Accord de sous-traitance (RGPD)

Le présent accord fixe les conditions dans lesquelles GUEPAR, le sous-traitant, traite pour le compte de l’agent ou de l’agence utilisateur de METHODE-IMMO, le responsable de traitement, les données personnelles des contacts que celui-ci enregistre dans le Service.

Il fait partie intégrante des conditions générales d’utilisation et des conditions générales de vente. Il s’applique à tout compte, gratuit ou payant, dès lors qu’il enregistre des contacts.

• Nature : hébergement, stockage, sauvegarde, consultation, mise à jour, export et suppression, à la demande du responsable de traitement.
• Finalité : permettre au responsable de traitement de tenir le fichier de ses contacts, de suivre ses dossiers (estimations, mandats, ventes, après-vente, apporteurs) et d’être rappelé de ses relances.
• Catégories de personnes : contacts de l’agent — propriétaires, anciens propriétaires, acquéreurs, prospects, apporteurs d’affaires.
• Catégories de données : identité, coordonnées, dates de naissance et d’anniversaire de mariage si l’agent les saisit, biens et ventes (adresse, référence cadastrale, prix, mandat, notaire), relances, notes, historique de suivi, lien de recommandation.
• Données sensibles : aucune. Le responsable de traitement s’interdit d’en enregistrer (article 9 du RGPD) ; un rappel figure sous chaque zone de texte libre.
• Durée : celle du contrat, puis le temps de la restitution et de la suppression prévues à l’article « Fin du contrat ».

GUEPAR ne traite les données que sur instruction documentée du responsable de traitement. Constituent ces instructions : le présent accord, les conditions générales, et les gestes du responsable de traitement dans le Service (créer, modifier, exporter, supprimer un contact).

Le responsable de traitement donne en outre instruction à GUEPAR de supprimer les contacts qu’il conserve manifestement et durablement au-delà des règles de conservation, sans motif enregistré, dans les conditions de l’article « Conservation » ci-dessous.

Si une instruction lui paraît contraire au RGPD, GUEPAR en informe immédiatement le responsable de traitement.

Les personnes autorisées à traiter les données chez GUEPAR sont soumises à une obligation de confidentialité. GUEPAR n’accède aux données d’un compte que pour les besoins du Service : un accès pour diagnostic dure 30 minutes au plus, exige un motif, est journalisé, et le responsable de traitement en est prévenu par courriel au moment même ; il en retrouve l’historique dans ses paramètres.

• Hébergement en France (Scaleway SAS, région Paris) : base de données, fichiers et sauvegardes.
• Cloisonnement : le portefeuille de chaque agent n’est accessible qu’à lui, pas même à l’administrateur de son agence.
• Échanges chiffrés (HTTPS) ; mots de passe hachés ; double authentification proposée, ses secrets chiffrés au repos ; tentatives de connexion répétées freinées.
• Base de données non exposée sur Internet.
• Sauvegarde chaque nuit et avant chaque mise à jour de la base, chiffrée avant de quitter le serveur avec une clé que le serveur ne détient pas ; conservée 30 jours.
• Journal des actions sensibles conservé 12 mois.
• Composants mis à jour et analysés pour les vulnérabilités connues avant chaque mise en ligne.
• Remontée des erreurs techniques par un outil auto-hébergé, sans le contenu des requêtes.

Le responsable de traitement autorise GUEPAR à recourir au sous-traitant ultérieur suivant :

• Scaleway SAS (France) — hébergement de l’application, de la base de données, des fichiers et des sauvegardes, région Paris.

Stripe et Mailjet, également sous-traitants de GUEPAR, ne reçoivent aucune donnée des contacts : le premier traite la facturation de l’agence, le second les courriels adressés aux agents, qui ne mentionnent jamais un contact par son nom.

Tout ajout ou remplacement est notifié par courriel au moins quinze jours à l’avance ; le responsable de traitement peut s’y opposer dans ce délai, et résilier s’il n’est pas trouvé de solution. GUEPAR impose à ses sous-traitants des obligations équivalentes et répond de leurs manquements.

Aucun. Les données des contacts sont hébergées et traitées en France.

Le responsable de traitement fixe la durée de conservation des données de ses contacts. Le Service l’y aide : il retient la date du dernier échange avec chaque contact, signale ceux qui n’en ont plus eu depuis bientôt trois ans ou qui ont demandé à ne plus être sollicités, cesse de les relancer automatiquement, et le lui rappelle chaque mois par courriel.

En cas de conservation manifeste et durable au-delà de ces règles, sans motif enregistré, GUEPAR peut supprimer les seuls contacts concernés, après un avertissement par courriel resté sans suite pendant trente jours ; l’avertissement et la suppression sont journalisés.

Il appartient au responsable de traitement d’informer ses contacts lors de la collecte et de répondre à leurs demandes. GUEPAR l’y aide par les fonctions du Service — modèle de mention d’information rempli à son nom (Paramètres → Sécurité, et rappelé à la création de chaque contact), export de la fiche complète d’un contact (accès, portabilité), modification, suppression, marquage de l’opposition — et lui transmet sans délai toute demande qu’elle recevrait directement.

GUEPAR notifie au responsable de traitement toute violation de données personnelles au plus tard vingt-quatre heures après en avoir pris connaissance, par courriel, avec les informations utiles à sa propre notification à la CNIL (nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises).

GUEPAR aide le responsable de traitement, dans la mesure de ses moyens, pour les analyses d’impact et la consultation préalable de la CNIL. Elle met à sa disposition les informations nécessaires pour démontrer le respect du présent accord, et permet un audit, sur demande écrite motivée, avec un préavis de trente jours, par un auditeur tenu au secret ; les frais de l’audit sont à la charge du responsable de traitement, sauf manquement constaté.

Le responsable de traitement exporte ses données à tout moment depuis ses paramètres. À la fin du contrat, GUEPAR les lui restitue sur demande, dans un délai de trente jours, dans un format lisible par les logiciels courants, puis les supprime, ainsi que leurs copies, sauf obligation légale de conservation. Sans demande dans les six mois, elles sont supprimées. Les sauvegardes qui les contiennent encore s’effacent au plus tard trente jours après la suppression.

• disposer d’une base légale pour chaque contact enregistré et pour chaque sollicitation, notamment au regard des règles de la prospection ;
• ne démarcher par téléphone que les contacts qui y ont consenti, ou avec lesquels un contrat est en cours, et en garder la preuve — le Service permet de l’enregistrer sur la fiche ;
• informer ses contacts du traitement de leurs données ;
• n’enregistrer aucune donnée sensible ni appréciation sur la personne ;
• fixer et faire respecter la durée de conservation de son fichier ;
• documenter par écrit toute instruction particulière à GUEPAR.