Accord de sous-traitance des données personnelles

Préambule

Le présent accord de sous-traitance, ci-après le « DPA », est conclu entre :

• VerifBail, SASU au capital de 1 000 €, RCS Brest 104 731 047, dont le siège social est situé 6 rue Lost A Lenn, 29290 Saint-Renan, ci-après le « Sous-traitant » ;
• et l'agence immobilière cliente, dont les coordonnées sont précisées au contrat de souscription, ci-après le « Responsable de traitement ».

Il définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données personnelles nécessaires à l'analyse des dossiers locatifs.

Article 1 · Identification des parties au traitement

Personnes concernées	Les candidats locataires, et leurs garants éventuels, dont les pièces sont analysées par le Logiciel
Responsable de traitement	L'agence immobilière cliente, qui collecte les pièces du dossier locatif au titre de la loi n°89-462 du 6 juillet 1989 et du décret du 5 novembre 2015
Sous-traitant	VerifBail, qui fournit le Logiciel d'analyse pour le compte du Responsable de traitement

Article 2 · Objet du traitement

Analyse de l'authenticité des pièces fournies par les candidats locataires, aux fins de détection des falsifications documentaires, dans le cadre de la sélection des locataires par le Responsable de traitement.

Article 3 · Nature et finalité du traitement

Le Sous-traitant met à disposition du Responsable de traitement un Logiciel installé sur le poste de travail de ce dernier, permettant l'analyse technique des documents PDF, fiches de paie, avis d'imposition, RIB, justificatifs de domicile, quittances de loyer et extraits Kbis, en vue de détecter d'éventuelles modifications ou falsifications.

Article 4 · Types de données traitées

Dans le cadre de l'analyse, les types de données personnelles suivants peuvent être traités par le Logiciel, sur le poste du Responsable de traitement :

• Identité : nom, prénom, date de naissance, adresse
• Données fiscales : revenu fiscal de référence, nombre de parts, numéro fiscal, références d'avis
• Données professionnelles : employeur, SIRET, type de contrat, rémunération
• Données bancaires : IBAN, BIC, établissement teneur du compte
• Données de logement : adresse, type d'occupation

Catégories particulières de données. Le Logiciel n'a pas pour finalité de traiter des catégories particulières de données au sens de l'article 9 du RGPD, et n'en recherche aucune. Le Responsable de traitement est toutefois informé que la lecture d'un bulletin de paie peut faire apparaître, sur son propre poste, une indication relative à une absence pour arrêt de travail, lorsque celle-ci figure explicitement sur le bulletin fourni par le candidat. Cette indication sert exclusivement à contextualiser l’analyse du bulletin afin de limiter les signalements erronés. Elle ne donne lieu à aucune pénalité dans l'indice de risque, l'état de santé étant un critère de discrimination interdit au sens de l'article 225-1 du Code pénal. Cette information demeure sur le poste du Responsable de traitement et n'est transmise ni au Sous-traitant, ni à aucun tiers.

Article 5 · Catégories de personnes concernées

• Candidats locataires
• Garants des candidats locataires
• Codéclarants éventuels du foyer fiscal du candidat, conjoint ou partenaire de PACS

Article 6 · Durée du traitement

Le traitement est effectué pendant la durée de l'analyse uniquement, soit quelques secondes à quelques minutes par dossier. Aucun document du candidat n'est conservé par le Sous-traitant, à aucun moment.

Le Logiciel conserve uniquement, sur le poste local du Responsable de traitement, un historique chiffré en AES-256 des analyses effectuées, contenant les indices de risque, les alertes et les empreintes cryptographiques SHA-256 des documents analysés. Cet historique est sous le contrôle exclusif du Responsable de traitement.

Article 7 · Obligations du Sous-traitant (article 28.3 du RGPD)

7.1 Instructions du Responsable de traitement

Le Sous-traitant ne traite les données personnelles que sur instruction documentée du Responsable de traitement, telle qu'elle résulte du présent DPA et du contrat de souscription. Toute instruction supplémentaire fait l'objet d'un avenant.

7.2 Confidentialité

Le Sous-traitant garantit que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité. Compte tenu de sa structure, société par actions simplifiée à associé unique, seul le président peut accéder aux données techniques du serveur de licence. Le périmètre des accès au scoring serveur prévu reste à documenter.

7.3 Sécurité (article 32 du RGPD)

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes :

• Répartition des traitements : les fichiers documentaires restent sur le poste du Responsable de traitement. Le calcul de l’indice de risque est prévu côté serveur à partir de signaux techniques. Les clauses et la description des données échangées restent à finaliser pour cette évolution.
• Chiffrement AES-256 de l'historique local des analyses
• Empreintes cryptographiques SHA-256 de chaque document analysé, portées au rapport
• Signature HMAC-SHA256 du rapport PDF. Lorsque la clé de signature n'a pas pu être obtenue du serveur, le rapport est produit sans signature et le mentionne explicitement : un rapport non signé ne peut pas être pris pour un rapport signé
• Vérification cryptographique du code 2D-Doc avec les clés publiques officielles de la DGFiP
• Hébergement du serveur de licence chez OVH Hosting Inc., groupe OVHcloud, centre de données de Beauharnois, Québec, Canada. Voir l'article 9
• Connexion TLS pour l'ensemble des communications
• Limitation du débit et protection contre les tentatives répétées sur le serveur de licence

7.4 Recours à un sous-traitant ultérieur

Le Sous-traitant a recours, pour l’hébergement décrit dans la version fournie, avant actualisation pour le scoring serveur prévu, au sous-traitant ultérieur suivant :

Sous-traitant ultérieur	OVH Hosting Inc., filiale du groupe OVHcloud, OVH Groupe SA, Roubaix, France
Activité	Hébergement du serveur de validation de licence et du site verifbail.fr
Lieu de traitement	Beauharnois, Québec, Canada
Encadrement du transfert	Décision d'adéquation 2002/2/CE de la Commission européenne du 20 décembre 2001. Voir l'article 9
Données traitées	Numéro de licence, empreinte matérielle du poste, nom de poste, système d'exploitation, empreinte de l'exécutable, version du Logiciel, journaux techniques. Le périmètre des données traitées doit être actualisé pour le scoring serveur prévu. Les fichiers documentaires restent sur le poste.

Tout recours à un nouveau sous-traitant ultérieur est notifié au Responsable de traitement avec un préavis de trente jours. Le Responsable de traitement peut émettre des objections motivées dans ce délai.

7.5 Aide à la conformité du Responsable de traitement

Le Sous-traitant assiste le Responsable de traitement, dans la mesure du possible, pour répondre aux demandes des personnes concernées : droit d'accès, rectification, effacement et autres.

Compte tenu de l'architecture du Logiciel, conservation des fichiers documentaires sur le poste du Responsable de traitement, la plupart de ces demandes sont traitées directement par le Responsable de traitement sur son poste, sans intervention du Sous-traitant.

7.6 Notification de violation

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais et au plus tard sous 48 heures après en avoir pris connaissance, afin de permettre au Responsable de traitement de satisfaire à sa propre obligation de notification à la CNIL dans le délai de 72 heures prévu à l'article 33 du RGPD.

7.7 Analyses d'impact et consultation préalable

Le Sous-traitant aide le Responsable de traitement, à sa demande, à conduire les analyses d'impact relatives à la protection des données, article 35 du RGPD, et les consultations préalables auprès de la CNIL, article 36.

7.8 Sort des données en fin de contrat

Au terme de l'abonnement, le Sous-traitant supprime, sur demande du Responsable de traitement, toutes les données techniques liées à sa licence : numéro de licence, empreinte matérielle, journaux. Les fichiers documentaires demeurent sur le poste du Responsable de traitement. Le périmètre des signaux techniques et leur sort en fin de contrat restent à préciser pour le scoring serveur prévu.

7.9 Mise à disposition des informations et audit

Le Sous-traitant met à disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article, y compris la liste exhaustive des données transmises au serveur de licence.

Le Responsable de traitement peut diligenter, à ses frais, un audit du respect par le Sous-traitant de ses obligations, sur préavis raisonnable de trente jours, dans des conditions ne perturbant pas l'activité du Sous-traitant.

Article 8 · Obligations du Responsable de traitement

• Avoir collecté les pièces du dossier locatif conformément à la loi du 6 juillet 1989 et au décret du 5 novembre 2015, lequel fixe limitativement la liste des pièces pouvant être exigées d'un candidat
• Informer les candidats locataires du recours à un sous-traitant pour la vérification d'authenticité des pièces
• Respecter les durées de conservation recommandées par la CNIL, notamment trois mois au maximum pour les pièces des candidats non retenus
• Utiliser le Logiciel conformément à sa destination, comme outil d'aide à la décision et non comme décision automatisée

Article 9 · Transfert hors Union européenne

Le serveur de validation de licence et le site verifbail.fr sont hébergés par OVH Hosting Inc., filiale canadienne du groupe OVHcloud, dans son centre de données de Beauharnois, au Québec, Canada. Ce traitement constitue un transfert hors Union européenne au sens du chapitre V du RGPD.

Ce transfert est encadré par la décision d'adéquation 2002/2/CE de la Commission européenne du 20 décembre 2001, qui reconnaît un niveau de protection adéquat pour les destinataires soumis à la loi canadienne sur la protection des renseignements personnels et les documents électroniques. OVH Hosting Inc., organisation commerciale, relève de ce périmètre. Aucune garantie complémentaire au titre de l'article 46 du RGPD n'est donc requise.

La version fournie décrit les données techniques relatives au poste et à la licence. L’ajout prévu de signaux techniques pour le scoring serveur devra être documenté dans le présent accord avant mise en service ; leur qualification et leur liste définitive restent à valider.

Le Sous-traitant informe le Responsable de traitement de tout changement de localisation du serveur.

Article 10 · Durée du DPA

Le présent DPA prend effet à la date de souscription de l'abonnement et reste en vigueur pendant toute la durée du contrat, y compris en cas de renouvellement.

Article 11 · Loi applicable et juridiction

Le présent DPA est régi par le droit français. Tout litige relatif à son interprétation ou à son exécution relève de la compétence exclusive du Tribunal de commerce de Brest.

Dernière mise à jour du DPA : août 2026.