Cet accord applique l’article 28 du règlement (UE) 2016/679 (RGPD). Il lie OSLY SOLUTIONS (« Osly », le sous-traitant) à chaque gestionnaire d’immeuble client d’Osly (« le Client », le responsable de traitement) et fait partie du contrat qui les unit. En cas de contradiction sur la protection des données, cet accord prime.
1. Objet et durée
Osly traite des données personnelles pour le compte du Client afin de lui fournir le service Osly, pendant toute la durée du contrat et jusqu’à la suppression ou la restitution des données prévue à l’article 9.
2. Description des traitements
| Élément | Description |
|---|---|
| Finalités | Gestion des bâtiments et des droits d’accès ; ouverture des portes et boîtes à clés ; journal des ouvertures ; suivi des clés et des interventions ; rapports ; envoi d’informations au conseil syndical ; préparation des abonnements résidents ; lecture automatique des e-mails de demande d’intervention |
| Personnes concernées | Collaborateurs du Client ; prestataires et leurs techniciens ; membres du conseil syndical ; propriétaires, agences mandataires, occupants et contacts des logements ; personnes citées dans les e-mails transmis |
| Données | Identité et coordonnées ; rôle et entreprise ; droits d’accès ; ouvertures horodatées (porte, résultat, code d’erreur, modèle et système du téléphone, heure du téléphone, signal Bluetooth) ; emprunts de clés ; interventions, commentaires et photos ; contenu des e-mails transmis |
| Données sensibles | Aucune catégorie particulière au sens de l’article 9 du RGPD n’est attendue. Le Client ne transmet pas de telles données dans les e-mails ou commentaires |
| Durées par défaut | Journal des ouvertures et emprunts de clés : 12 mois ; e-mails de demande d’intervention : 90 jours ; interventions, rapports et photos : durée du contrat |
3. Instructions du Client
Osly ne traite les données que sur instruction documentée du Client. Le contrat, cet accord et le paramétrage du service par le Client constituent ces instructions. Osly informe immédiatement le Client si une instruction lui semble contraire au RGPD. Si le droit de l’Union ou d’un État membre oblige Osly à un traitement, Osly en informe le Client avant de le réaliser, sauf interdiction légale.
4. Confidentialité
Les personnes autorisées à traiter les données chez Osly sont soumises à une obligation de confidentialité et n’y accèdent que pour les besoins du service ou du support.
5. Sécurité
Osly met en œuvre notamment les mesures suivantes :
- chiffrement des échanges et de la base de données ;
- hébergement des données dans l’Union européenne (Paris) avec sauvegardes quotidiennes ;
- commandes d’ouverture signées, dont chaque boîtier vérifie la signature et refuse la réutilisation récente, et dont la durée de validité est contrôlée par l’application et le serveur ;
- cloisonnement strict des données de chaque Client et autorisations accordées fonction par fonction ;
- connexion par code à usage unique ou mot de passe, double authentification pour l’administration interne ;
- mots de passe et codes jamais conservés en clair.
6. Sous-traitants ultérieurs
Le Client autorise Osly à recourir aux sous-traitants ultérieurs ci-dessous. Osly leur impose par contrat les mêmes obligations de protection des données et reste responsable de leur respect. Osly informe le Client par e-mail au moins 30 jours avant tout ajout ou remplacement. Le Client peut s’y opposer pour un motif légitime ; à défaut d’accord, il peut résilier la partie du service concernée sans frais.
| Prestataire | Rôle | Données | Lieu de traitement |
|---|---|---|---|
| Amazon Web Services EMEA SARL | Hébergement des serveurs, de la base, des fichiers, des journaux et diffusion du site | Toutes | Union européenne (Paris) |
| Twilio | SMS et codes de connexion par SMS | Téléphone, contenu du SMS | États-Unis |
| Resend | Envoi et réception des e-mails | Adresse e-mail, contenu des e-mails | États-Unis |
| Anthropic | Lecture automatique des e-mails de demande d’intervention | Contenu de l’e-mail, noms et e-mails des techniciens, bâtiments | États-Unis |
| Sentry (Functional Software) | Suivi des erreurs de l’espace syndic, de l’espace propriétaires, de l’application Osly Professionnel et des serveurs | Identifiant de compte, données techniques de l’erreur et de performance ; enregistrement masqué de l’écran lors d’une erreur pour l’espace syndic et Osly Professionnel seulement | Union européenne et États-Unis |
| Better Stack | Journaux techniques des serveurs | Identifiant de compte, adresse IP, page demandée | Union européenne et États-Unis |
| Stripe | Paiement de l’abonnement résident | Adresse e-mail, données de paiement | Irlande et États-Unis |
| Expo (650 Industries), Apple, Google | Notifications et mises à jour des applications | Jeton de notification, contenu de la notification, données techniques du téléphone | États-Unis |
| Detour (Software Mansion) | Liens d’invitation de l’application Osly Résident | Lien d’invitation, caractéristiques techniques et adresse IP du téléphone | Union européenne |
| Slack (Salesforce) | Alerte interne lorsqu’un e-mail n’a pas pu être remis | Adresse du destinataire, objet | États-Unis |
| OpenFreeMap | Fonds de carte des espaces web | Adresse IP, zone de carte affichée | Union européenne |
| Google (YouTube) | Vignettes et vidéos d’aide de l’espace syndic | Adresse IP | États-Unis |
| Calendly | Réservation d’une démonstration depuis le site | Nom, adresse e-mail, page d’origine | États-Unis |
| Automattic (WordPress.com) | Image d’un article de presse affichée sur le site | Adresse IP | États-Unis |
7. Transferts hors de l’Union européenne
Les transferts vers les sous-traitants situés aux États-Unis reposent sur la décision d’adéquation relative au cadre de protection des données UE–États-Unis lorsque le sous-traitant y est certifié, et à défaut sur les clauses contractuelles types de la Commission européenne.
8. Assistance au Client
- Droits des personnes : Osly transmet au Client, sous 5 jours ouvrés, toute demande reçue d’une personne concernée et l’aide à y répondre dans le délai légal.
- Violation de données : Osly notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles sur sa nature, ses conséquences probables et les mesures prises.
- Analyse d’impact : Osly fournit au Client les informations dont il a besoin pour une analyse d’impact ou une consultation de la CNIL.
9. Fin du contrat
À la fin du contrat, Osly restitue au Client les données qu’il demande dans un format courant, puis les supprime dans un délai de 3 mois, sauf obligation légale de conservation. Les sauvegardes sont effacées au fil de leur rotation.
10. Contrôle
Osly met à la disposition du Client les informations nécessaires pour démontrer le respect de cet accord. Le Client peut faire réaliser un audit une fois par an, à ses frais, par un auditeur tenu au secret, avec un préavis de 30 jours.
11. Obligations du Client
Le Client détermine la base légale de ses traitements, informe les personnes concernées, en particulier les prestataires sur le journal des ouvertures, et ne paramètre que les accès nécessaires.
12. Contact
Pour toute question sur cet accord ou pour en obtenir une version signée : contact@oslysolutions.fr.