Contrat de sous-traitance des données (article 28 du RGPD)

Parties

Le Responsable : l'agence immobilière cliente de Keo, représentée par son directeur, qui accepte le présent contrat dans l'application.

Le Sous-traitant : AgenIA, Société par actions simplifiée à associé unique (SASU) au capital de 1 000 €, RCS Thonon-les-Bains 108 486 598 (SIREN 108 486 598, EUID FR7402.108486598), 2303 Route de Croasse, 74270 Desingy, France — contact : contact@agenia.pro.

1. Objet

AgenIA (le « Sous-traitant »), éditeur de Keo, traite pour le compte de l'agence cliente (le « Responsable ») les données personnelles de ses prospects, clients, acquéreurs, locataires et propriétaires, aux seules fins de fournir le service Keo : captation et qualification des demandes, rendez-vous, envois, gestion locative, quittances, relances, états des lieux et espace en ligne des clients. Le contrat dure aussi longtemps que l'abonnement.

2. Instructions

Le Sous-traitant n'agit que sur instruction documentée du Responsable. Le paramétrage de l'application par le Responsable et ses utilisateurs vaut instruction. Le Sous-traitant informe le Responsable si une instruction lui paraît contraire au RGPD.

3. Confidentialité

Les personnes autorisées à traiter les données sont tenues à la confidentialité et n'y accèdent que pour les besoins du service (assistance demandée, incident).

4. Sécurité (article 32)

Chiffrement des échanges (TLS), mots de passe hachés, double authentification proposée, sessions révocables, cloisonnement des espaces, limitation des tentatives de connexion, journalisation, sauvegarde nocturne chiffrée conservée 14 jours, hébergement de la base et des fichiers dans l'Union européenne, purge automatique selon les durées publiées.

5. Sous-traitants ultérieurs

Le Responsable donne une autorisation générale pour la liste des sous-traitants publiée sur la page /confidentialite. Le Sous-traitant l'informe de tout ajout ou remplacement au moins 30 jours à l'avance ; le Responsable peut s'y opposer et, à défaut d'accord, résilier sans frais. Le Sous-traitant impose à chacun les mêmes obligations.

6. Droits des personnes

Le Sous-traitant fournit les outils d'accès, de rectification, d'effacement, d'opposition et d'export prévus par l'application, et transmet sans délai au Responsable toute demande reçue directement.

7. Violation de données

Le Sous-traitant notifie au Responsable toute violation de données dans les 48 heures après en avoir pris connaissance, avec les éléments de l'article 33.3 du RGPD connus à ce moment, et l'assiste dans ses notifications.

8. Assistance et audit

Le Sous-traitant aide le Responsable à réaliser ses analyses d'impact et met à sa disposition les informations nécessaires pour démontrer le respect de l'article 28, y compris par un audit sur pièces convenu à l'avance.

9. Fin du contrat

Au choix du Responsable : restitution des données (export du classeur complet) puis suppression sous 30 jours, sauvegardes comprises à leur échéance de 14 jours, sauf obligation légale de conservation.

10. Annexe : durées de conservation

Les durées de conservation appliquées par la purge nocturne sont celles publiées sur la page /confidentialite ; le Responsable les valide en acceptant le présent contrat.

Sous-traitants ultérieurs autorisés

• Vercel Inc. — Hébergement de l'application et stockage privé des photos d'états des lieux (Fonctions et fichiers à Francfort (Allemagne), société aux États-Unis ; Data Privacy Framework UE–États-Unis, clauses contractuelles types).
• Neon (Databricks) — Base de données PostgreSQL (Francfort (Allemagne) ; Data Privacy Framework UE–États-Unis, clauses contractuelles types).
• Hostinger — Serveur d'automatisations n8n (Union européenne ; Hébergement UE ; contrat de sous-traitance Hostinger).
• Brevo (Sendinblue SAS) — Envoi des emails aux clients des agences (confirmations, rappels, quittances, relances, réponses) et des emails de compte ; liste des agences intéressées par Keo (page Découvrir) et emails de présentation (France (Union européenne) ; Société française, hébergement dans l'Union européenne ; contrat de sous-traitance Brevo).
• Anthropic — Tri et qualification des emails entrants, assistant IA de l'application (Claude) (États-Unis ; Clauses contractuelles types ; données non utilisées pour l'entraînement).
• Google (Gemini API) — Home staging virtuel des photos d'un bien (photos de pièces, sans donnée de contact), si l'agence l'utilise (États-Unis ; Data Privacy Framework UE–États-Unis, clauses contractuelles types ; service payant, données non utilisées pour l'entraînement).
• ElevenLabs — Voix premium de l'assistante Keo (lecture des réponses, si l'agence l'a choisie) (États-Unis ; Clauses contractuelles types).
• Twilio — Envoi et réception des SMS et messages WhatsApp de l'agence (si la messagerie est activée) (États-Unis et Irlande ; Data Privacy Framework UE–États-Unis, clauses contractuelles types).
• Meta (WhatsApp) — Acheminement des messages WhatsApp, chiffrés de bout en bout jusqu'à Twilio (si WhatsApp est activé) (UE et États-Unis ; Data Privacy Framework UE–États-Unis, clauses contractuelles types).
• Cloudflare — Relais des emails de captation (Réseau mondial ; Data Privacy Framework UE–États-Unis, clauses contractuelles types).
• Sentry (Functional Software) — Suivi des erreurs techniques (Union européenne (Francfort) ; Hébergement UE).
• Stripe Payments Europe — Paiement des abonnements des agences et factures (coordonnées du directeur et de la société cliente ; aucune donnée de prospect ou de locataire) (Irlande (Union européenne), traitements aux États-Unis ; Data Privacy Framework UE–États-Unis, clauses contractuelles types).
• Yousign (Youtrust) — Signature électronique avancée des états des lieux, des mandats et des baux (pièce d'identité, code SMS), si l'agence l'utilise (Union européenne ; Hébergement UE ; prestataire de services de confiance qualifié (eIDAS)).

Durées de conservation et droits des personnes : politique de confidentialité.