Accord de traitement des données personnelles (DPA)

Conforme à l'article 28 du Règlement (UE) 2016/679 (RGPD)

Dernière mise à jour : Octobre 2026

  • Objet
  • Description du traitement
  • Obligations du Sous-traitant
  • Obligations du Responsable de traitement
  • Droits des personnes concernées
  • Sécurité
  • Sous-traitants ultérieurs
  • Audit
  • Violation de données
  • Fin du contrat, restitution et suppression
  • Transferts hors de l'Espace économique européen
  • Responsabilité
  • Durée
  • Droit applicable et juridiction
  • Contact

ENTRE :
AUTLU, société à responsabilité limitée de droit luxembourgeois, immatriculée au RCS Luxembourg sous le numéro B296671, au capital social de 12.000 euros, dont le siège social est situé 6, rue Principale, L-5240 Sandweiler, Luxembourg, ci-après le « Sous-traitant » ;

ET
le Client, personne physique ou morale ayant créé un compte sur la plateforme Autlu et agissant en qualité de responsable de traitement, ci-après le « Responsable de traitement ».

1. Objet

Le présent Accord de traitement des données (« DPA ») définit les engagements des Parties en matière de protection des données personnelles, conformément à l’article 28 du RGPD, lorsque le Responsable de traitement utilise la plateforme Autlu. Il fait partie intégrante des Conditions générales d’Autlu ; en cas de contradiction, le DPA prévaut pour ce qui concerne la protection des données personnelles. Les termes employés ont le sens que leur donne le RGPD.

2. Description du traitement

Objet : fourniture d’une plateforme en ligne de création, d’édition, de signature électronique et d’archivage d’états des lieux immobiliers.

  • Durée : la durée de la relation contractuelle, puis selon l’article 10.
  • Nature et finalités : création et génération des documents ; stockage des documents, photographies et pièces jointes ; transcription audio et aide à la rédaction par intelligence artificielle ; lecture par intelligence artificielle des documents importés par le Responsable de traitement (état des lieux d’entrée, contrat de bail) pour pré-remplir un état des lieux ; signature électronique, y compris par un mandataire pour le compte des parties qu’il représente ; envoi des documents et notifications aux parties et à leurs mandataires ; archivage des documents finalisés.
  • Données traitées : identité et coordonnées des parties et de leurs mandataires (noms, prénoms, adresses e-mail, téléphones, adresses postales) ; adresses et description des biens ; photographies ; relevés de compteurs ; observations et remarques ; enregistrements audio, le cas échéant ; signatures manuscrites électroniques et éléments de preuve de la signature (horodatage, adresse e-mail, adresse IP et informations sur l’appareil du signataire) ; données importées depuis le logiciel immobilier du Responsable de traitement. Contrat de bail importé par le Responsable de traitement : lu en entier de façon transitoire, y compris les mentions relatives aux garants, et non conservé ; seuls en sont repris l’identité, les adresses e-mail et postales des parties, l’adresse et la description du bien (type, étage, numéro, référence cadastrale, pièces) ainsi que les dates et la durée du bail ; les pages scannées sont transmises en image au sous-traitant ultérieur d’intelligence artificielle, sans masquage possible.
  • Personnes concernées : locataires entrants et sortants, propriétaires et bailleurs, occupants et colocataires, garants, mandataires et représentants.

3. Obligations du Sous-traitant

Le Sous-traitant s’engage à :

  • traiter les données uniquement sur instruction documentée du Responsable de traitement, y compris pour les transferts vers un pays tiers, sauf obligation légale, et l’informer immédiatement si une instruction lui paraît contraire à la réglementation sur la protection des données ;
  • veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité ;
  • mettre en œuvre les mesures de sécurité prévues à l’article 6 ;
  • respecter les conditions de recours à un sous-traitant ultérieur prévues à l’article 7 ;
  • aider le Responsable de traitement à répondre aux demandes d’exercice de droits (article 5) et à respecter ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d’impact) ;
  • au choix du Responsable de traitement, supprimer ou restituer les données à la fin de la prestation (article 10) ;
  • mettre à sa disposition les informations nécessaires pour démontrer le respect du présent DPA et permettre des audits (article 8).

4. Obligations du Responsable de traitement

Le Responsable de traitement s’engage à :

  • garantir la licéité du traitement et disposer d’une base légale appropriée ;
  • informer les personnes concernées de l’utilisation d’Autlu et du traitement de leurs données, conformément aux articles 13 et 14 du RGPD, y compris de tout enregistrement audio réalisé lors de l’état des lieux et susceptible de capter leur voix ;
  • répondre aux demandes d’exercice de droits des personnes concernées ;
  • donner au Sous-traitant des instructions conformes au RGPD ;
  • ne pas saisir de catégories particulières de données (article 9 du RGPD) dans les états des lieux, sauf nécessité justifiée et base légale appropriée.

5. Droits des personnes concernées

Le Sous-traitant aide le Responsable de traitement à répondre aux demandes d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition. S’il reçoit directement une demande, il la transmet au Responsable de traitement dans les meilleurs délais et n’y répond pas lui-même, sauf instruction contraire ou obligation légale. Le Responsable de traitement peut exporter et supprimer les données depuis son compte.

6. Sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées au sens de l’article 32 du RGPD, notamment :

  • chiffrement des données en transit et au repos ;
  • hébergement de la base de données et des fichiers dans l’Union européenne ;
  • contrôle d’accès strict, cloisonnement des données entre comptes et authentification multifacteur ;
  • accès administratifs réservés au personnel autorisé, sur la base du besoin d’en connaître, et journalisés ;
  • sauvegardes chiffrées et séparation des environnements de développement et de production ;
  • engagements de confidentialité du personnel et procédure de gestion des incidents.

Une description détaillée de ces mesures est communiquée au Responsable de traitement qui en fait la demande, sous réserve de confidentialité.

7. Sous-traitants ultérieurs

Le Responsable de traitement autorise de manière générale le Sous-traitant à recourir à des sous-traitants ultérieurs pour l’exécution du présent DPA, dans les catégories suivantes : hébergement, infrastructure, réseau et sauvegardes ; base de données et stockage ; intelligence artificielle (transcription, aide à la rédaction et lecture des documents importés) ; envoi d’e-mails et de notifications ; paiement ; suivi des erreurs et mesure d’audience du produit ; autocomplétion d’adresses.

La liste nominative des sous-traitants ultérieurs, avec leur fonction et leur localisation, est consultable à tout moment dans le compte du Responsable de traitement et lui est adressée sur simple demande à support@autlu.com.

Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement d’un sous-traitant ultérieur au moins trente (30) jours avant le changement, par notification dans l’application ou par e-mail. Le Responsable de traitement peut s’y opposer dans un délai de quinze (15) jours suivant la notification. En cas d’opposition justifiée, les Parties recherchent de bonne foi une solution ; à défaut, le Responsable de traitement peut résilier le contrat avec effet à la date du changement.

Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent DPA et reste pleinement responsable de leur exécution envers le Responsable de traitement.

8. Audit

Le Sous-traitant met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect du présent DPA. Le Responsable de traitement peut mener, ou faire mener par un auditeur tiers, des audits, y compris des inspections, sous réserve :

  • d’un préavis écrit d’au moins trente (30) jours ;
  • que l’audit se déroule pendant les heures ouvrables ;
  • que l’auditeur tiers soit tenu à une obligation de confidentialité appropriée ;
  • que l’audit ne perturbe pas de manière déraisonnable l’activité du Sous-traitant.

Les frais de l’audit sont à la charge du Responsable de traitement, sauf si l’audit révèle un manquement substantiel du Sous-traitant. Le Sous-traitant peut répondre à une demande d’audit en fournissant des rapports de certification ou d’audit pertinents établis par un tiers indépendant.

9. Violation de données

En cas de violation de données personnelles au sens de l’article 4(12) du RGPD, le Sous-traitant en informe le Responsable de traitement dans les meilleurs délais et, dans la mesure du possible, dans les quarante-huit (48) heures après en avoir pris connaissance. Cette notification indique, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, le point de contact, les conséquences probables et les mesures prises ou proposées. Le Sous-traitant documente toute violation et coopère avec le Responsable de traitement pour ses notifications à l’autorité de contrôle et aux personnes concernées (articles 33 et 34 du RGPD).

10. Fin du contrat, restitution et suppression

À la fin de la relation contractuelle, le Sous-traitant, au choix du Responsable de traitement, restitue les données personnelles puis supprime les copies existantes, ou les supprime et en certifie la suppression. La restitution peut s’effectuer par la fonction d’export de la plateforme. Sans instruction dans les trente (30) jours suivant la fin du contrat, les données sont supprimées selon les durées de conservation applicables :

  • documents finalisés : dix (10) ans après leur création ;
  • brouillons : trente (30) jours ;
  • fichiers sources (enregistrements audio, photos téléversées) : sept (7) jours après la génération du document, ou immédiatement en cas de suppression de l’état des lieux ou du compte ;
  • adresse IP et informations sur l’appareil des signataires : douze (12) mois après la signature, y compris dans le dossier de preuve ;
  • copies techniques temporaires et sauvegardes chiffrées : trente (30) jours au plus après la suppression ; elles ne servent à restaurer des données qu’après un sinistre, auquel cas les suppressions sont réappliquées.

Les prestataires d’intelligence artificielle conservent les données qu’ils traitent trente (30) jours au plus, à des fins de sécurité. Le Sous-traitant conserve les données de facturation dix (10) ans au titre de ses obligations légales ; elles ne contiennent pas le contenu des états des lieux.

11. Transferts hors de l'Espace économique européen

Certains sous-traitants ultérieurs sont établis hors de l’Espace économique européen, principalement aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914) et/ou par le EU-U.S. Data Privacy Framework lorsque le sous-traitant ultérieur est certifié. Le Sous-traitant évalue régulièrement ces garanties et informe le Responsable de traitement de tout changement important affectant le niveau de protection.

12. Responsabilité

Chaque Partie répond des dommages causés par un traitement non conforme au RGPD ou au présent DPA, conformément à l’article 82 du RGPD. La responsabilité du Sous-traitant est limitée conformément aux Conditions générales d’Autlu.

13. Durée

Le présent DPA entre en vigueur à la création du compte du Responsable de traitement et reste en vigueur tant que le Sous-traitant traite des données personnelles pour son compte. Les obligations de confidentialité et de sécurité survivent à sa fin.

14. Droit applicable et juridiction

Le présent DPA est régi par le droit luxembourgeois. Tout litige relatif au présent DPA relève des tribunaux compétents de Luxembourg.

15. Contact

Pour toute question relative au présent DPA, écrivez à support@autlu.com ou à AUTLU S.à r.l., 6, rue Principale, L-5240 Sandweiler, Luxembourg.