Accord de sous-traitance des données personnelles (DPA)

Conformément à l'article 28 du Règlement Général sur la Protection des Données (RGPD)

Article 1 - Objet

Le présent accord définit les conditions dans lesquelles COPROPOLE (ci-après « le Sous-traitant ») traite des données personnelles pour le compte de ses clients professionnels (ci-après « le Responsable de traitement ») dans le cadre de l'utilisation de la plateforme Copropole.

Cet accord complète les Conditions Générales de Vente et la Politique de confidentialité de Copropole.

Article 2 - Identification des parties

2.1 Le Sous-traitant

COPROPOLE
SAS au capital de 1 euro
SIREN 104 097 092 - RCS Versailles

Email :

2.2 Le Responsable de traitement

Tout client professionnel (syndic de copropriété, gestionnaire, administrateur de biens, conseil syndical) utilisant la plateforme Copropole pour gérer les données d'une copropriété ou d'un groupe d'utilisateurs.

Article 3 - Définition des rôles

• Le Client est Responsable de traitement pour les données personnelles qu'il dépose sur la plateforme concernant les copropriétaires, résidents, membres du conseil syndical, prestataires ou tout autre tiers.
• Copropole est Sous-traitant pour ces données : Copropole les héberge, les stocke et les rend accessibles selon les paramètres définis par le Client, mais ne détermine pas les finalités ni les moyens du traitement.
• Copropole reste Responsable de traitement pour ses propres traitements : gestion des comptes clients, facturation, support, sécurité et amélioration du service.

Article 4 - Description du traitement

4.1 Nature et finalité

Hébergement et mise à disposition d'une plateforme SaaS permettant la gestion de copropriétés : gestion documentaire, communication entre membres, suivi des tickets, assemblées générales, comptabilité, calendrier et réservations.

4.2 Catégories de personnes concernées

• Copropriétaires
• Locataires et résidents
• Membres du conseil syndical
• Représentants de syndics professionnels
• Gestionnaires et administrateurs
• Prestataires de la copropriété
• Invités et contacts ponctuels
• Toute personne mentionnée dans les documents déposés

4.3 Catégories de données traitées

• Données d'identification : nom, prénom, civilité
• Coordonnées : email, téléphone, adresse postale
• Identifiants de compte : login, mot de passe hashé
• Rôles et habilitations dans la copropriété
• Informations sur les lots : numéro, tantièmes, étage
• Documents déposés (pouvant contenir des données personnelles variables)
• Messages et échanges via la messagerie interne
• Données des assemblées générales et votes
• Données comptables et appels de fonds
• Logs de connexion et données techniques

4.4 Durée du traitement

Le traitement dure pendant toute la durée du contrat d'abonnement entre le Client et Copropole, et jusqu'à la suppression effective des données conformément à l'article 10.

Article 5 - Obligations du Sous-traitant

Copropole s'engage à :

• Traiter les données uniquement sur instruction documentée du Responsable de traitement (les CGV et le présent accord constituant les instructions de base)
• Garantir la confidentialité des données traitées
• Veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité
• Prendre toutes les mesures de sécurité requises par l'article 32 du RGPD
• Respecter les conditions de recours à des sous-traitants ultérieurs (article 6)
• Aider le Responsable de traitement à répondre aux demandes d'exercice de droits (article 7)
• Notifier toute violation de données dans les meilleurs délais (article 8)
• Supprimer ou restituer les données en fin de contrat (article 10)
• Mettre à disposition les informations nécessaires pour démontrer le respect des obligations

Article 6 - Sous-traitants ultérieurs

Le Client autorise Copropole à faire appel aux sous-traitants ultérieurs suivants :

En cas d'ajout d'un nouveau sous-traitant ultérieur, Copropole en informera le Client. Le Client disposera d'un délai de 30 jours pour s'opposer pour motif légitime. En l'absence d'opposition, le nouveau sous-traitant sera considéré comme accepté.

Article 7 - Assistance pour les droits des personnes

Copropole aide le Responsable de traitement à répondre aux demandes d'exercice de droits des personnes concernées (accès, rectification, effacement, portabilité, etc.).

Si Copropole reçoit directement une demande d'une personne concernée relative aux données traitées pour le compte du Client, Copropole :

• Informera la personne de transmettre sa demande au Responsable de traitement (le Client)
• Informera le Client de la demande dans les meilleurs délais
• N'agira pas sur les données sans instruction du Client (sauf obligation légale)

Article 8 - Notification des violations de données

En cas de violation de données personnelles (accès non autorisé, perte, destruction, etc.), Copropole notifiera le Responsable de traitement dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les 48 heures.

La notification inclura :

• La nature de la violation
• Les catégories et le nombre approximatif de personnes concernées
• Les conséquences probables de la violation
• Les mesures prises ou proposées pour y remédier

Le Responsable de traitement reste responsable de la notification à la CNIL et aux personnes concernées si nécessaire, Copropole l'assistant dans cette démarche.

Article 9 - Mesures de sécurité

Copropole met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des mots de passe (algorithme bcrypt)
• Connexion sécurisée (HTTPS/TLS)
• Protection contre les attaques web (CSRF, XSS, injection SQL)
• Contrôle d'accès basé sur les rôles
• Journalisation des accès et actions sensibles
• Sauvegardes régulières
• Hébergement en datacenter sécurisé en France
• Procédures de gestion des incidents

Article 10 - Sort des données en fin de contrat

À la fin du contrat (résiliation ou non-renouvellement) :

• Le Client dispose d'un délai de 30 jours pour exporter ses données via les fonctionnalités de l'extranet
• À l'issue de ce délai, Copropole supprimera les données du Client, sauf obligation légale de conservation (ex : factures pendant 10 ans)
• Sur demande écrite, Copropole pourra fournir une attestation de suppression

Article 11 - Audit

Le Responsable de traitement peut demander à Copropole les informations nécessaires pour démontrer le respect des obligations du présent accord.

En cas d'audit sur site, celui-ci devra être prévu avec un préavis raisonnable (minimum 30 jours), réalisé pendant les heures ouvrables, et ne pas perturber le fonctionnement du service. Les frais de l'audit sont à la charge du Responsable de traitement.

Article 12 - Transferts hors UE

Les données sont hébergées en France (IKOULA, datacenter de Reims).

Concernant Stripe : en tant que prestataire américain, Stripe peut transférer certaines données aux États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types et le Data Privacy Framework.

Article 13 - Responsabilité

Copropole est responsable des dommages causés par un traitement non conforme aux instructions du Responsable de traitement ou aux obligations du présent accord.

Le Responsable de traitement reste responsable de la licéité des données qu'il dépose sur la plateforme et de l'information des personnes concernées.

Article 14 - Entrée en vigueur et durée

Le présent accord entre en vigueur à la date de souscription à un abonnement Copropole et reste applicable pendant toute la durée de la relation contractuelle.

Article 15 - Contact

Pour toute question relative au présent accord ou à la protection des données :
Email :
Adresse : COPROPOLE -

Dernière mise à jour : 19/10/2026