En bref
- Cet accord s'applique automatiquement aux Clients professionnels (conciergeries, agents, conseillers) qui saisissent dans Airbopti des données personnelles concernant leurs propres clients, par exemple un nom sur un dossier PDF.
- Pour ces données, vous êtes responsable de traitement et nous sommes votre sous-traitant au sens de l'article 28 du RGPD.
- Il fait partie des conditions générales : aucune signature n'est nécessaire. Si vous avez besoin d'un exemplaire signé, écrivez à legal@airbopti.celarli.com.
1. Parties
- Le Client : le Client professionnel titulaire du compte Airbopti, responsable de traitement.
- Le Sous-traitant : [à compléter], [à compléter] ([à compléter]), éditeur d'Airbopti.
2. Objet et durée
Le Sous-traitant traite les données décrites ci-dessous uniquement pour fournir le service Airbopti au Client, pendant toute la durée de l'abonnement, puis le temps nécessaire à leur suppression (article 9).
3. Description du traitement
| Élément | Détail |
|---|---|
| Nature des opérations | Hébergement, stockage, consultation, calculs d'analyse, génération de dossiers PDF, partage par lien à la demande du Client, sauvegarde, suppression |
| Finalité | Permettre au Client d'analyser des biens immobiliers et de préparer des dossiers pour ses propres clients |
| Personnes concernées | Clients et prospects du Client |
| Données concernées | Nom ou dénomination du client du Client, nom de la société du Client, notes saisies, informations de financement saisies (apport, durée, taux, tranche d'imposition) |
| Données sensibles | Aucune. Le Client s'engage à ne pas en saisir |
4. Instructions du Client
Le Sous-traitant traite les données uniquement sur instruction documentée du Client. Ces instructions sont constituées par les conditions générales, le présent accord et l'utilisation que le Client fait des fonctionnalités du service. Si une instruction lui paraît contraire au RGPD, le Sous-traitant en informe le Client sans délai.
5. Confidentialité et sécurité
- Les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité et n'y accèdent que dans la limite de leurs missions.
- Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en annexe pour assurer un niveau de sécurité adapté au risque (article 32 du RGPD).
6. Sous-traitants ultérieurs
Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés dans la politique de confidentialité (hébergement, Google Cloud, Stripe, Twilio, Mailjet). Le Sous-traitant impose à chacun des obligations de protection des données au moins équivalentes à celles du présent accord.
Le Sous-traitant informe le Client par e-mail de tout ajout ou remplacement au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut d'accord, il peut résilier son abonnement sans frais avant le changement.
7. Transferts hors de l'Union européenne
Lorsque des données sont traitées hors de l'Union européenne par un sous-traitant ultérieur, le transfert est encadré par le EU-US Data Privacy Framework ou par les clauses contractuelles types de la Commission européenne.
8. Assistance au Client
Le Sous-traitant aide le Client, dans la mesure du possible :
- à répondre aux demandes d'exercice des droits des personnes concernées : le Client peut lui-même modifier, exporter et supprimer les données depuis son compte ; toute demande reçue directement par le Sous-traitant lui est transmise sans délai ;
- à garantir la sécurité du traitement et à réaliser, si nécessaire, une analyse d'impact ;
- en cas de violation de données : le Sous-traitant notifie le Client dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles pour lui permettre de notifier la CNIL et, le cas échéant, les personnes concernées.
9. Fin du contrat
Le Client peut exporter ses données à tout moment depuis son compte. À la suppression du compte, ou à l'issue des durées décrites dans la politique de confidentialité, les données sont supprimées ; les sauvegardes chiffrées sont effacées sous 30 jours. Le Sous-traitant ne conserve aucune copie, sauf obligation légale.
10. Audits
Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, au plus une fois par an et à ses frais, avec un préavis de 30 jours, par un auditeur indépendant tenu à la confidentialité, sans perturber le service ni compromettre la sécurité des autres clients.
11. Responsabilité et droit applicable
La responsabilité des parties est régie par les conditions générales. Le présent accord est soumis au droit français.
Annexe : mesures de sécurité
- Chiffrement des échanges (HTTPS/TLS) et cookies sécurisés.
- Connexion par compte Google, sans mot de passe stocké par Airbopti ; vérification par SMS disponible.
- Jetons d'accès (API, extension) aléatoires et longs, régénérables à tout moment par l'utilisateur ; cookie de connexion chiffré.
- Accès aux services Google Cloud par fédération d'identité, sans clé de service stockée sur les serveurs.
- Cloisonnement des données par compte et contrôle de propriété à chaque accès.
- Accès administrateur limité, journalisé, et consultation en lecture seule.
- Sauvegardes chiffrées, conservées 30 jours.
- Limitation du nombre de requêtes sur les interfaces exposées.
- Suppression automatique des données selon les durées de conservation publiées.