ACCORD DE TRAITEMENT DES DONNÉES (DPA) — LEAZARD

Éditeur : RM SYSTEMS (SAS) — Service : Leazard Version 2.0 — En vigueur au 1er septembre 2026

Préambule

Le présent Accord de Traitement des Données (ci-après le « DPA ») est conclu entre :

RM SYSTEMS, société par actions simplifiée au capital de 2 euros, immatriculée au RCS de Nanterre sous le numéro 108 779 877, dont le siège social est situé 50, boulevard du Général Leclerc, 92200 Neuilly-sur-Seine, éditeur de la plateforme Leazard, telle que définie en qualité d'« Éditeur » à l'article 1 des Conditions Générales d'Utilisation du Service (ci-après les « CGU »),

le Client, tel que défini à l'article 1 des CGU, ayant souscrit un abonnement au Service.

L'Éditeur et le Client sont ci-après désignés individuellement une « Partie » et ensemble les « Parties ».

Articulation avec les CGU

Le présent DPA complète et fait partie intégrante des CGU. Il s'applique spécifiquement aux Données Traitées, telles que définies à l'article 1 des CGU et à l'article 1 du présent DPA, conformément à l'article 9 des CGU, aux termes duquel :

l'Éditeur agit en qualité de responsable de traitement pour les données relatives aux Utilisateurs du Client (compte, connexion, facturation, support) — ce traitement n'entre pas dans le champ du présent DPA et est décrit dans la Politique de Confidentialité de l'Éditeur ;
l'Éditeur agit en qualité de sous-traitant, au sens de l'article 28 du Règlement (UE) 2016/679 (« RGPD »), pour les Données Traitées, le Client demeurant seul responsable de traitement au sens de l'article 4.7 du RGPD à l'égard de ces données.

En cas de contradiction entre les CGU et le présent DPA sur les points relatifs au traitement des Données Traitées, les stipulations du présent DPA prévalent, conformément à l'article 2 des CGU. Pour tout ce qui n'est pas régi par le présent DPA, les CGU s'appliquent, notamment leurs articles 11 (Réversibilité et portabilité des Données) et 14 (Sous-traitance technique).

Les termes « Éditeur », « Client », « Utilisateur », « Données », « Données Traitées », « Service » et « Bon de Commande » ont le sens qui leur est donné à l'article 1 des CGU.

Article 1 — Définitions

Pour les besoins du présent DPA, et sans préjudice des définitions figurant à l'article 4 du RGPD et à l'article 1 des CGU :

« Données Traitées » : les données à caractère personnel contenues dans les baux commerciaux et documents associés importés par le Client dans le Service, relatives aux locataires, bailleurs, garants et autres tiers personnes physiques.
« Traitement » : toute opération réalisée par l'Éditeur sur les Données Traitées pour le compte du Client dans le cadre de la fourniture du Service.
« Instructions » : les instructions documentées du Client relatives au Traitement des Données Traitées, telles que résultant des CGU, du Bon de Commande, du paramétrage du Service par le Client et du présent DPA. Toute instruction complémentaire doit être formulée par écrit à l'adresse contact@leazard.fr et peut, si elle excède le périmètre du Service, donner lieu à une facturation complémentaire ou à un refus motivé.
« Violation de données » : toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données Traitées ou l'accès non autorisé à celles-ci, au sens de l'article 4.12 du RGPD.

Article 2 — Objet, nature et finalité du Traitement

L'Éditeur est autorisé à traiter les Données Traitées pour le compte du Client, sur instruction documentée de ce dernier, aux seules fins de fournir les fonctionnalités du Service, à savoir notamment :

l'hébergement des Données Traitées ;
la lecture et l'extraction assistée par intelligence artificielle des données contenues dans les baux importés, avec traçabilité de la source de chaque donnée extraite ;
la génération des calendriers de facturation automatisés et l'envoi des relances associées ;
l'émission de factures électroniques au format Factur-X ;
le calcul des régularisations de charges ;
le suivi des indexations locatives (ILC, ILAT, ICC) ;
l'assistance au Client dans le cadre du support technique ;
plus généralement, toute opération nécessaire au bon fonctionnement, à la sécurité et à la continuité du Service tels que décrits dans la documentation contractuelle.

L'Éditeur ne traite les Données Traitées que dans la limite strictement nécessaire à la fourniture du Service et n'est pas autorisé à les utiliser à d'autres fins, sauf :

(i) accord exprès et documenté du Client ; ou (ii) obligation légale à laquelle l'Éditeur est soumis, auquel cas l'Éditeur informe le Client de cette obligation avant le traitement, sauf si le droit applicable interdit une telle information pour des motifs importants d'intérêt public ; ou (iii) production de données statistiques agrégées et rendues anonymes, ne constituant plus des données à caractère personnel, dans les conditions prévues à l'article 8.4 des CGU.

L'Éditeur n'utilise pas les Données Traitées pour entraîner ou améliorer des modèles d'intelligence artificielle et impose la même interdiction à ses sous-traitants ultérieurs.

Article 3 — Durée du Traitement

Le présent DPA s'applique pendant toute la durée du contrat liant l'Éditeur et le Client au titre du Service, à laquelle s'ajoute la période de réversibilité de trente (30) jours prévue à l'article 11 des CGU, courant à compter de la date de résiliation ou d'expiration du contrat.

À l'issue de cette période, les Données Traitées sont supprimées ou restituées conformément à l'article 8 du présent DPA.

Article 4 — Nature des données et catégories de personnes concernées

4.1 Catégories de personnes concernées

locataires, personnes physiques ou représentants de personnes morales locataires ;
bailleurs, personnes physiques ou représentants de personnes morales bailleresses ;
garants et cautions ;
mandataires, gestionnaires ou contacts de gestion mentionnés dans les baux.

4.2 Catégories de données traitées

Données d'identité : nom, prénom, qualité (locataire, bailleur, garant, mandataire) ;
Données de contact : adresse postale, adresse électronique, numéro de téléphone ;
Données relatives au bail : adresse du bien loué, dates et durée du bail, clauses d'indexation, destination des locaux ;
Données financières et de facturation : montants de loyers et de charges, dépôt de garantie, coordonnées bancaires le cas échéant, historique de facturation, données de régularisation de charges.

4.3 Exclusion des catégories particulières de données

Aucune catégorie particulière de données au sens de l'article 9 du RGPD (données de santé, origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données biométriques ou génétiques, orientation sexuelle), ni aucune donnée relative à des condamnations pénales au sens de l'article 10 du RGPD, n'a vocation à être traitée dans le cadre du Service.

Le Client s'engage à ne pas importer de documents contenant de telles données ou à en supprimer toute mention avant import. Dans l'hypothèse où une telle donnée figurerait, de façon incidente et non recherchée, dans un document de bail, l'Éditeur ne lui appliquera aucun traitement spécifique et le Client demeurera responsable des conséquences de cet import.

Article 5 — Obligations du sous-traitant (Éditeur)

Conformément à l'article 28.3 du RGPD, l'Éditeur s'engage à :

5.a Traiter les données uniquement sur instruction documentée du Client

L'Éditeur ne traite les Données Traitées que sur instruction documentée du Client, y compris en ce qui concerne les transferts de données vers un pays tiers ou une organisation internationale, sauf obligation légale contraire, auquel cas l'Éditeur en informe préalablement le Client, sauf interdiction légale pour des motifs importants d'intérêt public.

Si l'Éditeur considère qu'une instruction constitue une violation du RGPD ou de toute autre disposition relative à la protection des données, il en informe immédiatement le Client et peut suspendre l'exécution de l'instruction concernée jusqu'à sa clarification.

5.b Garantir la confidentialité

L'Éditeur veille à ce que les personnes autorisées à traiter les Données Traitées s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et reçoivent la sensibilisation nécessaire en matière de protection des données à caractère personnel.

L'accès aux Données Traitées est limité aux seuls membres du personnel de l'Éditeur dont les fonctions le justifient, selon le principe du moindre privilège.

5.c Garantir la sécurité (article 32 du RGPD)

L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, incluant selon les besoins le chiffrement, les moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes de traitement, ainsi que des procédures de sauvegarde et de test régulier de l'efficacité de ces mesures.

La description de ces mesures figure en Annexe 1 du présent DPA. L'Éditeur peut les faire évoluer à condition de ne pas diminuer le niveau de sécurité global.

5.d Recours à des sous-traitants ultérieurs

Le Client autorise, de façon générale, l'Éditeur à recourir à d'autres sous-traitants (sous-traitants ultérieurs) pour l'exécution de tâches spécifiques liées au Traitement, notamment pour l'hébergement des Données Traitées et pour les services d'intelligence artificielle utilisés dans le cadre de l'extraction automatisée. La liste actuelle de ces sous-traitants ultérieurs figure à l'article 7 du présent DPA.

L'Éditeur informe le Client de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, par courrier électronique ou notification dans le Service, avec un préavis de trente (30) jours.

Le Client peut, dans un délai de quinze (15) jours à compter de cette information, formuler une objection écrite et motivée tirée de considérations de protection des données. Les Parties s'efforceront alors de trouver une solution alternative raisonnable ; à défaut d'accord dans un délai de trente (30) jours, le Client pourra résilier le contrat sans indemnité, avec remboursement au prorata des sommes versées d'avance au titre de la période non courue.

L'Éditeur impose à chaque sous-traitant ultérieur, par voie contractuelle, les mêmes obligations en matière de protection des données que celles prévues au présent DPA, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. L'Éditeur demeure pleinement responsable, à l'égard du Client, de l'exécution des obligations de ses sous-traitants ultérieurs.

5.e Assistance pour les demandes d'exercice des droits des personnes concernées

Compte tenu de la nature du Traitement, l'Éditeur assiste le Client, dans la mesure du possible, par des mesures techniques et organisationnelles appropriées, pour lui permettre de s'acquitter de son obligation de répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité) prévus au chapitre III du RGPD. Le Service met à cette fin à la disposition du Client des fonctionnalités de recherche, de correction, d'export et de suppression des Données Traitées.

Si une demande d'exercice de droit est adressée directement à l'Éditeur par une personne concernée, l'Éditeur la transmet au Client dans les meilleurs délais et au plus tard sous cinq (5) jours ouvrés, sans y répondre lui-même sauf instruction contraire du Client.

Cette assistance est fournie sans frais supplémentaires, sauf lorsqu'elle nécessite des développements spécifiques excédant les fonctionnalités standard du Service, auquel cas elle donne lieu à un devis préalable.

5.f Assistance en matière de sécurité, d'analyse d'impact et de consultation préalable

L'Éditeur aide le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature du Traitement et des informations à sa disposition, notamment :

en communiquant au Client les informations nécessaires à la réalisation d'une analyse d'impact relative à la protection des données (AIPD) lorsque celle-ci est requise ;
en assistant le Client dans le cadre d'une consultation préalable de la CNIL, le cas échéant ;
en notifiant au Client toute Violation de données conformément à l'article 6 du présent DPA.

5.g Sort des données à l'issue de la prestation

Au choix du Client et conformément à l'article 11 des CGU, l'Éditeur supprime ou restitue au Client l'ensemble des Données Traitées à l'issue de la prestation de services, et détruit les copies existantes, sauf lorsque le droit de l'Union européenne ou le droit d'un État membre impose leur conservation. Les modalités précises figurent à l'article 8 du présent DPA.

5.h Mise à disposition des informations et audits

L'Éditeur met à la disposition du Client toute information nécessaire pour démontrer le respect des obligations prévues à l'article 28 du RGPD et pour permettre la réalisation d'audits, y compris des inspections, par le Client ou un auditeur mandaté par lui, et contribue à ces audits.

Sauf circonstance exceptionnelle (Violation de données avérée ou injonction d'une autorité de contrôle), ces audits sont réalisés :

au maximum une (1) fois par an ;
moyennant un préavis écrit de trente (30) jours ;
pendant les heures ouvrées et sans perturbation excessive de l'activité de l'Éditeur ;
par un auditeur non concurrent de l'Éditeur et soumis à une obligation de confidentialité ;
aux frais du Client, sauf si l'audit révèle un manquement substantiel de l'Éditeur.

L'Éditeur peut satisfaire à cette obligation par la communication de rapports d'audit, d'attestations ou de certifications existants lorsque ceux-ci couvrent le périmètre concerné.

Article 6 — Notification des Violations de données

En cas de Violation de données affectant les Données Traitées, l'Éditeur notifie le Client sans délai injustifié et, en tout état de cause, au plus tard quarante-huit (48) heures après en avoir eu connaissance, afin de permettre au Client de respecter le délai de soixante-douze (72) heures qui lui incombe au titre de l'article 33 du RGPD.

Cette notification, adressée au contact désigné par le Client, comprend dans la mesure où ces informations sont disponibles :

la description de la nature de la Violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements de données concernés ;
le nom et les coordonnées du point de contact chez l'Éditeur auprès duquel des informations supplémentaires peuvent être obtenues ;
la description des conséquences probables de la Violation ;
la description des mesures prises ou proposées par l'Éditeur pour y remédier, y compris, le cas échéant, les mesures destinées à en atténuer les éventuelles conséquences négatives.

Lorsque ces informations ne peuvent être fournies en une seule fois, elles peuvent l'être de manière échelonnée, sans retard indu supplémentaire.

L'Éditeur documente toute Violation de données, y compris celles n'ayant pas nécessité de notification, et tient cette documentation à disposition du Client sur demande.

Il est rappelé que la notification par l'Éditeur au Client ne dispense pas ce dernier, en sa qualité de responsable de traitement, de procéder le cas échéant à sa propre notification à la CNIL dans le délai de soixante-douze (72) heures prévu à l'article 33 du RGPD, ni, si nécessaire, à l'information des personnes concernées prévue à l'article 34 du RGPD. L'Éditeur ne procède à aucune notification à l'autorité de contrôle ou aux personnes concernées pour le compte du Client, sauf instruction écrite expresse de ce dernier.

Article 7 — Liste des sous-traitants ultérieurs

Conformément à l'article 5.d ci-dessus et à l'article 14 des CGU, la liste des sous-traitants ultérieurs actuellement autorisés à traiter tout ou partie des Données Traitées est la suivante :

| Sous-traitant ultérieur | Prestation | Localisation des données | Garanties (si hors UE) | |---|---|---|---| | OVH SAS (OVHcloud) — 2 rue Kellermann, 59100 Roubaix, RCS Lille Métropole 424 761 419 | Hébergement de l'infrastructure et des Données Traitées | France / Union européenne | Sans objet | | Mistral AI SAS — société établie en France | Extraction automatisée des données des baux par intelligence artificielle | Union européenne | Sans objet |

Cette liste est tenue à jour par l'Éditeur. Toute modification est portée à la connaissance du Client dans les conditions de l'article 5.d.

Article 8 — Sort des données en fin de contrat

À l'expiration ou en cas de résiliation du contrat, pour quelque cause que ce soit, l'Éditeur, conformément à l'article 11 des CGU :

met à disposition du Client, sur demande formulée pendant la période de réversibilité de trente (30) jours, un export des Données Traitées dans un format structuré et couramment utilisé, à savoir CSV pour les données structurées, PDF et Factur-X pour les factures émises via le Service, et le format d'origine pour les documents sources importés ;
procède, à l'issue de la période de réversibilité, à la suppression définitive des Données Traitées de l'ensemble de ses systèmes de production et de ceux de ses sous-traitants ultérieurs, dans un délai maximum de trente (30) jours, les sauvegardes résiduelles faisant l'objet d'un cycle d'effacement automatique n'excédant pas trente-cinq (35) jours, pendant lequel elles demeurent soumises aux obligations de sécurité et de confidentialité du présent DPA ;
conserve, par exception, les données dont la conservation est imposée par une obligation légale, notamment les factures et pièces comptables conservées dix (10) ans conformément aux articles L. 123-22 du Code de commerce et L. 102 B du Livre des procédures fiscales, cette conservation s'effectuant alors sur le fondement de l'obligation légale propre à chaque Partie et dans des conditions d'accès restreint ;
fournit une attestation écrite de suppression des Données Traitées, sur demande écrite du Client.

Article 9 — Responsabilité

Chaque Partie est responsable des dommages causés par un manquement à ses propres obligations au titre du RGPD et du présent DPA.

Le Client, en sa qualité de responsable de traitement, demeure notamment responsable de :

la licéité de l'import des baux et documents dans le Service et de la base légale du traitement des données qui y figurent à l'égard des personnes concernées ;
l'information des personnes concernées (locataires, bailleurs, garants, tiers) sur le traitement de leurs données, conformément aux articles 13 et 14 du RGPD ;
la validité, la licéité et le caractère suffisant des Instructions données à l'Éditeur ;
l'exactitude et la mise à jour des Données Traitées, ainsi que du respect du principe de minimisation lors de l'import.

L'Éditeur, en sa qualité de sous-traitant, est responsable du respect des obligations qui lui incombent spécifiquement au titre de l'article 28 du RGPD et du présent DPA. Conformément à l'article 82.2 du RGPD, il est considéré comme responsable des dommages causés par le traitement s'il n'a pas respecté les obligations du RGPD spécifiquement destinées aux sous-traitants, ou s'il a agi en dehors des instructions licites du Client ou contrairement à celles-ci.

Les limitations et plafonds de responsabilité prévus à l'article 12 des CGU s'appliquent aux obligations nées du présent DPA, dans la mesure permise par la loi et sans qu'ils ne puissent faire obstacle aux droits des personnes concernées ni aux sanctions prononcées par une autorité de contrôle.

Article 10 — Dispositions diverses

10.1 Hiérarchie contractuelle. En cas de contradiction entre les stipulations du présent DPA et celles des CGU ou du Bon de Commande sur les points relatifs au traitement des Données Traitées, les stipulations du présent DPA prévalent.

10.2 Modification. Toute modification du présent DPA fait l'objet d'un avenant écrit entre les Parties, sous réserve (i) des évolutions de la liste des sous-traitants ultérieurs dans les conditions de l'article 5.d, (ii) des évolutions de l'Annexe 1 ne diminuant pas le niveau de sécurité, et (iii) des adaptations rendues nécessaires par une évolution de la réglementation applicable, notifiées au Client dans les conditions de l'article 16 des CGU.

10.3 Nullité partielle. Si l'une des stipulations du présent DPA était déclarée nulle ou inapplicable, les autres stipulations conserveraient leur plein effet.

10.4 Droit applicable et juridiction compétente. Le présent DPA est soumis au droit français. En cas de litige relatif à sa formation, son exécution ou son interprétation, et à défaut de résolution amiable, compétence exclusive est attribuée aux tribunaux du ressort de Nanterre, y compris en cas de référé, de pluralité de défendeurs ou d'appel en garantie, nonobstant toute clause contraire.

Annexe 1 — Mesures techniques et organisationnelles de sécurité

Les mesures ci-après décrivent le niveau de sécurité mis en œuvre par l'Éditeur au titre de l'article 32 du RGPD. Elles peuvent évoluer, sans diminution du niveau de sécurité global.

Avertissement interne (à supprimer avant diffusion). Les mesures décrites ci-dessous constituent des engagements contractuels opposables. Chaque ligne doit être vérifiée point par point avec l'équipe technique avant toute diffusion de ce DPA à un Client : toute mesure annoncée mais non effectivement mise en œuvre expose l'Éditeur à un manquement contractuel et à un risque de sanction au titre de l'article 32 du RGPD. Les mesures non encore en place doivent être retirées ou reformulées comme objectifs planifiés.

| Catégorie | Mesures | |---|---| | Chiffrement | Chiffrement des données en transit par TLS 1.2 ou supérieur pour l'ensemble des flux (interfaces web, API, échanges avec les sous-traitants ultérieurs). Chiffrement des données au repos sur les volumes de stockage et les sauvegardes. Mots de passe des Utilisateurs stockés sous forme de condensat cryptographique salé, jamais en clair | | Gestion des accès | Authentification individuelle nominative ; politique de mots de passe conforme aux recommandations de la CNIL et de l'ANSSI ; principe du moindre privilège ; revue périodique des habilitations ; retrait des accès sans délai en cas de départ ; authentification renforcée pour les accès d'administration | | Cloisonnement | Séparation logique des données entre Clients ; séparation stricte des environnements de développement, de recette et de production ; absence d'utilisation de données réelles de production dans les environnements hors production | | Journalisation et traçabilité | Journalisation des connexions, des accès et des actions sensibles réalisées dans le Service ; conservation des journaux six (6) mois ; traçabilité de la source de chaque donnée extraite par le module d'intelligence artificielle | | Sauvegardes | Sauvegardes automatisées quotidiennes, chiffrées et conservées sur une infrastructure distincte de la production, au sein de l'Union européenne ; rétention n'excédant pas trente-cinq (35) jours ; tests de restauration périodiques | | Sécurité de l'infrastructure d'hébergement | Hébergement chez OVH SAS (OVHcloud) dans des centres de données situés au sein de l'Union européenne, bénéficiant des certifications et mesures de sécurité physiques et logiques de l'hébergeur ; redondance de l'infrastructure | | Sécurité applicative | Développement selon les bonnes pratiques de sécurité applicative ; gestion et application des correctifs de sécurité ; suivi des vulnérabilités des dépendances logicielles ; contrôle des accès aux dépôts de code | | Sous-traitants d'intelligence artificielle | Recours à un prestataire établi dans l'Union européenne (Mistral AI SAS), avec traitement des données au sein de l'Union européenne ; interdiction contractuelle d'utilisation des Données Traitées pour l'entraînement ou l'amélioration des modèles du prestataire ; transmission limitée aux seules données nécessaires à l'extraction ; absence de conservation durable des données par le prestataire au-delà du traitement de la requête | | Sécurité organisationnelle | Sensibilisation du personnel à la protection des données et à la sécurité ; engagements de confidentialité ; procédure documentée de gestion des Violations de données ; registre des activités de traitement tenu conformément à l'article 30 du RGPD | | Continuité d'activité | Procédures de reprise après incident fondées sur les sauvegardes et la redondance de l'infrastructure d'hébergement | | Certifications | À la date des présentes, l'Éditeur ne dispose d'aucune certification de sécurité propre (ISO/IEC 27001, SOC 2 ou équivalent). Il bénéficie des certifications détenues par son hébergeur pour l'infrastructure sous-jacente |

Document de travail préparé à titre de projet. Il ne constitue pas un avis juridique et doit faire l'objet d'une relecture et d'une validation par un professionnel du droit avant publication ou entrée en vigueur contractuelle. Les points appelant une vérification sont recensés dans la note « Points de vigilance juridique — Documentation contractuelle et réglementaire Leazard ».