Annexe de sous-traitance

1. Objet et répartition des rôles

Dans le cadre de l’utilisation de DTG360, le Client saisit des données relatives à des personnes physiques — copropriétaires, occupants, représentants du syndic, entreprises intervenantes. Ces données sont collectées pour les besoins de ses missions, selon ses finalités.

Le Client est responsable de traitement de ces données. DIAG360 est sous-traitant au sens de l’article 4.8 du règlement.

La présente annexe ne couvre que ce périmètre. Les données du compte, de la société cliente et de la facturation relèvent d’un traitement distinct, pour lequel DIAG360 est responsable de traitement et qui est décrit dans la politique de confidentialité.

2. Nature, finalité et durée

Nature des opérations : collecte, enregistrement, structuration, conservation, consultation, modification, export et effacement, réalisés au moyen du logiciel et de son infrastructure d’hébergement.

Finalité : permettre au Client de rédiger, chiffrer, conserver et exporter ses rapports de diagnostic technique global et de projet de plan pluriannuel de travaux.

Durée : celle du contrat d’abonnement, prolongée du délai de récupération prévu à l’article 10.

3. Données et personnes concernées

Le service n’est pas conçu pour recevoir des données sensibles au sens de l’article 9 du règlement — santé, opinions, appartenance syndicale, condamnations. Le Client s’abstient d’en saisir. Si l’état d’un logement l’amenait à consigner une information relative à la vulnérabilité d’un occupant, il lui appartient d’en limiter la portée au strict nécessaire.

4. Instruction documentée

DIAG360 ne traite les données que sur instruction documentée du Client. Constituent une telle instruction : l’utilisation normale des fonctions du logiciel, les demandes d’assistance formulées par le Client, et l’activation de l’assistance à la rédaction décrite à l’article 7.

DIAG360 informe le Client si une instruction lui paraît constituer une violation du règlement, et peut suspendre son exécution jusqu’à confirmation écrite.

Aucune donnée du Client n’est utilisée à des fins propres : ni statistique commerciale, ni prospection, ni entraînement d’un modèle d’intelligence artificielle.

5. Confidentialité des personnes autorisées

L’accès aux données du Client est limité aux personnes dont l’intervention est nécessaire à l’exécution du contrat, tenues à une obligation de confidentialité. En pratique, l’accès n’a lieu qu’à la demande du Client, dans le cadre d’une assistance, et se limite à ce que la demande exige.

6. Sécurité

Les mesures suivantes sont mises en œuvre au titre de l’article 32 du règlement :

• Chiffrement des échanges par HTTPS.
• Cloisonnement des données entre cabinets clients : chaque cabinet dispose de sa propre base de données et de son propre espace de fichiers, séparés au niveau du système et non seulement par un filtre applicatif.
• Mots de passe et jetons stockés sous forme d’empreintes, jamais en clair.
• Une session active par utilisateur : une nouvelle connexion ferme la précédente.
• Clé d’intelligence artificielle chiffrée au repos.
• Sauvegardes quotidiennes conservées hors du serveur de production.
• Journalisation des accès et des opérations sensibles.

7. Sous-traitants ultérieurs

Le Client autorise DIAG360 à recourir aux sous-traitants ultérieurs énumérés ci-dessous. Tout ajout ou remplacement est notifié au moins un mois à l’avance ; le Client peut s’y opposer pour un motif tenant à la protection des données, et résilier sans pénalité si l’opposition ne peut être satisfaite.

Assistance à la rédaction

L’assistance à la rédaction est facultative et n’est active que si le Client la met en service avec sa propre clé d’interface de programmation. En l’activant, le Client donne instruction de transmettre au fournisseur qu’il a choisi les éléments nécessaires à la génération du texte demandé.

Les requêtes sont expurgées des identifiants directs — nom de la copropriété, adresse, nom du syndic. Il s’agit d’une pseudonymisation, non d’une anonymisation : les éléments descriptifs transmis pourraient, recoupés avec d’autres informations, permettre une réidentification indirecte. Ces données demeurent donc des données à caractère personnel.

Le fournisseur de l’assistance étant établi hors de l’Union européenne, ce transfert est encadré par les clauses contractuelles types de la Commission européenne, auxquelles adhère le fournisseur. La relation contractuelle relative à l’usage de la clé se noue entre le Client et son fournisseur, dont le Client accepte les conditions.

L’assistance peut être désactivée entièrement : le logiciel fonctionne sans elle, et aucune donnée n’est alors transmise à un tiers à ce titre.

8. Assistance à l’exercice des droits

Les demandes d’exercice des droits — accès, rectification, effacement, limitation, portabilité, opposition — sont adressées au Client, seul responsable d’y répondre.

DIAG360 lui apporte l’assistance technique nécessaire, notamment par les fonctions d’export et de suppression du logiciel. Si une demande était reçue directement, elle serait transmise au Client sans délai et sans y être répondu au fond.

9. Violations de données, analyses d’impact

DIAG360 notifie au Client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard sous quarante-huit heures après en avoir pris connaissance, en précisant la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises. Le délai de soixante-douze heures de l’article 33 court pour le Client à compter de cette notification.

DIAG360 prête son concours au Client pour la réalisation d’une analyse d’impact et, le cas échéant, pour la consultation préalable de l’autorité de contrôle.

10. Sort des données au terme du contrat

Conformément à l’article 28 §3 g) du règlement, le sort des données de mission est déterminé par le Client, et non par DIAG360.

À la fin du contrat :

• Le Client dispose d’un délai de 60 jours pour exporter l’intégralité de ses dossiers. Les fonctions d’export demeurent accessibles pendant ce délai.
• À l’expiration de ce délai, les données de mission sont supprimées, sauf demande écrite contraire du Client.
• Sur demande écrite formulée avant ce terme, elles peuvent être conservées inactives pendant 12 mois, afin de permettre une reprise d’abonnement sans nouvelle saisie. Le Client peut à tout moment demander leur suppression anticipée.
• La suppression s’étend aux sauvegardes, selon le cycle de rotation de celles-ci, dans un délai n’excédant pas trente jours supplémentaires.

Les données pour lesquelles DIAG360 est responsable de traitement — compte, société, factures — suivent les durées propres indiquées dans la politique de confidentialité, certaines étant imposées par la loi comptable.

11. Documentation et audit

DIAG360 tient le registre des catégories d’activités de traitement effectué pour le compte du Client, prévu à l’article 30 §2, et met à disposition les informations nécessaires pour démontrer le respect de la présente annexe.

Le Client peut demander un audit, au plus une fois par an sauf incident de sécurité, moyennant un préavis de trente jours, à ses frais, et sans que l’audit puisse porter atteinte à la confidentialité des données des autres clients ni à la sécurité de l’infrastructure.

12. Contact

Toute question relative à la présente annexe : contact@dtg360.fr, ou DIAG360, 15 rue Étienne Poulet, 59160 Lille.