1. Parties et objet
Le présent accord de sous-traitance de données (« DPA ») est conclu entre, d’une part, Zelyro SAS, société par actions simplifiée dont le siège social est situé [À COMPLÉTER : adresse complète du siège social], immatriculée sous le numéro SIREN [À COMPLÉTER : numéro SIREN] (« Zelyro », le sous-traitant), et d’autre part chaque Agence titulaire d’un compte sur le Service (le responsable de traitement), telle que définie à l’article 1 des CGU.
Il précise les conditions dans lesquelles Zelyro traite, pour le compte de l’Agence et sur ses instructions, les données personnelles des Prospects enregistrées dans le Service, conformément à l’article 28 du RGPD. Il fait partie intégrante des CGU : en cas de contradiction entre les deux documents sur ce point, le présent DPA prévaut pour ce qui concerne le traitement des données des Prospects.
Les termes en majuscule non définis dans le présent DPA ont le sens qui leur est donné à l’article 1 des CGU.
2. Durée
Le présent DPA s’applique pendant toute la durée du contrat liant l’Agence à Zelyro, telle que fixée à l’article 13 des CGU, et jusqu’à l’achèvement des opérations de suppression ou de restitution des données décrites à l’article 10 ci-dessous.
3. Description du traitement
| Élément | Description |
|---|---|
| Objet | Hébergement, stockage, qualification automatique, rapprochement avec les biens, suivi des Prospects de l’Agence et de leur activité sur les liens que l’Agence leur envoie, et réception des demandes de contact issues de ses e-mails de portails (SeLoger, Leboncoin), dans le Service |
| Nature des opérations | Collecte, enregistrement, structuration, conservation, consultation, modification, extraction, rapprochement, limitation et effacement |
| Finalité | Fournir à l’Agence les fonctionnalités du Service décrites à l’article 3 des CGU |
| Catégories de personnes concernées | Les Prospects de l’Agence, les personnes que l’Agence associe le cas échéant à un bien ou à un dossier et, à titre accessoire, les collaborateurs de l’Agence désignés comme responsables d’un Prospect |
| Catégories de données | Identité et coordonnées (nom, e-mail, téléphone), données relatives au projet immobilier (budget, secteur, type de bien recherché), situation de financement et échéance du projet, notes de suivi rédigées par l’Agence, statut et historique dans le pipeline, collaborateur responsable, contenu des demandes de contact reçues des portails (e-mails SeLoger et Leboncoin), événements d’activité (ouverture du formulaire ou de la sélection de biens, remplissage du formulaire, demande de visite, avec date et heure, sans adresse IP ni information sur l’appareil). À l’exclusion, sauf saisie non conforme aux CGU par l’Agence, de toute donnée sensible au sens de l’article 9 du RGPD |
| Durée du traitement | Celle prévue à l’article 2 du présent DPA |
4. Instructions
Zelyro ne traite les données des Prospects que sur instruction documentée de l’Agence, aux fins décrites à l’article 3 ci-dessus. La configuration du Service par l’Agence (saisie, import, formulaire de contact, statuts, suppression) vaut instruction. Toute instruction complémentaire est adressée par écrit à contact@zelyro.fr.
Si Zelyro estime qu’une instruction constitue une violation du RGPD ou de toute autre disposition relative à la protection des données, elle en informe immédiatement l’Agence et peut suspendre l’exécution de cette instruction jusqu’à ce que l’Agence la confirme, la modifie ou la retire.
Zelyro informe l’Agence si, selon elle, une obligation légale la contraint à traiter les données autrement que sur instruction de l’Agence, sauf si cette information lui est interdite par le droit applicable pour un motif important d’intérêt public.
5. Confidentialité
Zelyro veille à ce que les personnes autorisées à traiter les données des Prospects (les fondateurs de Zelyro et, le cas échéant, ses salariés ou prestataires habilités) s’engagent à respecter la confidentialité de ces données ou soient soumises à une obligation légale de confidentialité appropriée, et ne les traitent que dans la mesure nécessaire à l’exécution de leurs missions.
6. Sous-traitants ultérieurs
L’Agence autorise Zelyro à recourir aux sous-traitants ultérieurs suivants, nécessaires à la fourniture du Service :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Vercel Inc. | Hébergement de l’interface web | États-Unis (EU-U.S. Data Privacy Framework) |
| Render Services, Inc. | Hébergement de l’API et de la base de données | Union européenne — Francfort, Allemagne (région Render « EU Central ») |
| Sendinblue SAS (Brevo) | Envoi d’e-mails (notifications, alertes, e-mail du matin, messages adressés aux Prospects au nom de l’Agence) | France |
| Google (API Gmail), si l’Agence connecte sa boîte | Accès, en lecture seule et avec l’autorisation de l’Agence, aux e-mails de SeLoger et de Leboncoin | États-Unis ou selon l’infrastructure de Google |
| Services de notification des navigateurs et systèmes d’exploitation (Google, Apple, Mozilla, Microsoft selon l’appareil) | Acheminement de notifications chiffrées vers l’appareil des Utilisateurs de l’Agence qui les ont activées (le contenu ne peut pas être lu par ces services) | États-Unis ou selon le fournisseur de l’appareil |
| Anthropic | Analyse du texte d’un message (texte collé ou e-mail de portail) pour en extraire des critères, si cette fonction est activée par l’Agence | États-Unis |
Cette liste correspond à celle publiée dans la politique de confidentialité, qui fait foi en cas de mise à jour entre deux révisions du présent DPA. Zelyro impose contractuellement à chacun de ces sous-traitants des obligations de protection des données équivalentes à celles prévues par le présent DPA.
Zelyro informe l’Agence de tout changement prévu concernant l’ajout ou le remplacement d’un sous-traitant ultérieur, par e-mail ou par une mention sur cette page, au moins trente (30) jours avant qu’il ne prenne effet, donnant à l’Agence la possibilité d’émettre des objections.
7. Transferts hors de l’Union européenne
Lorsqu’un sous-traitant ultérieur mentionné à l’article 6 est établi hors de l’Union européenne ou y héberge des données, le transfert est encadré par les garanties prévues au chapitre V du RGPD, comme précisé dans la politique de confidentialité.
8. Sécurité
Zelyro met en œuvre les mesures techniques et organisationnelles décrites dans la politique de confidentialité, adaptées au risque, notamment le cloisonnement des données de chaque Agence, le chiffrement des échanges (HTTPS), le hachage des mots de passe, la limitation du nombre de requêtes et la gestion des sessions. Zelyro peut faire évoluer ces mesures, sans en abaisser le niveau global de sécurité.
9. Assistance à l’Agence
Compte tenu de la nature du traitement, Zelyro assiste l’Agence, dans une mesure raisonnable et par des moyens techniques appropriés, pour :
- répondre aux demandes d’exercice des droits des Prospects (l’Agence dispose directement, depuis le Service, des fonctions de consultation, modification et suppression d’un Prospect) ;
- garantir le respect des obligations relatives à la sécurité du traitement, à la notification des violations de données et, le cas échéant, aux analyses d’impact relatives à la protection des données et à la consultation préalable de l’autorité de contrôle, compte tenu des informations dont dispose Zelyro.
Violations de données : en cas de violation de données à caractère personnel concernant les données des Prospects, Zelyro en informe l’Agence dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans un délai de quarante-huit (48) heures, en lui communiquant les informations dont elle dispose pour lui permettre de remplir ses propres obligations de notification à l’autorité de contrôle et, le cas échéant, aux personnes concernées.
10. Documentation et audit
Zelyro met à la disposition de l’Agence, sur demande écrite, les informations nécessaires pour démontrer le respect des obligations prévues au présent DPA. Zelyro peut satisfaire cette obligation en communiquant une documentation existante (par exemple la synthèse de sécurité publiée par Zelyro) plutôt qu’en se prêtant à un audit sur site, sauf accord contraire. Si l’Agence souhaite néanmoins procéder à un audit sur site, celui-ci est organisé moyennant un préavis écrit d’au moins trente (30) jours, une fois par période de douze (12) mois au maximum, aux frais de l’Agence, sauf si l’audit révèle un manquement substantiel de Zelyro à ses obligations, auquel cas les frais raisonnables de l’audit sont pris en charge par Zelyro.
11. Sort des données en fin de contrat
À la fin du contrat, quelle qu’en soit la cause, Zelyro permet à l’Agence de récupérer les données des Prospects puis les supprime, dans les conditions et délais fixés à l’article 10 des CGU, sous réserve des durées de conservation imposées par la loi.
12. Responsabilité
Les stipulations relatives à la responsabilité prévues à l’article 11 des CGU s’appliquent au présent DPA. Chaque partie répond des dommages causés par un traitement effectué en violation des obligations du RGPD qui lui incombent spécifiquement en tant que responsable de traitement ou en tant que sous-traitant.
13. Dispositions générales
Le présent DPA est soumis au droit français et à la même juridiction compétente que celle fixée à l’article 16 des CGU. En cas de contradiction avec les CGU sur un point relatif au traitement des données des Prospects, le présent DPA prévaut. Pour le surplus, les dispositions générales des CGU (article 15) s’appliquent.
Pour toute question relative au présent DPA : contact@zelyro.fr.