Accord de traitement des données

Le présent accord (le « DPA », pour Data Processing Agreement) précise les engagements réciproques du Client et de Voisinova pour le traitement des données personnelles, conformément à l'article 28 du Règlement Général sur la Protection des Données (RGPD).

Il complète les Conditions Générales d'Utilisation et de Vente et est accepté en même temps qu'elles, lors de l'activation du compte. En cas de contradiction sur un point relatif aux données personnelles, le présent DPA prévaut.

Les termes en majuscules ont le sens que leur donnent les CGU. « Client » désigne la régie, professionnelle ou non-professionnelle, qui souscrit à Voisinova.

Pour les Documents déposés et les données de copropriété qu'ils contiennent, le Client est responsable de traitement et Voisinova est sous-traitant. Pour les données du compte du Client, la facturation et les journaux techniques, Voisinova est responsable de traitement et le présent DPA ne s'applique pas.

• Objet : fourniture du service Voisinova, c'est-à-dire la lecture, la structuration, la ventilation et la présentation des Documents de copropriété déposés par le Client.
• Nature des traitements : collecte par dépôt, stockage, lecture automatisée, structuration, consultation, mise à disposition des copropriétaires concernés, effacement.
• Finalité : permettre au Client de présenter à ses copropriétaires, sous une forme claire, les informations contenues dans les documents de leur copropriété.
• Catégories de données : identité (nom, prénom), coordonnées (adresse postale, email, téléphone lorsqu'ils figurent dans les Documents), données patrimoniales relatives aux lots (numéros de lots, tantièmes, quotes-parts), données financières de copropriété (appels de fonds, décomptes de charges, soldes), données de gouvernance (mandats, présence et votes en assemblée générale, appartenance au conseil syndical), données de connexion.
• Catégories de personnes concernées : copropriétaires, membres du conseil syndical, salariés et collaborateurs du Client, tiers mentionnés dans les Documents (prestataires, notaires, occupants).
• Durée : le traitement dure le temps du contrat, prolongé des délais de conservation prévus à l'article 8.

Voisinova ne recherche ni ne sollicite de données sensibles au sens de l'article 9 du RGPD. Le Client s'abstient d'en déposer et reste responsable des données qu'il transmet.

Voisinova ne traite les données que sur instruction documentée du Client. Constituent des instructions documentées : les présentes CGU et le présent DPA, l'usage du service par le Client, et toute demande écrite adressée à Voisinova.

Voisinova informe le Client si une instruction lui paraît constituer une violation du RGPD ou de toute autre disposition relative à la protection des données, et peut suspendre son exécution jusqu'à clarification.

Si une obligation légale contraignait Voisinova à traiter des données au-delà des instructions du Client, elle l'en informe avant le traitement, sauf interdiction légale de le faire.

Les personnes autorisées à traiter les données pour le compte de Voisinova sont soumises à une obligation de confidentialité et n'y accèdent que dans la stricte mesure nécessaire à leurs missions. À la date des présentes, l'accès aux données de production est limité à l'éditeur lui-même, à des fins de support technique et de maintenance, et fait l'objet d'une traçabilité.

Voisinova met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, notamment :

• chiffrement des communications (TLS 1.2 ou supérieur) et des données au repos ;
• hachage des mots de passe, jamais stockés en clair ;
• cloisonnement des données par copropriété, appliqué côté serveur à chaque requête (Row-Level Security PostgreSQL) et non côté navigateur ;
• stockage des fichiers dans un espace privé, accessible uniquement par une adresse temporaire signée de quelques minutes, délivrée après vérification des droits ;
• journalisation des accès et des actions sensibles ;
• sauvegardes régulières de la base de données ;
• hébergement des données dans l'Union européenne.

Le détail de ces mesures figure sur la page Sécurité & confidentialité, qui est mise à jour à mesure de leur évolution. Voisinova peut faire évoluer ces mesures, à condition de ne pas diminuer le niveau de protection.

Le Client autorise Voisinova à recourir aux sous-traitants ultérieurs suivants, dont la liste est tenue à jour sur la page Sécurité & confidentialité :

• OVH SAS(France) : hébergement de l'application.
• Supabase, Inc.(infrastructure à Francfort, Allemagne) : base de données et stockage des Documents.
• Anthropic, PBC(États-Unis) : lecture automatisée du contenu des Documents. Suppression automatique des contenus transmis sous 30 jours, engagement de non-utilisation pour l'entraînement des modèles, transfert encadré par les Clauses Contractuelles Types de la Commission européenne.
• Brevo(France) : envoi des emails transactionnels.
• Stripe Payments Europe Ltd(Irlande) : traitement des paiements. N'accède à aucune donnée de copropriété.

Voisinova impose à chacun d'eux des obligations de protection équivalentes à celles du présent DPA et demeure pleinement responsable de leur exécution à l'égard du Client.

En cas d'ajout ou de remplacement d'un sous-traitant ultérieur accédant à des données de copropriété, Voisinova en informe le Client par email au moins 30 joursà l'avance. Le Client peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut de solution, il peut résilier son abonnement sans pénalité.

Les demandes d'accès, de rectification, d'effacement, de limitation, de portabilité ou d'opposition portant sur les données de copropriété relèvent du Client, responsable de traitement. Voisinova met à sa disposition les fonctions nécessaires pour y répondre directement depuis son espace (consultation, correction, retrait d'un copropriétaire, suppression d'un document, export des données).

Lorsqu'une personne concernée s'adresse directement à Voisinova, sa demande est transmise au Client sans délai et Voisinova l'assiste, dans la mesure du possible et à ses frais si l'assistance reste raisonnable, pour y répondre dans les délais légaux.

Voisinova notifie au Client toute violation de données personnelles la concernant sans délai injustifié après en avoir pris connaissance, et au plus tard dans les 48 heures, afin de lui permettre de respecter son propre délai de notification de 72 heures à l'autorité de contrôle. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.

Voisinova assiste le Client, compte tenu de la nature du traitement et des informations à sa disposition, pour la sécurité des traitements, la notification des violations et, le cas échéant, la réalisation d'une analyse d'impact relative à la protection des données et la consultation préalable de l'autorité de contrôle (articles 32 à 36 du RGPD).

À la fin de la prestation, le Client choisit entre la restitution et la suppression de ses données. À défaut de choix exprimé dans les 30 jours suivant la fin du contrat, les données sont supprimées.

La restitution s'effectue dans un format structuré et couramment utilisé, sans frais. La suppression porte sur l'ensemble des données et des Documents, y compris les copies, à l'exception des données que Voisinova est légalement tenue de conserver, notamment les factures conservées 10 ans au titre de l'article L.123-22 du code de commerce. Les sauvegardes chiffrées sont purgées selon leur cycle de rotation et ne font l'objet d'aucune exploitation dans l'intervalle.

Voisinova met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD, sur demande écrite et dans un délai raisonnable.

Le Client peut réaliser un audit, au maximum une fois par an, sauf incident de sécurité avéré, moyennant un préavis de 30 jours, pendant les heures ouvrées, sans perturber le service et sous réserve d'un engagement de confidentialité. L'audit peut être conduit par un tiers indépendant qui ne soit pas un concurrent de Voisinova. Les frais restent à la charge du Client, sauf si l'audit révèle un manquement significatif de Voisinova.

Voisinova tient un registre des catégories de traitements effectués pour le compte de ses clients, conformément à l'article 30.2 du RGPD, et le communique à l'autorité de contrôle sur demande.

Pour toute question relative au présent accord : contact@voisinova.fr.