Accord de sous-traitance

Quand vous enregistrez un locataire, un candidat ou un garant sur RentLabs, vous confiez à la plateforme des données qui concernent quelqu'un d'autre. Cette personne n'a pas choisi RentLabs : elle vous a choisi, vous.

Le RGPD distingue alors deux rôles. Celui qui décide pourquoi et comment ces données sont utilisées est le responsable de traitement: c'est vous, parce que vous seul choisissez votre locataire, les pièces que vous lui demandez et la durée pendant laquelle vous les conservez. Celui qui exécute pour son compte est le sous-traitant: c'est RentLabs, qui héberge, met en forme et restitue ce que vous avez saisi.

L'article 28.3 du RGPD exige que cette répartition figure dans un contrat, et non dans une simple déclaration. Le présent accord est ce contrat. Il vous est opposable dès la création de votre compte, en même temps que les conditions générales d'utilisation, et il s'applique à tous les bailleurs, y compris ceux de l'offre gratuite.

Il ne concerne pasvos propres données (votre compte, votre adresse email, votre abonnement) : pour celles-là, RentLabs est responsable de traitement, et c'est la politique de confidentialitéqui s'applique.

• Le Responsable de traitement: l'Utilisateur titulaire du compte RentLabs, désigné ci-après « le Bailleur », qu'il agisse pour son propre compte ou, s'il est professionnel, pour celui de ses mandants.
• Le Sous-traitant : Rémi DUMAS, entrepreneur individuel, SIREN 939 443 776, adresse professionnelle 5 rue Lobineau, 75006 Paris, France, exploitant le service RentLabs, ci-après « RentLabs ».
• Les personnes concernées : les locataires, candidats à la location, garants, cautions et, le cas échéant, les représentants des personnes morales dont le Bailleur enregistre les données.

Cas du professionnel: l'Utilisateur agissant comme agence ou administrateur de biens peut lui-même être sous-traitant de ses mandants. Il lui appartient alors de conclure avec eux l'accord correspondant et de s'assurer qu'il a le droit de recourir à RentLabs comme sous-traitant ultérieur.

Objet: la fourniture du service RentLabs, c'est-à-dire l'hébergement, l'organisation, la mise en forme et la restitution des données saisies par le Bailleur au titre de la gestion de ses locations.

Opérations réalisées : collecte par saisie du Bailleur ou dépôt par la personne concernée, enregistrement, conservation, consultation, structuration, mise en forme dans des documents, transmission aux destinataires désignés par le Bailleur, effacement.

Catégories de personnes: locataires, colocataires, candidats, garants, représentants légaux, tiers représentant une partie lors d'une signature.

Catégories de données: identité et coordonnées, date et lieu de naissance, nationalité, pièce d'identité, situation professionnelle et revenus, documents justificatifs déposés, données du bail et des paiements, constats d'état des lieux, photographies des lieux, échanges de messagerie, signatures et paraphes manuscrits numérisés, adresses IP et navigateurs collectés comme preuve d'une signature électronique.

Aucune donnée sensible n'est requisepar le service au sens de l'article 9 du RGPD. Le Bailleur s'interdit d'en enregistrer, et notamment de déposer des documents révélant l'état de santé, les opinions, les convictions ou l'origine d'une personne. La liste des pièces qu'il peut réclamer à un candidat est limitativement fixée par le décret n° 2015-1437 du 5 novembre 2015.

Durée: le traitement dure aussi longtemps que le compte du Bailleur, puis se poursuit le temps strictement nécessaire aux opérations décrites à l'article 13.

RentLabs ne traite les données que sur instruction documentée du Bailleur. Constituent ses instructions : le présent accord, les conditions générales d'utilisation, et les actions que le Bailleur effectue lui-même dans l'interface (créer une fiche, envoyer un document, inviter un locataire, lancer une signature, supprimer une donnée).

RentLabs n'utilise ces données pour aucune autre finalité. En particulier, elles ne sont ni vendues, ni louées, ni cédées, ni exploitées à des fins publicitaires, ni utilisées pour entraîner un modèle d'intelligence artificielle.

Si RentLabs est tenue par le droit de l'Union ou d'un État membre de traiter ces données au-delà des instructions reçues, elle en informe le Bailleur avant le traitement, sauf interdiction légale. Si une instruction lui paraît constituer une violation du RGPD, elle en informe immédiatement le Bailleur et peut suspendre son exécution.

• Ne traiter les données que pour fournir le service, sur instruction du Bailleur ;
• Garantir la confidentialité : les personnes autorisées à accéder aux données sont tenues au secret et n'y accèdent qu'en cas de nécessité technique ou de demande d'assistance ;
• Mettre en œuvre et maintenir les mesures de sécurité décrites à l'article 9 ;
• Ne recourir qu'aux sous-traitants ultérieurs listés à l'article 7, sous contrat conforme à l'article 28 du RGPD ;
• Aider le Bailleur à répondre aux demandes des personnes concernées (article 11) ;
• L'aider à respecter ses obligations de sécurité, de notification de violation et, le cas échéant, d'analyse d'impact ;
• Lui notifier toute violation de données dans les conditions de l'article 10 ;
• Mettre à disposition les informations nécessaires pour démontrer le respect du présent accord (article 12) ;
• Restituer ou supprimer les données en fin de contrat (article 13).

Le Bailleur, en sa qualité de responsable de traitement, garantit qu'il respecte ses propres obligations. Il s'engage notamment à :

• Disposer d'une base légale pour chaque traitement qu'il met en œuvre (exécution du bail, obligation légale, intérêt légitime, consentement) ;
• Informer les personnes concernées que leurs données sont enregistrées sur RentLabs, de la finalité de cet enregistrement et de la façon d'exercer leurs droits. RentLabs met à leur disposition la page Gérer mes données personnelles, mais l'information première incombe au Bailleur ;
• Ne collecter que des données adéquates et nécessaires, et ne réclamer à un candidat que les pièces autorisées par le décret n° 2015-1437 ;
• Ne pas enregistrer de données sensibles au sens de l'article 9 du RGPD ;
• Ne pas fonder une décision de location sur un critère discriminatoire ;
• Supprimer les données des candidats non retenus dans un délai raisonnable ;
• Ne transmettre de documents qu'aux destinataires légitimes, et vérifier leur contenu avant envoi ;
• Protéger ses identifiants de connexion et signaler sans délai tout accès non autorisé à son compte.

Le Bailleur garantit RentLabscontre toute réclamation d'une personne concernée ou d'une autorité qui trouverait sa cause dans le non-respect des engagements du présent article.

Le Bailleur autorise RentLabs à recourir aux sous-traitants suivants, dont la liste est tenue à jour sur cette page :

• Google Ireland Limited (Firebase, Google Cloud), Irlande : authentification, base de données et stockage des fichiers. Données localisées en région europe-west1 (Belgique).
• Vercel Inc., États-Unis : hébergement et exécution de l'application, région d'exécution européenne (Francfort).
• Resend Inc., États-Unis : acheminement des emails. Reçoit l'adresse du destinataire et le contenu du message, y compris les documents joints envoyés par le Bailleur.
• Stripe Payments Europe Ltd, Irlande : paiement des abonnements. Ne reçoit aucune donnée de locataire.
• DINUM(Base Adresse Nationale, api-adresse.data.gouv.fr), France : conversion d'une adresse postale en coordonnées pour l'affichage des cartes. Reçoit l'adresse du bien, qui peut être le domicile d'un locataire.

Changement de sous-traitant : RentLabs informe le Bailleur par email de tout ajout ou remplacement envisagé, au moins 30 joursavant sa mise en œuvre. Le Bailleur peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut de solution, il peut résilier son abonnement sans frais et obtenir le remboursement de la période non consommée.

Les données sont hébergées dans l'Union européenne. Deux sous-traitants sont néanmoins établis aux États-Unis (Vercel, Resend) et un accès depuis ce pays ne peut être exclu pour les besoins de la maintenance.

Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) et, le cas échéant, par la certification de ces prestataires au Data Privacy FrameworkUE–États-Unis. Aucun transfert n'a lieu vers un autre pays tiers.

RentLabs met en œuvre les mesures techniques et organisationnelles suivantes, appréciées au regard de l'état de l'art et des risques :

• Chiffrement en transit (HTTPS/TLS) sur toutes les communications, et chiffrement au repos des bases de données et des fichiers par l'hébergeur ;
• Cloisonnement par règles serveur : chaque requête de lecture ou d'écriture est évaluée par des règles de sécurité déployées sur la base de données et sur le stockage, qui interdisent l'accès aux données d'un autre compte, y compris en cas de défaut applicatif ;
• Authentification des comptes et vérification par code à usage unique pour les opérations sensibles, notamment la signature électronique ;
• Limitation de débit sur les routes exposées, pour contenir les tentatives automatisées ;
• Journal d'audit des opérations sensibles, conservé à des fins de preuve ;
• Expiration automatique des liens publics envoyés par email (proposition de créneaux, demande de pièces, signature) et suppression des enregistrements correspondants à l'issue du délai ;
• Sauvegardes assurées par l'hébergeur, permettant la restauration en cas d'incident ;
• Minimisation des accès : aucun accès en clair aux documents d'un compte n'est exercé en dehors d'une nécessité technique ou d'une demande d'assistance du Bailleur.

Ces mesures peuvent évoluer pour tenir compte de l'état de l'art, sans que le niveau de protection puisse être diminué.

En cas de violation de données à caractère personnel affectant les données du Bailleur, RentLabs le notifie sans délai injustifié après en avoir pris connaissance, et au plus tard sous 48 heures, à l'adresse email de son compte.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Si ces éléments ne sont pas tous disponibles, ils sont communiqués au fur et à mesure.

Il appartient au Bailleur, en sa qualité de responsable de traitement, de décider de la notification à la CNIL dans les 72 heures et, le cas échéant, de l'information des personnes concernées. RentLabs lui apporte son assistance.

Les demandes d'accès, de rectification, d'effacement, d'opposition, de limitation ou de portabilité relèvent du Bailleur, responsable de traitement.

La plateforme lui donne les moyens d'y répondre lui-même : consultation, modification et suppression des fiches, export de ses données, suppression de son compte. Lorsqu'une personne s'adresse directement à RentLabs, sa demande est transmise au Bailleur concerné, et RentLabs l'en informe.

RentLabs apporte son assistance technique dans un délai raisonnable, et sans frais pour les demandes d'un volume ordinaire.

RentLabs met à la disposition du Bailleur les informations nécessaires pour démontrer le respect du présent accord, sur demande écrite adressée à contact@rentlabs.fr.

Le Bailleur peut faire réaliser un audit, à ses frais, au maximum une fois par an et moyennant un préavis de 30 jours, par lui-même ou par un tiers indépendant non concurrent et soumis à confidentialité. L'audit ne peut porter atteinte à la sécurité ni à la confidentialité des données des autres clients.

RentLabs tient le registre des catégories de traitements effectués pour le compte de ses clients, prévu à l'article 30.2 du RGPD.

Avant la fin : le Bailleur peut à tout moment exporter ses données et télécharger ses documents depuis son espace.

À la résiliation : les données restent accessibles pendant 30 jours, délai pendant lequel le Bailleur peut les récupérer ou réactiver son compte. Passé ce délai, elles sont supprimées.

Suppression du compte: la suppression demandée depuis l'espace « Mon compte » efface les enregistrements et les fichiers associés, ainsi que le compte d'authentification.

Ce qui est conservé au-delà, et pourquoi: les pièces comptables (factures d'abonnement) sont conservées 10 ans en application de l'article L. 123-22 du Code de commerce ; les éléments de preuve d'une signature électronique sont conservés le temps nécessaire à la prescription de l'action correspondante ; les données figurant dans les sauvegardes de l'hébergeur disparaissent selon leur cycle de rotation. Ces conservations reposent sur une obligation légale ou sur la constatation d'un droit, non sur une décision de RentLabs.

Le présent accord prend effet à la création du compte et demeure en vigueur tant que RentLabs traite des données pour le compte du Bailleur.

Toute modification substantielle est portée à la connaissance du Bailleur par email au moins 30 joursavant sa prise d'effet. S'il la refuse, il peut résilier son abonnement sans frais et obtenir le remboursement de la période non consommée.

En cas de contradiction entre le présent accord et les CGU ou les CGV sur le traitement des données personnelles, le présent accord prévaut.

Il est soumis au droit français. Tout litige relève des tribunaux compétents dans les conditions prévues par les CGU.