Annexe RGPD — DPA agences

Article 1 — Parties et champ de l’annexe

La présente annexe fait partie des CGV agences. L’Agence désignée dans la commande agit comme responsable de traitement et Réza, identifiée dans les mentions légales, comme sous-traitant uniquement pour les opérations exécutées pour le compte de l’Agence et sur ses instructions documentées. Elle prévaut sur une clause incompatible pour la protection des données confiées.

L’Agence est identifiée par sa dénomination, son SIRET, son adresse et son représentant dans son compte et sa commande. Son interlocuteur pour les données est le représentant habilité du compte, ou celui qu’elle notifie par écrit à Réza. Le contact de Réza est support@reza-immo.com.

Article 2 — Description des traitements confiés

La seule présence de données d’un client dans Réza ne suffit pas à qualifier tout leur usage de sous-traitance. Le compte autonome du particulier, notamment l’accès à l’espace locataire et la transmission demandée par le candidat, le matching transversal interagences, les estimations demandées directement à Réza, la vérification budgétaire par Réza et la gestion propre de la plateforme, des paiements et de la sécurité relèvent de ses finalités de responsable de traitement, exposées dans la politique de confidentialité. Les échanges entre responsables distincts doivent respecter leurs bases légales et obligations d’information.

La sollicitation, la collecte, la conservation et l’analyse par Réza de notes et avis auprès des acheteurs après visite et des vendeurs après vente, pour évaluer la prestation des agents et agences, ainsi que l’affichage de ces notes et avis auprès d’autres vendeurs à titre informatif pour les aider à apprécier la qualité de ces prestations, relèvent également des finalités propres de Réza comme responsable de traitement. Ce dispositif, décrit dans les CGU, les CGV et la politique de confidentialité, ne relève pas des instructions de l’Agence au titre de la présente annexe. Il est distinct des commentaires de suivi saisis par l’Agence pour gérer ses propres dossiers.

Article 3 — Instructions et obligations de l’Agence

La commande, les paramètres autorisés, les actions des utilisateurs habilités et les demandes écrites constituent les instructions documentées dans leur périmètre. L’Agence détermine les finalités, les données nécessaires, les destinataires et les durées, garantit une base légale, informe les personnes, respecte leurs oppositions et limite les accès de ses collaborateurs. Elle ne doit pas considérer l’invitation d’un client comme son consentement à toute réutilisation indépendante par Réza.

Réza traite les données confiées uniquement selon ces instructions, y compris pour les transferts, sauf obligation légale applicable ; elle en informe préalablement l’Agence, sauf interdiction pour motif important d’intérêt public. Si une instruction paraît contraire au RGPD ou à une autre règle de protection des données, Réza en informe immédiatement l’Agence et suspend l’opération concernée le temps de convenir d’une solution licite. Aucune instruction générale n’autorise la vente des données ou leur utilisation publicitaire propre.

Pour les candidatures locatives, l’Agence limite les champs, justificatifs et filtres aux données nécessaires et aux demandes légalement autorisées. Elle reste responsable de l’examen humain des dossiers, de la non-discrimination, des informations données aux candidats et aux tiers concernés et des éventuelles transmissions au bailleur. L’autorisation de partage DossierFacile n’est pas une autorisation de prospection ni de réutilisation sans lien avec la candidature. Les envois demandés à Réza respectent ces limites ; la sélection des destinataires, le contenu et l’adresse de réponse relèvent des instructions de l’Agence.

Article 4 — Confidentialité et sécurité

Réza veille à ce que les personnes autorisées soient soumises à un engagement de confidentialité ou une obligation légale appropriée, et limite leurs accès au besoin d’en connaître. Elle met en œuvre les mesures proportionnées au risque prévues à l’article 32 du RGPD et les réévalue.

Les contrôles techniques existants incluent authentification, séparation par agence et rôle, restrictions d’accès en base, stockage privé des pièces concernées, accès contrôlés aux fichiers, contrôle de formats, limitation des requêtes abusives et filtrage des données d’observabilité. Les comptes techniques privilégiés sont destinés aux opérations serveur autorisées. Le chiffrement des communications et les dispositifs de sauvegarde, restauration et chiffrement au repos doivent être documentés selon la configuration réellement retenue.

Cette annexe n’atteste pas d’une certification de sécurité, d’un audit externe ou d’un niveau de disponibilité non établi. L’Agence sécurise ses terminaux et accès ; cette obligation ne décharge pas Réza de ses propres obligations.

Article 5 — Sous-traitants ultérieurs

L’Agence donne une autorisation générale de recourir aux sous-traitants ultérieurs nécessaires, sous réserve de disposer avant les traitements de la liste complétée ci-dessous. Un simple renvoi à tous les partenaires commerciaux de Réza ne constitue pas cette liste.

DossierFacile est un service public distinct dont le partage est autorisé par le candidat ; il n’est pas un sous-traitant ultérieur de l’Agence du seul fait de cette connexion. Ses traitements propres relèvent de ses conditions et de sa politique de confidentialité.

Réza informe l’Agence sur support durable d’un ajout ou remplacement au moins 30 jours avant le traitement prévu, avec fonction, localisation et garanties. L’Agence peut émettre une objection motivée tenant à la protection des données pendant ce délai. Les parties recherchent une solution ; le nouveau traitement contesté ne commence pas pour les données de l’Agence tant que l’objection n’est pas résolue. À défaut de solution raisonnable, le service affecté peut être résilié sans pénalité, avec régularisation des sommes pour le service non fourni.

Réza impose par écrit à chaque sous-traitant ultérieur des obligations de protection au moins équivalentes pour les opérations confiées, vérifie ses garanties et demeure responsable envers l’Agence de l’exécution de ces obligations.

Article 6 — Transferts internationaux

Réza n’effectue de transfert hors EEE que sur instruction documentée et avec une garantie valable au titre du chapitre V du RGPD. La liste de l’article 5 doit préciser les accès à distance, les régions et mécanismes de transfert, y compris ceux des sous-traitants ultérieurs.

Une décision d’adéquation ne peut être invoquée que pour son périmètre effectif, notamment une certification active et pertinente lorsqu’elle est requise. À défaut, les clauses contractuelles types appropriées sont accompagnées de l’évaluation et des mesures complémentaires nécessaires. Réza fournit à l’Agence les informations permettant d’apprécier ces garanties et l’informe d’une impossibilité de les respecter. La seule localisation européenne d’un serveur ne couvre pas tous les accès depuis des pays tiers.

Article 7 — Assistance et droits des personnes

Compte tenu de la nature des traitements, Réza aide l’Agence par des mesures techniques et organisationnelles appropriées à répondre aux demandes d’accès, rectification, effacement, opposition, limitation et portabilité. Une demande reçue directement est transmise sans retard injustifié ; Réza n’y répond au nom de l’Agence que sur instruction ou obligation légale. Elle répond séparément pour ses traitements propres.

Réza aide également l’Agence à satisfaire les articles 32 à 36 du RGPD, notamment sécurité, évaluation d’impact et consultation préalable, en fournissant les éléments dont elle dispose. Les parties coopèrent avec la CNIL. Une assistance exceptionnelle éventuellement facturée doit être préalablement définie et proportionnée, sans empêcher le respect d’une obligation légale urgente ou la correction d’un manquement de Réza.

Article 8 — Violations de données

Réza notifie à l’Agence toute violation de données confiées dans les meilleurs délais après en avoir pris connaissance, au contact habilité, sans attendre une analyse exhaustive. La notification décrit, à mesure que l’information devient disponible, la nature de l’incident, les catégories et nombres approximatifs de personnes et d’enregistrements concernés, ses conséquences probables, les mesures prises ou proposées et le contact de suivi.

Réza contient l’incident, conserve les éléments utiles et fournit des mises à jour permettant à l’Agence de décider de ses notifications à l’autorité et aux personnes. Le délai de 72 heures du RGPD concerne la notification par le responsable à l’autorité lorsqu’elle est requise ; il n’autorise pas Réza à différer systématiquement son alerte de 72 heures. Réza ne notifie pas à la place de l’Agence sans mandat ou obligation légale.

Article 9 — Documentation et audits

Réza met à disposition les informations nécessaires pour démontrer le respect de l’article 28 et tient le registre requis pour ses activités de sous-traitant. Elle permet les audits, y compris inspections, réalisés par l’Agence ou un auditeur mandaté tenu à confidentialité, et y contribue.

Le périmètre, le préavis raisonnable et les modalités protègent la sécurité et les données d’autres clients, sans supprimer le droit d’audit. Les contrôles urgents après incident ou sur demande de l’autorité ne sont pas soumis à une limitation annuelle arbitraire. Les coûts d’un audit particulier peuvent être convenus à l’avance, sans transférer à l’Agence les coûts de remédiation des manquements imputables à Réza.

Article 10 — Restitution et sort des données

Au terme du service, Réza restitue les données confiées à l’Agence ou les supprime, selon le choix de l’Agence, et supprime les copies, sauf obligation légale de conservation. La restitution s’effectue par un moyen sécurisé dans un format structuré et couramment utilisable. Elle peut être organisée par le support.

Les factures ou preuves que Réza doit conserver comme responsable de traitement restent séparées et limitées à leurs finalités. La fermeture de l’abonnement d’une agence ne supprime pas automatiquement le compte autonome d’un particulier ni les données d’une autre agence. Les demandes d’effacement doivent distinguer ces périmètres.

Pour la location, l’accès aux données structurées DossierFacile expire au plus tard trois mois calendaires après le dépôt, sans prolongation par synchronisation ; ces données sont purgées par le nettoyage planifié et supprimées plus tôt en cas de révocation du partage ou d’archivage du bien. La révocation révoque également les sessions locataires. Les réponses et pièces directement remises à Réza sont purgées par le même nettoyage à trois mois ; la révocation DossierFacile ou l’archivage du bien ne les suppriment pas à eux seuls. Une demande de fermeture du compte locataire déclenche leur suppression physique anticipée au nettoyage nocturne suivant. Toute conservation pour une obligation ou un litige doit être justifiée, limitée et à accès restreint ; une purge anticipée supplémentaire après clôture ou rejet reste une décision de cycle de vie distincte.

La demande de fermeture de l’espace locataire masque immédiatement les candidatures et révoque les sessions ; le nettoyage nocturne suivant est chargé de supprimer liaison, candidatures, réponses et pièces, avec reprise en cas d’échec. L’Agence tient compte de ce fonctionnement dans ses instructions et ne considère pas Réza comme un archivage permanent des dossiers. Ses copies détenues hors Réza restent sous sa responsabilité et soumises aux droits des personnes et durées applicables. Réza ne ferme pas le compte DossierFacile.

Article 11 — Durée et responsabilité

Les obligations de confidentialité, d’assistance et de protection perdurent aussi longtemps que Réza conserve des données confiées. Les droits des personnes concernées et les responsabilités prévues au RGPD, notamment son article 82, demeurent applicables. Les différends suivent les CGV, sans réduire les pouvoirs de la CNIL ou les recours des personnes.