance nécessaire de CMproperty.

Article 16 — Annexes contractuelles

Les annexes suivantes doivent être complétées avant la signature ou l'acceptation définitive du DPA :

Annexe A : Description détaillée des traitements, données, personnes concernées et durées.

Annexe B : Mesures techniques et organisationnelles de sécurité réellement mises en œuvre.

Annexe C : Liste des sous-traitants ultérieurs, pays de traitement et garanties applicables.

Annexe D : Procédure de notification des incidents, restitution et suppression des données.

Article 17 — Entrée en vigueur

Le présent accord entre en vigueur selon les modalités d'acceptation prévues au contrat principal.

Il demeure applicable aux traitements couverts jusqu'à l'achèvement des obligations de restitution, de suppression ou de conservation légalement requises.

Proposition technique pour les annexes B et C

Ajout technique de CMproperty à partir des mesures réellement en place au 1er novembre 2026. Ces éléments ne remplacent pas un audit indépendant et doivent être validés avant signature.

Annexe B — mesures constatées :

• Séparation des données de chaque entreprise contrôlée directement par la base de données (contrôles automatiques à chaque évolution).
• Droits par profil (administrateur, Property Manager, collaborateur, bailleur, locataire, artisan, coursier, ménage).
• Photos, vidéos et documents dans des espaces privés, ouverts uniquement par des liens temporaires ; types de fichiers contrôlés.
• Double authentification exigée pour les actions sensibles des administrateurs.
• Journal des actions sensibles consultable par l'administrateur.
• Échanges chiffrés (HTTPS) ; mots de passe compromis refusés.
• Export des données de l'entreprise à tout moment (Paramètres → Exporter mes données).
• Sauvegarde quotidienne de la base par l'hébergeur ; test de restauration isolée [À compléter : résultat du test de restauration].

Annexe C — sous-traitants ultérieurs : voir la page « Sous-traitants techniques » [À compléter : pays de traitement et garanties confirmés par chaque fournisseur].