Contrat de sous-traitance

1. Objet et parties

Ce contrat de sous-traitance est conclu entre le client — la personne, physique ou morale, pour le compte de laquelle un espace Homono est ouvert — et ArtFinder SRL, Rue Jules Lejeune 38, 1050 Ixelles, Belgique, numéro d'entreprise BE 0465.541.602 (« ArtFinder »), qui édite Homono.

Il met en œuvre l'article 28 du règlement général sur la protection des données (RGPD). Il fait partie du contrat qui lie le client et ArtFinder, aux côtés des conditions générales. En cas de contradiction sur la protection des données, ce contrat l'emporte.

Pour les données qu'il encode dans son espace, le client est responsable de traitement et ArtFinder est son sous-traitant. Ce contrat ne couvre pas les données dont ArtFinder est elle-même responsable — le compte de chaque utilisateur et la relation commerciale —, décrites dans la politique de confidentialité.

2. Description du traitement

• Objet : fournir le logiciel de gestion locative Homono, hébergé par ArtFinder, et l'assistance qui l'accompagne.
• Nature : hébergement, stockage, consultation, organisation, calcul, génération de documents, envoi de messages à la demande du client, lecture de documents et assistance par intelligence artificielle, sauvegarde, suppression.
• Finalités : la gestion des biens, des baux, des loyers, des charges, des paiements, des interventions et des échanges avec les locataires, telle que le client la conduit dans son espace.
• Personnes concernées : locataires et candidats locataires, garants, occupants, propriétaires, mandants, prestataires et fournisseurs, membres de l'équipe du client, et toute autre personne que le client encode.
• Catégories de données : identité et coordonnées ; données du bail et du bien ; loyers, paiements, soldes et coordonnées bancaires ; relevés de compteurs ; demandes d'intervention, photos et échanges ; documents déposés, y compris des pièces d'identité — et donc, lorsqu'il y figure, le numéro de registre national —, des documents bancaires, des contrats d'assurance et des factures. Homono n'est pas conçu pour traiter des données de santé ou d'autres catégories particulières ; le client s'abstient de les y encoder hors des cas où la loi le permet.
• Durée : la durée du contrat, puis le temps nécessaire à la restitution et à la suppression prévues à la section 11.

3. Instructions du client

ArtFinder ne traite les données que sur instruction documentée du client. Ces instructions sont ce contrat, les conditions générales, et les réglages et actions que le client effectue dans son espace. Toute autre instruction est donnée par écrit, y compris par e-mail.

ArtFinder informe le client sans délai si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données. Si la loi l'oblige à traiter des données autrement, ArtFinder en informe le client au préalable, sauf si cette loi l'interdit.

4. Confidentialité et accès par l'équipe d'Homono

Les personnes qu'ArtFinder autorise à traiter les données sont tenues à la confidentialité, par contrat ou par la loi.

Un membre habilité de l'équipe d'Homono peut accéder à l'espace du client et y agir à la place d'un utilisateur, uniquement pour assister le client, corriger un problème ou configurer un service. Cet accès est réservé aux opérateurs de la plateforme.

5. Sécurité

ArtFinder met en œuvre les mesures techniques et organisationnelles décrites ci-dessous, et les adapte à l'évolution des risques sans en réduire le niveau :

• toutes les communications sont chiffrées (HTTPS imposé) ;
• les mots de passe sont conservés sous forme hachée, impossible à relire ;
• les identifiants des services connectés sont chiffrés dans la base ;
• chaque espace est cloisonné : l'application, et en second rideau la base de données, empêchent un espace de lire les données d'un autre ;
• la base est sauvegardée chaque jour, sur un stockage distinct ; chaque copie est conservée pendant une durée limitée, puis effacée ;
• le navigateur reçoit la consigne de ne charger aucune ressource en dehors d'Homono et de son stockage.

Le client reste responsable de la sécurité de ce qui dépend de lui : les accès qu'il donne, la confidentialité des mots de passe de son équipe, et les documents qu'il choisit de déposer ou d'envoyer.

6. Sous-traitants ultérieurs

Le client autorise ArtFinder, de manière générale, à faire appel aux sous-traitants ultérieurs dont la liste figure en annexe. Cette annexe est rendue depuis la page publique Sous-traitants, qui est datée et fait foi.

ArtFinder informe le client de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur avant de lui confier des données. Le client peut s'y opposer, pour un motif raisonnable lié à la protection des données, dans les trente jours. À défaut de solution, il peut mettre fin au contrat pour la partie concernée, sans frais.

Certains prestataires ne sont activés que si le client le demande — messagerie, SMS, banque, paiement, signature, validation d'adresses. Les demander vaut instruction de les utiliser pour son espace.

ArtFinder impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles de ce contrat, et reste responsable envers le client de leur respect.

Les services dont la liste précise qu'ils agissent comme responsables de traitement propres — banques, prestataires de paiement, d'identification ou de cartographie — ne sont pas des sous-traitants d'ArtFinder : ils traitent les données selon leurs propres conditions, que le client accepte en demandant leur activation.

7. Transferts hors de l'Espace économique européen

Les données sont stockées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur les traite hors de l'Espace économique européen, le transfert repose sur la garantie indiquée pour lui en annexe — décision d'adéquation, dont le cadre de protection des données UE–États-Unis, ou clauses contractuelles types de la Commission européenne.

8. Assistance au client

Compte tenu de la nature du traitement, ArtFinder aide le client à répondre aux demandes des personnes concernées — accès, rectification, effacement, limitation, portabilité, opposition. Le client dispose pour cela des fonctions de son espace, dont l'export de ses données. Si une personne s'adresse directement à ArtFinder pour des données de l'espace, ArtFinder transmet sa demande au client sans y répondre elle-même, sauf instruction contraire.

ArtFinder aide aussi le client à respecter ses obligations de sécurité, de notification des violations, d'analyse d'impact et de consultation de l'autorité de contrôle (articles 32 à 36 du RGPD), compte tenu de la nature du traitement et des informations dont elle dispose.

9. Violation de données

ArtFinder notifie au client toute violation de données personnelles concernant son espace dans les meilleurs délais après en avoir pris connaissance. La notification décrit, dans la mesure où ces éléments sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou proposées. Les éléments qui ne sont pas encore connus sont communiqués dès qu'ils le sont.

Il appartient au client, responsable de traitement, de notifier l'autorité de contrôle et d'informer les personnes concernées lorsque la loi l'exige ; ArtFinder l'y aide.

10. Audits

ArtFinder met à la disposition du client les informations nécessaires pour démontrer le respect de ce contrat. Le client peut faire réaliser un audit, par lui-même ou par un auditeur tenu au secret, moyennant un préavis raisonnable, au plus une fois par an sauf violation de données ou demande d'une autorité, et à ses frais. L'audit ne peut porter sur les données des autres clients ni compromettre la sécurité du service.

11. Fin du contrat

Pendant le contrat et à sa fin, le client peut exporter ses données depuis son espace. À la fin du contrat, ArtFinder supprime les données de l'espace à la demande du client, et au plus tard à l'expiration d'un délai raisonnable laissé pour l'export, sauf si la loi impose de les conserver.

Une donnée supprimée subsiste dans les sauvegardes jusqu'à l'effacement de la dernière copie qui la contient, et dans la copie de test — tenue dans le même hébergement européen, avec les mêmes protections — jusqu'à son renouvellement suivant à partir de la production.

12. Responsabilité, durée et droit applicable

La responsabilité de chaque partie est régie par les conditions générales, dont la limitation de responsabilité, sauf lorsque le RGPD ou une autre règle impérative en dispose autrement. Ce contrat dure aussi longtemps que le contrat principal et les obligations de la section 11.

Il est régi par le droit belge ; les litiges relèvent des tribunaux de l'arrondissement judiciaire de Bruxelles.

13. Acceptation et versions

Le contrat est accepté au nom du client par un gestionnaire de son espace, dans Homono : l'acceptation enregistre qui l'a donnée, quand, pour quelle version, depuis quelle adresse IP et quel navigateur. Le client qui le préfère peut signer la version imprimable et la renvoyer à hello@homono.be.

Toute nouvelle version — y compris un changement de l'annexe — est datée et présentée aux gestionnaires de l'espace. Ce contrat existe en français, en néerlandais et en anglais ; la version française fait foi.

Annexe — Sous-traitants ultérieurs

Liste à la date de ce contrat. Elle reprend les prestataires qui traitent des données pour le compte d'ArtFinder ; la page Sous-traitants indique en plus les services qui agissent comme responsables de traitement propres.