Accord de traitement des données
Le présent Accord de traitement des données (l’« Accord » ou « DPA ») est conclu entre le client et [ENTITY NAME], [ADDRESS] (« Nabo »). Le client est le syndic ou gestionnaire immobilier, l’administrateur certifié ou le syndicat de copropriétaires qui crée un immeuble sur Nabo, en qualité de responsable du traitement. Nabo agit en qualité de sous-traitant. Le présent Accord s’applique en vertu de l’article 28 du RGPD et de la loi albanaise n° 124/2024 relative à la protection des données personnelles. Un gestionnaire l’accepte dans l’application, au nom du responsable du traitement, lors de la création d’un immeuble ; la version et l’horodatage de l’acceptation sont enregistrés.
1. Objet, durée et nature
Nabo traite les données personnelles des résidents afin de fournir le service communautaire privé de l’immeuble décrit dans les Conditions d’utilisation : vérification des adhésions, fil, annonces, événements, « Prêter & emprunter », messages, modération et notifications. Le traitement dure aussi longtemps que l’immeuble utilise Nabo, augmenté du délai de suppression prévu à la section 9. Les détails figurent à l’annexe 1.
2. Instructions
Nabo ne traite les données de l’immeuble que sur instruction documentée du responsable du traitement. Ces instructions sont constituées par les Conditions d’utilisation, le présent Accord et l’utilisation que le responsable du traitement fait des réglages de l’application. Nabo ne traite aucune donnée pour ses propres finalités. Nabo informe le responsable du traitement s’il estime qu’une instruction enfreint la réglementation relative à la protection des données.
3. Confidentialité
Toutes les personnes chez Nabo qui ont accès aux données de l’immeuble sont tenues à une obligation de confidentialité. L’équipe Nabo ne peut accéder à un immeuble que par une fonction d’assistance auditée, qui enregistre qui y a accédé et pour quel motif.
4. Sécurité
Nabo met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2 et veille à ce qu’elles restent adaptées au risque (art. 32 du RGPD).
5. Assistance
Nabo aide le responsable du traitement à répondre aux demandes des résidents. Les résidents peuvent exporter leurs propres données et supprimer leur compte dans l’application, et le responsable du traitement peut exporter la liste des résidents, les journaux d’envoi, le journal d’audit et les contenus depuis l’onglet Gestion. Nabo apporte également son concours, si nécessaire, aux analyses d’impact relatives à la protection des données et aux consultations de l’autorité de contrôle.
6. Violations de données personnelles
Nabo notifie au responsable du traitement toute violation de données personnelles touchant les données de l’immeuble dans les meilleurs délais, et au plus tard dans les 72 heures suivant sa découverte. La notification contient les informations visées à l’article 33, paragraphe 3, du RGPD, dans la mesure où elles sont connues, et Nabo communique les informations manquantes dès qu’il en dispose.
7. Sous-traitants ultérieurs
Le responsable du traitement autorise les sous-traitants ultérieurs figurant sur la page Sous-traitants. Nabo annonce tout ajout ou remplacement d’un sous-traitant ultérieur au moins 30 jours à l’avance, par e-mail et dans l’application. Le responsable du traitement peut s’y opposer pour des motifs raisonnables liés à la protection des données. À défaut de solution, il peut mettre fin au service, et les sommes versées pour la période restante lui sont remboursées. Nabo impose à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données et demeure responsable de leur respect.
8. Transferts internationaux
Les données de l’immeuble sont stockées dans l’Union européenne (Paris, France). Des transferts hors de l’UE/EEE n’ont lieu que dans les cas indiqués sur la page Sous-traitants, sur la base des Clauses contractuelles types de la Commission européenne. Les transferts concernant des immeubles situés en Albanie reposent sur la liste des pays offrant un niveau de protection adéquat établie par le Commissaire albanais, ou sur des clauses équivalentes, assorties d’une évaluation des risques documentée.
9. Fin du service
Lorsqu’un immeuble quitte Nabo, le responsable du traitement peut exporter ses données tant que l’immeuble est en lecture seule. Nabo supprime les contenus, photos et adhésions de l’immeuble 90 jours après son archivage et fournit un certificat de suppression sur demande. Les documents que Nabo est légalement tenu de conserver ne le sont que pendant la durée requise : factures, journal d’audit et enregistrements de consentement.
10. Audits
Nabo met à disposition les informations nécessaires pour démontrer le respect du présent Accord, notamment le présent document, l’annexe 2 et les certifications de ses sous-traitants ultérieurs. Nabo permet la réalisation d’audits par le responsable du traitement ou par un auditeur désigné par celui-ci, au plus une fois par an et moyennant un préavis de 30 jours, sauf si une violation de données ou une autorité de contrôle impose qu’il en soit autrement.
11. Ordre de priorité
En cas de contradiction entre le présent Accord et les Conditions d’utilisation, le présent Accord prévaut pour ce qui concerne le traitement des données personnelles.
Annexe 1 : Description du traitement
| Personnes concernées | Résidents, propriétaires, locataires et membres du foyer de l’immeuble ; gestionnaires et modérateurs de l’immeuble ; personnes inscrites par le responsable du traitement sur la liste des résidents. |
|---|---|
| Données personnelles | Nom, adresse e-mail ; numéro de téléphone, photo et bio facultatifs ; immeuble, lot, foyer et rôle ; publications, commentaires, réactions, événements, réponses aux invitations, offres, prêts et évaluations ; messages privés ; annonces, journaux d’envoi et de confirmation de lecture ; consentement aux notifications officielles ; signalements, décisions de modération et recours ; jetons d’appareil et langue ; journal d’audit. |
| Catégories particulières | Aucune n’est prévue. Les résidents peuvent saisir de telles données en texte libre ; les Règles de la communauté leur demandent de ne pas le faire. |
| Finalité | Fournir le service communautaire privé de l’immeuble et ses outils d’administration. |
| Fréquence | Continue, tant que l’immeuble utilise Nabo. |
| Conservation | Comme indiqué à la section 6 de la Politique de confidentialité. |
Annexe 2 : Mesures techniques et organisationnelles
- Cloisonnement entre immeubles : les données de chaque immeuble sont séparées par une sécurité au niveau des lignes (row-level security) appliquée à chaque table. Des tests automatisés démontrent qu’un membre d’un immeuble ne peut ni lire ni modifier les données d’un autre immeuble.
- Chiffrement : TLS 1.2 ou version ultérieure pour les données en transit ; chiffrement au repos assuré par l’hébergeur.
- Accès : connexion par lien envoyé par e-mail, code ou mot de passe ; jetons à courte durée de vie (15 minutes) et révocation des sessions ; jetons conservés dans le Keychain de l’appareil ; rôles fondés sur le principe du moindre privilège (résident, modérateur, gestionnaire) ; accès du personnel uniquement par une fonction auditée.
- Médias : stockage privé ; les photos sont servies via des liens signés qui expirent et ne fonctionnent que pour les membres de l’immeuble.
- Journalisation : journal d’audit en ajout seul des actions d’administration, des décisions de modération, des exports, des purges et des accès du personnel.
- Protection de la vie privée par défaut : les résidents ne voient qu’un prénom et une initiale, sauf choix contraire de la personne concernée ; les adresses e-mail ne sont jamais montrées aux résidents ; ni publicité ni pistage entre applications.
- Résilience : base de données gérée chez l’hébergeur, avec sauvegardes [FREQUENCY AND RETENTION, per the hosting plan] ; cache hors ligne sur le téléphone, synchronisé avec le serveur.
- Gestion des incidents : procédure écrite prévoyant la notification aux responsables du traitement dans les 72 heures.
- Suppression : tâches de conservation planifiées conformément à la Politique de confidentialité ; les fichiers d’export expirent au bout de 7 jours.