Contrat de sous-traitance

1. Objet et durée

1.1. Le présent Contrat régit le traitement de données à caractère personnel par le Sous-traitant
pour le compte du Responsable du traitement, conformément à l’article 28 du Règlement général sur la protection
des données (« RGPD »).

1.2. La durée du présent Contrat suit la durée du contrat principal (y compris la Licence
de logiciel et les Conditions générales). Le traitement commence à l’activation des services et prend fin à la
suppression ou au renvoi de l’ensemble des données à caractère personnel, conformément à l’article 12.

2. Description du traitement

2.1. Catégories de personnes concernées

Le traitement peut concerner notamment les catégories de personnes concernées suivantes :

• locataires et co-locataires ;
• propriétaires et bailleurs ;
• inspecteurs et membres du personnel du Responsable du traitement ;
• fournisseurs et contacts externes dans le cadre des inspections ;
• contacts auprès d’associations de copropriétaires, de sociétés de logement social ou d’autorités publiques.

2.2. Catégories de données à caractère personnel

Les données sont déterminées par le Responsable du traitement et peuvent notamment comprendre :

• données d’identification (nom, prénom, adresse, coordonnées) ;
• données relatives aux biens et emplacements faisant l’objet d’inspections ;
• photos, vidéos et rapports d’inspection ;
• signatures numériques ;
• notes internes et références ;
• comptes utilisateurs et données de journaux / logs.

2.3. Types de traitement

• collecte, enregistrement et conservation ;
• consultation, utilisation et traitement à des fins d’inspection ;
• organisation, structuration et reporting ;
• transmission au Responsable du traitement ou à ses systèmes ;
• sauvegarde, archivage et suppression sécurisée.

2.4. Finalités du traitement

• exécution, documentation et suivi d’inspections numériques et de rapports d’inspection ;
• gestion et suivi d’actifs immobiliers ;
• respect des obligations légales relatives aux inspections et à la documentation ;
• administration de la preuve dans le cadre de la location et de la gestion de biens immobiliers.

3. Obligations du Sous-traitant

Le Sous-traitant s’engage à :

• 3.1. traiter les données à caractère personnel uniquement sur instruction documentée du
  Responsable du traitement, sauf si une obligation légale de l’Union ou d’un État membre exige un autre traitement ;
• 3.2. ne pas utiliser les données à caractère personnel à ses propres fins ;
• 3.3. veiller à ce que toutes les personnes agissant sous son autorité et ayant accès aux données
  à caractère personnel soient contractuellement tenues à une obligation de confidentialité ;
• 3.4. mettre en œuvre des mesures techniques et organisationnelles appropriées conformément à
  l’article 32 du RGPD, comprenant notamment :
  • le chiffrement des données en transit et, lorsque cela est possible, au repos ;
  • un contrôle d’accès et une journalisation (logging) ;
  • l’utilisation de centres de données sécurisés ;
  • la protection contre les logiciels malveillants et les accès non autorisés ;
  • la surveillance des systèmes et des incidents de sécurité.
• 3.5. assister le Responsable du traitement dans la réponse aux demandes des personnes concernées
  (accès, rectification, effacement, limitation, portabilité, opposition) ;
• 3.6. coopérer, lorsque nécessaire, aux analyses d’impact relatives à la protection des données
  (AIPD / DPIA) ainsi qu’aux échanges avec les autorités de contrôle ;
• 3.7. ne pas effectuer de traitement en dehors de l’UE / de l’EEE à moins que les conditions du
  chapitre V du RGPD ne soient remplies ;
• 3.8. tenir à jour un registre des activités de traitement pour les traitements effectués pour le
  compte du Responsable du traitement.

4. Violations de données à caractère personnel

4.1. Le Sous-traitant informe le Responsable du traitement sans retard injustifié et au plus tard
dans les 24 heures, par écrit, de toute violation de données à caractère personnel détectée ou raisonnablement
suspectée et concernant des données traitées dans le cadre du présent Contrat.

4.2. La notification contient, dans la mesure du possible, au minimum :

• la nature de la violation de données à caractère personnel et, si possible, les catégories et le nombre
  approximatif de personnes concernées ainsi que les catégories et le nombre approximatif d’enregistrements de
  données concernés ;
• les conséquences probables de la violation ;
• les mesures prises ou proposées par le Sous-traitant pour remédier à la violation et en atténuer les éventuelles
  conséquences négatives.

4.3. Le Sous-traitant coopère pleinement avec le Responsable du traitement pour l’évaluation de la
violation, pour toute notification obligatoire aux autorités de contrôle et, le cas échéant, aux personnes concernées,
ainsi que pour toute mesure d’enquête et de remédiation complémentaire.

5. Sous-traitants ultérieurs

5.1. Le Sous-traitant est autorisé à faire appel à des sous-traitants ultérieurs pour l’exécution du
présent Contrat, à condition que ces sous-traitants soient contractuellement soumis aux mêmes obligations en matière
de protection des données et de sécurité que celles prévues dans le présent Contrat, conformément à l’article 28,
paragraphe 4, du RGPD.

5.2. Le Sous-traitant tient à jour une liste des sous-traitants ultérieurs (voir
Annexe I – Liste des sous-traitants). Cette liste comprend au minimum :

• l’entité juridique ;
• la finalité du traitement ;
• le lieu d’hébergement ou de traitement ;
• l’adresse du sous-traitant.

5.3. Le Sous-traitant informe le Responsable du traitement au moins 30 jours avant d’ajouter ou de
remplacer un sous-traitant. La notification est faite par e-mail ou via une notification dans l’application.

5.4. Le Responsable du traitement a le droit de s’y opposer, de manière motivée, dans ce délai, si :

• le sous-traitant ne présente pas des garanties suffisantes en matière de protection des données et de sécurité de l’information ; ou
• le sous-traitant traite des données à caractère personnel dans un pays ne disposant pas d’un niveau de protection
  adéquat et sans mécanisme de transfert valable.

5.5. Si l’opposition est recevable, les parties s’efforcent de trouver une solution appropriée.
Si aucune solution n’est trouvée dans un délai de 15 jours, le Responsable du traitement est en droit :

• de mettre fin au(x) service(s) concerné(s) ; ou
• de limiter le traitement de manière à ce que le sous-traitant concerné ne soit pas utilisé.

5.6. Le Sous-traitant demeure pleinement responsable des actes et omissions de tous les
sous-traitants ultérieurs. Toute violation commise par un sous-traitant ultérieur est réputée constituer une
violation commise par le Sous-traitant.

5.7. Lorsque qu’un sous-traitant ultérieur traite des données à caractère personnel en dehors de
l’UE / de l’EEE, le Sous-traitant veille à ce que :

• un mécanisme valide de transfert international de données soit utilisé (tel que les clauses contractuelles types
  de l’UE ou une décision d’adéquation) ; et
• des mesures supplémentaires soient prises si nécessaire (par exemple chiffrement, pseudonymisation et garanties
  contractuelles de sécurité).

5.8. Le Responsable du traitement peut, sur demande, recevoir une copie des accords pertinents de
traitement de données conclus entre le Sous-traitant et ses sous-traitants ultérieurs, les informations
commercialement sensibles pouvant être occultées.

5.9. Le Sous-traitant ne fait appel à des sous-traitants ultérieurs que dans la mesure nécessaire à
la fourniture des services Chapps.

6. Transferts internationaux de données

6.1. Lorsque des données à caractère personnel traitées dans le cadre du présent Contrat sont
transférées en dehors de l’UE / de l’EEE, les parties veillent à ce que ces transferts soient conformes au chapitre V
du RGPD (par exemple décisions d’adéquation, clauses contractuelles types de l’UE ou autres mécanismes approuvés par
la Commission européenne).

6.2. Le Sous-traitant fournit au Responsable du traitement, sur demande, des informations
transparentes sur les pays dans lesquels les données à caractère personnel sont stockées ou traitées.

7. Droits des personnes concernées

7.1. Le Responsable du traitement est principalement responsable du traitement des demandes des
personnes concernées relatives à leurs droits en vertu du RGPD.

7.2. Le Sous-traitant assiste le Responsable du traitement gratuitement et dans un délai raisonnable (au maximum 5 jours ouvrables) pour :

• les demandes d’accès et de rectification ;
• les demandes d’effacement ou de limitation du traitement ;
• les demandes de portabilité des données ;
• les oppositions à certains traitements.

8. Sécurité du traitement

8.1. Le Sous-traitant met en œuvre des mesures de sécurité adaptées au risque, comprenant notamment :

• un contrôle d’accès fondé sur les principes du « besoin d’en connaître » et du « moindre privilège » ;
• une politique robuste de mots de passe et d’authentification ;
• des communications chiffrées (par exemple TLS) et, lorsque possible, un stockage chiffré ;
• des pare-feu, une segmentation du réseau et un monitoring ;
• un examen régulier et l’adaptation des mesures de sécurité.

8.2. Sur demande, le Sous-traitant fournit au Responsable du traitement une description des
principales mesures techniques et organisationnelles de sécurité.

9. Audit et inspection

9.1. Le Responsable du traitement est en droit de faire réaliser, au maximum une fois par an ou en
cas de présomption fondée de violation, un audit ou une inspection portant sur le respect du présent Contrat.

9.2. Les audits sont effectués moyennant un préavis raisonnable et de manière à ne pas perturber
de façon excessive les activités du Sous-traitant.

9.3. Le Sous-traitant peut fournir des preuves alternatives, telles que des rapports d’audit
externes récents ou des certifications, pour autant qu’ils couvrent suffisamment les aspects de sécurité pertinents.

10. Confidentialité

10.1. Le Sous-traitant traite toutes les données à caractère personnel qu’il traite pour le compte du
Responsable du traitement comme strictement confidentielles.

10.2. Le Sous-traitant veille à ce que tous les employés, consultants ou autres personnes agissant
sous sa responsabilité et ayant accès aux données à caractère personnel soient soumis à une obligation de
confidentialité appropriée.

11. Responsabilité

11.1. Chaque partie est responsable des dommages résultant de ses propres violations du RGPD ou du
présent Contrat, dans la mesure où ces dommages lui sont imputables.

11.2. Sauf en cas de faute intentionnelle ou de négligence grave, la responsabilité globale du
Sous-traitant découlant du présent Contrat ou en relation avec celui-ci est limitée aux montants effectivement payés
par le Responsable du traitement pour les services concernés au cours des douze (12) mois précédant l’événement à
l’origine de la réclamation.

11.3. Aucune des parties n’est responsable des dommages indirects ou consécutifs, ni des pertes de
profit ou d’opportunités, sauf disposition contraire du droit impératif.

12. Fin du traitement

12.1. En cas de résiliation du contrat principal ou sur demande écrite expresse du Responsable du
traitement, le Sous-traitant :

• supprime toutes les données à caractère personnel ; ou
• renvoie toutes les données à caractère personnel au Responsable du traitement ; ou
• renvoie d’abord toutes les données à caractère personnel, puis les supprime.

12.2. Le Sous-traitant supprime définitivement toutes les données à caractère personnel au plus tard
30 jours après la fin de l’abonnement ou des services, sauf si une obligation légale de conservation impose une
durée de conservation plus longue.

12.3. Sur demande, le Sous-traitant peut fournir au Responsable du traitement une confirmation
écrite de la suppression.

13. Droit applicable et juridiction compétente

13.1. Le présent Contrat est exclusivement régi par le droit belge.

13.2. Tout litige découlant du présent Contrat ou en relation avec celui-ci relève de la compétence
exclusive des tribunaux de l’arrondissement judiciaire de Halle-Vilvoorde (Belgique).

14. Hiérarchie et relation avec les autres documents

14.1. En cas de contradiction entre le présent contrat de sous-traitance de données et le contrat principal, l’ordre de priorité suivant s’applique :

1. le présent contrat de sous-traitance de données ;
2. la licence logicielle ;
3. les conditions générales ;
4. l’offre ou la proposition de services acceptée par le client.

14.2. Le présent Contrat remplace tous les contrats de sous-traitance de données antérieurs entre les
parties portant sur les mêmes services.

15. Modifications

15.1. Le Sous-traitant peut modifier le présent Contrat lorsque des changements législatifs, des
exigences de sécurité ou des besoins opérationnels le requièrent.

15.2. Dans la mesure du possible, les modifications sont annoncées au moins 30 jours à l’avance via
le site web de Chapps ou d’autres canaux de communication habituels.

15.3. Si une modification a un impact substantiel sur les droits ou obligations du Responsable du
traitement, celui-ci peut résilier le Contrat pour les services concernés avant la date d’entrée en vigueur de la
modification.

16. Langue et interprétation

Le présent contrat de sous-traitance de données peut être mis à disposition en plusieurs langues. En cas de
contradiction, de différence d’interprétation ou d’incohérence entre une version traduite et la version
néerlandophone, seule la version néerlandophone prévaut.

Annexe I – Liste des sous-traitants

Vous trouverez ci-dessous la liste des sous-traitants auxquels Chapps SA fait appel. Ces sous-traitants ont été
soigneusement sélectionnés afin de répondre aux exigences élevées de Chapps en matière de sécurité et de protection
des données.