Annexe de sous-traitance

La présente annexe est conclue entre la SCI cliente, ci-après le Responsable de traitement, et CAP-REL, éditeur du service SCI Facturation, ci-après le Sous-traitant, dont l'identité et les coordonnées figurent dans les mentions légales.

Elle encadre les traitements que le Sous-traitant effectue pour le compte du Responsable de traitement dans le cadre du Service. Elle ne concerne pas les données du compte du gérant, de l'expert-comptable ou de l'associé invité : pour celles-là, l'éditeur est lui-même responsable de traitement, et la section 2 des mentions légales s'applique.

Objet : l'hébergement et le traitement des données nécessaires à la gestion locative et à la facturation de la SCI.

Durée : celle du contrat, prolongée des durées de conservation rappelées à l'article 5 des conditions générales.

Nature et finalité des opérations : collecte, enregistrement, organisation, conservation, consultation, mise à disposition, transmission et effacement, aux fins d'émettre les factures et les quittances, de tenir les baux et leurs annexes, de suivre les encaissements et les impayés, de produire les documents légaux et, selon les fonctions activées, de transmettre les factures et de présenter les prélèvements.

Catégories de personnes concernées : locataires personnes physiques, contacts des sociétés locataires, cautions personnes physiques, signataires d'un bail.

Catégories de données : identité et coordonnées, adresses, numéro SIRET, montants dus et payés, documents produits, et lorsque le prélèvement est activé, l'identifiant du mandat chez l'opérateur, le BIC et les quatre derniers chiffres de l'IBAN. L'IBAN complet n'est jamais conservé. Aucune donnée sensible au sens de l'article 9 du RGPD n'est traitée.

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Constituent ces instructions les présentes conditions générales, la documentation du Service, et les actions que le Responsable de traitement accomplit dans l'application : activer une fonction, émettre une facture, ouvrir un accès, transmettre un document.

Si le Sous-traitant estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données, il en informe immédiatement le Responsable de traitement.

Le Sous-traitant s'interdit d'utiliser ces données pour son propre compte, de les céder, de les louer, de les exploiter à des fins commerciales, publicitaires, statistiques nominatives ou d'entraînement d'un système automatisé.

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. Il limite l'accès aux seules personnes dont les fonctions l'exigent.

Le Sous-traitant met en oeuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, notamment : chiffrement des communications, cloisonnement des données par SCI revalidé à chaque requête, authentification en deux temps par mot de passe puis code à usage unique, mots de passe stockés sous forme hachée, jetons d'accès expirants et révocables, journalisation des accès et des envois, stockage des fichiers hors du répertoire servi par le serveur web, et sauvegardes chiffrées quotidiennes.

Ces mesures sont décrites plus complètement à la section 2.7 des mentions légales. Elles peuvent évoluer, sans que le niveau de sécurité en soit diminué.

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs énumérés à la section 2.8 des mentions légales, qui en tient la liste à jour. Cette liste distingue ce qui relève du fonctionnement du Service de ce qui dépend d'une fonction que le Responsable de traitement active lui-même.

Le Sous-traitant informe le Responsable de traitement de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, dans un délai raisonnable avant sa mise en oeuvre, afin qu'il puisse émettre des objections. En cas d'objection, le Responsable de traitement peut résilier sans frais et sans préavis, par exception à l'article 5 des conditions générales.

Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations que celles de la présente annexe et demeure pleinement responsable de leur exécution.

Les demandes d'exercice de droits des locataires s'adressent au Responsable de traitement, ce que la section 2.6 des mentions légales dit publiquement. Une demande qui parviendrait au Sous-traitant lui est transmise sans délai et sans y être répondue au fond.

Le Sous-traitant assiste le Responsable de traitement pour y donner suite, par des fonctions du Service : le dossier complet d'un locataire se télécharge depuis sa fiche, ses accès se ferment à tout moment, et ses données se rectifient depuis les écrans ordinaires.

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous quarante-huit heures. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises.

Il assiste le Responsable de traitement dans la notification à l'autorité de contrôle et, le cas échéant, dans la communication aux personnes concernées. La notification à l'autorité incombe au Responsable de traitement.

Le Sous-traitant assiste le Responsable de traitement pour la réalisation des analyses d'impact et pour la consultation préalable de l'autorité de contrôle, compte tenu de la nature du traitement et des informations à sa disposition.

Il met à disposition toutes les informations nécessaires pour démontrer le respect de l'article 28 et permet la réalisation d'audits, y compris d'inspections, par le Responsable de traitement ou un auditeur qu'il mandate. Les audits sont annoncés avec un préavis raisonnable, se déroulent aux heures ouvrées, et ne peuvent porter atteinte à la sécurité ni à la confidentialité des données des autres clients.

Au terme du contrat, le Responsable de traitement récupère ses données par les fonctions d'export du Service, qui produisent des fichiers lisibles par un tiers : archive de l'exercice, fichier des écritures comptables, dossier d'un locataire.

Les données ne sont pas détruites à la fin du contrat, et c'est délibéré : les pièces comptables sont soumises aux durées de conservation rappelées à l'article 5 des conditions générales, et les effacer priverait le Responsable de traitement de documents qu'il reste tenu de produire. Leur destruction s'apprécie au cas par cas, sur demande, dans la limite de ces obligations.

Le Sous-traitant ne conserve aucune copie au-delà de ce que ces durées imposent, à l'exception des sauvegardes, dont le cycle de rotation est décrit dans la documentation et qui s'effacent d'elles-mêmes.

Les données sont hébergées et traitées en France. Aucun transfert hors de l'Union européenne n'est réalisé. Si un tel transfert devenait nécessaire, il ne pourrait intervenir qu'après information du Responsable de traitement et sur le fondement d'une des garanties prévues au chapitre V du RGPD.

La présente annexe est acceptée lors de l'enregistrement de chaque SCI. La date d'acceptation et la version acceptée sont conservées et consultables depuis l'écran Ma SCI.

Toute nouvelle version est portée à la connaissance du Responsable de traitement avant son entrée en vigueur. Version en vigueur : 2026-08, applicable depuis le 27/08/2026.