Accord de sous-traitance des données (article 28 RGPD)

Le présent accord encadre les traitements de données personnelles réalisés par Bax·IA pour le compte du bailleur dans KazaLoc pendant toute la durée d'utilisation du service, y compris la période nécessaire à la restitution et à la suppression encadrée des données.

Le bailleur est responsable du traitement des données de ses candidats, locataires, cautions et contacts. Bax·IA agit comme sous-traitant pour fournir l'hébergement, l'authentification, la gestion locative, la génération et conservation de documents, les communications, l'assistance IA activée par l'utilisateur, la signature électronique lorsqu'elle est configurée, le support et la sécurité.

Les opérations couvrent la collecte, l'enregistrement, l'organisation, la consultation, la modification, le calcul, la génération de documents, la mise à disposition, l'envoi sur instruction, la sauvegarde, l'export, la limitation et l'effacement.

Les données peuvent comprendre identité et coordonnées, informations sur le logement et le bail, situation d'occupation, loyers, paiements déclarés, dépenses, échanges, signatures, pièces justificatives et journaux de sécurité. Les personnes concernées sont notamment les bailleurs, candidats, locataires, cautions et destinataires désignés par le bailleur.

Bax·IA ne traite les données que sur les instructions documentées résultant du contrat et des actions du bailleur dans le service. Tout transfert hors de l'Espace économique européen suit ces mêmes instructions et les garanties décrites dans la politique de confidentialité, sauf obligation légale ; dans ce cas, le bailleur est informé avant le traitement sauf interdiction légale.

Si Bax·IA estime qu'une instruction enfreint le RGPD ou une règle applicable, il en informe le bailleur et peut suspendre l'opération concernée le temps d'obtenir une instruction licite.

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité appropriée et n'y accèdent que selon le besoin d'en connaître.

Les mesures comprennent notamment l'authentification, le contrôle d'accès par rôle, l'isolation des comptes au niveau de la base et du stockage, le chiffrement des communications, le stockage privé, la limitation des clés privilégiées au serveur, la minimisation des diagnostics, les sauvegardes et des tests de sécurité adaptés au risque. Ces mesures évoluent avec l'état de l'art, les coûts et les risques sans réduire substantiellement le niveau de protection convenu.

Le bailleur donne une autorisation générale au recours aux sous-traitants nécessaires listés dans la politique de confidentialité. Bax·IA impose à chacun des obligations de protection au moins équivalentes pour les traitements confiés et demeure responsable de ses obligations de sous-traitant.

Tout ajout ou remplacement susceptible d'avoir un effet significatif est annoncé par un moyen approprié avant sa prise d'effet afin de permettre une objection motivée. À défaut de solution raisonnable, le bailleur peut résilier le service concerné.

Compte tenu de la nature du traitement, Bax·IA aide le bailleur, par les fonctions du service et une assistance raisonnable, à répondre aux demandes d'accès, rectification, effacement, limitation, opposition et portabilité. Une demande reçue directement au sujet des données locatives est transmise au bailleur sauf obligation contraire.

Bax·IA met à disposition les informations utiles pour les analyses d'impact, consultations préalables et obligations de sécurité du bailleur, dans la limite des informations disponibles et de la répartition des responsabilités.

Bax·IA notifie au bailleur toute violation de données personnelles relevant des traitements sous-traités dans les meilleurs délais après en avoir pris connaissance. La notification communique progressivement, lorsqu'ils sont disponibles, la nature de l'incident, les catégories et volumes approximatifs, les conséquences probables, les mesures prises ou proposées et un point de contact.

Pendant la relation, le bailleur peut exporter les données structurées de son compte et récupérer les documents disponibles. Après suppression du compte, Bax·IA supprime les données actives et les copies selon le cycle de sauvegarde, sauf conservation imposée par le droit ou nécessaire à la défense de droits ; ces archives sont alors isolées et limitées à cette finalité.

La résiliation de l'abonnement ne vaut pas suppression automatique du compte. Le bailleur doit exporter puis déclencher la suppression s'il souhaite l'effacement des données actives.

Bax·IA met à disposition les informations nécessaires pour démontrer le respect du présent accord et contribue aux audits raisonnables du bailleur ou de son auditeur indépendant. L'audit est précédé d'un préavis raisonnable, protège la confidentialité et la sécurité des autres clients, évite les perturbations disproportionnées et privilégie les documents et preuves existants avant une inspection.