Annexe de traitement des données

Objet et parties

Cette annexe fait partie du contrat d'abonnement à Spot on Loc conclu entre A Zesty Solution SRL, Rue Prairie Coppée 23, 7110 La Louvière, Belgique (numéro d'entreprise 1017434384), le « sous-traitant », et chaque bailleur abonné, le « responsable du traitement ». Ce contrat est régi par la Partie B des conditions générales d'A Zesty Solution (https://www.azestysolution.com/terms).

Elle constitue le contrat prévu à l'article 28 du Règlement général sur la protection des données (RGPD). Pour la protection des données, elle prévaut sur les autres documents du contrat.

Durée

L'annexe s'applique pendant toute la durée de l'abonnement, puis jusqu'à la suppression des données du bailleur prévue à la section « Fin du contrat ».

Nature et finalités du traitement

Le sous-traitant héberge la plateforme Spot on Loc et traite les données du bailleur uniquement pour lui fournir le service :

• gestion des biens, des baux, de l'indexation, des loyers, des garanties locatives et des états des lieux ;
• envoi des e-mails de la plateforme au nom du bailleur (appels de loyer, rappels, documents) et réception des réponses ;
• portail locataire ;
• publication des biens sur la place de marché de spotonloc.com et réception des demandes de location ;
• rapprochement bancaire, si le bailleur a relié ses comptes avec sa propre connexion bancaire ;
• migration et mise en route, support, sauvegardes et sécurité.

Les opérations sont : la collecte par les formulaires, l'enregistrement, l'organisation, la conservation, la consultation par le support, la transmission par e-mail, la publication des annonces, l'export et l'effacement.

Personnes concernées

• Le bailleur et ses utilisateurs.
• Les locataires et les colocataires.
• Les candidats qui envoient une demande de location.
• Les garants et les autres personnes que le bailleur encode (par exemple ses fournisseurs ou les personnes de contact).

Catégories de données

• Identification : nom, civilité, état civil, date et lieu de naissance, langue.
• Coordonnées : adresse, e-mail, téléphone.
• Bail : bien loué, dates, loyer, charges, indexation, type et montant de la garantie locative, état des lieux.
• Données financières : factures, paiements, rappels ; opérations bancaires (nom de la contrepartie, IBAN, communication) si le bailleur utilise la connexion bancaire.
• Documents et messages : documents ajoutés par le bailleur ou le locataire (par exemple une preuve de revenus ou un document d'identité), e-mails et demandes échangés.
• Compte : identifiant, mot de passe conservé sous forme protégée, dates de connexion ; adresses IP dans les journaux du serveur.

La plateforme n'est pas prévue pour des données sensibles au sens de l'article 9 du RGPD. Le bailleur n'en encode pas sans base légale.

Instructions du bailleur

Le sous-traitant traite les données uniquement sur instruction documentée du bailleur. Les instructions sont : le contrat d'abonnement et cette annexe, les réglages et les actions du bailleur dans la plateforme, et ses demandes écrites (e-mail ou ticket de support).

Si une instruction lui paraît contraire au RGPD, le sous-traitant en informe le bailleur sans délai. Si le droit de l'Union ou le droit belge l'oblige à traiter des données, il en informe le bailleur avant le traitement, sauf interdiction légale.

Obligations du sous-traitant

• Confidentialité : seules les personnes autorisées par le sous-traitant accèdent aux données, et elles sont tenues au secret.
• Accès du support : uniquement à la demande du bailleur, pour la migration et la mise en route, pour résoudre un incident ou lorsque la loi l'impose. Chaque accès est consigné avec sa date, la personne et le motif.
• Le sous-traitant n'utilise pas les données à ses propres fins, ne les vend pas et ne les communique pas à des tiers, sauf aux sous-traitants ultérieurs listés ci-dessous ou lorsque la loi l'impose.
• Il tient le registre des traitements effectués pour le compte des bailleurs (article 30.2 du RGPD).
• Il informe le bailleur de toute demande d'une autorité portant sur ses données, sauf interdiction légale.

Sous-traitants ultérieurs

Le bailleur autorise le recours aux sous-traitants ultérieurs suivants :

• Contabo GmbH : hébergement du serveur de la plateforme, dans l'Union européenne.
• Hetzner Online GmbH : stockage des sauvegardes, chiffrées avant leur envoi, dans l'Union européenne.
• Zoho Corporation B.V. (Amsterdam, Pays-Bas) : envoi et réception des e-mails de la plateforme ; centres de données aux Pays-Bas et en Irlande.

Ne sont pas des sous-traitants du sous-traitant :

• Enable Banking Oy : le bailleur qui utilise la connexion bancaire enregistre sa propre application chez ce prestataire, sous un contrat qu'il conclut lui-même ; la plateforme n'héberge que le connecteur.
• L'éditeur du logiciel de base de la plateforme : la plateforme est installée sur le serveur du sous-traitant et les données du bailleur ne sont pas hébergées chez lui.

Le sous-traitant prévient le bailleur par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le bailleur peut s'y opposer pour un motif lié à la protection des données. Si aucune solution n'est trouvée, il peut résilier son abonnement sans frais avant le changement. Le sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles de cette annexe et reste responsable de leur respect.

Transferts hors de l'Union européenne

Les données sont hébergées et traitées dans l'Union européenne. Le sous-traitant ne les transfère pas hors de l'Union européenne. Si un transfert devenait nécessaire, il en informerait le bailleur à l'avance et s'appuierait sur les garanties du chapitre V du RGPD.

Mesures de sécurité

Le sous-traitant applique les mesures suivantes. Il ne dispose d'aucune certification de sécurité.

• Chiffrement des connexions : le site, l'espace de gestion et le portail sont accessibles uniquement en HTTPS ; les échanges avec le serveur de messagerie sont chiffrés.
• Séparation des bailleurs : chaque bailleur est une société distincte dans la base de données ; des règles d'accès limitent ses utilisateurs aux données de sa société.
• Contrôle d'accès : comptes personnels ; mots de passe conservés sous forme protégée ; les utilisateurs des bailleurs n'ont pas de droits d'administration ; l'administration du serveur se fait uniquement par clé SSH.
• Sauvegardes : une sauvegarde par jour, chiffrée avant son envoi chez un autre prestataire ; conservation de 7 sauvegardes quotidiennes, 4 hebdomadaires et 4 mensuelles ; procédure de restauration documentée.
• Mises à jour : les mises à jour sont d'abord installées sur un environnement de test, sur le même serveur, construit à partir d'une copie des données de production dont les envois d'e-mails et les connexions bancaires sont désactivés.
• Journaux : le serveur enregistre les connexions et les requêtes, pour la sécurité et la résolution des incidents.

Le sous-traitant revoit ces mesures lorsque la plateforme ou les risques changent.

Assistance au bailleur

• Droits des personnes : le sous-traitant transmet au bailleur, dans les 5 jours ouvrables, toute demande d'exercice de droits qu'il reçoit au sujet des données du bailleur. La plateforme permet au bailleur de consulter, corriger, exporter et supprimer les données. Le sous-traitant l'aide à répondre lorsque la plateforme ne suffit pas.
• Sécurité, analyses d'impact et consultation de l'autorité : le sous-traitant donne au bailleur les informations dont il dispose.

Violation de données

Le sous-traitant informe le bailleur dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, de toute violation de données qui le concerne. Il lui donne les informations prévues à l'article 33.3 du RGPD dès qu'il les a : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou proposées. Il prend les mesures nécessaires pour limiter les effets de la violation. La notification à l'Autorité de protection des données et aux personnes concernées revient au bailleur, qui dispose pour cela de 72 heures à compter du moment où il en a connaissance.

Fin du contrat

À la clôture de l'abonnement, l'espace du bailleur est suspendu et ses données sont conservées pendant 6 mois. Pendant ce délai, le bailleur peut exporter ses données ou demander leur export complet. Ensuite, le sous-traitant les supprime de la plateforme ; les copies de sauvegarde sont effacées au fil de leur rotation, au plus tard 4 mois plus tard. Le sous-traitant confirme la suppression par écrit sur demande. Ces règles ne s'appliquent pas aux données que le droit de l'Union ou le droit belge l'oblige à conserver.

Audits

Le sous-traitant met à la disposition du bailleur les informations nécessaires pour démontrer le respect de cette annexe. Le bailleur peut faire réaliser un audit, par lui-même ou par un auditeur tenu au secret, avec un préavis de 30 jours, au plus une fois par an sauf violation de données, à ses frais. L'audit commence par un questionnaire écrit. Il ne donne pas accès aux données des autres bailleurs.

Responsabilité

Chaque partie répond de ses obligations selon l'article 82 du RGPD et selon le contrat d'abonnement.

Contact

Pour toute question sur cette annexe, écrivez à contact@spotonloc.com. Le sous-traitant n'a pas désigné de délégué à la protection des données : cette adresse est le point de contact.