Aller au contenu principal
GELOC

Contrat de sous-traitance (DPA)

Article 28 RGPD · Version du 2026-10-02

Le présent contrat de sous-traitance (« DPA ») encadre le traitement de données à caractère personnel par GELOC pour le compte de ses clients. Il fait partie intégrante des conditions générales d'utilisation et de vente (« CGU ») et est accepté par le Client en même temps qu'elles, avant chaque achat. Une version signable au format PDF, au contenu identique, est disponible sur demande à orpheo@geloc.eu.

1. Parties et objet

Le Client, responsable de traitement, confie à GELOC (Orpheo Hellandsjo, entrepreneur individuel, SIREN 898 146 535, 70 Quai Perrache, 69002 Lyon), sous-traitant, le traitement des données à caractère personnel contenues dans les documents qu'il dépose dans le service et dans les comptes de ses utilisateurs, aux seules fins de lui fournir le service décrit à l'article 1 des CGU : analyse documentaire de due diligence immobilière assistée par intelligence artificielle, production de points à instruire, deal room et exports. Le présent DPA suit l'article 28 du règlement (UE) 2016/679 (« RGPD ») et la loi n° 78-17 du 6 janvier 1978 modifiée.

2. Description du traitement

  • · Nature : stockage, lecture automatisée (reconnaissance de texte, découpage, indexation), analyse par des modèles d'intelligence artificielle, restitution dans la deal room et les exports, partage par lien à l'initiative du Client.
  • · Catégories de personnes concernées : les utilisateurs du Client ; les personnes citées dans les documents déposés (vendeurs, acquéreurs, locataires, dirigeants, associés, notaires, syndics) ; les destinataires d'un lien de partage.
  • · Catégories de données : identité et coordonnées, données contractuelles, patrimoniales et financières figurant dans les actes, baux, diagnostics, pièces de copropriété et pièces d'identification des parties ; données de compte (nom, e-mail, organisation) ; données techniques (journaux, empreinte d'adresse IP). Le service n'a pas pour objet de traiter des catégories particulières de données (article 9 RGPD) ; le Client s'abstient d'en déposer qui ne soient pas nécessaires à son examen.
  • · Durée : celle de la relation contractuelle, puis les délais de restitution et de suppression de l'article 11.

3. Obligations de GELOC

GELOC s'engage à :

  • · ne traiter les données que sur instruction documentée du Client — les CGU, le présent DPA et les actions du Client dans le service —, y compris pour les transferts hors de l'Union européenne décrits à l'article 6 ; si le droit de l'Union ou d'un État membre l'oblige à un autre traitement, GELOC en informe le Client avant le traitement, sauf interdiction légale ;
  • · informer immédiatement le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données ;
  • · garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
  • · mettre en œuvre les mesures de sécurité de l'article 7 (article 32 RGPD) ;
  • · respecter les conditions de recours aux sous-traitants ultérieurs de l'article 5 ;
  • · aider le Client, par des mesures appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (article 8) ;
  • · aider le Client à respecter ses obligations relatives à la sécurité, à la notification des violations, à l'analyse d'impact et à la consultation préalable de l'autorité de contrôle (articles 32 à 36 RGPD), compte tenu de la nature du traitement et des informations dont GELOC dispose ;
  • · au terme de la prestation, supprimer ou restituer les données selon l'article 11 ;
  • · mettre à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA et permettre les audits de l'article 10.

Accès de GELOC aux dossiers. Dans le cours normal du service, GELOC ne consulte pas le contenu des dossiers du Client. L'administrateur technique de GELOC dispose d'un accès technique à la base de données ; il ne l'utilise que pour une intervention de support demandée par le Client, pour la sécurité du service ou pour répondre à une obligation légale. Par exception, la synthèse de dossier décrite à l'article 13 des CGU est établie et utilisée par GELOC pour son propre compte, aux fins d'amélioration du service ; pour ce traitement, GELOC est responsable de traitement.

4. Obligations du Client

Le Client garantit disposer d'une base légale pour faire traiter par GELOC les données qu'il dépose, informe les personnes concernées conformément aux articles 13 et 14 du RGPD, et ne dépose que les documents nécessaires à son examen. Il reste le premier interlocuteur des personnes citées dans ses documents.

5. Sous-traitants ultérieurs

Le Client autorise de manière générale GELOC à recourir aux sous-traitants ultérieurs dont la liste publique indique le rôle, le pays et le mécanisme de transfert. GELOC informe le Client par e-mail de tout ajout ou remplacement au moins 30 jours avant sa prise d'effet ; le Client peut s'y opposer pendant ce délai et, à défaut d'accord, mettre fin au contrat sans frais. GELOC impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent DPA, et reste pleinement responsable envers le Client de leur exécution.

6. Transferts hors de l'Union européenne

L'analyse par intelligence artificielle est réalisée par des sous-traitants établis aux États-Unis (OpenAI, Google, Anthropic, Voyage AI) ; seule la reconnaissance de texte des documents scannés est confiée à un sous-traitant établi en France (Mistral AI). GELOC ne revendique pas d'hébergement de l'analyse dans l'Union européenne. Les transferts vers les États-Unis reposent sur les clauses contractuelles types de la décision d'exécution (UE) 2021/914 (module 3, de sous-traitant à sous-traitant), telles que reprises dans les contrats de chaque fournisseur, ou, pour les fournisseurs certifiés, sur le Data Privacy Framework UE-États-Unis. GELOC tient à jour une analyse d'impact des transferts vers les États-Unis (version du 2 octobre 2026). Elle est communiquée au Client qui en fait la demande à orpheo@geloc.eu, sous engagement de confidentialité.

7. Mesures de sécurité

  • · Chiffrement au repos : base de données et fichiers hébergés par Supabase dans l'Union européenne (AES-256, selon la documentation du fournisseur).
  • · Chiffrement en transit : HTTPS sur l'ensemble du service, en-tête HSTS (deux ans, sous-domaines inclus).
  • · Cloisonnement : Row Level Security activée sur toutes les tables de la base ; isolation des données par organisation ; fonctions de recherche portant sur les documents d'un dossier réservées au serveur.
  • · Journal d'audit immuable : les actions sur les dossiers sont tracées et ne peuvent être modifiées, sauf pseudonymisation lors d'une demande d'effacement.
  • · Limitation de débit sur le copilote, les interfaces publiques et l'inscription.
  • · Réduction des données transmises : retrait des IBAN, RIB et numéros de sécurité sociale des erreurs remontées ; retrait du contenu des documents avant l'envoi des traces techniques d'IA ; demande de non-conservation des requêtes chez OpenAI.
  • · Protection contre l'injection d'instructions : le contenu des documents est encadré et signalé comme non fiable dans les consignes données aux modèles.
  • · Nature du livrable : les rapports PDF et le copilote du dossier rappellent que le service ne délivre pas de consultation juridique.
  • · Limites, dites telles quelles : l'authentification à deux facteurs n'est pas exigée à la connexion à ce jour ; aucun test d'intrusion n'a été réalisé à ce jour ; la signature d'un accord de protection des données avec chaque sous-traitant ultérieur est en cours de vérification (voir la liste des sous-traitants).

8. Droits des personnes concernées

Le Client peut exporter et supprimer les données de ses dossiers depuis les réglages de son compte (onglet « Confidentialité & Données »). Pour toute autre demande, GELOC assiste le Client sur simple e-mail à orpheo@geloc.eu, dans un délai compatible avec le délai d'un mois de l'article 12 du RGPD. Si une personne citée dans un document s'adresse directement à GELOC, GELOC transmet sa demande au Client sans délai et n'y répond pas lui-même, sauf instruction du Client.

9. Violation de données

GELOC notifie au Client toute violation de données à caractère personnel dans un délai de 24 heures après en avoir pris connaissance, par e-mail à l'adresse de contact de son compte, avec les informations prévues à l'article 33, paragraphe 3, du RGPD dont il dispose. Le Client reste responsable de la notification à la CNIL et, le cas échéant, aux personnes concernées.

10. Audit

Le Client peut, une fois par an et avec un préavis de 30 jours, faire vérifier par un auditeur indépendant, tenu à la confidentialité, le respect du présent DPA. Les frais sont à sa charge, sauf manquement avéré de GELOC.

11. Conservation, restitution et suppression

Les données d'un dossier restent accessibles au moins 12 mois à compter de son premier lancement. GELOC ne les supprime pas automatiquement à l'issue de ce délai : elles sont conservées jusqu'à ce que le Client supprime le dossier depuis l'interface ou en demande la suppression, qui est alors faite dans un délai de 30 jours. À la fin du contrat, GELOC restitue ou supprime les données du Client dans un délai de 30 jours, au choix du Client, sauf obligation légale de conservation. Une donnée supprimée peut subsister jusqu'à 7 jours dans les sauvegardes de l'hébergeur. Les durées par catégorie figurent dans la politique de rétention.

12. Responsabilité, durée et droit applicable

Le présent DPA s'applique tant que GELOC traite des données pour le compte du Client. La responsabilité des parties est régie par l'article 15 des CGU, sous réserve des dispositions impératives du RGPD. Le présent DPA est soumis au droit français ; la juridiction compétente est celle prévue à l'article 19 des CGU.