Accord de traitement des données (bailleurs)

Version en vigueur au 2 novembre 2026 (Garentiz 3.14.23).

Cet accord, conclu en application de l'article 28 du RGPD, s'applique entre le bailleur qui utilise Garentiz (le « responsable du traitement ») et Nayaro SRL, BE 0647.588.826, Chemin de la Cure d'Air 16, 7000 Mons, Belgique, support@garentiz.com (le « sous-traitant »). Il fait partie des conditions acceptées lors de l'inscription.

1. Objet et durée

Le sous-traitant traite, pour le compte du responsable, les données personnelles nécessaires à la gestion locative réalisée dans Garentiz, pendant toute la durée d'utilisation du service et jusqu'à la fin du traitement décrite à l'article 6.

2. Description du traitement

• Personnes concernées : locataires, colocataires et cosignataires, occupants, garants, candidats locataires et visiteurs, personnes qui utilisent le QR code d'un bien, artisans et prestataires, délégués, copropriétaires et indivisaires, destinataires d'un partage par lien, expéditeurs des e-mails rattachés, et toute personne dont les données figurent dans les documents déposés.
• Catégories de données : identité et coordonnées, date de naissance si encodée, adresse après le bail, données du bail et des loyers (montants, paiements, retards, indexation, décomptes), garantie locative, documents (baux, états des lieux et photos, signatures, attestations, courriers, factures), pièces d'identité si déposées, demandes et échanges, e-mails rattachés et leurs pièces, candidatures, sinistres, interventions.
• Opérations : hébergement, consultation, organisation, génération de documents, signature électronique simple, envoi d'e-mails, de SMS et de notifications, lecture de la boîte e-mail du responsable s'il la connecte, calculs, propositions de l'assistant si le responsable l'utilise, export, effacement.
• Finalité : permettre au responsable de gérer ses locations au moyen de Garentiz.

3. Obligations du sous-traitant

Le sous-traitant s'engage à :

• ne traiter les données que sur instruction documentée du responsable, c'est-à-dire par les fonctionnalités de Garentiz et les paramètres qu'il choisit, et à l'informer si une instruction lui semble contraire à la réglementation ;
• garantir la confidentialité des données et en limiter l'accès aux personnes habilitées, tenues au secret ; un accès de l'administration au compte (connexion assistée), réservé au support et à la sécurité, est limité à 30 minutes et journalisé ;
• mettre en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des pièces d'identité et des secrets, mots de passe hachés, double authentification, cloisonnement entre comptes, connexions chiffrées, sauvegardes quotidiennes, journal d'audit chaîné, registre horodaté, environnement de test réservé à l'administration (adresses réseau autorisées), sur le même hébergement, qui peut recevoir une copie complète des données pour vérifier une nouvelle version et n'envoie aucun message ;
• aider le responsable à répondre aux demandes d'exercice des droits des personnes concernées, notamment par les fonctions d'export, de modification et de suppression ; depuis la fiche d'un locataire ou d'un artisan, « Données de cette personne » exporte ce que le compte garde sur elle (JSON et résumé lisible) et l'efface, sauf ce qu'un bail en cours, la preuve ou la comptabilité exigent ;
• notifier au responsable toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles ;
• aider le responsable, dans la mesure de ses moyens, pour ses analyses d'impact et ses échanges avec l'autorité de contrôle ;
• mettre à disposition les informations nécessaires pour démontrer le respect du présent accord, et permettre des audits raisonnables, à la charge du responsable et moyennant un préavis de 30 jours.

4. Sous-traitants ultérieurs

Le responsable autorise le recours aux sous-traitants ultérieurs suivants, nécessaires au service :

• OVH SAS (France, Union européenne) : hébergement, base de données, fichiers, sauvegardes et envoi des e-mails ;
• Google (Firebase Cloud Messaging) et Apple (Apple Push Notification service) : envoi des notifications sur les téléphones des utilisateurs de l'application mobile ;
• Brevo (Sendinblue SAS, France), si l'envoi de SMS est activé et compris dans la licence : envoi des SMS ;
• Anthropic, si l'assistant est activé et que le responsable l'utilise : lecture des documents et textes qu'il lui soumet ;
• Fondation OpenStreetMap (Royaume-Uni) : géocodage de l'adresse des biens pour la carte du parc.

Stripe, prestataire de paiement, ne traite que les données de facturation du responsable lui-même, et non les données de ses locataires.

Le sous-traitant impose à chacun des obligations de protection des données équivalentes. Tout nouveau sous-traitant ultérieur est annoncé au moins 30 jours à l'avance ; le responsable peut s'y opposer en mettant fin à son utilisation du service. Les transferts hors de l'Espace économique européen sont encadrés par une décision d'adéquation (notamment le cadre de protection des données UE-États-Unis pour les entreprises qui y adhèrent, et la décision relative au Royaume-Uni) ou par des clauses contractuelles types de la Commission européenne.

5. Obligations du responsable

Le responsable garantit disposer d'une base légale pour les données qu'il encode, n'encoder que des données adéquates et limitées au nécessaire, choisir une durée de conservation des candidatures adaptée, et informer les personnes concernées. Garentiz met à sa disposition un document d'information destiné aux locataires. Lorsqu'il délègue un accès, partage un bien par lien ou connecte sa boîte e-mail, il veille à ce que ces usages soient nécessaires et connus des personnes concernées.

6. Fin du traitement

À la fin de l'utilisation du service, le responsable peut exporter l'ensemble de ses données depuis « Mes données ». Sa demande de suppression prend effet 30 jours plus tard. Tous les fichiers sont alors effacés, les données identifiantes des locataires, artisans et autres tiers anonymisées, et les candidatures, contacts et e-mails rattachés supprimés ou vidés, comme décrit dans la politique de confidentialité. Conformément à l'article 28.3.g du RGPD, les données du parc (biens, baux, locataires, échéances, paiements, documents, demandes, états des lieux, dépenses) sont ensuite effacées 90 jours après la fermeture, ou dès la fermeture si le responsable le demande. Nayaro SRL ne garde que ce que la loi ou la preuve exigent : les entrées du registre horodaté, en ajout seul (masquées à la source depuis la version 3.14.18 : adresses e-mail en empreinte, IBAN masqués), et ses propres pièces de facturation. Les sauvegardes sont remplacées au fil de l'eau : base 14 nuits, fichiers 7 nuits, copie chiffrée hors site 60 jours.

7. Responsabilité

Chaque partie répond des manquements qui lui sont imputables, dans les limites prévues par le RGPD et par les conditions générales d'utilisation.

Version du 2026-11-02

Mentions légales · Conditions d'utilisation · Conditions de vente · Confidentialité · Cookies · Information aux locataires (modèle) ·