Version 2026-10-15 · Télécharger ce document

Accord de sous-traitance des données personnelles (DPA)

Annexe aux conditions générales de vente de MDB Power, au titre de l'article 28 du règlement (UE) 2016/679 (« RGPD »). Brouillon mis à jour le 12 octobre 2026, soumis à l'avocat avant toute facturation (voir `README.md`).

Article 1. Parties et rôles

1.1 Le client, titulaire d'une organisation abonnée à MDB Power, est responsable de traitement des données personnelles qu'il enregistre dans son organisation.

1.2 L'éditeur, [raison sociale, à compléter], traite ces données pour le compte du client, en qualité de sous-traitant.

1.3 Ne relèvent pas du présent accord les traitements dont l'éditeur est responsable : référentiel des sociétés, de leurs dirigeants, de leurs biens et des signaux publics ; référentiel immobilier public (DVF, DPE, audits énergétiques, copropriétés, IRIS) ; consommation de l'IA ; liste d'opposition ; comptes, facturation et support ; Bourse off-market, y compris les données des propriétaires qui y publient. Ils sont décrits dans la politique de confidentialité de l'éditeur. Le ciblage des campagnes de courriers relève de la responsabilité conjointe prévue à l'article 7.6 des CGU.

1.4 Lorsqu'un vendeur de la Bourse révèle ses coordonnées à un client et que ce client les enregistre dans son organisation, le client devient responsable de traitement de ces données, et le présent accord s'applique à elles.

Article 2. Objet et durée

2.1 L'éditeur héberge et traite les données du client pour fournir le service décrit dans les CGV et les CGU, dans les conditions de l'annexe 1.

2.2 L'accord s'applique pendant toute la durée de l'abonnement, puis jusqu'à la restitution et à la suppression des données prévues à l'article 11.

Article 3. Instructions du client

3.1 L'éditeur ne traite les données que sur instruction documentée du client. Le contrat, les réglages de l'organisation et les actions des utilisateurs dans l'outil valent instructions.

3.2 L'éditeur informe le client sans délai s'il estime qu'une instruction enfreint le RGPD ou une autre règle de protection des données.

3.3 L'éditeur n'utilise jamais les données du client pour ses propres finalités. En particulier, aucune donnée du client n'est communiquée à la société dirigée par le fondateur de MDB Power ni utilisée pour son activité. Un sous-traitant qui déterminerait lui-même les finalités d'un traitement en deviendrait responsable, en violation du présent accord (RGPD, art. 28 §10).

3.4 Par exception à l'article 3.3, sur instruction écrite et préalable du client, l'éditeur peut utiliser des devis et des photos que le client choisit de lui transmettre pour régler ses estimations de travaux (banc d'essai). Avant toute utilisation, l'éditeur retire des documents les noms, adresses, coordonnées et métadonnées, et ne garde que des photos sans personne ni élément permettant d'identifier une personne ou un lieu. Ces éléments ne sont communiqués à aucun autre client et sont supprimés une fois le réglage fait. Les photos envoyées dans l'application pour le constat de travaux ne sont pas concernées : elles ne sont pas conservées (annexe 1).

Article 4. Confidentialité

Les personnes que l'éditeur autorise à traiter les données sont tenues à la confidentialité. Elles n'y accèdent que lorsque leur mission l'exige. Les comptes d'administration de l'application n'ouvrent pas les deals. Lorsque cette fonction est ouverte, le support n'ouvre un deal qu'à la demande du client, pour le deal choisi, pendant une durée limitée ; cet accès est journalisé et visible du client. L'accès technique au serveur est réservé à des personnes nommées, limité à la maintenance et journalisé.

Article 5. Sécurité

L'éditeur met en œuvre les mesures techniques et organisationnelles de l'article 32 du RGPD, notamment :

• isolation des données de chaque organisation par une sécurité au niveau des lignes de la base de données (RLS), avec des tests d'isolation exécutés à chaque version ;
• rôle applicatif sans droit de propriété sur les tables, rôles techniques distincts pour les traitements de fond et l'administration ;
• chiffrement des fichiers au repos, liens de téléchargement à durée très courte ;
• liens externes (fonds, collecte, dépôt) signés, limités dans le temps, révocables et journalisés ; code à usage unique pour les fonds ; filigrane nominatif sur les PDF de la data room ;
• journal des connexions des utilisateurs (date, adresse IP, navigateur, événement), conservé 12 mois ; journal d'audit des accès du support (lorsque cette fonction est ouverte), des envois aux fonds, des courriers, des exports et des retraits d'annonces de la Bourse ;
• double authentification proposée à tous les utilisateurs, et obligatoire pour le propriétaire et les administrateurs d'un espace ainsi que pour les administrateurs de l'application, sur le site comme sur l'API ;
• secrets conservés hors du code, dans l'environnement du serveur ;
• sauvegarde quotidienne chiffrée, avec une copie dans l'Union européenne, et test de restauration mensuel ;
• hébergement dans l'Union européenne.

Article 6. Sous-traitants ultérieurs

6.1 Le client autorise l'éditeur à recourir aux sous-traitants ultérieurs listés en annexe 2.

6.2 L'éditeur informe le client par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le client peut s'y opposer pendant ce délai pour un motif lié à la protection des données. Si les parties ne trouvent pas de solution, le client peut résilier sans frais de résiliation avant l'entrée en vigueur du changement. La période de facturation en cours reste due (article 10.2 des CGV).

6.3 L'éditeur impose à chaque sous-traitant ultérieur, par contrat, les obligations du présent accord. Il reste responsable envers le client de leur exécution.

Article 7. Transferts hors de l'Union européenne

Les données sont hébergées et traitées dans l'Union européenne, sauf mention contraire en annexe 2. Un sous-traitant ultérieur ne peut les traiter hors de l'Union que si le transfert est encadré par des garanties appropriées, en principe les clauses contractuelles types de la Commission européenne. L'annexe 2 signale les cas concernés.

Article 8. Assistance au client

8.1 L'outil permet au client de répondre lui-même aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition : consultation, modification, suppression et export des données. L'éditeur transmet au client, sans délai, toute demande qu'il reçoit directement à propos des données du client, sans y répondre lui-même sauf instruction.

8.2 L'éditeur aide le client à respecter ses obligations des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact et consultation préalable de la CNIL), compte tenu des informations dont il dispose (art. 28 §3 f). Il lui fournit notamment la trame de sa partie de l'analyse d'impact des campagnes de courriers et une description des mesures de sécurité.

Article 9. Violation de données

9.1 L'éditeur notifie au client toute violation de données personnelles qui touche ses données, sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance. Le client dispose ainsi du temps nécessaire pour notifier la CNIL dans les 72 heures (RGPD, art. 33).

9.2 La notification décrit, dans la mesure où l'éditeur les connaît : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables, les mesures prises ou proposées, et le contact chez l'éditeur. L'éditeur complète l'information au fil de son enquête.

Article 10. Registre

L'éditeur tient un registre des traitements qu'il effectue pour le compte de ses clients.

Article 11. Restitution et suppression

11.1 Le client peut exporter à tout moment et sans frais l'ensemble des données de son organisation : export JSON et fichiers (article 11 des CGV).

11.2 À la fin du contrat et, le cas échéant, de la période transitoire de 30 jours, l'éditeur supprime les données de l'organisation 90 jours après la clôture du compte. Il ne garde que les données de facturation, dont il est responsable et qu'il doit conserver en application de la loi, et les archives décrites à l'article 11.3.

11.3 Les sauvegardes quotidiennes qui contiennent encore ces données sont écrasées à la fin de leur cycle de rotation, qui est de 30 jours. Elles ne sont jamais restaurées pour un autre usage. Seuls les preuves d'acceptation, le journal de l'éditeur et les avis de modification du contrat sont conservés cinq ans dans la base, puis treize mois au plus dans une archive mensuelle chiffrée. Les factures émises, avoirs compris, sont archivées dix ans à compter de la clôture de l'exercice, en application d'une obligation légale de l'éditeur, qui en est responsable de traitement pour ces données ; elles ne sont pas supprimées avec l'espace. La copie chiffrée est supprimée au plus tard un an après ce terme. Si une sauvegarde est restaurée, l'éditeur rejoue, avant de remettre le service en ligne, les suppressions d'organisations et de comptes consignées au journal de l'éditeur jusqu'à la date de la dernière sauvegarde disponible.

11.4 L'éditeur confirme la suppression par écrit à la demande du client.

Article 12. Audits

12.1 L'éditeur met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord et de l'article 28 du RGPD : description des mesures de sécurité, liste des sous-traitants ultérieurs, extraits du journal d'audit de l'organisation (actions de ses utilisateurs, dont les exports et la clôture ; ce journal figure aussi dans l'export). Le journal de connexion des utilisateurs est un journal de sécurité de l'éditeur, communiqué en cas d'incident qui touche l'organisation.

12.2 Le client peut faire réaliser un audit, par lui-même ou par un auditeur tenu au secret qui n'est pas un concurrent de l'éditeur, une fois par an, avec un préavis de 30 jours et à ses frais. Une violation de données qui touche le client ouvre droit à un audit supplémentaire. L'audit ne doit pas donner accès aux données des autres clients.

Article 13. Contact

Les questions sur le présent accord sont adressées à [e-mail de contact données personnelles, à compléter]. Le délégué à la protection des données de l'éditeur sera désigné avant l'ouverture des campagnes de courriers ; ses coordonnées seront communiquées au client.

Article 14. Responsabilité

Entre les parties, l'article 20 des CGV s'applique, sans préjudice de l'article 82 du RGPD, qui permet à une personne concernée de demander réparation de tout son dommage à l'une ou l'autre partie.

Annexe 1. Description des traitements

Accueil adapté : finalité, classer l'accueil de chaque membre et lui proposer de ranger une entrée du menu ; personnes concernées, utilisateurs du client ; catégories de données, données d'usage par membre (section ouverte, jour, nombre d'ouvertures), sans clic ni contenu ; durée, 90 jours ; lecture réservée au membre concerné, ni le client ni l'éditeur n'y ont accès. Paragraphe que le client reprend pour informer ses salariés : « MDB Power enregistre quels outils un membre ouvre, pendant 90 jours, pour ordonner son propre accueil ; ces données ne sont visibles que par lui et ne servent pas à mesurer l'activité des salariés. »

Brouillon du 15 octobre 2026 (phase 4, chantier, revente et compta), non relu : personnes concernées en plus, les artisans et leurs salariés, les acheteurs prospects saisis dans Revente (leads), les signataires de procès-verbaux ; catégories de données en plus, photos de chantier datées (position facultative et ajoutée par le client), factures fournisseurs, procès-verbaux signés, e-mails reçus sur l'adresse d'une opération et leurs pièces ; durées, leads 3 ans, e-mails en quarantaine 30 jours, jetons de lien 30 jours après leur expiration.

Paragraphe que le client reprend pour informer ses salariés : « Le copilote enregistre quelles pistes un membre a ouvertes pendant 90 jours ; il ne sert pas à mesurer l'activité des salariés. »

Annexe 2. Sous-traitants ultérieurs

Stripe, prestataire de paiement, ne traite aucune donnée du CRM du client : il figure dans la politique de confidentialité de l'éditeur, responsable des données de facturation.

Google Maps Platform affiche Street View et la vue 3D d'un bien. Seules les coordonnées du bien lui sont transmises, sans aucune donnée d'identité.

La Géoplateforme de l'IGN (adresses, cadastre, urbanisme) et Géorisques, services publics gratuits, reçoivent seulement l'adresse ou les coordonnées du bien étudié, sans aucune donnée d'identité.

Brouillon du 15 octobre 2026 (phase 4), non relu : Resend reçoit aussi les e-mails adressés aux opérations (sous-domaine dédié) ; un fournisseur d'images pour le home staging, à choisir et à déclarer ici avant tout appel (aucun appel réel n'existe tant que sa liste d'hôtes est vide) ; Pennylane et une plateforme agréée de facturation électronique sont des intégrations choisies et contractées par le client, MDB Power n'envoyant que les factures confirmées par lui ; l'antivirus ClamAV s'exécute sur le serveur de l'éditeur, ce n'est pas un sous-traitant distinct.