Accord de Traitement des Données

Le présent accord est conclu entre le Partenaire (Responsable de Traitement) et Sociaris (Sous-traitant) conformément à l'article 28 du Règlement (UE) 2016/679. Il est intégré aux CGU et accepté simultanément lors de la première connexion. Il s'applique aux seules données traitées par le Sous-traitant pour le compte du Partenaire dans le cadre du Service.

Responsabilité première du Partenaire : Le Partenaire est le Responsable de Traitement au sens du RGPD. Il porte seul la responsabilité de la légalité du traitement vis-à-vis de ses prospects et des autorités de contrôle. Le Sous-traitant n'intervient que sur instruction du Partenaire.

13.1 Définitions

Responsable de Traitement (RT) : le Partenaire qui détermine les finalités et moyens du traitement des données personnelles de ses prospects. Il est le seul interlocuteur légalement responsable de ces traitements vis-à-vis des personnes concernées et de la CNIL.

Sous-traitant (ST) : Sociaris, qui traite les données exclusivement sur instruction du RT et pour son compte.

Données Personnelles : toute information se rapportant à une personne physique identifiée ou identifiable collectée via le widget (nom, email, adresse, téléphone, données descriptives du bien immobilier).

Traitement : collecte, enregistrement, organisation, stockage, consultation, utilisation, export, suppression des données pour le compte du RT.

Violation de données : accès non autorisé, perte ou destruction accidentelle de données entraînant risque pour les droits et libertés des personnes.

13.2 Objet du traitement et durée de conservation

A. Finalités du traitement confié au Sous-traitant

Finalité	Données traitées	Responsable de la durée
Génération et gestion des leads immobiliers du Partenaire	Nom, prénom, email, téléphone, adresse bien, caractéristiques bien, estimation, consentements	Partenaire (RT)
Prévention fraude et sécurité	IP hashée (SHA-256), user-agent, logs techniques	Sous-traitant (90 jours max)
Conformité légale (facturation, comptable)	Identification pour facturation, email partenaire	Sous-traitant (10 ans, art. L123-22 Code de commerce)
Preuve de consentement RGPD	Consentements horodatés, empreinte de l'email prospect	Partenaire (RT) : 3 ans recommandés, et au plus tard 30 jours après la fermeture du compte (voir 13.5 D)

B. Responsabilité de la durée de conservation des leads

Le Partenaire est seul responsable de définir la politique de conservation des données personnelles de ses prospects, en lien avec ses obligations RGPD. Il lui appartient d'informer ses prospects des durées de conservation applicables dans sa propre politique de confidentialité.

Le Sous-traitant conserve les données des prospects tant que le contrat est actif et que le Partenaire n'en demande pas la suppression. Le Sous-traitant ne fixe pas de durée de conservation à la place du Partenaire. En aucun cas le Sous-traitant ne saurait être tenu responsable d'une durée de conservation jugée excessive ou insuffisante par une autorité de contrôle, dès lors que cette durée relève de la seule décision du Partenaire.

Le Partenaire peut à tout moment, via son dashboard, supprimer ou anonymiser tout lead individuel.

C. Archivage automatique

Le Sous-traitant peut, à sa discrétion, procéder à l'archivage ou à l'anonymisation technique des données inactives afin d'optimiser ses ressources d'hébergement. Il en informe le Partenaire dans un délai raisonnable. Le Partenaire est encouragé à mettre en place ses propres sauvegardes via les exports disponibles.

13.3 Portée et instructions du traitement

Le Sous-traitant traite les données exclusivement sur instruction du Responsable de Traitement et notamment :

• Collecte via widget intégré sur le site du Partenaire
• Stockage dans base de données isolée par partenaire (isolation RLS multi-tenant)
• Consultation et export par le Partenaire via son dashboard sécurisé
• Suppression ou anonymisation à la demande du Partenaire

Les instructions du Responsable de Traitement sont réputées données intégralement et irrévocablement par l'acceptation des présentes CGU et l'usage du Service. Aucune instruction additionnelle n'est requise du Partenaire pour que le Sous-traitant traite les données dans le cadre des finalités définies aux présentes. Le Sous-traitant refuse toute instruction contraire aux lois applicables et en informe le RT. Le Sous-traitant n'est jamais responsable du contenu des instructions reçues du RT.

13.4 Obligations du Responsable de Traitement

Le Partenaire s'engage à :

• Légalité du traitement : Disposer d'une base légale valide (consentement, intérêt légitime, contrat) pour chaque finalité de traitement de données de ses prospects, conformément au RGPD.
• Information des prospects : Mettre en place sa propre notice d'information RGPD sur son site, informant ses prospects de la collecte de données, des finalités, des durées de conservation, des droits exercables et des coordonnées de son propre délégué à la protection des données le cas échéant.
• Gestion des droits : Répondre directement aux demandes d'exercice de droits (accès, rectification, suppression, opposition, portabilité) de ses prospects, en utilisant les outils mis à disposition dans le dashboard. Le Sous-traitant fournit les moyens techniques ; la réponse aux personnes concernées relève du Partenaire.
• Absence de conflits : Garantir que les données collectées ne violent aucun droit tiers.
• Notification : Informer le Sous-traitant sans délai (max 24h) de tout incident de sécurité ou violation de données détecté de son côté.
• Sauvegarde : Procéder à des exports réguliers de ses données via les fonctionnalités du dashboard. Le Partenaire reconnaît que la responsabilité de la sauvegarde de ses données lui incombe exclusivement.
• Conformité propre : Maintenir en conformité sa propre organisation vis-à-vis du RGPD, indépendamment du présent DPA.

13.5 Obligations du Sous-traitant

A. Sécurité des données

Le Sous-traitant met en œuvre, selon une obligation de moyens, des mesures de sécurité techniques et organisationnelles appropriées au regard des risques liés au traitement, notamment :

• Chiffrement des données en transit (TLS)
• Chiffrement au repos selon les standards de l'hébergeur
• Authentification des accès par OTP et session sécurisée
• Isolation des données par partenaire via contrôle d'accès au niveau base de données (RLS)
• Accès aux données limité aux seuls intervenants nécessaires à l'exécution du Service

Ces mesures constituent une obligation de moyens. Aucune technologie ne garantissant une sécurité absolue, le Sous-traitant ne peut garantir l'absence de toute violation ou accès non autorisé, notamment en cas de cyberattaque sophistiquée ou de défaillance d'un tiers hébergeur. Le Partenaire en est informé et l'accepte expressément.

B. Disponibilité

Le Sous-traitant met en œuvre les moyens raisonnables pour assurer la disponibilité du Service. La disponibilité dépend notamment de celle de l'infrastructure cloud tierce (Supabase). Aucun niveau de service (SLA) précis n'est garanti, sauf avenant écrit expressément signé entre les parties.

C. Transparence

• Le Sous-traitant tient à disposition du RT les informations raisonnablement nécessaires pour démontrer le respect du présent DPA, sur demande écrite et dans un délai raisonnable.
• Le Sous-traitant peut faire procéder à des audits de conformité, à ses frais, par un tiers mandaté. Tout audit diligent par le RT est réalisé à ses frais exclusifs, après notification préalable de 30 jours minimum, sans perturber l'activité du Sous-traitant.
• Notification d'incident : le Sous-traitant notifie le RT sans délai dès découverte d'une violation de données avérée le concernant.

D. Suppression et export des données en fin de contrat

Pendant la durée du contrat : Le Partenaire peut exporter à tout moment l'intégralité de ses données depuis son tableau de bord : ses leads (formats standard, marketing et RGPD), son journal des consentements, son registre des effacements et les factures qu'il a émises vers ses propres clients. Il lui appartient de constituer et de conserver ses archives, notamment celles dont la conservation lui incombe en sa qualité de Responsable de Traitement ou de commerçant émetteur.

À la fermeture : Sociaris restitue au Partenaire l'intégralité de ses leads, de ses factures, de son journal des consentements et de son registre des effacements. Cette restitution vaut exécution de l'art. 28.3.g du RGPD et mise en œuvre du droit à la portabilité (art. 20). Ses modalités dépendent de qui prend l'initiative de la fermeture, le Partenaire n'ayant pas dans tous les cas la maîtrise de sa date d'effet :

Initiateur de la fermeture	Modalité de restitution	Fait générateur
Le Partenaire (fermeture de son compte, résiliation de son forfait de prestation)	Mise à disposition en téléchargement depuis le tableau de bord, avant la confirmation de la fermeture	La mise à disposition. L'envoi par courrier électronique des mêmes fichiers est complémentaire et son acheminement ne conditionne pas l'exécution de la présente clause
Sociaris (résiliation pour faute grave ou décision commerciale) ou défaut de paiement (art. 4.3 des CGU)	Envoi des mêmes fichiers par courrier électronique à l'adresse déclarée par le Partenaire	L'envoi. Le Partenaire n'étant pas à l'origine de la fermeture, aucun téléchargement préalable ne peut lui être opposé

Dans les deux cas, la fenêtre de trente (30) jours prévue ci-dessous complète la restitution : elle permet au Partenaire d'obtenir une nouvelle copie sur demande écrite, notamment si le message électronique ne lui est pas parvenu.

L'accès au Service est coupé à la fermeture et aucun accès résiduel au tableau de bord n'est maintenu.

Fenêtre de restitution : le Partenaire dispose d'un délai de trente (30) jours à compter de la fermeture pour demander par écrit une nouvelle copie de ses données à l'adresse contact@sociaris.fr. À l'expiration de ce délai, les données sont supprimées de manière irréversible selon le tableau ci-dessous et aucune copie ne peut plus être fournie, quel qu'en soit le motif.

Durées de conservation après fermeture :

Données	Durée après fermeture	Base légale
Données des prospects (leads)	30 jours à compter de la fermeture effective, puis suppression définitive	RGPD art. 17 et 28.3.g
Email, téléphone et adresse du Partenaire	30 jours à compter de la fermeture effective, puis effacement	RGPD art. 17
Factures émises par le Partenaire vers ses clients	30 jours à compter de la fermeture effective, puis suppression. Leur conservation décennale incombe au Partenaire en sa qualité d'émetteur	Art. L123-22 Code de commerce, RGPD art. 5.1.e
Journal des consentements	3 ans à compter du dernier acte de traitement, et en tout état de cause 30 jours après la fermeture	Recommandation CNIL, RGPD art. 5.1.e
Données de facturation Sociaris (montants, période, numéro de facture, raison sociale, adresse)	10 ans à compter de la date de facturation	Art. L123-22 Code de commerce

Destruction : à l'issue du délai de 30 jours, Sociaris procède à la suppression définitive des données du Partenaire et de ses prospects. Sociaris conserve un journal technique attestant des suppressions opérées, dont les données relatives aux prospects sont anonymisées de manière irréversible.

Mention du Partenaire dans le journal des suppressions : le journal technique visé ci-dessus conserve la dénomination du Partenaire, à seule fin de permettre à Sociaris d'établir, le cas échéant, l'exécution de ses obligations au titre du présent accord (RGPD art. 17.3.e). Sociaris peut, sans y être tenu, faire droit à une demande écrite du Partenaire tendant à l'effacement de cette mention. Le Partenaire est informé que cet effacement rend définitivement impossible tout rapprochement entre ce journal et son compte. En conséquence, et conformément à l'article 1356 du Code civil, les Parties conviennent que le Partenaire ne pourra se prévaloir de l'absence ou de l'indisponibilité d'un élément de preuve résultant de cet effacement, dont la charge lui incombera alors intégralement. La présente stipulation n'emporte aucune renonciation du Partenaire à son droit d'agir.

E. Non-responsabilité pour les sous-traitants hébergeurs

Le Sous-traitant héberge les données sur l'infrastructure de Supabase Inc. (région Union européenne, Paris). En cas de violation de données, perte de données ou incident de sécurité imputable à Supabase ou à tout autre prestataire technique tiers, la responsabilité du Sous-traitant envers le Partenaire est exclue dans la mesure où la défaillance relève du contrôle exclusif du prestataire tiers. Le Partenaire reconnaît et accepte expressément cette limitation.

13.6 Sous-sous-traitants

La liste à jour des prestataires tiers auxquels le Sous-traitant confie des données pour l'exécution du Service (rôle, localisation des données, garanties) est publiée sur la page Sous-traitants de Sociaris, qui fait partie du présent accord. Les connecteurs que le Partenaire choisit d'activer n'en font pas partie (CGU, article 2.2).

Tout changement substantiel de sous-sous-traitant est notifié au RT par email préalablement à sa mise en œuvre. Le RT dispose d'un droit d'opposition pour raison légitime et documentée. L'absence de réponse vaut acceptation.

Le Sous-traitant ne peut être tenu responsable des manquements de ses sous-sous-traitants dès lors qu'il a mis en œuvre les diligences raisonnables pour les sélectionner et contractualiser leurs obligations.

13.7 Droits des personnes concernées

Le Responsable de Traitement (Partenaire) est l'interlocuteur direct des personnes concernées pour l'exercice de leurs droits. Il est seul habilité à répondre à ces demandes. Le Sous-traitant met à disposition les outils techniques permettant au Partenaire d'exercer ses obligations :

Droit d'accès (art. 15)

Le Partenaire peut exporter via son dashboard les données d'un prospect identifié, à transmettre à ce dernier.

Droit de rectification (art. 16)

Le Partenaire peut modifier les données d'un lead via son dashboard.

Droit à l'effacement / « droit à l'oubli » (art. 17)

Le Partenaire peut déclencher l'effacement d'un lead via les fonctions d'opt-out et d'archivage de son dashboard. Le Sous-traitant supprime alors immédiatement et définitivement l'enregistrement du prospect. Seule subsiste une entrée anonyme dans le registre des effacements, ne comportant ni nom, ni adresse électronique, ni coordonnées, et destinée à attester que l'effacement a bien eu lieu. Le prospect peut également déclencher lui-même cet effacement depuis le lien figurant dans les messages qu'il reçoit.

Droit d'opposition (art. 21) et retrait de consentement

Le Partenaire gère les oppositions directement via son dashboard et informe le Sous-traitant si une action technique est requise.

Droit à la portabilité (art. 20)

Le Partenaire peut exporter les données en format CSV structuré à tout moment depuis son dashboard.

En aucun cas le Sous-traitant ne traitera directement les demandes de droits émanant des prospects. Ces demandes doivent être adressées au Partenaire en tant que Responsable de Traitement.

Accès du Prestataire pour contrôle et vérification contractuelle

Par dérogation au principe de traitement exclusif pour compte du RT, et conformément à l'autorisation expresse accordée par le Partenaire à l'article 9bis des CGU, le Prestataire dispose d'un droit d'accès aux données des leads de la Plateforme pour les finalités suivantes : contrôle qualité, audit de conformité contractuelle, enquête de satisfaction, et vérification du respect des obligations de déclaration de mandats. Cette autorisation est accordée une fois pour toutes lors de l'acceptation des CGU. Le Prestataire peut, dans ce cadre strictement délimité, contacter des prospects par email à des fins de vérification administrative.

13.8 Déclarations et obligations légales

Le Sous-traitant fait figurer le traitement dans son registre interne de conformité (article 30 RGPD).

En cas de violation de données concernant les traitements réalisés pour le compte du Partenaire, le Sous-traitant notifie le Responsable de Traitement dans les meilleurs délais après en avoir pris connaissance (art. 33.2 RGPD), avec les informations disponibles lui permettant de respecter sa propre obligation.

La notification à la CNIL incombe au Responsable de Traitement, dans les meilleurs délais et si possible 72 heures au plus tard (art. 33.1 RGPD). Le Sous-traitant peut effectuer cette notification au nom du Partenaire si celui-ci lui en donne mandat ; le Partenaire est alors informé de toute notification effectuée en son nom.

Le Partenaire est tenu d'effectuer ses propres déclarations à la CNIL en tant que Responsable de Traitement, notamment en cas de traitement à risque élevé (AIPD). Il ne peut s'appuyer sur le seul présent DPA pour satisfaire à ses obligations légales propres.

13.9 Transferts de données hors UE

Principe : Les données des prospects sont hébergées exclusivement en Union Européenne (Supabase, région Paris, France).

Exceptions encadrées : certains prestataires établis hors de l'Union européenne interviennent pour l'envoi d'emails, l'hébergement du site et du tableau de bord, et la protection anti-robot. Chaque transfert, et la garantie qui l'encadre (Clauses Contractuelles Types ou décision d'adéquation), est indiqué sur la page Sous-traitants de Sociaris. Les Clauses Contractuelles Types sont appliquées conformément à la décision CJUE C-311/18 (Schrems II). Ces transferts sont acceptés par le Partenaire lors de l'acceptation du présent DPA.

Le Sous-traitant ne procède à aucun autre transfert vers des pays tiers non couverts par une décision d'adéquation ou des CTC valides.

13.10 Limitation de responsabilité dans le cadre du DPA

La responsabilité du Sous-traitant envers le Partenaire au titre du présent DPA est soumise aux mêmes plafonds et exclusions que ceux définis à l'article 12 des CGU.

En particulier :

• Le Sous-traitant n'est pas responsable des sanctions ou amendes imposées au Partenaire par la CNIL ou toute autre autorité de contrôle résultant d'un manquement du Partenaire à ses propres obligations de Responsable de Traitement
• Le Sous-traitant n'est pas responsable d'une violation résultant d'une instruction du Partenaire contraire au RGPD ou aux lois applicables
• Le Sous-traitant n'est pas responsable d'une violation résultant d'une défaillance technique ou d'un incident chez un sous-sous-traitant (Supabase, Resend, Vercel, Cloudflare) dès lors que ces prestataires disposent de leurs propres garanties contractuelles RGPD
• La responsabilité du Sous-traitant pour les dommages causés aux personnes physiques (art. 82 RGPD) est limitée aux seules violations des obligations qui lui incombent en propre en qualité de Sous-traitant, et ne couvre pas les violations relevant du Partenaire en tant que RT

Ces limitations s'appliquent dans toute la mesure permise par l'article 82 RGPD, qui prévoit la co-responsabilité du Sous-traitant uniquement pour les obligations légales lui incombant directement.

13.11 Durée et résiliation du DPA

Le présent DPA s'applique pendant toute la durée du contrat principal et prend fin avec lui.

À la résiliation du contrat :

• L'intégralité des données du Partenaire lui est restituée selon les modalités de l'article 13.5 D, par mise à disposition en téléchargement lorsqu'il est à l'origine de la fermeture, par envoi électronique lorsqu'elle est à l'initiative de Sociaris ou consécutive à un défaut de paiement, et peut dans tous les cas être redemandée par écrit pendant trente jours
• Les données des prospects, les factures émises par le Partenaire et son journal des consentements sont supprimés définitivement 30 jours après la fermeture effective
• Les données de facturation du Partenaire (dont raison sociale et adresse) sont conservées 10 ans à compter de la date de facturation, au titre de l'article L123-22 du Code de commerce, indépendamment des données des prospects
• Aucun accès résiduel au tableau de bord n'est maintenu après la fermeture, la restitution ayant été effectuée

13.12 Conformité et modifications

Sociaris s'engage à maintenir ses pratiques de traitement conformes au présent DPA et à notifier préalablement tout changement significatif (changement de sous-traitant, localisation, architecture sécurité) avec 30 jours de préavis.

Modifications du DPA : 30 jours de préavis, droit du RT de résilier sans pénalité si refus de modifications substantielles. L'absence d'opposition dans ce délai vaut acceptation.

13.13 Contact

• Responsable données Sociaris : contact@sociaris.fr
• Support technique : contact@sociaris.fr (lun–ven 9h–18h)
• Autorité de contrôle : CNIL, 3 place de Fontenoy, 75007 Paris, www.cnil.fr