Accord de sous-traitance des données

1. Parties et objet

Cet accord lie le titulaire d’un espace Norra, propriétaire bailleur (« vous », responsable de traitement), et Spop’ Agency, 60 rue François Ier, 75008 Paris (« nous », sous-traitant), au sens de l’article 28 du règlement (UE) 2016/679 (RGPD). Il fait partie des conditions générales d’utilisation et s’applique dès la création de l’espace, essai gratuit compris.

2. Description du traitement

• Finalité : la gestion de vos locations avec Norra : préparation, signature et envoi des baux, états des lieux, appels de loyer, quittances, révisions, relances et lettres recommandées ; suivi des paiements et des échéances ; classement et lecture des documents ; messagerie et signalements entre vous et vos locataires.
• Personnes concernées : vos locataires, colocataires et occupants, leurs garants, vos co-indivisaires ou associés, et les personnes citées dans les documents que vous déposez (artisans, syndic, précédents locataires).
• Données : identité et coordonnées, adresse de résidence et nouvelle adresse au départ, situation professionnelle et ressources lorsqu’un document que vous déposez les mentionne, montants du loyer et des paiements, documents (bail, acte de cautionnement, état des lieux, attestations, pièces justificatives), photos, messages et signalements. Norra ne demande aucune donnée sensible au sens de l’article 9 du RGPD ; n’en déposez pas.
• Opérations : collecte, enregistrement, hébergement, lecture automatisée des documents, mise en forme, transmission aux personnes que vous désignez, archivage et suppression.
• Durée : la durée de votre utilisation de Norra, puis les durées de l’article 8.

3. Nos engagements

1. Nous traitons ces données sur vos seules instructions, que constituent l’usage que vous faites de Norra et cet accord, y compris pour un transfert hors de l’Union européenne. Si une instruction nous paraît contraire au RGPD, nous vous en informons aussitôt.
2. Nous ne les utilisons pour aucune autre fin que le service : ni publicité, ni revente, ni entraînement d’un modèle d’intelligence artificielle.
3. Les personnes de notre équipe qui peuvent y accéder sont tenues à la confidentialité et n’y accèdent que pour vous rendre le service, résoudre un problème ou assurer la sécurité.
4. Nous mettons en œuvre les mesures de sécurité de l’article 32 du RGPD : chiffrement des échanges et des données stockées, cloisonnement de chaque espace dans la base de données, accès limités et journalisés, sauvegardes.
5. Nous vous aidons à répondre aux demandes de vos locataires et garants qui exercent leurs droits. Si l’une d’elles nous parvient, nous vous la transmettons sans y répondre nous-mêmes.
6. Nous vous aidons, selon les informations dont nous disposons, à assurer la sécurité du traitement, à notifier une violation et à réaliser une analyse d’impact (articles 32 à 36 du RGPD).

4. Sous-traitants ultérieurs

Vous nous autorisez à faire appel aux sous-traitants ultérieurs suivants. Chacun est lié par un contrat qui lui impose les mêmes obligations de protection que cet accord.

• Supabase Pte. Ltd. : Base de données, stockage des fichiers et connexion aux comptes. Données traitées en France (Paris). Société de Singapour : clauses contractuelles types de la Commission européenne.
• Vercel Inc. : Serveurs de l’application et du site. Données traitées en France (Paris). Société américaine : Data Privacy Framework et clauses contractuelles types.
• Vercel Inc. (Web Analytics) : Mesure d’audience du site norra.immo, sans cookie. Données traitées en États-Unis. Data Privacy Framework et clauses contractuelles types.
• Vercel Inc. (AI Gateway) : Acheminement des documents vers le modèle qui les lit. Données traitées en États-Unis. Data Privacy Framework et clauses contractuelles types.
• Anthropic, PBC : Lecture des documents importés (baux, factures, avis, relevés). Données traitées en États-Unis. Data Privacy Framework et clauses contractuelles types.
• Resend : Envoi des e-mails de Norra. Données traitées en Union européenne (Irlande). Société américaine : Data Privacy Framework et clauses contractuelles types.
• DocuSeal, LLC : Signature électronique des baux, actes et états des lieux. Données traitées en Union européenne (Irlande). Société américaine : clauses contractuelles types.
• Merci Facteur : Impression et envoi des lettres recommandées. Données traitées en France.
• Stripe Payments Europe Ltd : Paiement de l’abonnement à Norra. Données traitées en Union européenne. Données de paiement également traitées aux États-Unis : clauses contractuelles types.
• PostHog Inc. : Mesure d’audience de l’application, avec votre accord. Données traitées en Union européenne (Allemagne). Société américaine : clauses contractuelles types.
• Functional Software Inc. (Sentry) : Détection des erreurs techniques. Données traitées en Union européenne (Allemagne). Société américaine : Data Privacy Framework et clauses contractuelles types.

Avant d’ajouter ou de remplacer un sous-traitant ultérieur, nous vous écrivons au moins 30 jours à l’avance. Vous pouvez vous y opposer pour un motif lié à la protection des données en nous écrivant à aide@norra.immo ; si nous ne pouvons pas y répondre, vous pouvez mettre fin à l’abonnement sans frais avant le changement, et nous vous remboursons la période non utilisée. Nous restons responsables envers vous de leurs manquements.

5. Violation de données

Si une violation touche vos données, nous vous prévenons par e-mail dans les 48 h après en avoir pris connaissance, avec ce que nous savons : sa nature, les personnes et les données concernées, ses conséquences probables et les mesures prises. Vous décidez de la notification à la CNIL et aux personnes concernées, avec notre aide.

6. Vos obligations

Vous traitez ces données pour une finalité légitime, liée à vos locations. Vous informez vos locataires et garants de ce traitement et de l’usage de Norra (articles 13 et 14 du RGPD), et vous ne demandez que les pièces autorisées par le décret n° 2015-1437 du 5 novembre 2015.

7. Audit

Nous mettons à votre disposition, sur demande à aide@norra.immo, les informations nécessaires pour démontrer le respect de cet accord. Vous pouvez faire réaliser un audit par un auditeur indépendant tenu au secret, une fois par an, en nous prévenant 30 jours à l’avance ; il se fait à vos frais, sans accès aux données des autres espaces.

8. Fin du traitement

À la fin de l’abonnement, l’espace reste consultable et téléchargeable en lecture seule pendant 5 ans : vous pouvez en récupérer toutes les données. Pendant ce temps, Norra continue de supprimer les données d’une location 5 ans après la fin de son bail. Au terme de ces 5 ans, nous supprimons les données de l’espace et ses copies, sauf obligation légale de conservation.