Annexe 1 : accord de sous-traitance

Le présent accord définit les conditions dans lesquelles BASILE, société à responsabilité limitée à associé unique (EURL) au capital de 1 000 euros, immatriculée au registre du commerce et des sociétés de Metz sous le numéro 943 143 966, dont le siège social est situé 5 boulevard Paixhans, 57000 Metz, France (ci-après « le Sous-traitant ») traite, pour le compte du syndicat des copropriétaires (ci-après « le Responsable de traitement »), les données à caractère personnel nécessaires à la fourniture du Service.

Il fait partie intégrante des conditions générales de vente et est accepté par le Responsable de traitement lors de la souscription.

Nature du traitement : hébergement, stockage, structuration, consultation, calcul, mise en forme, extraction, transmission et suppression.

Finalités : gestion administrative, comptable et financière d'une copropriété, incluant la tenue du registre des lots et des copropriétaires, l'émission et le suivi des appels de fonds, la comptabilité du syndicat, le rapprochement bancaire, le recouvrement amiable des charges par le syndic, la préparation et la tenue des assemblées générales, ainsi que la mise à disposition de documents aux copropriétaires.

Catégories de personnes concernées : copropriétaires et anciens copropriétaires, occupants, membres du conseil syndical, syndic, fournisseurs et prestataires de la copropriété.

Catégories de données :

• données d'identification : nom, prénom, adresse postale, adresse électronique, numéro de téléphone ;
• données patrimoniales : lots détenus, tantièmes, quotes-parts ;
• données financières : appels de fonds, versements, soldes, impayés, coordonnées bancaires, opérations figurant sur le compte du syndicat ;
• données de gestion : votes et mandats en assemblée générale, correspondances, procédures de recouvrement ;
• données de connexion : identifiants, journaux d'activité, adresses IP.

Le Service n'a pas vocation à traiter de données relevant de l'article 9 du règlement. Le Responsable de traitement s'interdit d'en déposer.

Durée du traitement : la durée du contrat, augmentée du délai d'export de quatre-vingt-dix jours prévu à l'article 10 des conditions générales de vente.

Le Sous-traitant s'engage à :

1. Traiter les données sur instruction documentée du Responsable de traitement, les conditions générales de vente et le présent accord constituant les instructions initiales. Il informe le Responsable de traitement s'il estime qu'une instruction constitue une violation du règlement.
2. Ne traiter les données pour aucune autre finalité, et notamment ne pas les exploiter à des fins commerciales, ni les utiliser pour l'entraînement de modèles d'apprentissage automatique.
3. Garantir la confidentialité : les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et formées à la protection des données.
4. Mettre en œuvre les mesures de sécurité décrites à l'article 6.
5. Assister le Responsable de traitement pour la réponse aux demandes d'exercice de droits, la réalisation d'analyses d'impact et la consultation préalable de l'autorité de contrôle, compte tenu de la nature du traitement et des informations dont il dispose.
6. Notifier toute violation de données dans les conditions de l'article 7.
7. Mettre à disposition toute information nécessaire pour démontrer le respect des obligations de l'article 28 du règlement.
8. Restituer ou supprimer les données au terme du contrat, dans les conditions de l'article 9.

Le Responsable de traitement, agissant par son syndic :

• s'assure de disposer d'une base légale pour les traitements mis en œuvre ;
• informe les personnes concernées du traitement, de ses finalités, des destinataires et de leurs droits, notamment lors de l'ouverture des accès aux copropriétaires ;
• ne saisit ni ne dépose que des données exactes, à jour et nécessaires à la gestion de la copropriété ;
• répond aux demandes d'exercice de droits qui lui sont adressées ;
• veille à la pertinence des accès qu'il ouvre et les révoque lorsqu'ils ne sont plus justifiés ;
• tient le registre de ses activités de traitement.

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs suivants :

Le Sous-traitant impose à chacun d'eux, par contrat, les mêmes obligations que celles prévues au présent accord.

Il informe le Responsable de traitement de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur au moins trente jours avant sa mise en œuvre. Le Responsable de traitement peut s'y opposer pour un motif légitime et tenant à la protection des données ; à défaut d'accord, il peut résilier sans frais.

Transferts hors Union européenne : la base de données, les documents déposés et les sauvegardes sont stockés au sein de l'Union européenne (Irlande). Trois traitements impliquent en revanche un transfert effectif vers un pays tiers : la reconnaissance automatique du contenu des factures, l'acheminement des messages électroniques et la protection anti-robot des formulaires d'authentification.

Par ailleurs, certains prestataires sont établis hors de l'Union européenne alors même que les données qu'ils hébergent y demeurent stockées ; leurs personnels autorisés peuvent y accéder depuis leur pays d'établissement, ce qui s'analyse également en transfert.

Dans l'un et l'autre cas, le transfert repose sur les clauses contractuelles types de la Commission européenne annexées aux contrats conclus avec chaque prestataire et, lorsque le prestataire y est certifié, sur le Data Privacy Framework UE–États-Unis, complétés des mesures supplémentaires appropriées.

Les fonctionnalités impliquant ces transferts (reconnaissance automatique du contenu des factures, notifications par courrier électronique) ne sont mises en œuvre que sur action du Responsable de traitement.

La protection anti-robot fait exception : elle s'applique d'office aux formulaires publics d'authentification, qui seraient sinon exposés aux envois automatisés. Elle ne traite que l'adresse IP et des signaux techniques du navigateur, à l'exclusion de toute donnée de la copropriété.

Le Sous-traitant met en œuvre, compte tenu de l'état de l'art et des risques :

• le chiffrement des données en transit (TLS) et au repos ;
• une authentification individuelle et une politique de mots de passe robuste ;
• un cloisonnement strict des données entre copropriétés et une gestion des habilitations fondée sur le profil de l'Utilisateur, appliqués jusqu'au niveau de la base de données ;
• la journalisation des accès et des opérations sensibles, conservée cinq ans ;
• des sauvegardes quotidiennes chiffrées, conservées sept jours, et des tests de restauration périodiques ;
• l'application régulière des correctifs de sécurité et une revue périodique des vulnérabilités ;
• des procédures de gestion des incidents et de continuité d'activité.

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées.

Le Sous-traitant assiste le Responsable de traitement dans la notification à l'autorité de contrôle et, le cas échéant, dans l'information des personnes concernées. La notification à la CNIL et aux personnes concernées incombe au Responsable de traitement.

Les demandes d'exercice de droits sont adressées au Responsable de traitement.

Lorsqu'une demande parvient directement au Sous-traitant, celui-ci la transmet sans délai au Responsable de traitement et ne répond pas à la personne concernée sur le fond.

Le Service met à disposition du syndic les fonctions permettant de répondre à ces demandes : accès, rectification, extraction des données d'une personne et suppression.

Au terme du contrat, le Responsable de traitement dispose d'un délai de quatre-vingt-dix jours pour exporter l'intégralité des données, dans les conditions de l'article 16 des conditions générales de vente.

À l'expiration de ce délai, le Sous-traitant supprime les données des systèmes de production. Les sauvegardes contenant ces données sont supprimées à l'expiration de leur cycle de rétention, soit sept jours au plus.

Sont conservés au-delà, pour la seule durée nécessaire au respect des obligations légales du Sous-traitant : les données de facturation, pendant dix ans, et les journaux mentionnés à l'article 6, pendant cinq ans.

Une attestation de suppression est délivrée sur demande.

Le Responsable de traitement peut demander, une fois par an, communication des éléments permettant de vérifier le respect du présent accord : politique de sécurité, résultats des tests, certifications et rapports d'audit disponibles.

Un audit sur site ou par un tiers indépendant soumis à confidentialité peut être conduit en cas de violation avérée ou de manquement établi, moyennant un préavis de trente jours, aux frais du Responsable de traitement, sans perturber l'exploitation du Service.

Toute question relative au présent accord peut être adressée au référent protection des données de l'Éditeur : BASILE, représentée par Basile Dos Santos, à l'adresse contact@ma-copro-benevole.fr.