Ce contrat encadre le traitement des données personnelles de la copropriété dans SyndicFacile, conformément à l'article 28 du règlement (UE) 2016/679 (RGPD). Il est accepté dans l'application par le syndic, au nom du syndicat des copropriétaires, en même temps que les conditions d'utilisation.
1. Parties
- Le responsable de traitement : le syndicat des copropriétaires de l'immeuble géré dans l'application, représenté par son syndic, qui accepte le présent contrat en son nom.
- Le sous-traitant : Maxime Badoian, éditeur de SyndicFacile, 146 chemin des Prud'hommes, Les Boutons d'or – Villa 36, 13010 Marseille, France ; contact : support@badoian.fr.
2. Objet et durée
Le sous-traitant fournit l'application SyndicFacile pour la gestion de la copropriété. Le contrat s'applique tant que la copropriété utilise l'application, puis jusqu'à la restitution et à l'effacement des données (article 9).
3. Description du traitement
- Nature des opérations : hébergement, conservation, calculs comptables, production de documents (appels de fonds, relevés, convocations, formulaires de vote, procès-verbaux, états comptables), envoi d'e-mails d'information, import de relevés bancaires, sauvegardes.
- Finalités : tenue des comptes du syndicat, appel et suivi des charges, recouvrement, assemblées générales et consultations, notifications prévues par la loi du 10 juillet 1965 et le décret du 17 mars 1967.
- Personnes concernées : copropriétaires, indivisaires, usufruitiers et nus-propriétaires, mandataires, membres du conseil syndical, syndic et ses collaborateurs, fournisseurs de la copropriété.
- Données traitées : identité ; adresses postale et électronique ; téléphone ; lots et quotes-parts ; état des comptes, versements et impayés ; relances et mises en demeure ; coordonnées bancaires (IBAN) ; votes et présences aux assemblées générales et consultations ; choix de la voie de notification. Aucune catégorie particulière de données au sens de l'article 9 du RGPD n'est attendue ; le syndic s'abstient d'en saisir.
4. Instructions du responsable
Le sous-traitant ne traite les données que pour fournir l'application et selon les instructions documentées du responsable, que constituent le présent contrat, les conditions d'utilisation et les actions faites par le syndic dans l'application. Il informe immédiatement le responsable si une instruction lui paraît contraire au RGPD.
Aucune donnée n'est transférée hors de l'Union européenne.
5. Confidentialité
Seules les personnes autorisées par le sous-traitant accèdent aux données, et elles sont tenues à la confidentialité. L'assistance aux utilisateurs n'accède aux données d'une copropriété qu'en mode assistance : sur autorisation du syndic, pendant 48 heures au plus, en lecture seule, avec les coordonnées bancaires masquées et chaque accès inscrit au journal.
6. Sécurité
Le sous-traitant met en œuvre des mesures adaptées au risque, notamment :
- hébergement en France ; accès au serveur par clé uniquement, pare-feu, mises à jour de sécurité automatiques ;
- connexion chiffrée (HTTPS) ; mots de passe protégés par hachage ; double authentification ; code de confirmation pour les actions critiques ;
- séparation stricte des données de chaque copropriété (schéma et droits de base de données distincts) ;
- journal d'audit inaltérable des actions ;
- sauvegardes quotidiennes chiffrées, conservées 30 jours, avec tests de restauration ;
- tests automatisés et contrôles de sécurité avant chaque mise à jour de l'application.
7. Sous-traitants ultérieurs
Le responsable autorise le recours aux sous-traitants suivants :
| Sous-traitant | Prestation | Localisation | | --- | --- | --- | | OVH SAS (OVHcloud) | Hébergement du serveur et stockage des sauvegardes chiffrées | France | | Sendinblue SAS (Brevo) | Envoi des e-mails | Union européenne |
Tout ajout ou remplacement est annoncé au syndic au moins 30 jours à l'avance par une nouvelle version du présent contrat ; le responsable peut s'y opposer en cessant d'utiliser l'application, sans frais. Le sous-traitant impose à ses sous-traitants des obligations de protection équivalentes.
8. Aide au responsable
Le sous-traitant aide le responsable :
- à répondre aux demandes des personnes (accès, rectification, effacement, limitation, portabilité, opposition) : l'application fournit un registre des demandes, l'export des données d'un copropriétaire, une aide à la rectification et l'anonymisation d'un copropriétaire sorti, dans la limite des obligations de conservation du syndicat ;
- à garantir la sécurité du traitement et, le cas échéant, à réaliser une analyse d'impact ;
- en cas de violation de données : le sous-traitant en informe le syndic dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance, avec les informations disponibles (nature, personnes et données concernées, conséquences probables, mesures prises), afin que le responsable puisse notifier la CNIL dans les 72 heures et, si nécessaire, informer les personnes concernées.
9. Fin du contrat
À la fin de l'utilisation, le sous-traitant remet au syndicat une archive complète de ses données et documents, dans des formats ouverts, avec une notice et l'empreinte de chaque fichier. Le syndic peut aussi la télécharger à tout moment dans l'application. Après la remise de l'archive et un délai minimal de 15 jours, le sous-traitant efface les données de la copropriété, puis remet une attestation de suppression ; les sauvegardes sont effacées à l'expiration de leur durée de conservation (30 jours). Le syndicat conserve ses archives comptables et ses procès-verbaux grâce à l'archive remise.
10. Documentation et audit
Le sous-traitant met à la disposition du responsable les informations nécessaires pour démontrer le respect du présent contrat et permet des vérifications raisonnables, sur demande écrite et à frais partagés.
11. Obligations du responsable
Le responsable fournit des données exactes et limitées à ce qui est nécessaire ; il informe les copropriétaires du traitement (la politique de confidentialité de SyndicFacile peut être utilisée à cet effet) ; il fait approuver, s'il y a lieu, le recours à SyndicFacile par l'assemblée générale.
12. Gratuité et responsabilité
Pendant la phase pilote, l'application est fournie gratuitement. Chaque partie reste responsable de ses propres obligations au titre du RGPD.