Accord de sous-traitance

Article 28 du RGPD — dernière mise à jour : 20 octobre 2026

Le présent accord fait partie intégrante du contrat conclu entre [À COMPLÉTER : dénomination sociale] (« le Sous-traitant ») et l’agence cliente (« le Responsable de traitement »). Il encadre le traitement des données à caractère personnel que le Sous-traitant réalise pour le compte du Responsable de traitement dans le cadre du service heyimmo.

1. Objet et durée

Le Sous-traitant traite les données pour la seule fourniture du service décrit à l’annexe 1, pendant toute la durée de l’abonnement et jusqu’à la restitution ou la suppression des données prévues à l’article 9.

2. Instructions documentées

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Le contrat, les conditions générales et l’usage normal du service constituent ces instructions. Toute autre demande doit être formulée par écrit.

Le Sous-traitant informe immédiatement le Responsable de traitement s’il estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition applicable.

Le Sous-traitant n’utilise les données à aucune fin propre : ni prospection, ni revente, ni statistiques commerciales, ni entraînement de modèles d’apprentissage automatique.

3. Confidentialité

Le Sous-traitant veille à ce que toute personne autorisée à traiter les données soit tenue à une obligation de confidentialité et n’y accède qu’en cas de nécessité — support technique, diagnostic d’incident, ou demande explicite du Responsable de traitement.

4. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2, adaptées au risque. Ces mesures peuvent évoluer, sans jamais réduire le niveau de protection.

5. Sous-traitants ultérieurs

Le Responsable de traitement autorise le Sous-traitant à recourir aux prestataires listés à l’annexe 3. Le Sous-traitant leur impose par contrat des obligations de protection équivalentes à celles du présent accord et demeure pleinement responsable de leur exécution.

Tout ajout ou remplacement est notifié au Responsable de traitement au moins trente jours à l’avance. Celui-ci peut s’y opposer pour un motif légitime lié à la protection des données ; à défaut d’accord, il peut résilier sans frais ni pénalité la part du contrat concernée.

6. Assistance au Responsable de traitement

Le Sous-traitant assiste le Responsable de traitement, dans la mesure du possible, pour :

• répondre aux demandes d’exercice des droits (accès, rectification, effacement, limitation, opposition, portabilité). Si une demande lui est adressée directement, il la transmet sans délai et n’y répond pas de son propre chef ;
• garantir la sécurité du traitement et notifier les violations de données ;
• réaliser une analyse d’impact relative à la protection des données et, le cas échéant, la consultation préalable de l’autorité de contrôle.

L’interface du service permet déjà au Responsable de traitement d’accéder à ses données, de les rectifier et de les supprimer de façon autonome pour l’essentiel des traitements.

7. Violation de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les quarante-huit heures suivant sa prise de connaissance. La notification décrit la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises ou proposées.

Il appartient au Responsable de traitement de notifier, le cas échéant, l’autorité de contrôle et les personnes concernées.

8. Audit et documentation

Le Sous-traitant met à disposition du Responsable de traitement toute information nécessaire pour démontrer le respect de ses obligations. Il permet la réalisation d’audits, y compris des inspections, par le Responsable de traitement ou un auditeur qu’il mandate, sous réserve d’un préavis raisonnable, d’une fréquence limitée à une fois par an sauf incident, de la confidentialité des informations obtenues et de la préservation des données des autres clients.

9. Sort des données à la fin du contrat

Pendant le contrat, le Responsable de traitement exporte lui-même ses biens, contacts et mandats (format CSV) et imprime son registre des mandats. Le registre ne s’efface pas pendant le contrat, conformément à l’obligation légale du Responsable de traitement, à qui il appartient d’en garder un exemplaire au-delà.

À la fin du contrat, le Responsable de traitement dispose de trente jours pour demander la restitution de ses données dans un format structuré et couramment utilisé. À l’issue de ce délai, le Sous-traitant supprime les données et les copies existantes, sous réserve des obligations légales de conservation. Les sauvegardes résiduelles sont purgées selon leur cycle de rotation, sans nouvelle exploitation.

10. Transferts hors Union européenne

Les données sont hébergées dans l’Union européenne. Les transferts éventuels vers des prestataires établis hors de l’Union sont limités aux données techniques et encadrés par les clauses contractuelles types de la Commission européenne.

11. Registre et contact

Le Sous-traitant tient un registre des catégories d’activités de traitement effectuées pour le compte du Responsable de traitement, conformément à l’article 30.2 du RGPD. Toute question relative au présent accord peut être adressée à hello@heyimmo.fr.

Annexe 1 — Description du traitement

Nature et finalité

Hébergement et mise à disposition d’un outil de prospection immobilière terrain : découpage du territoire en secteurs, préparation de prospections confiées aux agents, enregistrement des passages sur les parcelles, suivi de la couverture et de l’ancienneté de la prospection, notifications aux agents concernés ; préparation et remise d’avis de valeur (étude des ventes publiques autour du bien, document au nom du Responsable de traitement, PDF et lien de consultation à durée limitée, comptage des consultations). Avec l’offre Complet : gestion de fiches contacts, de biens, de mandats et du registre des mandats, de rendez-vous, de tâches, de leads et d’affaires ; diffusion des annonces vers les portails choisis par le Responsable de traitement ; page publique de son barème d’honoraires.

Catégories de personnes concernées

• Agents et collaborateurs du Responsable de traitement
• Propriétaires et occupants des parcelles prospectées, identifiables par recoupement cadastral
• Propriétaires d’un bien, ou leurs représentants, à qui le Responsable de traitement prépare un avis de valeur
• Contacts du Responsable de traitement : vendeurs, acquéreurs, propriétaires, prospects (offre Complet)

Catégories de données

• Agents : nom, adresse e-mail, rôle, agence de rattachement, photo de profil, taux de rétrocession, préférences de notification
• Activité de prospection : référence cadastrale, date et heure, méthode, type de document distribué, photo du document, note, agent crédité, agent enregistreur ; prospections planifiées (parcelles prévues, jour prévu, personne désignée, auteur)
• Données de localisation : utilisées en temps réel sur l’appareil de l’agent pour pré-sélectionner les parcelles et, si l’alerte est activée, signaler un DPE récent à proximité. Le trajet n’est pas conservé — seules les parcelles validées par l’agent sont enregistrées
• Avis de valeur : adresse et parcelles du bien, caractéristiques, photos (sans leur position GPS), étude de marché et estimation ; du propriétaire : nom, adresse e-mail, téléphone, projet, prix espéré, notes de l’agent — seul le nom figure sur le document remis ; consultations du lien (date et version lue, sans adresse IP ni information sur le navigateur)
• Contacts, biens et affaires (offre Complet) : identité, coordonnées, critères de recherche, relations, accord donné ou refusé aux appels de prospection, mandats, montants des affaires, documents et photos

Données sensibles

Le service n’est pas conçu pour recevoir de données relevant de l’article 9 du RGPD. Le Responsable de traitement s’abstient d’en saisir, notamment dans les champs libres.

Durée

La durée du contrat, augmentée du délai de restitution prévu à l’article 9.

Annexe 2 — Mesures techniques et organisationnelles

• Chiffrement des communications (TLS) et des données au repos
• Cloisonnement par organisation appliqué dans la base de données (row level security) : une requête ne peut pas retourner les données d’une autre agence, y compris en cas de défaut applicatif
• Contrôle d’accès par rôle et par droit, configurable par le Responsable de traitement et appliqué côté serveur, non seulement à l’affichage
• Fichiers (photos, documents) stockés dans des espaces privés cloisonnés par organisation, accessibles uniquement par liens signés à durée limitée
• Mots de passe stockés sous forme de condensats ; authentification déléguée à un fournisseur spécialisé
• Sauvegardes régulières et chiffrées ; restauration testée
• Journalisation des accès et des erreurs par l’hébergeur
• Journaux en ajout seul — exports de données, accords aux appels de prospection, registre des mandats : une entrée ne peut pas être modifiée après coup
• Avis de valeur : versions publiées en ajout seul ; lien de consultation fondé sur un jeton aléatoire de 128 bits, non référencé, d’une durée limitée (90 jours par défaut, un an au plus) et retirable à tout moment ; fichiers partagés lisibles par ce seul lien, tant qu’il est ouvert
• Accès aux environnements de production limité aux personnes habilitées
• Revue de sécurité du code et tests automatisés à chaque modification

Annexe 3 — Sous-traitants ultérieurs

Les fournisseurs de données publiques (IGN, Base Adresse Nationale, ADEME, DVF d’Etalab) et de fonds de carte (Plan IGN, Apple Plans) reçoivent des requêtes géographiques et l’adresse IP de l’utilisateur, sans donnée personnelle issue du compte. Ils sont détaillés dans la politique de confidentialité.