ACCORD DE TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL​

1. Préambule

Le présent Accord de traitement des données à caractère personnel (ci-après le « DPA ») encadre les traitements de données à caractère personnel effectués par la société SAS QALIMO (ci-après « QALIMO ») pour le compte de ses utilisateurs, conformément à l’article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).

QALIMO édite et exploite une plateforme SaaS de gestion locative accessible à l’adresse https://www.qalimo.fr, qui permet aux bailleurs et à leurs mandataires de gérer l’ensemble du cycle de vie locatif : gestion des biens, des candidatures locatives, des baux, des états des lieux, des loyers et de leur encaissement, des quittances et avis d’échéance, des révisions de loyer, des régularisations de charges, des courriers (dont lettres recommandées), de la signature électronique, de la comptabilité locative et des obligations fiscales et déclaratives associées.

La nature même du service implique que QALIMO traite, pour le compte de ses utilisateurs, des données à caractère personnel relatives à des tiers, et en premier lieu aux locataires, candidats locataires, colocataires, garants et occupants des biens gérés. Le présent DPA décrit de manière détaillée ces traitements : catégories de données, finalités, justification de la collecte, durées de conservation et mesures de sécurité (Annexes 1 à 3).

2. Parties et qualification des rôles

2.1 Le Responsable du traitement

Toute personne physique ou morale utilisant les services QALIMO pour ses propres finalités de gestion locative, notamment :

• propriétaires bailleurs particuliers ;
• sociétés civiles immobilières (SCI) et sociétés commerciales (SAS, SARL, etc.) détenant des biens ;
• professionnels de l’immobilier : agences, administrateurs de biens, mandataires de gestion agissant pour le compte de leurs mandants.

L’Utilisateur détermine les finalités et les moyens essentiels des traitements qu’il opère via la plateforme (quels biens gérer, quels locataires enregistrer, quels documents produire et transmettre) : il agit en qualité de Responsable du traitement. Lorsque l’Utilisateur est un mandataire professionnel gérant pour le compte de bailleurs mandants, il lui appartient de qualifier sa propre chaîne de responsabilité (responsable, responsable conjoint ou sous-traitant de ses mandants) ; QALIMO demeure dans tous les cas son sous-traitant.

2.2 Le Sous-traitant

SAS QALIMO

• Siège social : 16 rue de la Mare aux Loups, 78120 Clairefontaine-en-Yvelines, France
• RCS Versailles : 983 757 865 – Capital social : 1 110 €
• Représentée par : M. Nicolas THOMAS, Président
• Contact : contact@qalimo.fr – Contact protection des données : rgpd@qalimo.fr

2.3 Traitements pour lesquels QALIMO est elle-même responsable du traitement

Pour certains traitements limitativement énumérés, QALIMO détermine elle-même les finalités et les moyens et agit en qualité de responsable du traitement (ils sont décrits dans sa Politique de confidentialité et ne relèvent pas du présent DPA) :

• gestion des comptes clients, facturation des abonnements et recouvrement ;
• support client et relation commerciale ;
• sécurité, prévention de la fraude et des abus, journalisation technique ;
• amélioration du service et statistiques d’usage agrégées ;
• respect de ses propres obligations légales (comptables, fiscales).

Toutes les données relatives aux locataires, candidats locataires, garants et occupants saisies ou générées via la plateforme sont en revanche traitées exclusivement en qualité de sous-traitant, pour le compte du Responsable du traitement, et ne sont jamais utilisées par QALIMO pour ses propres finalités commerciales ni cédées à des tiers.

3. Définitions

• Les termes employés ont la signification donnée par l’article 4 du RGPD, notamment :
• « Donnée à caractère personnel » : toute information se rapportant à une personne physique identifiée ou identifiable ;
• « Traitement » : toute opération appliquée à des données personnelles (collecte, enregistrement, conservation, consultation, transmission, effacement…) ;
• « Personnes concernées » : les personnes physiques dont les données sont traitées via la plateforme, à savoir : les bailleurs personnes physiques et représentants des personnes morales, les locataires et colocataires (y compris, le cas échéant, leurs représentants légaux lorsqu’ils sont mineurs), les candidats locataires, les garants et cautions, les occupants mentionnés aux baux et états des lieux, et les intervenants tiers (artisans, syndics, contacts) enregistrés par l’Utilisateur ;
• « Sous-traitant ultérieur » : tout prestataire auquel QALIMO confie une partie des opérations de traitement (Annexe 2) ;
• « Violation de données » : toute atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données personnelles.

4. Objet et documents contractuels

Le présent DPA définit les conditions dans lesquelles QALIMO traite, en qualité de sous-traitant, les données personnelles nécessaires à la fourniture de ses services. Il s’applique à tous les Utilisateurs dès leur inscription et fait partie intégrante des Conditions Générales d’Utilisation, dont il constitue l’annexe « protection des données ». En cas de contradiction entre les CGU et le présent DPA sur une question relative aux données personnelles, le DPA prévaut.

Il est complété par :

• Annexe 1 – Description détaillée des traitements (finalités, justification, catégories de données et de personnes, durées) ;
• Annexe 2 – Liste des sous-traitants ultérieurs et des services tiers optionnels ;
• Annexe 3 – Mesures techniques et organisationnelles de sécurité (synthèse du Plan d’Assurance Sécurité).

5. Durée

Le présent DPA s’applique pendant toute la durée d’utilisation des services QALIMO et, au-delà, tant que QALIMO conserve des données pour le compte du Responsable du traitement conformément aux durées de conservation définies à l’Annexe 1 et à l’article 13 (sort des données).

6. Nature et finalités des traitements confiés

QALIMO réalise pour le compte du Responsable du traitement les opérations suivantes : collecte (saisie par l’Utilisateur, dépôt de documents, candidatures en ligne, import), enregistrement, structuration, conservation, consultation, génération de documents, transmission aux destinataires désignés (locataires, garants, administrations, partenaires activés), archivage et effacement.

Les grandes familles de traitements sont les suivantes ; leur description détaillée — y compris la justification de la nécessité de chaque catégorie de données — figure à l’Annexe 1 :

• gestion des profils bailleurs et des biens ;
• gestion des candidatures locatives et constitution du dossier locataire (le cas échéant via DossierFacile) ;
• gestion des baux et des locataires (dont colocations, garants, locataires mineurs représentés) ;
• gestion financière : appels de loyer, encaissements, soldes, quittances, impayés, dépôts de garantie, régularisations de charges ;
• agrégation bancaire et rapprochement des paiements (sur activation par l’Utilisateur) ;
• génération, envoi et signature électronique de documents (baux, avenants, états des lieux, courriers, lettres recommandées) ;
• états des lieux (y compris photographies du logement, relevés de compteurs et signatures)
• gestion des aides au logement (APL/CAF) et attestations ;
• comptabilité locative, obligations fiscales et déclaratives (sur activation) ;
• souscription d’assurances et de garanties locatives (sur activation) ;
• journalisation technique et sécurité de la plateforme.

7. Obligations de QALIMO (sous-traitant)

QALIMO s’engage à :

• Instructions : ne traiter les données que sur instruction documentée du Responsable du traitement, matérialisée par les CGU, le présent DPA et l’utilisation des fonctionnalités de la plateforme ; informer sans délai le Responsable du traitement si une instruction lui paraît contraire au RGPD ;
• Confidentialité : garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité (clauses contractuelles) et sensibilisées à la protection des données ; limiter les accès internes au strict besoin d’en connaître (support sur demande de l’Utilisateur, exploitation technique) ;
• Minimisation et protection dès la conception : ne collecter via ses formulaires que les données nécessaires aux finalités décrites en Annexe 1 ; en matière de candidature locative, se conformer à la liste des pièces exigibles fixée par le décret n° 2015-1437 du 5 novembre 2015 et ne pas solliciter de pièces interdites ;
• Sécurité : mettre en œuvre les mesures techniques et organisationnelles décrites à l’Annexe 3 et dans son Plan d’Assurance Sécurité, conformément à l’article 32 du RGPD, et les maintenir à l’état de l’art ;
• Registre : tenir un registre des catégories d’activités de traitement effectuées pour le compte de ses Utilisateurs (article 30.2 RGPD) ;
• Sous-traitance : respecter les conditions de l’article 9 du présent DPA pour tout recrutement de sous-traitant ultérieur ;
• Localisation : héberger les données de production et leurs sauvegardes exclusivement en France (article 11) ;
• Fin de contrat : restituer puis supprimer les données conformément à l’article 13.

8. Obligations du Responsable du traitement

Le Responsable du traitement demeure seul responsable :

• de la licéité des traitements qu’il opère via la plateforme et de leur base légale : exécution du contrat de bail ou mesures précontractuelles (article 6.1.b RGPD) pour la gestion des locataires et candidats, respect de ses obligations légales de bailleur (article 6.1.c – loi n° 89-462 du 6 juillet 1989, obligations fiscales et comptables), et intérêt légitime (article 6.1.f – recouvrement des impayés, gestion des contentieux) ;
• de l’information des personnes concernées (articles 13 et 14 RGPD), en particulier des locataires, candidats et garants dont il saisit les données ; QALIMO met à sa disposition les mentions d’information intégrées aux parcours de candidature et de signature ;
• de la qualité, de l’exactitude et de la pertinence des données saisies, et de ne pas enregistrer de données manifestement excessives ou de données sensibles au sens de l’article 9 RGPD (la plateforme n’en sollicite aucune) ;
• de la gestion des demandes d’exercice de droits qui lui sont adressées directement, avec l’assistance de QALIMO (article 12).

9. Assistance au Responsable du traitement

Compte tenu de la nature du traitement, QALIMO assiste le Responsable du traitement, par des mesures techniques et organisationnelles appropriées :

• Droits des personnes : la plateforme permet nativement de consulter, rectifier, exporter et supprimer les données des locataires, candidats et garants ; pour toute demande ne pouvant être traitée en autonomie, QALIMO répond sous 10 jours ouvrés à toute sollicitation adressée à rgpd@qalimo.fr, afin de permettre au Responsable du traitement de respecter le délai d’un mois de l’article 12.3 RGPD ;
• Sécurité et violations : conformément aux articles 11 et 32 à 36 du RGPD (voir article 12 ci-après) ;
• Analyses d’impact (AIPD) : fourniture de la documentation nécessaire (présent DPA, Plan d’Assurance Sécurité, description des flux) pour la réalisation d’une AIPD et, le cas échéant, la consultation préalable de la CNIL.

10. Transferts hors de l’Union européenne

Les données de production et leurs sauvegardes sont hébergées exclusivement en France (serveurs dédiés opérés par Adista). Les traitements sont réalisés au sein de l’Union européenne, avec les exceptions limitées suivantes, encadrées par les Clauses Contractuelles Types de la Commission européenne (décision (UE) 2021/914) et, le cas échéant, par le cadre de protection des données UE–États-Unis (Data Privacy Framework) :

• Stripe (paiements) : États-Unis – CCT + DPF ;
• OpenAI (catégorisation automatisée de libellés d’opérations bancaires importées, voir Annexe 2) : États-Unis – CCT + DPF ; données minimisées, pas d’utilisation à des fins d’entraînement ;
• RevenueCat (gestion des abonnements souscrits via les applications mobiles) : États-Unis – CCT + DPF ;
• Datadog (supervision technique et journaux) : CCT + DPF le cas échéant.

Aucun autre transfert hors UE n’est réalisé sans information préalable du Responsable du traitement conformément à l’article 9.

11. Violations de données

QALIMO notifie au Responsable du traitement toute violation de données le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, à l’adresse e-mail du compte. La notification comprend, conformément à l’article 33.3 RGPD :

• la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
• les conséquences probables de la violation ;
• les mesures prises ou proposées pour y remédier et en atténuer les effets ;
• le nom et les coordonnées du point de contact (rgpd@qalimo.fr).

QALIMO documente toute violation dans son registre des incidents, coopère avec le Responsable du traitement pour ses éventuelles notifications à la CNIL (72 h) et aux personnes concernées, et tient à disposition les éléments d’investigation.

12. Sort des données en fin de contrat

À la clôture du compte, quel qu’en soit le motif :

• le Responsable du traitement peut exporter l’intégralité de ses données et documents (formats structurés courants : CSV/Excel, PDF) avant la clôture, ou en demander une copie sécurisée dans les 30 jours suivant celle-ci ;
• les données sont ensuite supprimées ou anonymisées dans un délai de 90 jours suivant la clôture, à l’exception des données que QALIMO doit conserver au titre de ses propres obligations légales (pièces comptables et de facturation : 10 ans, article L.123-22 du Code de commerce ; données nécessaires à la gestion d’un précontentieux ou contentieux en cours : durée de la prescription applicable) ;
• les données présentes dans les sauvegardes chiffrées sont purgées au fil du cycle normal de rotation des sauvegardes (au plus tard 8 semaines après la suppression en production) et ne sont pas restaurées, sauf nécessité technique de restauration globale, auquel cas la suppression est ré-exécutée.

13. Audit et documentation

QALIMO met à la disposition du Responsable du traitement toute la documentation nécessaire pour démontrer le respect de ses obligations (article 28.3.h RGPD) : présent DPA et ses annexes, Plan d’Assurance Sécurité, registre des catégories de traitements, attestations et certifications de ses sous-traitants ultérieurs.

Le Responsable du traitement (ou un auditeur tiers non concurrent, tenu à la confidentialité) peut réaliser, au maximum une fois par an et moyennant un préavis écrit de 30 jours, un audit du respect du présent DPA. L’audit est mené pendant les heures ouvrées, sans perturber le service, et prend en priorité la forme d’un audit documentaire ; ses frais sont à la charge du Responsable du traitement. En cas de non-conformité avérée, QALIMO établit un plan de remédiation.

14. Responsabilité

Chaque Partie est responsable des dommages causés par les traitements dans les conditions de l’article 82 du RGPD : QALIMO répond des dommages résultant d’un manquement à ses obligations propres de sous-traitant ou d’une action en dehors ou en contradiction des instructions licites du Responsable du traitement ; celui-ci répond des traitements qu’il détermine, notamment de la licéité de la collecte et de l’information des personnes.

15. Coopération avec les autorités de contrôle

QALIMO coopère pleinement avec la CNIL et toute autorité de contrôle compétente, et met à disposition la documentation démontrant sa conformité. Le Responsable du traitement est informé sans délai de toute demande d’une autorité portant sur ses données, sauf interdiction légale.

16. Contact protection des données

QALIMO a désigné un référent à la protection des données, point de contact unique pour les questions RGPD :

• E-mail : rgpd@qalimo.fr
• Adresse : SAS QALIMO – Référent protection des données, 16 rue de la Mare aux Loups, 78120 Clairefontaine-en-Yvelines

Le référent supervise la conformité RGPD de QALIMO, tient le registre des traitements et le registre des violations, et assure l’interface avec la CNIL, les Utilisateurs et les personnes concernées.

17. Droit applicable et juridiction

Le présent DPA est régi par le droit français. Tout différend relatif à son interprétation ou à son exécution relève, après tentative de résolution amiable, de la compétence exclusive des tribunaux de Versailles, sous réserve des règles impératives applicables aux consommateurs.