Accord de sous-traitance RGPD

Le présent document décrit les conditions dans lesquelles Mathis Jacques André Deschamps, entrepreneur individuel, éditeur de Dépôt Sécurisé (ci-après le « Sous-traitant »), traite des données personnelles pour le compte du professionnel utilisant le service (ci-après le « Responsable de traitement »).

Le client déposantvia un lien personnel est la personne concernée par les données qu'il transmet dans le cadre d'un dossier ouvert par le Responsable de traitement.

Le présent accord a pour objet de définir les conditions de traitement des données personnelles confiées par le Responsable de traitement au Sous-traitant dans le cadre de l'utilisation de la plateforme Dépôt Sécurisé, conformément au règlement (UE) 2016/679 (RGPD).

Ce document constitue une base contractuelle type. Il ne garantit pas, à lui seul, la conformité RGPD globale du Responsable de traitement, qui demeure seul responsable de ses obligations légales vis-à-vis des personnes concernées.

Le traitement en sous-traitance dure pendant toute la période d'utilisation du service par le Responsable de traitement et jusqu'à la suppression ou restitution des données conformément aux présentes et à la politique de conservation du service.

Le Sous-traitant met à disposition un espace de transit temporaire sécurisé permettant au Responsable de traitement de :

• créer des dossiers et générer des liens de dépôt ;
• recevoir des documents déposés par les clients ;
• appliquer un filigrane automatique avant stockage ;
• consulter les documents reçus pendant la durée de transit ;
• transmettre le lien de dépôt par email ;
• supprimer les fichiers à expiration ou sur instruction.

Le service n'a pas vocation à constituer un archivage durable ni un coffre-fort numérique.

Selon les dossiers, peuvent être traitées notamment :

• données d'identité (nom, prénom, pièces d'identité) ;
• justificatifs de domicile, revenus ou situation ;
• documents immobiliers (mandats, compromis, diagnostics, etc.) ;
• données de contact (email, le cas échéant téléphone indirectement présent dans les documents) ;
• métadonnées techniques (dates, logs, identifiants de fichiers).

Les personnes concernées peuvent inclure notamment :

• clients vendeurs ;
• acquéreurs ;
• candidats locataires ;
• garants ;
• toute autre personne dont les données sont déposées dans un dossier.

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement, matérialisée notamment par :

• la création et la configuration des dossiers ;
• la sélection des documents demandés ;
• l'envoi du lien au client ;
• les actions de consultation, validation, refus ou suppression ;
• les présentes conditions et la documentation du service.

Le Sous-traitant informe le Responsable de traitement si une instruction lui paraît contraire au RGPD ou à d'autres dispositions applicables en matière de protection des données.

Le Sous-traitant et le personnel autorisé s'engagent à traiter les données de manière confidentielle et à ne pas les utiliser à d'autres fins que l'exécution du service, sauf obligation légale.

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées, compte tenu de l'état des connaissances et des risques, notamment :

• stockage privé et accès restreint ;
• filigrane automatique ;
• expiration et suppression des fichiers ;
• journalisation des actions significatives ;
• contrôle des accès aux comptes conseillers.

Ces mesures visent à réduire les risques sans prétendre à une sécurité absolue.

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants, dans la mesure nécessaire au service :

• Vercel — hébergement de l'application ;
• Supabase — base de données et stockage des fichiers ;
• Resend — envoi d'emails transactionnels (lien de dépôt).

Le Sous-traitant s'assure que ces prestataires sont soumis à des obligations de protection des données compatibles avec le RGPD. La liste pourra évoluer ; le Responsable de traitement sera informé des changements substantiels par les moyens appropriés.

Le Responsable de traitement pourra formuler une objection raisonnable dans un délai raisonnable lorsqu'un changement affecte significativement le traitement ou les garanties de protection des données confiées au Sous-traitant dans le cadre des dossiers.

Les prestataires intervenant uniquement pour la facturation ou l'abonnement du conseiller auprès de l'éditeur (notamment Stripe, Make ou Tiime) ne traitent pas le contenu des documents déposés dans les dossiers ; ils sont décrits dans la politique de confidentialité.

Le Sous-traitant apporte une assistance raisonnable au Responsable de traitement pour :

• répondre aux demandes d'exercice des droits des personnes concernées, dans la limite de ses capacités techniques ;
• contribuer à la sécurité du traitement et à l'évaluation d'impact, le cas échéant ;
• fournir les informations utiles sur les mesures mises en œuvre.

En cas de violation de données personnelles susceptible d'engendrer un risque pour les personnes concernées, le Sous-traitant notifiera le Responsable de traitement dans les meilleurs délais après en avoir pris connaissance, en fournissant les informations disponibles permettant au Responsable de traitement de remplir ses obligations légales, notamment de notification à l'autorité de contrôle.

À la fin de la relation contractuelle ou sur instruction du Responsable de traitement, le Sous-traitant supprime ou restitue les données personnelles traitées pour son compte, sauf obligation légale de conservation. Les modalités pratiques pourront être précisées dans la documentation contractuelle complémentaire.

Les fichiers déposés sont supprimés automatiquement au plus tard 72 heures après dépôt, conformément au fonctionnement du service. Cette suppression constitue une mesure technique de limitation de la durée de conservation des documents en transit.

Le Sous-traitant met à disposition du Responsable de traitement les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues par l'article 28 du RGPD. Tout audit pourra être réalisé dans des conditions proportionnées, sans perturber excessivement l'activité du Sous-traitant ni compromettre la sécurité d'autres clients.

Chaque partie demeure responsable des manquements qui lui sont directement imputables au titre du RGPD. Le Sous-traitant n'est responsable que du traitement effectué hors des instructions licites du Responsable de traitement ou de ses propres manquements aux obligations qui lui incombent spécifiquement en qualité de sous-traitant.

Pour toute question, contactez l'éditeur du service à l'adresse suivante : contact@depot-securise.fr.

Aucun délégué à la protection des données n'est désigné à ce stade.