Accord de traitement des données

Le présent accord, pris en application de l'article 28 du Règlement général sur la protection des données (RGPD), fait partie intégrante des conditions générales de vente. Il encadre les traitements que Lenny Hilaire EI (« LocaCheck », le sous-traitant) effectue pour le compte du client (le responsable de traitement) sur les données des candidats à la location. Il s'applique pendant toute la durée de l'abonnement, et au-delà tant que LocaCheck détient ces données.

Finalité : aider le client à étudier les candidatures à la location de ses logements.
Nature des opérations : collecte des pièces (par le client, le portail candidat ou l'espace locataire), stockage, lecture et extraction automatisées, contrôles de cohérence, vérification de l'employeur auprès de registres publics, calcul d'un score, production d'un rapport, partage du rapport à la demande du client, suppression.
Personnes concernées : candidats locataires, colocataires et garants.
Données : identité et pièce d'identité, coordonnées, situation professionnelle, revenus (bulletins de salaire, avis d'imposition), justificatifs de domicile, informations saisies par le client. Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée.

LocaCheck ne traite ces données que sur instruction documentée du client : les présentes, les CGV et les réglages que le client choisit dans le service. LocaCheck ne les utilise pour aucune finalité propre, et informe le client s'il estime qu'une instruction enfreint la réglementation.

Seules les personnes habilitées par LocaCheck, tenues au secret, accèdent aux données, et uniquement pour le support, la sécurité ou la résolution d'un incident. Lorsque le support doit ouvrir le compte du client pour l'assister, cet accès est limité dans le temps et inscrit au journal d'activité.

LocaCheck met en œuvre notamment : chiffrement des échanges (HTTPS/TLS) ; hébergement des données à Paris et chiffrement au repos par l'hébergeur ; cloisonnement strict entre comptes (une pièce n'est servie qu'au compte propriétaire du dossier) ; mots de passe hachés ; sessions signées et révocables ; droits d'accès par membre de l'équipe ; journal des actions sensibles ; politique de sécurité du contenu du navigateur.

Le client autorise LocaCheck à recourir aux sous-traitants suivants, liés par des engagements de protection des données au moins équivalents aux présentes :

• Supabase Pte. Ltd.

  Base de données et stockage des documents

  Singapour — données stockées à Paris (AWS eu-west-3)

• Vercel Inc.

  Hébergement et exécution de l'application

  États-Unis — application exécutée à Paris

• OpenAI

  Lecture automatisée des pièces et rédaction de la synthèse

  États-Unis

• Anthropic

  Lecture automatisée des pièces

  États-Unis

• Brevo (Sendinblue SAS)

  Envoi des e-mails (invitations des candidats, notifications)

  France

Tout ajout ou remplacement est annoncé par e-mail au moins 30 jours à l'avance. Le client qui s'y oppose pour un motif légitime peut résilier sans frais avant la date prévue.

Pour être lues, les pièces sont transmises à OpenAI ou Anthropic, qui les traitent aux États-Unis. Ces prestataires n'utilisent pas les données reçues par leur interface professionnelle pour entraîner leurs modèles. Vercel (États-Unis) et Supabase (Singapour) peuvent accéder aux données à des fins d'exploitation, bien qu'elles soient hébergées à Paris. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, pour les sociétés qui y sont certifiées, par le cadre de protection des données UE–États-Unis (Data Privacy Framework).

Le client répond aux demandes des candidats. Le service lui permet de consulter, exporter et supprimer à tout moment un dossier et ses pièces. LocaCheck lui transmet sans délai toute demande reçue directement, et l'assiste sur demande à contact@locacheck.fr.

LocaCheck notifie au client toute violation de données personnelles le concernant dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations prévues à l'article 33 du RGPD disponibles à ce stade, afin de lui permettre de notifier la CNIL dans les 72 heures et, le cas échéant, les personnes concernées.

LocaCheck fournit au client, sur demande, les informations utiles à la réalisation de son analyse d'impact et coopère avec la CNIL si elle le sollicite.

Le client peut supprimer un dossier à tout moment. Les dossiers refusés sont supprimés automatiquement 30 jours après la décision. À la fin de l'abonnement, tous les dossiers du client sont supprimés 30 jours après sa résiliation ; le client peut les exporter auparavant. Les informations lues dans les pièces sont gardées en mémoire technique pour éviter de relire une pièce identique ; elles sont effacées 30 jours après leur dernière utilisation. LocaCheck ne conserve aucune autre copie, hors obligation légale.

LocaCheck met à disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut, une fois par an et avec un préavis de 30 jours, faire réaliser à ses frais un audit par un auditeur indépendant tenu au secret.

Le client, responsable de traitement, s'engage à : disposer d'une base légale pour le traitement ; informer les candidats (article 13 du RGPD), notamment de l'usage de LocaCheck ; ne demander que les pièces autorisées par le décret n° 2015-1437 ; ne déposer aucune donnée sensible ; décider lui-même de la suite donnée à chaque candidature ; ne partager un rapport qu'avec des personnes habilitées à le connaître.