Accord de sous-traitance de données personnelles (DPA)

Préambule

Le présent Accord de Traitement des Données (Data Processing Agreement ou « DPA ») s'applique à l'ensemble des données à caractère personnel relatives aux prospects, acquéreurs et clients finaux traitées par la société IMMO4X pour le compte du Client dans le cadre de l'utilisation du CRM, du moteur de recherche et des modules de suivi de commercialisation de la Plateforme.

Le présent accord complète les Conditions Générales de Vente et d'Utilisation (CGV/CGU) d'IMMO4X et prévaut sur toute clause contraire relative à la protection des données traitées pour le compte du Client.

Article 1 — Rôles et qualifications juridiques

1. Le Client en qualité de Responsable du Traitement :

Le « Client » est l'entité qui détermine effectivement les finalités et moyens essentiels des traitements : selon les situations, l'agence, le titulaire de la carte T, le mandant ou le professionnel exerçant en son nom propre. Un simple utilisateur du CRM n'est pas nécessairement responsable de traitement. Le Client garantit la licéité de la collecte, l'information des personnes et l'existence d'une base juridique appropriée. Lorsque l'utilisateur agit pour une autre entité, celle-ci doit être identifiée contractuellement comme responsable de traitement ou autoriser valablement les instructions transmises.

2. IMMO4X en qualité de Sous-Traitant :

La société IMMO4X, SAS au capital de 1 000,00 euros, immatriculée au RCS de Paris sous le numéro 108 810 375, dont le siège social est situé 5 rue Chalgrin, 75116 Paris, intervient en qualité de sous-traitant au sens de l'article 28 du RGPD. IMMO4X traite les données exclusivement sur instructions documentées du Client et pour la seule exécution des Services.

3. Traitements exclus du champ du présent DPA :

Les traitements réalisés par IMMO4X pour la gestion administrative de ses propres comptes clients, la facturation des abonnements, la sécurité globale de son infrastructure et le respect de ses propres obligations légales relèvent de sa qualité autonome de Responsable de Traitement et sont régis par sa Politique de Confidentialité.

Article 2 — Instructions documentées et finalités autorisées

1. IMMO4X s'engage à traiter les données personnelles uniquement pour les finalités suivantes :

• Fourniture, hébergement, maintenance et exploitation de la Plateforme logicielle et du module CRM ;
• Transmission des dénonciations, options et réservations depuis IMMO4X à GRIDKY ou, pour un lot publié directement par un promoteur sur IMMO4X, à ce promoteur dans son espace professionnel, selon les actions autorisées et les instructions documentées du responsable de traitement concerné. GRIDKY gère ensuite ces opérations pour ses propres finalités et paraît agir en responsable de traitement distinct, sous réserve de validation juridique.
• Sauvegarde technique, sécurisation et support utilisateur.

2. Les instructions documentées du Client résultent des CGV/CGU, du présent DPA et des actions de configuration réalisées par les Utilisateurs autorisés dans l'interface. Toute instruction complémentaire doit faire l'objet d'un accord écrit préalable.

3. Si IMMO4X considère qu'une instruction transmise par le Client constitue une violation du RGPD ou d'une disposition légale applicable, elle en informe immédiatement le Client par écrit.

Article 3 — Étanchéité des bases et stricte interdiction d'exploitation commerciale

1. Droits sur les données et la clientèle : le Client ou son mandant conserve les droits et prérogatives dont il dispose légalement sur ses fichiers, contacts et dossiers. L'hébergement dans IMMO4X ne transfère aucun droit d'exploitation commerciale de ces données à IMMO4X. Les droits éventuels de l'agence, du mandant et des personnes concernées restent préservés.

2. Interdiction d'exploitation pour compte propre : hors exécution documentée des Services, obligations légales et opérations techniques strictement nécessaires, IMMO4X s'interdit :

• D'exploiter les données CRM du Client pour son propre compte ou pour sa prospection commerciale ;
• De vendre, louer, céder, échanger ou partager les données de contacts du Client à des tiers à des fins publicitaires ou marketing ;
• D'enrichir des bases de données tierces à partir des données importées par le Client.

3. Transmission opérationnelle : les dénonciations, options et réservations portant sur les lots du catalogue GRIDKY sont transmises directement à GRIDKY, et non directement à ADVI COM depuis IMMO4X. Pour un lot publié directement par un promoteur sur IMMO4X, la demande et la fiche du client sont mises à disposition de ce seul promoteur dans son espace professionnel ; le promoteur reçoit un e-mail d'avertissement qui ne contient pas les données du client. Les autres transmissions ne sont autorisées que si elles existent réellement, sont nécessaires, documentées et fondées juridiquement. Le rôle autonome éventuel de GRIDKY doit être distingué de celui des sous-traitants techniques d'IMMO4X.

Article 4 — Confidentialité et accès internes

1. IMMO4X veille à ce que toute personne autorisée à traiter les données personnelles (collaborateurs, développeurs, support technique) soit soumise à une obligation contractuelle ou légale stricte de confidentialité ; une formation relative à la protection des données est à mettre en place.

2. Accès internes : limités aux personnes habilitées pour un besoin justifié de support, maintenance ou sécurité, dans le respect de la confidentialité. L'interface d'administration ne donne pas accès aux fiches clients des professionnels ; l'équipe IMMO4X reçoit toutefois le nom et les coordonnées du client dans les demandes d'annulation qui lui sont adressées par e-mail (article 6). Les interventions administratives sensibles sont journalisées : création, modification, suspension, réactivation et suppression des comptes, décisions sur les demandes de vérification et chaque consultation d'un justificatif professionnel, réinitialisations de mot de passe, création des administrateurs et changements de rôle, abonnements, opérations sur le catalogue et sur les vues 3D, ainsi que les actions administratives refusées. Parmi les intervenants d'IMMO4X, l'équipe de développement de la plateforme (GETTINGAPP) dispose d'un accès technique direct à la base de données, nécessaire à la maintenance.

Article 5 — Mesures de sécurité techniques et organisationnelles

Conformément à l'article 32 du RGPD, IMMO4X met en œuvre des mesures adaptées aux risques. Les mesures ci-après sont décrites telles qu'elles sont en place au 2 novembre 2026 ; celles qui ne le sont pas encore sont indiquées comme prévues ou à mettre en place.

• Chiffrement : protection des échanges par TLS/HTTPS ; chiffrement au repos de la base de données (AES-256) et de ses sauvegardes, assuré par le prestataire de base de données, Neon, selon sa documentation.
• Contrôle des accès : les accès privilégiés sont limités aux personnes habilitées ; les sessions de connexion expirent au plus tard après 30 jours (au plus tard le 11 novembre 2026 pour celles ouvertes avant le 12 octobre 2026) et sont révoquées à la suppression du compte ; l'authentification à deux facteurs est obligatoire à chaque connexion aux comptes d'administration de la plateforme. Aucun dispositif non déployé n'est réputé actif par le seul effet du présent document.
• Cloisonnement logique : chaque professionnel n'accède qu'à ses propres fiches clients et aux demandes qui y sont liées ; un promoteur ne voit que les demandes portant sur ses propres lots.
• Disponibilité et résilience : sauvegarde automatique de la base de données par le prestataire d'hébergement, permettant une restauration à un instant donné ; ces points de restauration sont conservés au maximum 3 jours, selon l'accord de traitement de données de Belmo. Selon sa documentation, le prestataire de base de données, Neon, conserve en outre des sauvegardes chiffrées pendant 30 jours. Un test périodique de restauration, avec documentation des résultats, est à mettre en place.
• Gestion des vulnérabilités : l'infrastructure (serveurs, base de données, réseau) est exploitée et mise à jour par les prestataires d'hébergement ; une veille régulière des dépendances logicielles de la plateforme et une surveillance des erreurs et de la disponibilité sont à mettre en place.

Article 6 — Sous-traitants ultérieurs

1. Autorisation générale : Le Client accorde une autorisation générale écrite à IMMO4X pour faire appel à des sous-traitants ultérieurs dans le cadre de la fourniture des prestations techniques d'infrastructure et d'outils applicatifs.

2. Prestataires intervenant sur les données confiées, d'après la configuration technique en place au 26 octobre 2026 :

• Hébergement du serveur de la plateforme : Belmo (anciennement HostingGuru), sur l'infrastructure de Hetzner Online GmbH en Allemagne (UE).
• Base de données : Neon (Neon, LLC, filiale de Databricks, Inc.), mise à disposition par Belmo, hébergée dans la région AWS eu-central-1 à Francfort (Allemagne / UE) ; elle contient l'ensemble des données enregistrées, dont les fiches clients.
• Réseau : Cloudflare, placé devant le serveur de la plateforme, sur le domaine d'hébergement de Belmo ; toutes les données échangées avec la plateforme y transitent.
• Interfaces web : Vercel Inc. (États-Unis), hébergement et diffusion du site et des interfaces de la plateforme ; le contenu des fiches clients est échangé directement entre le navigateur et le serveur de la plateforme, sans passer par Vercel.
• Développement et maintenance technique de la plateforme : GETTINGAPP, titulaire du compte d'hébergement Belmo.
• Stockage objet et documents : Google Cloud Storage ; aucune donnée des fiches clients n'y est stockée à ce jour.
• Resend : envoi des e-mails de la plateforme, dont les demandes d'annulation adressées à l'équipe IMMO4X, qui contiennent le nom, l'e-mail et le téléphone du client ; entité contractante : Plus Five Five, Inc. (San Francisco, États-Unis) ; lieu de traitement : principalement les États-Unis ; garanties de transfert : clauses contractuelles types de la Commission européenne (décision 2021/914) et certification au cadre de protection des données UE–États-Unis (Data Privacy Framework).
• Messagerie de l'équipe IMMO4X (info@immo4x.com), qui reçoit ces demandes d'annulation.
• OpenAI : intelligence artificielle de l'assistant Nikos ; aucune fiche client ne lui est transmise automatiquement ; il reçoit les messages que l'utilisateur écrit à Nikos, qui ne contiennent des données d'un client que si l'utilisateur les y saisit.
• Google Maps Platform : autocomplétion du secteur de recherche saisi dans la fiche client ; Google reçoit le texte saisi dans ce champ.

3. Changements : IMMO4X informe préalablement le Client par écrit de tout ajout ou remplacement de sous-traitant ultérieur traitant les données confiées, en lui accordant en principe 15 jours pour formuler une objection motivée relative à la protection des données. Les Parties recherchent une solution ; à défaut, le Client peut résilier les services concernés sans pénalité. Les changements urgents de sécurité ou de continuité font l'objet d'une information dès que possible, sans priver le Client de ses droits.

4. IMMO4X s'engage à imposer par contrat à ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles qui lui incombent pour les traitements confiés ; IMMO4X demeure responsable envers le Client de leur exécution conformément à l'article 28 §4 du RGPD.

Article 7 — Transferts internationaux de données

Le serveur de la plateforme est hébergé en Allemagne (UE) par Belmo, sur l'infrastructure de Hetzner Online GmbH. La base de données est hébergée par Neon dans la région AWS de Francfort (Allemagne / UE). Plusieurs prestataires sont des sociétés établies hors de l'EEE ou rattachées à des groupes qui y sont établis : Vercel Inc. (États-Unis) pour les interfaces web, Cloudflare (États-Unis, réseau mondial), OpenAI (États-Unis), Neon, LLC (États-Unis, pour une base hébergée à Francfort), Resend (Plus Five Five, Inc., États-Unis, où ont lieu principalement ses traitements) et Google (États-Unis, pour Google Maps Platform et Google Cloud Storage). L'accord de traitement de Belmo encadre ses transferts par les clauses contractuelles types de la Commission européenne (décision 2021/914) et le cadre de protection des données UE–États-Unis (Data Privacy Framework) ; Resend s'appuie sur ces mêmes clauses contractuelles types et est certifiée au titre du Data Privacy Framework.

Tout transfert hors EEE, y compris un accès distant constituant un transfert, nécessite une base valable au chapitre V du RGPD : décision d'adéquation applicable à l'entité destinataire (et certification active si pertinente), ou clauses contractuelles types et mesures complémentaires lorsque requises. Aucune certification DPF n'est présumée acquise par le présent DPA ; les preuves sont conservées et réévaluées.

Article 8 — Exercice des droits des personnes concernées

1. Le responsable de traitement effectivement identifié reste l'interlocuteur principal des personnes concernées pour les données CRM, sans préjudice de leurs droits légaux et des obligations propres d'IMMO4X.

2. IMMO4X s'engage à assister techniquement le Client, par des mesures techniques et organisationnelles appropriées, afin de lui permettre de donner suite aux demandes d'exercice de droits (accès, rectification, effacement, limitation, opposition, portabilité). Le professionnel peut lui-même consulter et rectifier ses fiches clients depuis son espace, et en exporter au format CSV l'ensemble des informations saisies ; une fiche supprimée depuis l'espace n'apparaît plus dans la liste des fiches clients mais reste enregistrée ; le nom et les coordonnées du client restent visibles dans les demandes déjà envoyées (Activités et leur export) ; l'effacement définitif de la fiche est réalisé sur demande, par une intervention technique, et son automatisation reste à développer.

3. Si une personne concernée adresse directement sa demande à IMMO4X, celle-ci transmet sans délai la demande au Client par courrier électronique et s'abstient d'y répondre directement sauf instruction écrite du Client ou obligation légale.

Article 9 — Notification des violations de données personnelles

1. IMMO4X informe le Client sans délai injustifié après avoir pris connaissance d'une violation de données personnelles le concernant et, en tout état de cause, vise un premier avis au plus tard sous 48 heures. Une notification initiale peut être partielle et est complétée au fur et à mesure de l'enquête ; aucune attente de confirmation exhaustive ne doit retarder l'alerte.

2. Cette notification contient l'ensemble des éléments disponibles prévus à l'article 33.3 du RGPD :

• Description de la nature de l'incident et des catégories de données et personnes concernées ;
• Conséquences probables de l'incident ;
• Mesures techniques correctives prises ou proposées pour remédier à la violation ou en atténuer les effets.

3. Le responsable de traitement apprécie le risque et, si les conditions de l'article 33 sont réunies, notifie la CNIL dans les meilleurs délais et si possible dans les 72 heures suivant sa prise de connaissance ; il informe les personnes en cas de risque élevé selon l'article 34. IMMO4X l'assiste sans délai. Lorsqu'IMMO4X agit elle-même comme responsable d'un traitement distinct, elle assume ses obligations propres.

Article 10 — Fin de contrat, réversibilité et suppression des données

1. Réversibilité : le Client peut demander la restitution de ses données dans les conditions convenues, sous réserve de ses droits sur celles-ci et des contraintes légales. Pendant toute la durée du compte, sauf pendant une suspension ou tant que son dossier professionnel est refusé, le professionnel peut exporter au format CSV, depuis son espace (« Exporter en CSV » ou Profil, « Mes données »), ses activités et l'ensemble des informations saisies dans ses fiches clients. Après la clôture du compte, l'espace du professionnel n'est plus accessible ; une procédure de restitution de l'ensemble des données CRM, sur demande formulée dans les 30 jours suivant la clôture, est prévue et sera décrite ici une fois testée.

2. Sort des données : à l'issue du délai de réversibilité et selon le choix documenté du responsable de traitement (restitution ou suppression), IMMO4X supprime les copies actives non nécessaires dans un délai de 30 jours et atteste sur demande de l'exécution. Les suppressions anticipées légalement requises restent possibles. Les exceptions légales, les archives de transaction et les sauvegardes sont traitées séparément.

3. Archivage : seuls les éléments nécessaires à une obligation légale ou à la constatation, l'exercice ou la défense de droits peuvent être conservés dans un espace à accès restreint, pour une durée documentée et proportionnée. La conservation pour le compte d'ADVI COM ou d'un promoteur suppose de clarifier leurs rôles et instructions ; IMMO4X ne s'attribue pas automatiquement leurs obligations légales.

4. Sauvegardes : les copies techniques suivent le cycle de rotation du prestataire. Les points de restauration de la base de données sont conservés au maximum 3 jours, selon l'accord de traitement de données de Belmo, et le prestataire de base de données, Neon, conserve en outre des sauvegardes chiffrées pendant 30 jours, selon sa documentation ; une donnée effacée de la base disparaît donc des sauvegardes au plus tard 30 jours après son effacement. Une procédure de réapplication des suppressions en cas de restauration est à mettre en place.

Article 11 — Contrôles et audits

1. IMMO4X met à disposition du Client toute la documentation technique et organisationnelle nécessaire pour démontrer le respect des obligations prévues à l'article 28 du RGPD.

2. Audits : le Client peut demander les informations nécessaires pour démontrer le respect de l'article 28 et permettre des audits, y compris inspections, réalisés par lui ou un auditeur mandaté. En fonctionnement normal, les Parties privilégient un audit documentaire annuel, sur préavis raisonnable et dans des conditions de confidentialité et de sécurité. Ces modalités ne sauraient faire obstacle à un audit supplémentaire objectivement justifié (incident, manquement sérieux, demande d'autorité). Les coûts sont convenus équitablement selon les circonstances et ne font pas échec aux droits légaux du Client.

Article 12 — Responsabilités

Chaque Partie assume les obligations qui lui incombent en application du RGPD et du présent accord. Les limitations prévues aux CGV/CGU s'appliquent seulement dans la mesure où elles sont valables et opposables, sans réduire les droits des personnes concernées ni les pouvoirs des autorités, et sous réserve des règles impératives, notamment de l'article 82 du RGPD.

Annexe technique — Description des traitements confiés

• Objet du traitement : Hébergement SaaS, exploitation du CRM immobilier, gestion des fiches prospects/acquéreurs, préparation et suivi des actes d'entremise et de commercialisation de programmes neufs.
• Durée : pendant l'utilisation des services puis selon les modalités de restitution et de suppression réellement assurées. La suppression trois mois après un refus concerne les justificatifs déposés par les professionnels pour la vérification de leur propre statut, traités par IMMO4X pour son propre compte (voir la politique de confidentialité) ; aucune pièce justificative des clients n'est déposée dans la plateforme.
• Nature des opérations : collecte, enregistrement, structuration, stockage, consultation, transmission autorisée des dénonciations, options et réservations à GRIDKY ou, pour un lot publié directement par un promoteur sur IMMO4X, mise à disposition de ce promoteur dans son espace, extraction (export CSV par le professionnel), sauvegarde et suppression. Aucun envoi direct de ces dossiers à ADVI COM depuis IMMO4X.
• Catégories de personnes concernées : Clients et prospects des professionnels (acquéreurs potentiels) ; chaque fiche client concerne une seule personne.

Types de données traitées :

• Identité et coordonnées (civilité, prénom, nom, date de naissance, adresse postale, ville, code postal, e-mail, téléphone) ;
• Données de projet (budget, secteur de recherche et sa localisation) ;
• Suivi commercial (rendez-vous, étiquette, commentaire libre saisi par le professionnel, demandes de dénonciation, d'option et de réservation liées à la fiche, avec leur suivi et la référence du dossier transmis à GRIDKY) ;
• Données saisies dans les simulateurs fiscaux (revenus, impôts, composition du foyer, crédits et, pour le prêt à taux zéro, indications liées à un handicap), transmises au service de simulation de GRIDKY pour le calcul et non conservées par IMMO4X.

Annexe B — Instructions, partages et habilitations

Les instructions valables proviennent du responsable de traitement identifié, de ses représentants habilités et des actions autorisées dans la plateforme. L'utilisateur qui agit pour une agence ou un titulaire de carte T ne peut donner d'instructions excédant ses pouvoirs.

Dans la plateforme, seul le professionnel titulaire du compte accède à l'ensemble de ses fiches clients : il peut les consulter, les modifier, les supprimer de son espace et en exporter au format CSV l'ensemble des informations saisies. Une fiche n'est communiquée qu'à GRIDKY ou au promoteur concerné lors d'une demande sur un lot (articles 2 et 3) ; les demandes d'annulation adressées à l'équipe IMMO4X contiennent le nom et les coordonnées du client (article 6).

Annexe C — Sécurité et assistance

Mesures en place au 2 novembre 2026 : cloisonnement des fiches clients par professionnel ; sessions limitées à 30 jours au plus (au plus tard le 11 novembre 2026 pour celles ouvertes avant le 12 octobre 2026) et révoquées à la suppression du compte ; journal des interventions administratives sensibles, dont chaque consultation d'un justificatif ; authentification à deux facteurs obligatoire pour les comptes d'administration de la plateforme ; export CSV par le professionnel de ses activités et de l'ensemble des informations saisies dans ses fiches clients ; sauvegarde de la base de données par le prestataire, avec des points de restauration conservés au maximum 3 jours et des sauvegardes chiffrées conservées 30 jours par le prestataire de base de données, Neon.

Mesures prévues ou à mettre en place : procédure de restitution après clôture ; suppression définitive des données à l'issue du délai de restitution ; tests de restauration ; veille des vulnérabilités et surveillance des erreurs et de la disponibilité ; procédure de gestion des incidents.

IMMO4X aide raisonnablement le responsable de traitement, compte tenu de la nature des opérations et des informations disponibles, pour les analyses d'impact (AIPD), les consultations préalables éventuelles, la sécurité et les demandes de droits (articles 32 à 36 du RGPD).

Aucune pièce sensible des clients (identité, justificatifs financiers) n'est déposée dans la plateforme à ce jour. Si une telle fonction était ajoutée, ces pièces feraient l'objet d'accès restreints et de durées de conservation limitées au besoin effectif, avec exceptions légales documentées.