Accord de sous-traitance RGPD

Version 1.2 — Entrée en vigueur : 17 août 2026 — Dernière mise à jour : 28 septembre 2026

Le présent accord précise les conditions dans lesquelles Cheeld Copro (« le Sous-traitant »), éditeur du service (le « Service »), traite des données à caractère personnel pour le compte d'une copropriété (le « Responsable de traitement »), représentée par son syndic ou tout membre habilité, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »). Il s'applique de plein droit à toute copropriété créée sur le Service, en complément des CGU, des CGV et de la politique de confidentialité.

1. Qualification des parties

Pour les données à caractère personnel relatives à des résidents, copropriétaires non-utilisateurs du Service, ou prestataires, que le Responsable de traitement (ou un membre qu'il a habilité) saisit dans le Service, le Responsable de traitement détermine les finalités et les moyens du traitement ; le Sous-traitant traite ces données uniquement sur instruction documentée du Responsable de traitement, telle qu'exprimée par l'utilisation normale des fonctionnalités du Service.

Cet accord ne s'applique pas aux données que le Sous-traitant traite en tant que responsable de traitement pour son propre compte (données de compte et de facturation des utilisateurs), régies par la politique de confidentialité.

2. Description du traitement

• Nature et finalité : hébergement et mise à disposition, via le Service, des données saisies par la copropriété pour la gestion de celle-ci (communication, incidents, lots, membres, documents, budget selon l'offre souscrite).
• Catégories de données : identité et coordonnées (nom, email, téléphone), données relatives au logement (lot, tantièmes), contenus déposés par la copropriété (annonces, incidents et leurs photos, messages, documents, données budgétaires pouvant contenir des données à caractère personnel).
• Catégories de personnes concernées : résidents, copropriétaires, membres du conseil syndical, prestataires référencés par la copropriété.
• Durée du traitement : pendant toute la durée de la relation contractuelle entre le Responsable de traitement et le Sous-traitant, puis jusqu'à suppression ou restitution des données conformément au §7.

3. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• traiter les données uniquement sur instruction documentée du Responsable de traitement ;
• garantir la confidentialité des données par les personnes autorisées à les traiter, engagées par une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité appropriées au sens de l'article 32 du RGPD, notamment le chiffrement des échanges (TLS), le cloisonnement technique des données entre copropriétés (Row Level Security au niveau de la base de données, pas seulement de l'interface), et un contrôle d'accès fondé sur le rôle de chaque utilisateur ;
• ne recourir à un autre sous-traitant (sous-traitant ultérieur) qu'avec l'autorisation générale du Responsable de traitement, la liste actuelle figurant au §4 ci-dessous, et informer le Responsable de traitement de tout changement envisagé afin de lui permettre de s'y opposer ;
• assister le Responsable de traitement, compte tenu de la nature du traitement et des informations dont dispose le Sous-traitant, afin de lui permettre de répondre aux demandes d'exercice des droits des personnes concernées et de satisfaire à ses obligations en matière de sécurité, de notification des violations de données, d'analyses d'impact et de consultations préalables de l'autorité de contrôle lorsque cela est nécessaire ;
• notifier au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et, lorsque cela est possible, dans un délai maximal de 24 heures après en avoir pris connaissance, et lui communiquer les informations nécessaires à l'évaluation et, le cas échéant, à la notification de la violation à l'autorité de contrôle et aux personnes concernées ;
• supprimer ou restituer, au choix du Responsable de traitement, l'ensemble des données à caractère personnel à l'issue de la relation contractuelle, sous réserve des obligations légales de conservation qui s'imposeraient au Sous-traitant ;
• mettre à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect des obligations prévues au présent article, et permettre et contribuer aux audits, y compris aux inspections, réalisés par le Responsable de traitement ou un auditeur mandaté par celui-ci, dans des conditions raisonnables et proportionnées, notamment en termes de fréquence, de préavis, de confidentialité et de sécurité.

4. Sous-traitants ultérieurs autorisés

À la date des présentes, le Sous-traitant a recours aux sous-traitants ultérieurs listés sur notre page Sous-traitants et prestataires techniques, à savoir Supabase Inc. (base de données, authentification, stockage des documents et photos), Vercel Inc. (hébergement applicatif), Amazon Web Services EMEA SARL — Amazon SES (envoi des emails transactionnels), Stripe Payments Europe, Ltd. (traitement des paiements et des données de facturation) et Anthropic, PBC (modèle de langage utilisé par la fonctionnalité « Cheeld AI »). La liste à jour des sous-traitants ultérieurs est disponible à l'adresse indiquée ci-dessus. Toute modification substantielle de cette liste, notamment l'ajout ou le remplacement d'un sous-traitant ultérieur traitant des données personnelles, fait l'objet d'une information préalable du Responsable de traitement, conformément aux modalités prévues au présent accord.

5. Transferts hors Union européenne

Lorsque le traitement de données implique un transfert vers un pays situé en dehors de l'Espace économique européen, ce transfert est encadré conformément au chapitre V du RGPD, notamment par une décision d'adéquation lorsqu'elle est applicable ou, à défaut, par les garanties appropriées prévues par le RGPD, telles que les clauses contractuelles types adoptées par la Commission européenne.

6. Responsabilité

Chaque partie est responsable des dommages causés par un traitement effectué en violation du RGPD dans les conditions prévues par son article 82. Le Responsable de traitement est seul responsable de la licéité des données qu'il fait traiter par le Sous-traitant, notamment de la base légale justifiant la saisie de données relatives à des personnes tierces au Service. Les éventuelles limitations contractuelles de responsabilité applicables entre les Parties, notamment celles prévues à l'article « Responsabilité » des CGU, ne peuvent avoir pour effet d'écarter ou de limiter les responsabilités qui ne peuvent légalement l'être au titre du RGPD.

7. Durée, restitution et sort des données

Le présent accord s'applique pendant toute la durée d'utilisation du Service par la copropriété. À l'issue de la relation contractuelle, le Responsable de traitement peut demander la restitution de tout ou partie des données personnelles ou leur suppression, sous réserve des obligations légales de conservation applicables au Sous-traitant. Les modalités techniques de restitution et les délais sont définis dans notre politique de réversibilité. À la suppression d'une copropriété du Service par un administrateur habilité, les données qui lui sont propres sont supprimées selon les modalités et délais décrits dans notre politique de conservation et suppression des données, à l'exception des données déjà anonymisées ou de celles dont la conservation résulterait d'une obligation légale du Sous-traitant.

8. Contact

Pour toute question relative au présent accord ou à l'exercice de vos droits et obligations en tant que Responsable de traitement : bonjour@cheeld.fr.