Annexe contractuelle RGPD – Gestion locative

ANNEXE 6 – Traitement des données à caractère personnel

A. Traitement des données à caractère personnel relatives aux parties (et à leurs préposés éventuels) en qualité de responsables du traitement

Dans le cadre de l’exécution de la présente convention, chaque partie est amenée à traiter les données à caractère personnel de l’autre partie (et de ses préposés éventuels) en qualité de responsable du traitement. Les parties s’engagent à effectuer ce traitement conformément aux dispositions du RGPD et de la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel lorsque celles-ci s’appliquent.

Les parties sont susceptibles de collecter et de traiter les données à caractère personnel suivantes :

données d’identification : nom, prénom, lieu et date de naissance, état civil, numéro BCE, numéro IPI ;
données de contact : adresse, siège social, adresse électronique, numéro de téléphone, fonction ;
données bancaires : du Régisseur pour le paiement des honoraires et, le cas échéant, du Donneur d’ordre en cas de rétrocession de sommes perçues par le Régisseur ;
données relatives au(x) bien(s) donné(s) en gestion : adresse et description du bien, droits réels grevant le bien, etc.

Le traitement de ces données est nécessaire à l’exécution de la présente convention, en vue de la réalisation des finalités suivantes :

pour permettre l’exécution de la convention et son suivi par les parties ;
pour permettre la gestion de la relation contractuelle entre les parties ;
pour permettre la facturation des services et le recouvrement éventuel de créances ;

Ces données sont alors traitées sur base de l’article 6.1 (b) du RGPD.

Le Régisseur peut également traiter les données du Donneur d’ordre dans le cadre de la poursuite de ses intérêts légitimes :

pour permettre au Régisseur d’adresser au Donneur d’ordre des communications commerciales destinées à promouvoir ses services auprès de ses clients existants ;
pour des raisons de sécurité et pour lutter contre la fraude ;

Ces données sont alors traitées sur base de l’article 6.1. (f) du RGPD.

Pour finir, les données peuvent être traitées par les parties lorsque ce traitement est nécessaire au respect d’une obligation légale à laquelle une partie est soumise, dont notamment :

le Régisseur peut traiter les données du Donneur d’ordre afin de se conformer à son obligation légale en matière de lutte contre le blanchiment d’argent et le financement du terrorisme.

Ces données sont alors traitées sur base de l’article 6.1. (c) du RGPD.

Dans les limites strictes de ce qui est nécessaire à l’exécution de la présente convention, les données à caractère personnel des parties peuvent être communiquées aux destinataires suivants :

les candidats-locataires (ou toute partie intéressée) et autres parties intervenantes dans le cadre de la mission ;
les services postaux chargés de la distribution de lettres ou de colis ;
les administrations publiques chargées de la fiscalité et de la sécurité sociale ;
le comptable des parties pour assurer le respect de leurs obligations légales ;
le prestataire IT en charge de l’environnement informatique ;
tout partenaire du Régisseur en vue de la réalisation des missions confiées et avec l’accord du Donneur d’ordre.

Les données à caractère personnel seront conservées pour une période maximale de 10 ans à compter de la fin de la présente convention pour des raisons de responsabilité.

Dans l’hypothèse où les données sont transférées en dehors de l’Union Européenne, dans des pays que la Commission Européenne ne considère pas comme disposant d’un niveau adéquat de protection des données à caractère personnel, la partie concernée prend les mesures nécessaires afin de protéger les données en utilisant les clauses contractuelles standard relatives à la protection des données adoptées par la Commission ainsi que toute mesure complémentaire en vue d’assurer un niveau adéquat de protection. La partie concernée rend ces clauses disponibles à la consultation en son siège.

Chaque partie ou ses préposés peut/peuvent, sur demande datée et signée, envoyée par courrier électronique ou courrier postal, obtenir la communication écrite des données personnelles traitées et la portabilité des données, ainsi que, le cas échéant, leur rectification, leur limitation, leur suppression ou l’exclusion de celles qui ne sont ni exactes ni complètes ni pertinentes.

En outre, chaque partie peut s’opposer, de la même manière, à un traitement fondé sur l’intérêt légitime de l’autre partie.

Chaque partie ou ses préposés peut/peuvent également déposer une plainte auprès de l’autorité belge de protection des données (Rue de la presse 35, 1000 Bruxelles – contact@apd-gba.be – Tél. + 32 2 274 48 00 – Fax + 32 2 274 48 35) pour l’exercice de ces droits.

Si une partie divulgue à l’autre partie des données à caractère personnel concernant ses préposés, la partie qui divulgue ces renseignements doit s’assurer d’en avoir informé les préposés concernés.

B. Traitement par le Régisseur de données à caractère personnel de tiers en qualité de sous-traitant

Dans le cadre de l’exécution des missions qui lui sont confiées en vertu de la présente convention de gestion de bien(s) immobilier(s), le Régisseur est amené à traiter des données à caractère personnel de tiers en qualité de sous-traitant au sens du RGPD. Il traite ces données pour le compte et selon les instructions du Donneur d’ordre qui est le responsable du traitement au sens du RGPD.

Conformément à l’article 28, paragraphes 3 et 4 du RGPD, ce traitement de données doit faire l’objet d’un acte juridique entre les parties définissant les modalités de ce traitement. Les dispositions qui suivent constituent l’accord des parties relatif à ce traitement et doivent être lues et interprétées à la lumière du RGPD.

1. Description du traitement

a) Objet du traitement : Traitement par le Régisseur des données de tiers en vue de la gestion de bien(s) immobilier(s) pour le compte du Donneur d’ordre.

b) Durée du traitement : aussi longtemps que nécessaire pour exécuter les missions confiées par la convention principale au Régisseur et, en tout état de cause, pour une durée n’excédant pas la durée de la convention principale.

c) Nature du traitement : collecte et utilisation de données de tiers en vue d’assurer les contacts nécessaires pour mener à bien les missions confiées dans le cadre de la gestion de bien(s) immobilier(s).

d) Finalité du traitement : la gestion de bien(s) immobilier(s) appartenant au Donneur d’ordre par le Régisseur conformément aux instructions données par celui-ci dans le cadre de la convention principale.

e) Type de données personnelles :

données d’identification (nom, prénom, adresse) ;
données de contact (adresse électronique, numéro de téléphone) ;
données bancaires ;
toute autre donnée nécessaire compte tenu de l’objet de la mission confiée.

f) Catégories de personnes concernées : les catégories de personnes concernées sont déterminées par l’objet de la mission confiée au Régisseur.

Il peut s’agir, notamment :

de locataires/candidats locataires du bien immobilier dont le Régisseur assure la gestion (et leurs éventuels cautions) ;
des indivisaires ou propriétaire ou Donneur d’ordre ;
du syndic du bien immobilier dont le Régisseur assure la gestion ;
de titulaires de droits réels sur le bien immobilier dont le Régisseur assure la gestion ;
du précédent régisseur ;
de tiers dont l’intervention est souhaitée en lien avec le bien immobilier dont le Régisseur assure la gestion (entrepreneurs, etc.)

Les personnes dont l’intervention est nécessaire ou souhaitée sont, le cas échéant, identifiées par le Donneur d’ordre lors de la conclusion de la présente convention ou au cours de l’exécution de celle-ci.

2. Hiérarchie

En cas de contradiction entre les présentes clauses et les dispositions des accords connexes qui existent entre les parties au moment où les présentes clauses sont convenues ou qui sont conclus ultérieurement, les présentes clauses prévaudront.

3. Obligations des parties

3.1. Instructions

a) Le Régisseur ne traite les données à caractère personnel que sur instruction documentée du Donneur d’ordre, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis. Dans ce cas, le Régisseur informe le Donneur d’ordre de cette obligation juridique avant le traitement, sauf si la loi le lui interdit pour des motifs importants d’intérêt public.

Des instructions relatives au traitement de données peuvent également être données ultérieurement par le Donneur d’ordre pendant toute la durée du traitement des données à caractère personnel. Ces instructions doivent toujours être documentées.

b) Le Régisseur informe immédiatement le Donneur d’ordre si, selon lui, une instruction donnée par le Donneur d’ordre constitue une violation du RGPD ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données.

3.2. Licéité du traitement

Le Donneur d’ordre garantit la licéité du traitement qu’il confie au Régisseur. Il s’assure que les données de tiers transmises au Régisseur sont pertinentes et à jour. Il garantit que ces données ont été licitement collectées.

3.3. Limitation de la finalité

Le Régisseur traite les données à caractère personnel uniquement pour la ou les finalités spécifiques du traitement, telles que définies à l’article 1de la présente Annexe, sauf instruction complémentaire du Donneur d’ordre.

3.4. Durée du traitement des données à caractère personnel

Le traitement par le Régisseur n’a lieu que pendant la durée précisée à l’article 1 de la présente Annexe.

3.5. Sécurité du traitement

a) Le Régisseur met en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité des données à caractère personnel et, notamment, la protection des données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à de telles données (violation de données à caractère personnel). Lors de l’évaluation du niveau de sécurité approprié, les parties tiennent dûment compte de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées.

b) Le Régisseur n’accorde aux membres de son personnel l’accès aux données à caractère personnel faisant l’objet du traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi de la convention. Le Régisseur veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

3.6. Données sensibles

Si le traitement porte sur des données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que des données génétiques ou des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique, ou des données relatives aux condamnations pénales et aux infractions («données sensibles»), le Régisseur applique des limitations spécifiques et/ou des garanties supplémentaires.

3.7. Documentation et conformité

a) Les parties s’assurent qu’elles sont en mesure de démontrer la conformité du traitement avec les présentes clauses.

b) Le Régisseur traite de manière rapide et adéquate les demandes du Donneur d’ordre concernant le traitement des données conformément aux présentes clauses.

c) Le Régisseur met à la disposition du Donneur d’ordre toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans les présentes clauses et découlant directement du RGPD.

À la demande du Donneur d’ordre, le Régisseur permet également la réalisation d’audits des activités de traitement couvertes par les présentes clauses et y contribue, à intervalles raisonnables ou en présence d’indices de non-conformité. Le Donneur d’ordre peut décider de procéder lui-même à l’audit ou de mandater un auditeur indépendant. Lorsqu’il décide d’un examen ou d’un audit, le Donneur d’ordre peut tenir compte des certifications pertinentes en possession du Régisseur.

Le Donneur d’ordre peut décider de procéder lui-même à l’audit ou de mandater un auditeur indépendant. Les audits peuvent également comprendre des inspections dans les locaux ou les installations physiques du Régisseur et sont, le cas échéant, effectués moyennent un préavis raisonnable.

d) Les parties mettent à la disposition de l’autorité de contrôle compétente/des autorités de contrôle compétentes, dès que celles-ci en font la demande, les informations énoncées dans la présente clause, y compris les résultats de tout audit.

3.8. Recours à des sous-traitants ultérieurs au sens du RGPD

a) Le Régisseur dispose de l’autorisation générale du Donneur d’ordre pour ce qui est du recrutement de sous-traitants ultérieurs sur la base d’une liste convenue lors de la définition de la mission confiée. Le Régisseur informe spécifiquement par écrit le Donneur d’ordre de tout projet de modification de cette liste par l’ajout ou le remplacement de sous-traitants ultérieurs au moins 1 mois à l’avance, donnant ainsi au Donneur d’ordre suffisamment de temps pour pouvoir s’opposer à ces changements avant le recrutement du ou des sous-traitants ultérieurs concernés. Le Régisseur fournit au Donneur d’ordre les informations nécessaires pour lui permettre d’exercer son droit d’opposition.

b) Lorsque le Régisseur recrute un sous-traitant ultérieur pour mener des activités de traitement de données spécifiques (pour le compte du Donneur d’ordre), il le fait au moyen d’un contrat qui impose au sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des données que celles imposées au Régisseur en vertu des clauses de la présente annexe.

Le Régisseur veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu des présentes clauses et du RGPD.

c) À la demande du Donneur d’ordre, le Régisseur lui fournit une copie de ce contrat conclu avec le sous-traitant ultérieur et de toute modification qui y est apportée ultérieurement. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les données à caractère personnel, le Régisseur peut expurger le texte du contrat avant d’en diffuser une copie.

d) Le Régisseur demeure pleinement responsable, à l’égard du Donneur d’ordre, de l’exécution des obligations du sous-traitant ultérieur conformément au contrat conclu avec le sous-traitant ultérieur.

Le Régisseur informe le Donneur d’ordre de tout manquement du sous-traitant ultérieur à ses obligations contractuelles.

e) Le Régisseur convient avec le sous-traitant ultérieur d’une clause du tiers bénéficiaire selon laquelle — dans le cas où le sous-traitant a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable — le Donneur d’ordre a le droit de résilier le contrat conclu avec le sous-traitant ultérieur et de donner instruction au sous-traitant ultérieur d’effacer ou de renvoyer les données à caractère personnel.

3.9. Transferts internationaux

a) Tout transfert de données vers un pays tiers ou une organisation internationale par le Régisseur n’est effectué que sur la base d’instructions documentées du Donneur d’ordre afin de satisfaire à une exigence spécifique du droit de l’Union ou du droit de l’État membre à laquelle le sous-traitant est soumis et s’effectue conformément au chapitre V du RGPD.

b) Le Donneur d’ordre convient que lorsque le Régisseur recrute un sous-traitant ultérieur conformément à la clause 6.8 pour mener des activités de traitement spécifiques (pour le compte du Donneur d’ordre) et que ces activités de traitement impliquent un transfert de données à caractère personnel au sens du chapitre V du RGPD, le Régisseur et le sous-traitant ultérieur peuvent garantir le respect du chapitre V du RGPD en utilisant les clauses contractuelles types adoptées par la Commission sur la base de l’article 46, paragraphe 2, du RGPD, pour autant que les conditions d’utilisation de ces clauses contractuelles types soient remplies.

4. Assistance au Donneur d’ordre (responsable du traitement)

a) Le Régisseur informe sans délai le Donneur d’ordre de toute demande relative au traitement de données à caractère personnel qu’il a reçue de la part d’une personne concernée. Il ne donne pas lui-même suite à cette demande, à moins que le Donneur d’ordre ne l’y ait autorisé.

b) Le Régisseur prête assistance au Donneur d’ordre pour ce qui est de remplir l’obligation qui lui incombe de répondre aux demandes des personnes concernées d’exercer leurs droits, en tenant compte de la nature du traitement.

Dans l’exécution de ses obligations conformément aux points a) et b), le Régisseur se conforme aux instructions du Donneur d’ordre.

c) Outre l’obligation incombant au Régisseur d’assister le Donneur d’ordre en vertu de la clause 4, point b), le Régisseur aide en outre le Donneur d’ordre à garantir le respect des obligations suivantes, compte tenu de la nature du traitement et des informations dont dispose le Régisseur :

1 ) l’obligation de procéder à une évaluation de l’incidence des opérations de traitement envisagées sur la protection des données à caractère personnel («analyse d’impact relative à la protection des données») lorsqu’un type de traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques;

2 ) l’obligation de consulter l’autorité de contrôle compétente/les autorités de contrôle compétentes préalablement au traitement lorsqu’une analyse d’impact relative à la protection des données indique que le traitement présenterait un risque élevé si le Donneur d’ordre ne prenait pas de mesures pour atténuer le risque;

3 ) l’obligation de veiller à ce que les données à caractère personnel soient exactes et à jour, en informant sans délai le Donneur d’ordre si le Régisseur apprend que les données à caractère personnel qu’il traite sont inexactes ou sont devenues obsolètes;

4 ) les obligations prévues à l’article 32 du RGPD.

5. Notification de violations de données à caractère personnel

En cas de violation de données à caractère personnel, le Régisseur coopère avec le Donneur d’ordre et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du RGPD, en tenant compte de la nature du traitement et des informations dont dispose le Régisseur.

5.1. Violation de données en rapport avec des données traitées par le Donneur d’ordre (le responsable du traitement)

En cas de violation de données à caractère personnel en rapport avec des données traitées par le Donneur d’ordre, le Régisseur prête assistance au Donneur d’ordre :

a) aux fins de la notification de la violation de données à caractère personnel à l’autorité de contrôle compétente/aux autorités de contrôle compétentes, dans les meilleurs délais après que le Donneur d’ordre en a eu connaissance, le cas échéant (sauf si la violation de données à caractère personnel est peu susceptible d’engendrer un risque pour les droits et libertés des personnes physiques);

b) aux fins de l’obtention des informations suivantes qui, conformément à l’article 33, paragraphe 3, du RGPD, doivent figurer dans la notification du Donneur d’ordre, et inclure, au moins:

1 ) la nature des données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés;

2 ) les conséquences probables de la violation de données à caractère personnel;

3 ) les mesures prises ou les mesures que le Donneur d’ordre propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais ;

c) aux fins de la satisfaction, conformément à l’article 34 du RGPD, de l’obligation de communiquer dans les meilleurs délais la violation de données à caractère personnel à la personne concernée, lorsque la violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

5.2. Violation de données en rapport avec des données traitées par le Régisseur (le sous-traitant)

En cas de violation de données à caractère personnel en rapport avec des données traitées par le Régisseur, celui-ci en informe le Donneur d’ordre dans les meilleurs délais après en avoir pris connaissance. Cette notification contient au moins :

a) une description de la nature de la violation constatée (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et d’enregistrements de données à caractère personnel concernés);

b) les coordonnées d’un point de contact auprès duquel des informations supplémentaires peuvent être obtenues au sujet de la violation de données à caractère personnel;

c) ses conséquences probables et les mesures prises ou les mesures qu’il est proposé de prendre pour remédier à la violation, y compris pour en atténuer les éventuelles conséquences négatives.

6. Non-respect des clauses et résiliation

a) Sans préjudice des dispositions du RGPD, en cas de manquement du Régisseur aux obligations qui lui incombent en vertu des clauses de la présente annexe, le Donneur d’ordre peut donner instruction au Régisseur de suspendre le traitement des données à caractère personnel jusqu’à ce que ce dernier se soit conformé aux présentes clauses ou jusqu’à ce que le contrat soit résilié. Le Régisseur informe rapidement le Donneur d’ordre s’il n’est pas en mesure de se conformer aux présentes clauses, pour quelque raison que ce soit.

b) Le Donneur d’ordre est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel conformément aux présentes clauses si :

1 ) le traitement de données à caractère personnel par le Régisseur a été suspendu par le Donneur d’ordre conformément au point a) et le respect des présentes clauses n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension;

2 ) le Régisseur est en violation grave ou persistante des présentes clauses ou des obligations qui lui incombent en vertu du RGPD ;

3 ) le Régisseur ne se conforme pas à une décision contraignante d’une juridiction compétente ou de l’autorité de contrôle compétente/des autorités de contrôle compétentes concernant les obligations qui lui incombent en vertu des présentes clauses ou du RGPD.

c) Le Régisseur est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel en vertu des présentes clauses lorsque, après avoir informé le Donneur d’ordre que ses instructions enfreignent les exigences juridiques applicables conformément à la clause 3.1, point b), le Donneur d’ordre insiste pour que ses instructions soient suivies.

d) À la suite de la résiliation du contrat, le Régisseur supprime, selon le choix du Donneur d’ordre, toutes les données à caractère personnel traitées pour le compte du Donneur d’ordre et certifie auprès de celui-ci qu’il a procédé à cette suppression, ou renvoie toutes les données à caractère personnel au Donneur d’ordre et détruit les copies existantes, à moins que le droit de l’Union ou le droit national n’impose de les conserver plus longtemps. Le Régisseur continue de veiller à la conformité aux présentes clauses jusqu’à la suppression ou à la restitution des données.

Annexe contractuelle RGPD – Courtage

Objet. La présente annexe encadre les traitements de données à caractère personnel réalisés dans le cadre des missions de courtage immobilier confiées à RealtyCare. Elle reprend la structure et les garanties de l’Annexe 6 applicable à la gestion locative, adaptées à l’activité de courtage.

Qualification des rôles. Pour les traitements imposés par la loi, la déontologie IPI, la lutte contre le blanchiment, la constitution de la preuve des diligences et l’organisation propre de son activité, le Courtier agit en qualité de responsable du traitement. Les dispositions relatives à la sous-traitance ne s’appliquent qu’aux traitements effectués exclusivement pour le compte et selon les instructions documentées du Donneur d’ordre.

A. Traitement des données à caractère personnel relatives aux parties (et à leurs préposés éventuels) en qualité de responsables du traitement

Les parties sont susceptibles de collecter et de traiter les données à caractère personnel suivantes :

données d’identification : nom, prénom, lieu et date de naissance, état civil, numéro BCE, numéro IPI ;

données de contact : adresse, siège social, adresse électronique, numéro de téléphone, fonction ;

données bancaires : du Courtier pour le paiement des honoraires et, le cas échéant, du Donneur d’ordre en cas de rétrocession de sommes perçues par le Courtier ;

données relatives au(x) bien(s) concerné(s) par la mission de courtage : adresse et description du bien, droits réels grevant le bien, etc.

Le traitement de ces données est nécessaire à l’exécution de la présente convention, en vue de la réalisation des finalités suivantes :

pour permettre l’exécution de la convention et son suivi par les parties ;

pour permettre la gestion de la relation contractuelle entre les parties ;

pour permettre la facturation des services et le recouvrement éventuel de créances ;

Ces données sont alors traitées sur base de l’article 6.1 (b) du RGPD.

Le Courtier peut également traiter les données du Donneur d’ordre dans le cadre de la poursuite de ses intérêts légitimes :

pour permettre au Courtier d’adresser au Donneur d’ordre des communications commerciales destinées à promouvoir ses services auprès de ses clients existants ;

pour des raisons de sécurité et pour lutter contre la fraude ;

Ces données sont alors traitées sur base de l’article 6.1. (f) du RGPD.

Pour finir, les données peuvent être traitées par les parties lorsque ce traitement est nécessaire au respect d’une obligation légale à laquelle une partie est soumise, dont notamment :

le Courtier peut traiter les données du Donneur d’ordre afin de se conformer à son obligation légale en matière de lutte contre le blanchiment d’argent et le financement du terrorisme.

Ces données sont alors traitées sur base de l’article 6.1. (c) du RGPD.

les candidats-locataires (ou toute partie intéressée) et autres parties intervenantes dans le cadre de la mission ;

les services postaux chargés de la distribution de lettres ou de colis ;

les administrations publiques chargées de la fiscalité et de la sécurité sociale ;

le comptable des parties pour assurer le respect de leurs obligations légales ;

le prestataire IT en charge de l’environnement informatique ;

tout partenaire du Courtier en vue de la réalisation des missions confiées et avec l’accord du Donneur d’ordre.

Les données à caractère personnel seront conservées pour une période maximale de 10 ans à compter de la fin de la présente convention pour des raisons de responsabilité.

En outre, chaque partie peut s’opposer, de la même manière, à un traitement fondé sur l’intérêt légitime de l’autre partie.

B. Traitement par le Courtier de données à caractère personnel de tiers dans le cadre d’une mission de courtage

Dans le cadre de l’exécution des missions qui lui sont confiées en vertu de la présente convention relative à une mission de courtage immobilier, le Courtier est amené à traiter des données à caractère personnel de tiers en qualité de sous-traitant au sens du RGPD. Il traite ces données pour le compte et selon les instructions du Donneur d’ordre qui est le responsable du traitement au sens du RGPD.

1. Description du traitement

a) Objet du traitement : traitement par le Courtier des données de tiers en vue de l’exécution de la mission de courtage immobilier confiée par le Donneur d’ordre.

b) Durée du traitement : aussi longtemps que nécessaire pour exécuter les missions confiées par la convention relative à la mission de courtage au Courtier et, en tout état de cause, pour une durée n’excédant pas la durée de la convention relative à la mission de courtage.

c) Nature du traitement : collecte et utilisation de données de tiers en vue d’assurer les contacts nécessaires pour mener à bien les missions confiées dans le cadre de la exécution d’une mission de courtage immobilier.

d) Finalité du traitement : l’exécution d’une mission de courtage immobilier appartenant au Donneur d’ordre par le Courtier conformément aux instructions données par celui-ci dans le cadre de la convention relative à la mission de courtage.

e) Type de données personnelles :

données d’identification (nom, prénom, adresse) ;

données de contact (adresse électronique, numéro de téléphone) ;

données bancaires ;

toute autre donnée nécessaire compte tenu de l’objet de la mission confiée.

f) Catégories de personnes concernées : les catégories de personnes concernées sont déterminées par l’objet de la mission confiée au Courtier.

Il peut s’agir, notamment :

de locataires/candidats locataires du bien immobilier dont le Courtier assure la gestion (et leurs éventuels cautions) ;

des indivisaires ou propriétaire ou Donneur d’ordre ;

du syndic du bien immobilier dont le Courtier assure la gestion ;

de titulaires de droits réels sur le bien immobilier dont le Courtier assure la gestion ;

du précédent courtier ;

de tiers dont l’intervention est souhaitée en lien avec le bien immobilier dont le Courtier assure la gestion (entrepreneurs, etc.)

2. Hiérarchie

3. Obligations des parties

3.1. Instructions

a) Le Courtier ne traite les données à caractère personnel que sur instruction documentée du Donneur d’ordre, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis. Dans ce cas, le Courtier informe le Donneur d’ordre de cette obligation juridique avant le traitement, sauf si la loi le lui interdit pour des motifs importants d’intérêt public.

b) Le Courtier informe immédiatement le Donneur d’ordre si, selon lui, une instruction donnée par le Donneur d’ordre constitue une violation du RGPD ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données.

3.2. Licéité du traitement

Le Donneur d’ordre garantit la licéité du traitement qu’il confie au Courtier. Il s’assure que les données de tiers transmises au Courtier sont pertinentes et à jour. Il garantit que ces données ont été licitement collectées.

3.3. Limitation de la finalité

Le Courtier traite les données à caractère personnel uniquement pour la ou les finalités spécifiques du traitement, telles que définies à l’article 1 de la présente Annexe, sauf instruction complémentaire du Donneur d’ordre.

3.4. Durée du traitement des données à caractère personnel

Le traitement par le Courtier n’a lieu que pendant la durée précisée à l’article 1 de la présente Annexe.

3.5. Sécurité du traitement

a) Le Courtier met en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité des données à caractère personnel et, notamment, la protection des données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à de telles données (violation de données à caractère personnel). Lors de l’évaluation du niveau de sécurité approprié, les parties tiennent dûment compte de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées.

b) Le Courtier n’accorde aux membres de son personnel l’accès aux données à caractère personnel faisant l’objet du traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi de la convention. Le Courtier veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

3.6. Données sensibles

Si le traitement porte sur des données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que des données génétiques ou des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique, ou des données relatives aux condamnations pénales et aux infractions («données sensibles»), le Courtier applique des limitations spécifiques et/ou des garanties supplémentaires.

3.7. Documentation et conformité

a) Les parties s’assurent qu’elles sont en mesure de démontrer la conformité du traitement avec les présentes clauses.

b) Le Courtier traite de manière rapide et adéquate les demandes du Donneur d’ordre concernant le traitement des données conformément aux présentes clauses.

c) Le Courtier met à la disposition du Donneur d’ordre toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans les présentes clauses et découlant directement du RGPD.

À la demande du Donneur d’ordre, le Courtier permet également la réalisation d’audits des activités de traitement couvertes par les présentes clauses et y contribue, à intervalles raisonnables ou en présence d’indices de non-conformité. Le Donneur d’ordre peut décider de procéder lui-même à l’audit ou de mandater un auditeur indépendant. Lorsqu’il décide d’un examen ou d’un audit, le Donneur d’ordre peut tenir compte des certifications pertinentes en possession du Courtier.

Le Donneur d’ordre peut décider de procéder lui-même à l’audit ou de mandater un auditeur indépendant. Les audits peuvent également comprendre des inspections dans les locaux ou les installations physiques du Courtier et sont, le cas échéant, effectués moyennent un préavis raisonnable.

3.8. Recours à des sous-traitants ultérieurs au sens du RGPD

a) Le Courtier dispose de l’autorisation générale du Donneur d’ordre pour ce qui est du recrutement de sous-traitants ultérieurs sur la base d’une liste convenue lors de la définition de la mission confiée. Le Courtier informe spécifiquement par écrit le Donneur d’ordre de tout projet de modification de cette liste par l’ajout ou le remplacement de sous-traitants ultérieurs au moins 1 mois à l’avance, donnant ainsi au Donneur d’ordre suffisamment de temps pour pouvoir s’opposer à ces changements avant le recrutement du ou des sous-traitants ultérieurs concernés. Le Courtier fournit au Donneur d’ordre les informations nécessaires pour lui permettre d’exercer son droit d’opposition.

b) Lorsque le Courtier recrute un sous-traitant ultérieur pour mener des activités de traitement de données spécifiques (pour le compte du Donneur d’ordre), il le fait au moyen d’un contrat qui impose au sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des données que celles imposées au Courtier en vertu des clauses de la présente annexe.

Le Courtier veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu des présentes clauses et du RGPD.

c) À la demande du Donneur d’ordre, le Courtier lui fournit une copie de ce contrat conclu avec le sous-traitant ultérieur et de toute modification qui y est apportée ultérieurement. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les données à caractère personnel, le Courtier peut expurger le texte du contrat avant d’en diffuser une copie.

d) Le Courtier demeure pleinement responsable, à l’égard du Donneur d’ordre, de l’exécution des obligations du sous-traitant ultérieur conformément au contrat conclu avec le sous-traitant ultérieur.

Le Courtier informe le Donneur d’ordre de tout manquement du sous-traitant ultérieur à ses obligations contractuelles.

e) Le Courtier convient avec le sous-traitant ultérieur d’une clause du tiers bénéficiaire selon laquelle — dans le cas où le sous-traitant a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable — le Donneur d’ordre a le droit de résilier le contrat conclu avec le sous-traitant ultérieur et de donner instruction au sous-traitant ultérieur d’effacer ou de renvoyer les données à caractère personnel.

3.9. Transferts internationaux

a) Tout transfert de données vers un pays tiers ou une organisation internationale par le Courtier n’est effectué que sur la base d’instructions documentées du Donneur d’ordre afin de satisfaire à une exigence spécifique du droit de l’Union ou du droit de l’État membre à laquelle le sous-traitant est soumis et s’effectue conformément au chapitre V du RGPD.

b) Le Donneur d’ordre convient que lorsque le Courtier recrute un sous-traitant ultérieur conformément à la clause 3.8 pour mener des activités de traitement spécifiques (pour le compte du Donneur d’ordre) et que ces activités de traitement impliquent un transfert de données à caractère personnel au sens du chapitre V du RGPD, le Courtier et le sous-traitant ultérieur peuvent garantir le respect du chapitre V du RGPD en utilisant les clauses contractuelles types adoptées par la Commission sur la base de l’article 46, paragraphe 2, du RGPD, pour autant que les conditions d’utilisation de ces clauses contractuelles types soient remplies.

4. Assistance au Donneur d’ordre (responsable du traitement)

a) Le Courtier informe sans délai le Donneur d’ordre de toute demande relative au traitement de données à caractère personnel qu’il a reçue de la part d’une personne concernée. Il ne donne pas lui-même suite à cette demande, à moins que le Donneur d’ordre ne l’y ait autorisé.

b) Le Courtier prête assistance au Donneur d’ordre pour ce qui est de remplir l’obligation qui lui incombe de répondre aux demandes des personnes concernées d’exercer leurs droits, en tenant compte de la nature du traitement.

Dans l’exécution de ses obligations conformément aux points a) et b), le Courtier se conforme aux instructions du Donneur d’ordre.

c) Outre l’obligation incombant au Courtier d’assister le Donneur d’ordre en vertu de la clause 4, point b), le Courtier aide en outre le Donneur d’ordre à garantir le respect des obligations suivantes, compte tenu de la nature du traitement et des informations dont dispose le Courtier :

3 ) l’obligation de veiller à ce que les données à caractère personnel soient exactes et à jour, en informant sans délai le Donneur d’ordre si le Courtier apprend que les données à caractère personnel qu’il traite sont inexactes ou sont devenues obsolètes;

4 ) les obligations prévues à l’article 32 du RGPD.

5. Notification de violations de données à caractère personnel

En cas de violation de données à caractère personnel, le Courtier coopère avec le Donneur d’ordre et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du RGPD, en tenant compte de la nature du traitement et des informations dont dispose le Courtier.

5.1. Violation de données en rapport avec des données traitées par le Donneur d’ordre (le responsable du traitement)

En cas de violation de données à caractère personnel en rapport avec des données traitées par le Donneur d’ordre, le Courtier prête assistance au Donneur d’ordre :

b) aux fins de l’obtention des informations suivantes qui, conformément à l’article 33, paragraphe 3, du RGPD, doivent figurer dans la notification du Donneur d’ordre, et inclure, au moins:

2 ) les conséquences probables de la violation de données à caractère personnel;

5.2. Violation de données en rapport avec des données traitées par le Courtier (le sous-traitant)

En cas de violation de données à caractère personnel en rapport avec des données traitées par le Courtier, celui-ci en informe le Donneur d’ordre dans les meilleurs délais après en avoir pris connaissance. Cette notification contient au moins :

b) les coordonnées d’un point de contact auprès duquel des informations supplémentaires peuvent être obtenues au sujet de la violation de données à caractère personnel;

6. Non-respect des clauses et résiliation

a) Sans préjudice des dispositions du RGPD, en cas de manquement du Courtier aux obligations qui lui incombent en vertu des clauses de la présente annexe, le Donneur d’ordre peut donner instruction au Courtier de suspendre le traitement des données à caractère personnel jusqu’à ce que ce dernier se soit conformé aux présentes clauses ou jusqu’à ce que le contrat soit résilié. Le Courtier informe rapidement le Donneur d’ordre s’il n’est pas en mesure de se conformer aux présentes clauses, pour quelque raison que ce soit.

b) Le Donneur d’ordre est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel conformément aux présentes clauses si :

1 ) le traitement de données à caractère personnel par le Courtier a été suspendu par le Donneur d’ordre conformément au point a) et le respect des présentes clauses n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension;

2 ) le Courtier est en violation grave ou persistante des présentes clauses ou des obligations qui lui incombent en vertu du RGPD ;

3 ) le Courtier ne se conforme pas à une décision contraignante d’une juridiction compétente ou de l’autorité de contrôle compétente/des autorités de contrôle compétentes concernant les obligations qui lui incombent en vertu des présentes clauses ou du RGPD.

c) Le Courtier est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel en vertu des présentes clauses lorsque, après avoir informé le Donneur d’ordre que ses instructions enfreignent les exigences juridiques applicables conformément à la clause 3.1, point b), le Donneur d’ordre insiste pour que ses instructions soient suivies.

d) À la suite de la résiliation du contrat, le Courtier supprime, selon le choix du Donneur d’ordre, toutes les données à caractère personnel traitées pour le compte du Donneur d’ordre et certifie auprès de celui-ci qu’il a procédé à cette suppression, ou renvoie toutes les données à caractère personnel au Donneur d’ordre et détruit les copies existantes, à moins que le droit de l’Union ou le droit national n’impose de les conserver plus longtemps. Le Courtier continue de veiller à la conformité aux présentes clauses jusqu’à la suppression ou à la restitution des données.