Kreedl - Accord de traitement des données

Les termes « données à caractère personnel », « responsable du traitement », « sous-traitant », « traitement », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (le « RGPD »). Les « Données personnelles du Client » désignent les données à caractère personnel que le Client fournit à Kreedl ou lui rend accessibles, ou que Kreedl collecte pour le compte du Client dans le cadre de la fourniture des services, y compris le contenu des communications, les enregistrements et les transcriptions, que ces données identifient le Client ou un tiers entrant en relation contractuelle avec le Client. Un « Sous-traitant ultérieur » désigne tout tiers auquel Kreedl fait appel pour traiter des Données personnelles du Client. Le « UK GDPR » désigne le RGPD tel que maintenu dans le droit du Royaume-Uni.

Le Client est le responsable du traitement des Données personnelles du Client. Kreedl est le sous-traitant de ces données. Kreedl n’est responsable du traitement indépendant que pour les données de compte, de facturation, d’utilisation et de marketing propres au Client, ou lorsqu’un tiers utilise les services de Kreedl sans être entré en relation contractuelle avec le Client. Ces activités sont décrites plus en détail dans le document de Kreedl intitulé Politique de confidentialité, disponible sur kreedl.com/fr/privacy (la « Politique de confidentialité »).

Objet et finalité. L’exploitation d’un assistant IA qui communique pour le compte du Client avec des locataires, résidents, usagers des sites, candidats, prestataires et autres personnes par téléphone, WhatsApp, SMS et e-mail, et qui exécute les actions autorisées par le Client.

Nature du traitement. La réception, l’enregistrement, la transcription, la conservation, l’analyse et la synthèse des communications ; la consultation ou la conservation des dossiers du Client selon le mode choisi (section 4) ; la prise de rendez-vous ; le mandatement de prestataires ; et, sur instruction, le classement des candidats ou la synthèse d’informations publiquement accessibles concernant des candidats locataires.

Catégories de personnes concernées. Locataires, résidents, candidats locataires ou acquéreurs, responsables de magasin et usagers des sites, prestataires et techniciens, salariés et représentants du Client, ainsi que toute autre personne contactant un immeuble desservi par Kreedl.

Types de données à caractère personnel. Nom, coordonnées, immeuble et logement, durée et conditions de la location, montant du loyer et état des paiements, documents du bail, signalements de pannes, photos, messages vocaux, enregistrements d’appels, transcriptions, contenu des messages et métadonnées. Pour les candidats locataires ou acquéreurs, en outre la date d’entrée souhaitée, la composition du foyer, l’emploi, les revenus, le mode de financement et les références, lorsque le Client les exige pour évaluer la candidature. Lorsque le Client demande une vérification d’identité, les quatre derniers chiffres du numéro d’identification national tchèque peuvent être comparés avec les dossiers du Client ; le numéro complet n’est pas conservé. Kreedl ne traite pas les codes de porte ni d’autres moyens d’accès physique.

Durée. Les données à caractère personnel sont traitées pendant la durée du service commandé, puis jusqu’à l’achèvement de leur restitution et de leur suppression conformément à la section 12. Les parties fixent les durées de conservation des données de manière à ce qu’elles reflètent la nature même du service fourni. Les durées de conservation tiennent compte notamment, mais non exclusivement, de la fin des relations locatives entre le Client et des tiers, de la protection des intérêts légitimes du Responsable du traitement en lien avec son patrimoine et des durées de conservation obligatoires fixées par la réglementation en vigueur.

4.1 Le Client choisit l’un des trois modes décrits dans la Politique de confidentialité. Mode A - aucun accès aux dossiers du Client. Mode B - accès en lecture aux systèmes du Client sans conservation des dossiers. Mode C - dossiers du Client conservés par Kreedl. Dans chaque mode, Kreedl conserve le contenu des communications, les enregistrements, les transcriptions et les coordonnées des personnes qui communiquent avec lui.

4.2 Les instructions documentées du Client comprennent le mode choisi, la configuration convenue lors de la mise en service, les paramètres que le Client définit dans l’application Kreedl, les données que le Client téléverse ou rend accessibles, ainsi que toute instruction écrite envoyée à [email protected]. Le téléversement de données, l’activation d’un abonnement, la création d’un profil ou toute autre mise à disposition de données à Kreedl constitue une instruction du Client de traiter ces données aux fins de la section 3.

4.3 Le Client peut modifier le mode ou ses instructions à tout moment par e-mail, dans l’application ou par un comportement dont la modification ressort clairement. Kreedl met en œuvre les modifications dans un délai de 14 jours.

4.4 Kreedl peut refuser une instruction qui, selon son avis raisonnable, constitue une violation du RGPD ou d’une autre loi, et en informe le Client. Kreedl peut également traiter des Données personnelles du Client lorsque le droit de l’Union ou le droit d’un État membre l’exige ; dans ce cas, il en informe le Client, sauf si la loi l’interdit.

Le Client déclare et s’engage :

• à disposer d’une base juridique valable, et à la déterminer correctement, pour toutes les Données personnelles du Client qu’il obtient et transmet à Kreedl et pour chaque communication qu’il demande à Kreedl d’initier. Le Client est seul responsable de toute absence de base juridique pour la fourniture ou la transmission des données ;
• à remplir l’obligation d’information des personnes concernées prévue aux articles 12, 13 et 14 du RGPD, y compris la publication des informations destinées aux appelants figurant dans la Partie A des Conditions de conformité de Kreedl, et à assumer seul cette obligation, que Kreedl publie ou non des informations sur l’activité concernée dans sa Politique de confidentialité. Cela est sans préjudice de l’obligation d’information de Kreedl en sa qualité de responsable du traitement indépendant ;
• lorsqu’il demande à Kreedl de collecter des informations publiquement accessibles concernant des candidats locataires, à informer ces personnes de la source des données au plus tard lors du premier contact ;
• lorsqu’il fournit des numéros d’identification nationaux tchèques, à respecter l’article 13c de la loi tchèque n° 133/2000 Sb. ;
• à assumer la responsabilité des limites d’autonomie qu’il fixe et du traitement des escalades ;
• à adopter des mesures techniques et de mise en œuvre garantissant la meilleure protection possible des données à caractère personnel des personnes concernées, dont il est seul responsable, sauf si les données se trouvent sur un appareil ou dans une base de données détenu ou exploité exclusivement par Kreedl ;
• à ce que ses instructions soient conformes à la loi. Le Client est seul responsable de la licéité de ses instructions et de toute sanction liée à leur non-conformité. Si l’une ou l’autre des parties conclut que l’exécution d’une instruction du Client peut être subordonnée à une analyse d’impact relative à la protection des données (« AIPD »), l’instruction est différée jusqu’à ce que sa licéité ait été validée sur la base d’une AIPD, dont le coût est supporté par le Client. Kreedl n’est toutefois pas tenu d’examiner activement ni de vérifier d’une autre manière la licéité des instructions du Client.

Kreedl :

• traite les Données personnelles du Client uniquement sur instruction documentée du Client et uniquement aux fins de la section 3 ;
• veille à ce que les personnes autorisées à traiter les Données personnelles du Client soient liées par des engagements de secret et de confidentialité, lorsque Kreedl les a autorisées à effectuer le traitement ;
• met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 1 ;
• n’utilise pas les Données personnelles du Client pour entraîner ou affiner un quelconque modèle d’IA ;
• aide le Client à donner suite aux demandes des personnes concernées (section 9) et pour ce qui est de la sécurité, de la notification des violations et des analyses d’impact relatives à la protection des données (section 10), compte tenu de la nature du traitement ;
• supprime ou restitue les Données personnelles du Client conformément à la section 12 ;
• met à disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et permet la réalisation d’audits conformément à la section 11 ;
• conserve les données rendues accessibles par le Client séparément des données qu’il traite en qualité de responsable du traitement indépendant ;
• adopte des mesures techniques et de mise en œuvre garantissant la meilleure protection possible des données à caractère personnel des personnes concernées lorsque les données se trouvent sur un appareil ou dans une base de données détenu ou exploité exclusivement par Kreedl.

7.1 Le Client accorde à Kreedl une autorisation générale de recourir à des sous-traitants ultérieurs. La liste actuelle figure à la section 7 de la Politique de confidentialité, disponible sur kreedl.com/fr/privacy.

7.2 Kreedl informe le Client par e-mail de l’ajout ou du remplacement d’un sous-traitant ultérieur au moins 14 jours avant la prise d’effet du changement.

7.3 Si le Client émet une objection dans les 14 jours suivant la notification pour des motifs raisonnables liés à la protection des données, Kreedl peut proposer une alternative. À défaut d’accord, le seul recours du Client consiste à résilier les services concernés par notification écrite, sans pénalité pour la partie résiliée, avec effet à la date de prise d’effet du changement de sous-traitant ultérieur. Kreedl n’est pas tenu de changer de sous-traitant ultérieur.

7.4 Kreedl impose à chaque sous-traitant ultérieur des obligations en matière de protection des données qui ne sont pas moins strictes que celles du présent Accord et demeure responsable de leur exécution.

7.5 Lorsque Kreedl recourt à un nouveau sous-traitant ultérieur, il lui incombe d’indiquer l’identité de ce nouveau sous-traitant ultérieur dans la Politique de confidentialité et d’en informer le Client conformément à l’article 7.2, afin que le Client puisse remplir son obligation d’information prévue à la section 5.

Kreedl conserve les Données personnelles du Client dans l’Union européenne. Le traitement par l’IA et la téléphonie peuvent faire intervenir des fournisseurs situés en dehors de l’EEE ou du Royaume-Uni. Pour chacun de ces transferts, Kreedl s’appuie sur les clauses contractuelles types de l’UE, une décision d’adéquation (y compris le cadre de protection des données UE - États-Unis lorsque le fournisseur est certifié) ou, pour les données britanniques, l’addendum britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum). Kreedl propose, sur demande écrite, une configuration de traitement exclusivement européenne ; il appartient au Client d’en faire la demande. Le Client autorise Kreedl à conclure en son nom les clauses contractuelles types avec les sous-traitants ultérieurs. L’addendum britannique est disponible sur demande.

Lorsque Kreedl reçoit une demande d’une personne concernée relative à des Données personnelles du Client, il la transmet au Client dans un délai de 3 jours ouvrés et n’y répond pas sur le fond sans instruction. Kreedl apporte une assistance raisonnable afin que le Client puisse répondre dans les délais légaux. L’assistance au-delà de cinq demandes par mois, ou nécessitant plus qu’un effort raisonnable, est facturée au taux horaire en vigueur de Kreedl.

10.1 Kreedl notifie au Client toute violation de Données personnelles du Client dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. La notification initiale contient les informations connues à ce moment-là. Les parties se prêtent mutuellement l’assistance nécessaire au titre des articles 33 et 34 du RGPD pour éliminer les risques, les conséquences de la violation et les amendes de l’autorité de contrôle, et pour mener à bien l’enquête sur la violation.

10.2 La notification à l’autorité de contrôle et la communication aux personnes concernées incombent à la partie qui gère la base de données ou l’appareil dans lequel la violation de données à caractère personnel s’est produite.

10.3 Lorsque le Client doit réaliser une AIPD, Kreedl lui fournit une description du traitement, les mesures prévues à l’annexe 1 et les autres informations raisonnables strictement nécessaires à la préparation de l’AIPD. L’analyse est réalisée, validée et détenue par le Client. Le Client supporte le coût de la préparation de l’AIPD.

10.4 Nonobstant la validation par le Client prévue à l’article 10.3, Kreedl n’est pas tenu d’exécuter une instruction du Client lorsque, malgré l’existence d’une AIPD, Kreedl a des motifs raisonnables de soupçonner que l’instruction est illicite, que le principe de minimisation des données n’a pas été suffisamment pris en compte lors de la préparation de l’AIPD, ou que la qualité et la légitimité de l’analyse sont insuffisantes.

Une fois par année civile, moyennant un préavis écrit de 30 jours, le Client peut demander le questionnaire de sécurité complété de Kreedl, une copie de l’annexe 1 et la documentation disponible démontrant le respect du présent Accord. Une inspection sur place n’a lieu qu’en un lieu et à un moment où une autorité de contrôle ou la loi l’exige, sous réserve de confidentialité, sans accès aux données des autres Clients et aux frais du Client. Kreedl n’est pas certifié ISO 27001 ni SOC 2, ne garantit pas que les vérifications internes sont menées conformément à une telle certification, ce que le Client reconnaît.

12.1 À la résiliation du contrat Client, ainsi qu’à tout moment sur demande écrite, Kreedl exporte les Données personnelles du Client dans un format structuré et lisible par machine (JSON ; fichiers audio pour les enregistrements) et supprime les Données personnelles du Client dans un délai de 30 jours à compter de la résiliation. Les sauvegardes chiffrées sont purgées dans un délai de 90 jours. Kreedl confirme la suppression par écrit sur demande. Kreedl peut conserver des données lorsque la loi l’exige, et uniquement à cette fin.

12.2 Lorsque la base juridique sur laquelle le Client détient les données d’un tiers à l’égard de ce tiers cesse d’exister, le Client en informe Kreedl et est seul responsable de la transmission de cette information. Kreedl procède à la suppression conformément aux durées de conservation des données à caractère personnel, à moins que le Client n’exige la conservation de l’enregistrement pour l’un de ses intérêts légitimes, auquel cas le Client justifie cet intérêt légitime. Le Client répond de toute sanction administrative ou autre résultant du fait qu’il n’a pas informé Kreedl de la disparition de la base juridique, ou du caractère illégitime de son intérêt lorsque cet intérêt fonde la prolongation de la conservation des données.

13.1 Dans toute la mesure permise par la loi, la responsabilité totale de Kreedl découlant du présent Accord ou en lien avec celui-ci, y compris toute amende administrative ou toute réclamation d’une personne concernée, est limitée au montant versé par le Client au cours des douze mois précédant le fait générateur de la réclamation, et Kreedl n’est pas responsable des préjudices indirects ou consécutifs, du manque à gagner, de la perte de données ou de l’atteinte à la réputation.

13.2 Kreedl n’a aucune obligation d’indemniser le Client.

13.3 Le Client garantit et indemnise Kreedl contre toute réclamation, amende, perte ou dépense (y compris des frais d’avocat raisonnables, et y compris le cas où, en raison d’un comportement nullement imputable à Kreedl, Kreedl subit une perte ou se trouve tenu de payer une réclamation ou une amende au titre de l’article 13.1 au-delà du plafond de responsabilité prévu à l’article 13.1) résultant d’une violation par le Client du présent Accord ou du RGPD, d’une instruction du Client, de données fournies sans base juridique ou sans l’information requise des personnes concernées lorsque le présent Accord le prévoit expressément, ou des paramètres d’autonomie choisis par le Client.

Le présent Accord survit à la résiliation du contrat Client jusqu’à la prescription, en vertu du droit tchèque, de la dernière réclamation potentielle liée directement ou indirectement aux droits et obligations découlant du présent Accord. L’Accord est régi par le droit de la République tchèque et les litiges découlant exclusivement du présent Accord sont tranchés par les juridictions compétentes de Prague. Il est publié en anglais et en tchèque ; la version anglaise prévaut, sauf disposition contraire du contrat Client. La présente version française est une traduction à titre informatif. Kreedl peut mettre à jour unilatéralement le présent Accord moyennant un préavis de 14 jours adressé aux Clients par e-mail ; la poursuite de l’utilisation après la date d’entrée en vigueur vaut acceptation.

Chiffrement. Les Données personnelles du Client sont chiffrées au repos (AES-256 ou équivalent) et en transit (TLS 1.2 ou supérieur). Les enregistrements d’appels et les fichiers sont conservés dans un stockage objet chiffré.

Contrôle d’accès. Accès fondé sur les rôles. Seul le personnel de Kreedl qui en a besoin pour exploiter le service y a accès. L’authentification multifacteur est obligatoire pour l’ensemble du personnel de Kreedl et pour tout accès administratif à l’infrastructure. Les accès sont réexaminés lors de changements de personnel et au moins une fois par trimestre.

Journalisation et auditabilité. Chaque action de l’assistant IA et chaque accès du personnel aux Données personnelles du Client sont journalisés avec l’heure et l’identité. Les journaux sont conservés 12 mois et le Client y a accès pour ses propres données.

Gestion des secrets. Les identifiants des fournisseurs et les clés d’API sont conservés dans un gestionnaire de secrets, jamais dans le code ni exposés aux utilisateurs, et font l’objet d’une rotation lorsqu’un membre du personnel quitte l’entreprise ou en cas de soupçon de compromission.

Séparation des Clients. Les données de chaque Client sont séparées logiquement. Aucun Client n’a accès aux données d’un autre.

Sauvegardes. Sauvegardes chiffrées au moins quotidiennes, conservées 90 jours, restauration testée au moins une fois par an.

Fournisseurs de modèles d’IA. Il est contractuellement interdit aux fournisseurs de modèles d’utiliser les Données personnelles du Client pour l’entraînement. Kreedl n’entraîne ni n’affine de modèles sur les Données personnelles du Client.

Personnel. L’ensemble du personnel et des sous-traitants signe des engagements de secret et de confidentialité et suit une formation à la protection des données avant de se voir accorder un accès. Les accès sont révoqués le jour du départ.

Réponse aux incidents. Une procédure documentée avec une personne responsable, une notification au Client dans un délai de 48 heures et une analyse post-incident.

Sécurité physique. L’infrastructure est hébergée auprès des fournisseurs énumérés dans la Politique de confidentialité, qui exploitent des centres de données certifiés (ISO 27001 / SOC 2 au niveau du fournisseur). Kreedl n’exploite pas ses propres centres de données.

Suppression. Des règles de conservation automatiques suppriment les données de communication après 12 mois ou dans un autre délai fixé par le Client conformément à la section 3 et à l’article 12.2. Suppression dans un délai de 30 jours à la résiliation, sauvegardes dans un délai de 90 jours.