Accord de sous-traitance

1. Les parties

Le responsable du traitement est la conciergerie qui utilise le Service (le « Client »). Le sous-traitant est Emilien Corbineau, entrepreneur individuel (micro-entreprise), Corbineau Digital, Appartement 21, 1 square Montgeoffroy, 49300 Cholet, RCS Angers 999 690 514 (l'« Éditeur »).

Cet accord fait partie des conditions générales, acceptées en créant une conciergerie dans le Service, et dure autant qu'elles. Les données de compte des Utilisateurs (leur adresse e-mail, leurs appareils prévenus) ne sont pas dans cet accord : l'Éditeur en est responsable, comme le dit la page Confidentialité.

2. Ce qui est traité

• L'objet : faire fonctionner le Service pour le Client, et rien d'autre : gérer ses logements, ses réservations, son ménage, ses messages aux voyageurs, les relevés de ses propriétaires, la taxe de séjour et la fiche de police.
• Les opérations : enregistrer, conserver, organiser, consulter, calculer, transmettre aux services nommés plus bas, effacer.
• Les personnes concernées : les voyageurs du Client, ses propriétaires, les personnes qui font son ménage, les membres de son équipe.
• Les données : nom, prénom, téléphone, adresse e-mail et adresse postale ; les dates, les montants et les messages d'un séjour, et les avis ; ce qu'un propriétaire accorde, écrit et doit ; les ménages, leurs photos et leurs incidents ; les coordonnées bancaires que le Client met sur ses relevés ; pour la fiche de police d'un voyageur étranger, sa date et son lieu de naissance, sa nationalité et son domicile. Les codes d'accès et les mots de passe wifi sont gardés chiffrés. Aucun numéro de pièce d'identité ni de carte bancaire n'est demandé.
• La durée : celle du contrat, sauf ce que le Service efface plus tôt : une fiche de police six mois après le départ prévu (et aussitôt si le séjour est annulé), les échanges avec un voyageur un an après son départ, un message échangé avec un propriétaire trois ans après son envoi.

3. Ce à quoi l'Éditeur s'engage

• Ne traiter ces données que sur les instructions du Client : ces conditions, et ce que le Client fait et règle dans le Service. Si une instruction lui paraît contraire à la loi, il le dit au Client.
• Ne les utiliser pour aucun autre but : ni publicité, ni revente, ni entraînement d'un modèle d'intelligence artificielle.
• Que toute personne qui y accède pour lui soit tenue à la confidentialité.
• Les protéger (article 32 du RGPD) : chaque conciergerie ne lit que ses propres données, par des règles d'accès de la base que des tests vérifient ; tout passe en connexion chiffrée ; les codes et mots de passe sont chiffrés en base ; chaque Utilisateur n'ouvre que ce que son rôle lui permet ; un historique dit qui a fait quoi.
• Aider le Client à répondre à une personne qui exerce ses droits (accès, rectification, effacement, opposition, limitation, portabilité), et lui transmettre toute demande qui lui arrive directement.
• Prévenir le Client de toute violation de ces données dont il a connaissance, dans les meilleurs délais et au plus tard dans les 48 heures, avec ce qu'il en sait, pour que le Client puisse la notifier à la CNIL dans les 72 heures si elle doit l'être.
• Aider le Client, pour ce qui le concerne, dans une analyse d'impact ou une consultation de la CNIL.
• Mettre à sa disposition ce qui montre qu'il tient ces engagements, et permettre un audit, prévenu un mois à l'avance, au plus une fois par an, aux frais du Client.
• À la fin du contrat, laisser au Client le temps de sortir ses données en fichiers, puis les supprimer dans les trois mois, copies comprises, sauf ce que la loi oblige à garder.

4. Ce à quoi le Client s'engage

• Avoir une raison légale de traiter chaque donnée qu'il saisit, n'en saisir que ce dont il a besoin, et informer les personnes concernées : ses voyageurs, ses propriétaires, son équipe.
• Décider lui-même de ce qui part vers un service optionnel : relier un logement aux plateformes, brancher Stripe, donner son accord à l'agent, confier un geste à l'agent.
• Pour la fiche de police : la proposer quand la loi la lui demande, et la remettre aux services de police ou de gendarmerie qui la demandent.

5. Les sous-traitants de l'Éditeur

Le Client autorise l'Éditeur à faire appel aux prestataires suivants, chacun pour une tâche précise, sous ses conditions de traitement des données. L'Éditeur prévient le Client par e-mail au moins quinze jours avant d'en ajouter ou d'en remplacer un ; le Client peut s'y opposer pendant ce délai, et résilier s'il n'y a pas d'autre solution.

• Supabase Pte. Ltd., à Singapour : la base de données, hébergée dans l'Union européenne, en Irlande.
• Cloudflare, Inc., aux États-Unis : sert les pages du Service.
• Plus Five Five, Inc. (Resend), aux États-Unis : les e-mails aux propriétaires (relevés, demandes, messages) et les codes de connexion ; chaque e-mail y est gardé trente jours.
• Channex.io Ltd, au Royaume-Uni : seulement pour les logements que le Client relie aux plateformes ; les nuits, les prix, les réservations, les messages et les avis.
• OpenRouter, Inc., aux États-Unis, et les modèles qu'il appelle (InferenceNet, Anthropic, Mistral AI), et TypeSafe AI : seulement après l'accord du gérant à l'agent, pour ce que la liste de l'accord nomme.
• Les services de notification des navigateurs (Google, Apple, Mozilla, Microsoft) : seulement pour un Utilisateur qui active les notifications ; ils portent un message chiffré qu'ils ne peuvent pas lire.

Stripe n'est pas un sous-traitant de l'Éditeur : le compte de paiement est celui du Client, sous son propre contrat avec Stripe. Le détail de ce que chacun reçoit est sur la page Confidentialité.

6. Hors de l'Union européenne

• Le Royaume-Uni (Channex) : la Commission européenne le reconnaît comme assurant une protection adéquate, jusqu'au 27 décembre 2031.
• Les États-Unis : Cloudflare est certifié au cadre de protection des données entre l'Union et les États-Unis ; Supabase, Resend et OpenRouter s'engagent par les clauses contractuelles types de la Commission européenne, dans leur accord de traitement des données.
• Les modèles qu'appelle l'agent, et TypeSafe AI, qui ne dit pas où il traite les données : rien ne leur part sans l'accord du gérant, qui lit avant la liste de ce qui part.

7. Contact

Pour toute question sur cet accord, une violation de données ou une demande d'une personne concernée : pmsconciergerie@gmail.com.