Projet de document en cours de validation juridique.
Accord de traitement des données (bailleurs)
Cet accord, conclu en application de l'article 28 du RGPD, s'applique entre le bailleur qui utilise Garentiz (le « responsable du traitement ») et Nayaro SRL, BE 0647.588.826, Chemin de la Cure d'Air 16, 7000 Mons (le « sous-traitant »). Il fait partie des conditions générales d'utilisation acceptées lors de l'inscription.
1. Objet et durée
Le sous-traitant traite, pour le compte du responsable, les données personnelles nécessaires à la gestion locative réalisée dans Garentiz, pendant toute la durée d'utilisation du service.
2. Description du traitement
Personnes concernées : locataires, colocataires et cosignataires, garants, candidats locataires, artisans et prestataires, délégués, et toute personne dont les données figurent dans les documents déposés.
Catégories de données : identité et coordonnées, date de naissance si encodée, adresse après le bail, données du bail et des loyers (montants, paiements, retards), garantie locative, documents (baux, états des lieux et photos, attestations, courriers, factures), pièces d'identité si déposées, demandes et échanges, e-mails rattachés, candidatures.
Opérations : hébergement, consultation, organisation, génération de documents, envoi d'e-mails et de SMS, calculs, export, effacement.
Finalité : permettre au responsable de gérer ses locations au moyen de Garentiz.
3. Obligations du sous-traitant
Le sous-traitant s'engage à :
ne traiter les données que sur instruction documentée du responsable, c'est-à-dire par les fonctionnalités de Garentiz et les paramètres qu'il choisit, et à l'informer si une instruction lui semble contraire à la réglementation ;
garantir la confidentialité des données et en limiter l'accès aux personnes habilitées, tenues au secret ; tout accès exceptionnel de l'administration au compte (connexion assistée) est limité dans le temps et journalisé ;
mettre en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des pièces d'identité et des secrets, mots de passe hachés, double authentification, cloisonnement entre comptes, connexions chiffrées, sauvegardes, journal d'audit chaîné, registre horodaté ;
aider le responsable à répondre aux demandes d'exercice des droits des personnes concernées, notamment par les fonctions d'export, de modification et de suppression ;
notifier au responsable toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles ;
aider le responsable, dans la mesure de ses moyens, pour ses analyses d'impact et ses échanges avec l'autorité de contrôle ;
mettre à disposition les informations nécessaires pour démontrer le respect du présent accord, et permettre des audits raisonnables, à la charge du responsable et moyennant un préavis de 30 jours.
4. Sous-traitants ultérieurs
Le responsable autorise le recours aux sous-traitants ultérieurs nécessaires au service : hébergement (OVH SAS, Union européenne), paiement (Stripe, pour la facturation des licences), et, si le responsable active ces fonctions dans sa licence, envoi de SMS et assistant d'intelligence artificielle. Le sous-traitant impose à chacun des obligations équivalentes. Tout nouveau sous-traitant ultérieur est annoncé au moins 30 jours à l'avance ; le responsable peut s'y opposer en mettant fin à son utilisation du service. Les transferts hors de l'Espace économique européen sont encadrés par une décision d'adéquation ou des clauses contractuelles types.
5. Obligations du responsable
Le responsable garantit disposer d'une base légale pour les données qu'il encode, n'encoder que des données adéquates et limitées au nécessaire, et informer les personnes concernées. Garentiz met à sa disposition un modèle d'information destiné aux locataires.
6. Fin du traitement
À la fin de l'utilisation du service, le responsable peut exporter l'ensemble de ses données. Lors de la suppression de son compte, les documents sont effacés et les données des personnes concernées anonymisées au terme d'un délai de 30 jours. Les entrées du registre horodaté sont conservées sous forme anonymisée dans la mesure nécessaire à la preuve, sauf si une obligation légale impose une autre durée.
7. Responsabilité
Chaque partie répond des manquements qui lui sont imputables, dans les limites prévues par le RGPD et par les conditions générales d'utilisation.