Accord de sous-traitance (RGPD)
Dernière mise à jour : 26 octobre 2026
Accord de sous-traitance au sens de l'article 28 du RGPD, conclu entre le Client (responsable de traitement) et RentFlow (sous-traitant).
Article 1 — Objet
Le présent accord encadre les traitements de données à caractère personnel que RentFlow (le « Sous-traitant ») réalise pour le compte du Client (le « Responsable de traitement ») dans le cadre de la fourniture du Service, conformément à l'article 28 du RGPD. Il fait partie intégrante des CGU et, le cas échéant, des CGV.
Article 2 — Description du traitement
- Nature et finalité : hébergement et traitement des données nécessaires à la gestion locative (biens, baux, locataires, loyers, quittances, états des lieux, documents) pour le compte du Responsable.
- Durée : la durée du contrat / de l'abonnement.
- Catégories de personnes concernées : locataires, garants et contacts du Responsable.
- Catégories de données : identité, coordonnées, données relatives au logement et au bail, données financières liées aux loyers. Le Service ne requiert aucune donnée sensible.
Article 3 — Obligations du Sous-traitant
Le Sous-traitant s'engage à :
- traiter les données uniquement sur instruction documentée du Responsable et pour les seules finalités prévues ;
- garantir la confidentialité et veiller à ce que les personnes autorisées à traiter les données s'y engagent ;
- mettre en œuvre les mesures de sécurité appropriées (article 32 du RGPD) ;
- assister le Responsable pour répondre aux demandes d'exercice des droits des personnes concernées ;
- l'assister pour la sécurité, la notification des violations et les analyses d'impact (articles 32 à 36) ;
- mettre à disposition les informations nécessaires pour démontrer la conformité et permettre des audits ;
- au terme de la prestation, restituer ou supprimer les données selon le choix du Responsable, sous réserve des obligations légales de conservation.
Article 4 — Sous-traitants ultérieurs
Le Responsable autorise le Sous-traitant à recourir aux sous-traitants ultérieurs ci-dessous, présentant des garanties suffisantes. Le Sous-traitant informe le Responsable de tout changement et lui permet d'émettre des objections.
| Prestataire | Rôle | Localisation |
|---|---|---|
| Vercel Inc. | Hébergement de l'application | États-Unis (garanties appropriées) |
| Supabase | Base de données | Union européenne |
| Resend, Inc. | Envoi d'e-mails (quittances, appels de loyer, notifications) | États-Unis (clauses contractuelles types) |
| Stripe Payments Europe, Ltd. | Paiement des abonnements | Irlande (Union européenne) |
| Cloudflare, Inc. (R2) | Stockage des documents déposés (baux, états des lieux, attestations, pièces jointes) et dépôt des sauvegardes hebdomadaires de la base | Union européenne (juridiction de stockage UE) |
| Google Ireland Ltd. (Workspace) | Boîte de courrier de l'éditeur : correspondance d'assistance reçue à l'adresse de contact | Irlande (Union européenne) |
Article 4 bis — Ce qui n'est pas de la sous-traitance
L'assureur ou le courtier partenaire auquel le Responsable choisit, par une démarche expresse et à son initiative, d'adresser une demande de mise en relation n'est pas un sous-traitant ultérieur. Il reçoit les données pour son propre compte et devient responsable de traitement distinct ; le Sous-traitant n'agit alors que comme transmetteur, sur instruction ponctuelle du Responsable. Son identité et son numéro ORIAS sont indiqués au Responsable avant tout envoi.
Article 5 — Transferts hors Union européenne
Tout transfert de données hors de l'Union européenne est encadré par des garanties appropriées, notamment les clauses contractuelles types de la Commission européenne.
Article 6 — Sécurité
Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des mots de passe, cloisonnement des données par organisation, contrôle des accès, connexions sécurisées (HTTPS) et sauvegardes.
Article 7 — Violation de données
Le Sous-traitant notifie au Responsable toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et lui apporte son assistance pour les notifications éventuelles à la CNIL et aux personnes concernées.
Article 8 — Sort des données en fin de prestation
À la fin de la prestation, les données sont, au choix du Responsable, restituées puis supprimées, sous réserve des durées légales de conservation.
Article 9 — Documentation et audit
Le Sous-traitant tient à la disposition du Responsable la documentation nécessaire pour démontrer le respect de ses obligations et se soumet à des audits raisonnables, dans des conditions préservant la sécurité et la confidentialité des données des autres clients.