Annexe RGPD — Accord de traitement des données

Entre :

Loïc Heusschen, exploitant et vendeur de la plateforme « Quotis »,

Adresse : Rue de la Motte 82, 4671 Saive Belgique

Numéro d'entreprise (BCE) : 0789.949.984

E-mail : contact@quotisacp.be

Ci-après dénommé « le sous-traitant »,

Et:

Le client, syndic non professionnel, souscrivant aux services Quotis dans le cadre de la gestion de sa copropriété.

Ci-après dénommé « le responsable du traitement »,

Ensemble dénommés les « parties ».

1. Objet

La présente annexe a pour objet de définir les conditions dans lesquelles le sous-traitant traite des données à caractère personnel pour le compte du responsable du traitement dans le cadre de l'utilisation de la plateforme Quotis.

Elle constitue l'accord relatif au traitement des données à caractère personnel visé notamment à l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »).

Le présent accord s'applique uniquement aux traitements pour lesquels le client agit en qualité de responsable du traitement et Loïc Heusschen intervient en qualité de sous-traitant.

Pour les traitements effectués pour ses propres finalités, notamment dans le cadre de sa gestion interne, de ses relations commerciales, de sa facturation, de son site internet, de la gestion de ses prospects ou du respect de ses obligations légales, Loïc Heusschen agit en qualité de responsable du traitement. Ces traitements sont régis par sa Politique de confidentialité.

Les termes utilisés dans la présente annexe ont le sens qui leur est attribué par le RGPD.

2. Rôles des Parties

Le responsable du traitement

Le client (syndic non professionnel) agit en qualité de responsable du traitement pour les données à caractère personnel qu'il introduit dans Quotis dans le cadre de la gestion de la copropriété.

Le responsable du traitement s'assure notamment que les traitements de données à caractère personnel réalisés par le sous-traitant dans le cadre de l'utilisation de Quotis sont licites et reposent sur une base juridique appropriée.

Le sous-traitant

Loïc Heusschen agit en qualité de sous-traitant pour les données à caractère personnel traitées dans Quotis pour le compte du client.

Il traite ces données conformément aux instructions documentées du client et dans la mesure nécessaire à la fourniture des services Quotis.

3. Catégories de données à caractère personnel

Dans le cadre de l'exécution de ses prestations, le sous-traitant peut être amené à traiter, pour le compte du responsable du traitement, notamment les catégories de données à caractère personnel suivantes :

• données d'identification et coordonnées : nom, prénom, adresse postale, adresse e-mail, numéro de téléphone et, le cas échéant, qualité ou fonction ;
• données relatives à la copropriété et aux lots ;
• données relatives aux quotités et aux droits attachés aux lots ;
• données comptables et financières nécessaires à la gestion de la copropriété ;
• données relatives aux appels de fonds, paiements et décomptes ;
• documents enregistrés dans Quotis contenant, le cas échéant, des données à caractère personnel ;
• échanges et communications enregistrés sur la plateforme ;
• données relatives aux utilisateurs de la plateforme ;
• toute autre donnée à caractère personnel introduite dans Quotis par le responsable du traitement et nécessaire aux finalités définies dans le cadre du présent contrat.

Le sous-traitant ne collecte pas, de sa propre initiative, de données à caractère personnel supplémentaires auprès des personnes concernées, sauf lorsque cette collecte est nécessaire à l'exécution de ses prestations et prévue par les instructions du responsable du traitement ou imposée par une obligation légale applicable au sous-traitant.

4. Catégories de personnes concernées

Les données traitées dans le cadre de la présente annexe peuvent notamment concerner :

• les copropriétaires ;
• les occupants, lorsque cela est nécessaire à la gestion de la copropriété ;
• les membres ou représentants de l'association des copropriétaires;
• les mandataires;
• les personnes de contact ;
• les prestataires ou fournisseurs de la copropriété ;
• toute autre personne dont les données sont introduites dans Quotis par le responsable du traitement dans le cadre de sa mission.

Le responsable du traitement détermine les personnes concernées par les traitements qu'il met en œuvre et dont les données sont introduites dans Quotis.

5. Objet, nature et finalités du traitement

Les traitements effectués par le sous-traitant ont pour objet de permettre au responsable du traitement d'utiliser les fonctionnalités de la plateforme Quotis dans le cadre de la gestion de sa copropriété.

Dans ce cadre, le sous-traitant peut notamment effectuer, pour le compte du responsable du traitement, les opérations suivantes:

• la collecte ou l'enregistrement des données au moyen de la plateforme ;
• l'hébergement, le stockage et la conservation des données ;
• la consultation, l'affichage, l'organisation, la structuration et la mise à disposition des données ;
• la modification ou la mise à jour des données, à la demande ou sous le contrôle du responsable du traitement ;
• la génération de documents, états, décomptes ou autres informations au moyen des fonctionnalités de Quotis ;
• la sauvegarde et la restauration des données ;
• la sécurisation des données et de la plateforme ;
• la suppression des données conformément aux instructions du responsable du traitement et aux obligations légales applicables.

Le sous-traitant peut également accéder aux données lorsque cet accès est strictement nécessaire à la maintenance de la plateforme, à la résolution de problèmes techniques, à la sécurité du service, à la prévention ou à la résolution d'un incident ou à l'assistance apportée au responsable du traitement.

Les traitements sont réalisés afin de permettre au responsable du traitement d'assurer notamment les finalités suivantes dans le cadre de la gestion de sa copropriété :

• la gestion des copropriétaires, des personnes concernées et des lots ;
• la gestion des appels de fonds, des paiements et des décomptes ;
• la gestion des données comptables et financières nécessaires à la gestion de la copropriété ;
• la préparation, la gestion, la conservation et la mise à disposition des documents relatifs à la copropriété ;
• la communication d'informations aux personnes concernées par le responsable du traitement ;
• la mise en œuvre de toute autre fonctionnalité proposée par Quotis et activée par le responsable du traitement dans le cadre de la gestion de sa copropriété.

6. Durée du traitement

Le traitement des données par le sous-traitant commence à compter de leur introduction sur le site Quotis et se poursuit pendant la durée d'utilisation du service par le responsable du traitement.

Lorsque le compte du responsable du traitement est temporairement mis en pause, les données restent conservées pendant la durée nécessaire à la reprise ultérieure du service.

À la fin du contrat, les données à caractère personnel restent conservées pendant une période de douze (12) mois afin de permettre au responsable du traitement d'en demander la restitution ou la suppression, conformément au point 16.

Cette période ne fait pas obstacle à la conservation des données dont la conservation est imposée par une obligation légale ou qui est nécessaire à l’établissement, à l’exercice ou à la défense des droits du sous-traitant.

7. Catégories particulières de données

Les catégories particulières de données à caractère personnel au sens de l’article 9 du RGPD ne sont pas destinées à être introduites dans Quotis.

En cas d'introduction accidentelle ou non nécessaire de telles données, le responsable du traitement en informe le sous-traitant lorsque cette information est nécessaire à la mise en œuvre de mesures appropriées.

Le sous-traitant ne recherche pas activement de telles données et ne les utilise pas pour ses propres finalités.

8. Instructions du responsable du traitement

Le sous-traitant traite les données à caractère personnel pour le compte du responsable du traitement et conformément à ses instructions documentées.

Les instructions résultent notamment :

• du contrat, des CGV et des CGU applicables ;
• de la présente annexe;
• des fonctionnalités de Quotis utilisées par le responsable du traitement ;
• des demandes que le responsable du traitement adresse au sous-traitant dans le cadre du fonctionnement du service.

Si le sous-traitant estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données, il en informe le responsable du traitement dans les meilleurs délais.

9. Confidentialité

Le sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel:

• aient accès uniquement aux données nécessaires à l'exécution de leurs fonctions ;
• soient soumises à une obligation de confidentialité ;
• soient informées des règles applicables en matière de protection des données ;
• respectent les instructions du responsable du traitement.

L'obligation de confidentialité continue de s'appliquer après la fin des fonctions des personnes concernées et, le cas échéant, après la fin de la relation contractuelle.

10. Sécurité des données

Le sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques liés aux traitements.

Ces mesures peuvent notamment comprendre:

• le chiffrement des communications au moyen de protocoles sécurisés ;
• la protection des mots de passe au moyen de mécanismes de sécurité appropriés ;
• la limitation des accès aux seules personnes habilitées ;
• la gestion des droits et habilitations ;
• la sauvegarde et la restauration des données;
• la sécurisation de l'infrastructure informatique ;
• des mesures destinées à prévenir les accès non autorisés ;
• la surveillance et la sécurisation des systèmes.

Le sous-traitant réévalue régulièrement l'adéquation de ces mesures au regard de l'évolution des risques et des technologies.

11. Sous-traitants ultérieurs

Le responsable du traitement autorise de manière générale le sous-traitant à faire appel à des sous-traitants ultérieurs lorsque ceux-ci sont nécessaires à la fourniture des services de Quotis, notamment pour l'hébergement, le stockage, la sauvegarde, la maintenance, la sécurité ou autres prestations techniques nécessaires au fonctionnement de Quotis.

Le sous-traitant veille à ce que chaque sous-traitant ultérieur soit soumis, par contrat ou par un autre acte juridique, aux mêmes obligations en matière de protection des données que celles prévues dans la présente annexe, notamment en ce qui concerne la mise en œuvre de mesures techniques et organisationnelles appropriées.

Le sous-traitant informe le responsable du traitement de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur dans les conditions prévues par le RGPD.

Le responsable du traitement peut s'opposer à l'ajout ou au remplacement d'un sous-traitant ultérieur pour des motifs liés à la protection des données.

En cas d'opposition, les parties recherchent de bonne foi une solution permettant, dans la mesure du possible, de maintenir les services concernés dans des conditions conformes au RGPD.

Le sous-traitant demeure pleinement responsable à l'égard du responsable du traitement de l'exécution par ses sous-traitants ultérieurs de leurs obligations en matière de protection des données.

12. Violation de données à caractère personnel

En cas de violation de données à caractère personnel portant sur des données traitées pour le compte du responsable du traitement, le sous-traitant informe celui-ci dans les meilleurs délais après en avoir pris connaissance.

Cette information précise, dans la mesure des informations disponibles :

• la nature de la violation ;
• les catégories de données à caractère personnel concernées ;
• les catégories et le nombre approximatif de personnes concernées ;
• les conséquences probables de la violation ;
• les mesures prises ou envisagées afin de remédier à la violation et d'en limiter les conséquences.

Le sous-traitant coopère avec le responsable du traitement afin de permettre à celui-ci de respecter ses obligations en matière de notification d'une violation de données auprès de l'autorité de contrôle et, lorsque cela est requis, des personnes concernées.

Le responsable du traitement demeure responsable de l'appréciation de la nécessité de notifier la violation à l'Autorité de protection des données et, le cas échéant, aux personnes concernées.

13. Assistance du responsable du traitement

Le sous-traitant fournit au responsable du traitement, dans la mesure nécessaire et compte tenu de la nature du traitement et des informations dont il dispose, une assistance permettant à celui-ci de satisfaire aux obligations qui lui incombent en vertu du RGPD, notamment en matière:

• de sécurité du traitement ;
• de notification des violations de données à caractère personnel;
• d'exercice des droits des personnes concernées ;
• d'analyses d'impact relatives à la protection des données, lorsque cela est nécessaire.

14. Assistance dans l'exercice des droits des personnes concernées

Compte tenu de la nature du traitement, le sous-traitant assiste, dans la mesure nécessaire, le responsable du traitement afin de lui permettre de répondre aux demandes d'exercice des droits des personnes concernées.

Cette assistance peut notamment comprendre :

• la recherche et l'accès aux données dans la plateforme ;
• la modification ou la correction technique des données sur instruction du responsable du traitement ;
• l'exportation des données lorsque cette fonctionnalité est disponible ;
• la suppression des données, sur instruction du responsable du traitement ;
• la limitation technique du traitement lorsque cette fonctionnalité est disponible.

Lorsqu'une personne concernée adresse directement au sous-traitant une demande relative aux données de copropriété, le sous-traitant la transmet au responsable du traitement dans les meilleurs délais, sauf instruction contraire de celui-ci.

Le sous-traitant ne décide pas lui-même du bien-fondé d'une demande lorsque cette décision relève du responsable du traitement.

15. Transferts de données en dehors de l'EEE

Lorsque le traitement implique un transfert de données à caractère personnel vers un pays situé en dehors de l'Espace économique européen, le sous-traitant veille à ce que ce transfert soit effectué conformément au RGPD.

Le transfert peut notamment reposer sur :

• une décision d'adéquation de la Commission européenne ;
• des clauses contractuelles types adoptées par la Commission européenne ;
• tout autre mécanisme de transfert prévu par le RGPD.

Lorsque cela est nécessaire, des mesures complémentaires appropriées sont mises en œuvre.

16. Restitution ou suppression des données

À la fin du contrat, le responsable du traitement peut, pendant la période prévue au point 6, demander la restitution de ses données ou leur suppression.

Lorsque la restitution est demandée, les données sont restituées dans un format raisonnablement exploitable, lorsque cette possibilité est techniquement disponible.

Lorsque le responsable du traitement demande la suppression de ses données, le sous-traitant procède à leur suppression dans un délai raisonnable, sous réserve des données dont la conservation est imposée par une obligation légale ou qui est nécessaire à l'établissement, à l'exercice ou à la défense de ses droits.

À l'issue de la période prévue au point 6, les données qui n'ont pas fait l'objet d'une demande de restitution ou de suppression sont supprimées.

Les éventuelles copies de sauvegarde sont supprimées ou écrasées conformément aux cycles techniques de sauvegarde applicables.

17. Audits, informations nécessaires et vérifications

Le sous-traitant fournit au responsable du traitement, dans la mesure raisonnablement nécessaire, les informations dont celui-ci a besoin pour démontrer le respect des obligations prévues par l'article 28 du RGPD.

Le responsable du traitement peut effectuer ou faire effectuer des audits afin de vérifier le respect des obligations du sous-traitant en matière de protection des données.

Les audits doivent :

• être réalisés pendant les heures normales d'activité ;
• être précédés d'un préavis raisonnable ;
• ne pas perturber de manière disproportionnée l'activité du sous-traitant ;
• respecter les obligations de confidentialité ;
• ne pas permettre l'accès à des données concernant d'autres clients du sous-traitant ;
• être limités aux aspects pertinents pour les traitements réalisés pour le compte du responsable du traitement.

Le responsable du traitement prend en charge ses propres frais d'audit, sauf lorsque l'audit est rendu nécessaire par un manquement du sous-traitant à ses obligations en matière de protection des données.

Lorsque des rapports d'audit, certifications ou autres documents pertinents et suffisamment récents sont disponibles, les parties conviennent de les utiliser en priorité afin d'éviter des audits répétitifs ou disproportionnés.

18. Absence de réutilisation des données par le sous-traitant

Le sous-traitant n'utilise pas les données de copropriété pour ses propres finalités. Il s'interdit notamment:

• de vendre les données de copropriété ;
• de les utiliser à des fins publicitaires ou de prospection commerciale ;
• d'établir des profils commerciaux à partir de ces données ;
• de les utiliser à des fins de benchmarking entre copropriétés ;
• de les communiquer à des tiers pour leurs propres finalités ;
• de les utiliser pour développer ou entraîner des services ou produits à des fins propres.

Cette interdiction ne fait pas obstacle aux traitements nécessaires à l'exécution des prestations de Quotis, notamment pour le fonctionnement, la sécurité, la maintenance, la sauvegarde ou l'assistance technique, lorsqu'ils sont réalisés pour le compte du responsable du traitement et conformément à ses instructions.

19. Coopération entre les parties

Les parties s'engagent à coopérer de bonne foi et dans la mesure nécessaire afin de permettre le respect de leurs obligations respectives en matière de protection des données.

Elles s'informent mutuellement, dans les meilleurs délais, de tout événement dont elles ont connaissance et susceptible d'avoir une incidence significative sur les traitements couverts par la présente annexe.

Cette coopération peut notamment porter sur les violations de données à caractère personnel, les demandes des autorités de contrôle, les demandes des personnes concernées, les incidents de sécurité et les modifications substantielles des traitements.

20. Hiérarchie des documents

La présente annexe complète les CGV, les CGU de Quotis et la Politique de confidentialité de Loïc Heusschen.

En cas de contradiction entre la présente annexe et les CGU concernant un traitement de données à caractère personnel pour lequel Loïc Heusschen agit en qualité de sous-traitant, les dispositions de la présente annexe prévalent.

21. Durée et fin de l'annexe

La présente annexe entre en vigueur à la date de conclusion du contrat et reste applicable pendant toute la durée pendant laquelle le sous-traitant traite des données à caractère personnel pour le compte du responsable du traitement.

La fin du contrat ne fait pas obstacle à l'exécution des obligations qui, par leur nature, doivent être exécutées ou continuer à produire leurs effets après cette date, notamment les obligations de confidentialité et les obligations relatives à la restitution ou à la suppression des données.

22. Droit applicable et juridiction compétente

La présente annexe est régie par le droit belge, sans préjudice des dispositions impératives du RGPD et des autres règles européennes ou nationales applicables en matière de protection des données.

Tout litige relatif à la présente annexe relève de la compétence des juridictions déterminées conformément aux dispositions du contrat principal et, à défaut, des règles légales de compétence applicables.