Accord de traitement des données

1. Parties et objet

Le présent accord est conclu entre le cabinet abonné à Gerelio (le « Cabinet »), responsable de traitement, et KAPSELL, société par actions simplifiée (sas) au capital de 2 000 €, dont le siège est au 60 rue François Iᵉʳ, 75008 Paris, France, immatriculée au RCS Paris 982 406 381 (« KAPSELL »), sous-traitant.

Il fixe les conditions dans lesquelles KAPSELL traite des données personnelles pour le compte du Cabinet, en application de l’article 28 du règlement (UE) 2016/679 du 27 avril 2016 (le « RGPD ») et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

L’accord fait partie du contrat d’abonnement, avec les conditions générales de vente et les conditions générales d’utilisation. Il est accepté par le Cabinet lors de la création de son espace et s’applique dès l’essai gratuit. Sur toute question de protection des données, il prévaut sur les autres documents contractuels.

Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant » et « violation de données » ont le sens que leur donne l’article 4 du RGPD.

2. Description du traitement

Nature des opérations : hébergement, enregistrement, organisation, consultation, calcul, mise à disposition sur l’extranet, génération de documents, envoi de courriers et d’e-mails sur instruction du Cabinet, sauvegarde, export et suppression.

Finalité : fournir au Cabinet le logiciel Gerelio pour la gestion des copropriétés dont il est syndic et des biens qu’il gère en location (comptabilité, appels de fonds, assemblées générales, baux et quittancement, extranet, correspondance), ainsi que le support et la migration assistée.

Personnes concernées : copropriétaires et leurs représentants ; membres du conseil syndical ; bailleurs ; locataires, occupants et garants ; fournisseurs et prestataires personnes physiques, ou contacts des fournisseurs personnes morales ; notaires et autres interlocuteurs du Cabinet ; dirigeant et collaborateurs du Cabinet.

Catégories de données :

• identité et coordonnées (nom, prénom, adresses postale et électronique, téléphone) ;
• informations relatives aux lots, aux immeubles, aux mandats et aux baux ;
• données financières : comptes copropriétaires et locataires, appels de fonds, loyers, charges, soldes, impayés, coordonnées bancaires et mandats de prélèvement SEPA ;
• données relatives aux assemblées générales : présences, pouvoirs, votes ;
• correspondance, demandes et documents déposés par le Cabinet ou par les utilisateurs de l’extranet ;
• données de connexion et journaux d’activité des utilisateurs.

Gerelio n’est pas conçu pour traiter les catégories particulières de données visées à l’article 9 du RGPD (santé, opinions, etc.). Le Cabinet s’abstient d’en saisir, sauf nécessité stricte et sous sa responsabilité.

Durée : la durée de l’abonnement, prolongée de la période de réversibilité et de suppression prévue à l’article 10.

3. Obligations de KAPSELL

KAPSELL s’engage à :

• ne traiter les données que sur instruction documentée du Cabinet. Le contrat d’abonnement, la configuration de l’espace et les actions réalisées par les utilisateurs du Cabinet dans l’application constituent ces instructions. Si une instruction lui paraît contraire à la réglementation, KAPSELL en informe immédiatement le Cabinet ;
• ne pas utiliser les données pour ses propres besoins, ne pas les vendre et ne pas les communiquer à des tiers, sauf aux sous-traitants ultérieurs prévus à l’article 6 ou en vertu d’une obligation légale, dont elle informe alors le Cabinet sauf interdiction légale ;
• veiller à ce que les personnes autorisées à accéder aux données soient soumises à une obligation de confidentialité et n’y accèdent que lorsque c’est nécessaire (support demandé par le Cabinet, maintenance, sécurité) ;
• mettre en œuvre les mesures de sécurité décrites à l’article 5, conformément à l’article 32 du RGPD ;
• aider le Cabinet, dans la mesure du possible, à répondre aux demandes d’exercice des droits des personnes concernées (article 8) ;
• aider le Cabinet à garantir le respect de ses obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable (articles 32 à 36 du RGPD), compte tenu de la nature du traitement et des informations dont elle dispose ;
• restituer puis supprimer les données au terme du contrat (article 10) ;
• mettre à la disposition du Cabinet les informations nécessaires pour démontrer le respect de ses obligations et permettre des audits (article 11) ;
• tenir le registre des traitements effectués pour le compte de ses clients prévu à l’article 30, paragraphe 2, du RGPD.

4. Obligations du Cabinet

Le Cabinet détermine les finalités et les moyens du traitement. Il lui appartient notamment de disposer d’une base légale pour chaque traitement, d’informer les personnes concernées, de tenir son propre registre des traitements, de ne saisir que des données pertinentes et exactes, de fixer les durées de conservation applicables à son activité et de gérer les accès de ses collaborateurs et des utilisateurs de son extranet.

5. Sécurité

KAPSELL met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :

• hébergement des données dans l’Union européenne, en France : base de données et fichiers chez Supabase, dans la région de Paris d’Amazon Web Services (eu-west-3) ;
• chiffrement des échanges entre le navigateur et les serveurs (HTTPS/TLS) et chiffrement des données et des sauvegardes au repos ;
• isolement des données de chaque cabinet au niveau de la base de données : un utilisateur ne peut lire que les données de son cabinet ;
• droits d’accès par rôle au sein du cabinet et attribution des portefeuilles d’immeubles par gestionnaire ;
• clés et identifiants des prestataires branchés par le Cabinet conservés chiffrés dans un coffre, jamais réaffichés en clair ;
• sauvegardes régulières ;
• écritures comptables validées scellées par une chaîne d’empreintes, qui rend toute modification ultérieure détectable ;
• accès du personnel de KAPSELL aux environnements de production limité aux personnes qui en ont besoin.

KAPSELL peut faire évoluer ces mesures, à condition de ne pas réduire le niveau de sécurité global.

6. Sous-traitants ultérieurs

Le Cabinet autorise KAPSELL à recourir aux sous-traitants ultérieurs suivants :

KAPSELL impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et reste responsable envers le Cabinet de leur exécution.

KAPSELL informe le Cabinet par e-mail, au moins 30 jours à l’avance, de tout ajout ou remplacement d’un sous-traitant ultérieur. Le Cabinet peut s’y opposer par écrit pendant ce délai, pour un motif lié à la protection des données. Si aucune solution n’est trouvée, le Cabinet peut résilier son abonnement sans frais avant l’entrée en fonction du nouveau sous-traitant.

7. Prestataires branchés par le Cabinet

Le Cabinet peut relier à Gerelio des prestataires qu’il choisit et avec lesquels il contracte directement, en enregistrant sa propre clé : lettre recommandée électronique (AR24), agrégateur bancaire (Bridge), Pennylane, Yousign, messagerie électronique (Brevo, Mailjet, Resend avec le compte du Cabinet, ou le serveur SMTP de sa messagerie).

Ces prestataires ne sont pas des sous-traitants de KAPSELL. Ils agissent pour le compte du Cabinet, qui conclut avec eux ses propres engagements de protection des données. En branchant un prestataire, le Cabinet donne instruction à KAPSELL de lui transmettre les données nécessaires au service demandé ; KAPSELL cesse toute transmission dès que le Cabinet le débranche.

Resend figure dans les deux listes : comme sous-traitant de KAPSELL pour l’envoi par défaut, et comme prestataire du Cabinet lorsque celui-ci branche son propre compte Resend.

8. Droits des personnes concernées

Les fonctions de Gerelio (consultation, rectification, export, suppression des fiches) permettent au Cabinet de répondre lui-même aux demandes d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Si KAPSELL reçoit directement une telle demande, elle la transmet au Cabinet dans les meilleurs délais et n’y répond pas elle-même sans son instruction.

9. Violation de données

KAPSELL notifie au Cabinet toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail au dirigeant du Cabinet. La notification précise, dans la mesure où ces informations sont disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou envisagées pour y remédier, et le contact chez KAPSELL. Les informations manquantes sont communiquées dès qu’elles sont connues.

Il appartient au Cabinet, responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, d’en informer les personnes concernées (articles 33 et 34 du RGPD). KAPSELL l’y aide.

10. Fin du contrat : restitution et suppression

Pendant toute la durée du contrat, le Cabinet peut exporter gratuitement l’intégralité de ses données dans des formats ouverts. Après la prise d’effet de la résiliation, son espace reste accessible en lecture seule pendant 90 jours pour lui permettre de procéder à cet export ; KAPSELL peut, à sa demande, lui remettre un export complet.

À l’issue de ce délai, KAPSELL supprime les données du Cabinet de ses environnements de production dans un délai de 30 jours. Les copies contenues dans les sauvegardes sont effacées au fil de leur cycle normal de rotation et ne sont pas utilisées entre-temps, sauf pour une restauration demandée par le Cabinet. Sur demande, KAPSELL confirme par écrit la suppression.

KAPSELL ne conserve aucune donnée du Cabinet au-delà, sauf si le droit de l’Union ou le droit français l’exige. Les obligations de conservation propres à l’activité du Cabinet (archives des syndicats, pièces comptables, documents à transmettre à un successeur) lui incombent : il exporte ses données avant leur suppression.

11. Documentation et audits

KAPSELL met à la disposition du Cabinet, sur demande, les informations nécessaires pour démontrer le respect du présent accord, notamment la description à jour des mesures de sécurité et la liste des sous-traitants ultérieurs.

Le Cabinet peut faire réaliser un audit, au plus une fois par période de 12 mois sauf violation de données avérée, par lui-même ou par un auditeur indépendant tenu au secret professionnel et qui n’est pas un concurrent de KAPSELL. L’audit est annoncé au moins 30 jours à l’avance, se déroule pendant les heures ouvrées sans perturber le service et ne peut donner accès aux données des autres clients ni aux informations confidentielles des sous-traitants ultérieurs. Ses frais sont à la charge du Cabinet. Les audits demandés par une autorité de contrôle ne sont pas soumis à ces limites.

12. Transferts hors de l’Union européenne

Les données du Cabinet sont hébergées dans l’Union européenne. Certains sous-traitants ultérieurs sont des sociétés établies hors de l’Union européenne et peuvent y accéder ponctuellement, notamment pour la maintenance ou le support de leur infrastructure. Tout transfert de ce type est encadré par l’une des garanties prévues au chapitre V du RGPD, telles qu’une décision d’adéquation de la Commission européenne ou des clauses contractuelles types.

13. Durée

Le présent accord entre en vigueur à la création de l’espace du Cabinet. Il reste applicable tant que KAPSELL traite des données pour le compte du Cabinet, y compris pendant la période de réversibilité et jusqu’à la suppression complète des données.

Contact

Pour toute question relative au présent accord ou à la protection des données : KAPSELL, 60 rue François Iᵉʳ, 75008 Paris, France, Afficher l’adresse e-mail.

Dernière mise à jour : 26 septembre 2026.