Accord de sous-traitance des données personnelles (DPA)

Objet.TALQOR traite, pour le compte et sur instruction de l'Agent, les données personnelles des clients et contacts de l'Agent nécessaires à la fourniture du Service : gestion de dossiers de vente et de location, agenda et rendez-vous, bons de visite, offres d'achat, vigilance LCB-FT, bilans de commercialisation, suivi client, boîte mail, secrétariat vocal et fonctionnalités d'assistance par intelligence artificielle.

Durée.Le présent DPA s'applique pendant toute la durée d'utilisation du Service par l'Agent et jusqu'à la suppression ou restitution des données prévue à l'article 9.

Nature des opérations.Collecte via les formulaires et intégrations paramétrés par l'Agent, enregistrement, structuration, conservation, extraction (y compris par IA), consultation, communication aux destinataires désignés par l'Agent (vendeur, notaire…), effacement.

Finalités. Exclusivement celles décrites à la section 4 bis de la politique de confidentialité et déterminées par l'Agent. TALQOR ne traite jamais ces données pour son propre compte (pas de publicité, pas de revente, pas d'entraînement de modèles d'IA).

Personnes concernées :vendeurs, acquéreurs et offrants, indivisaires et représentants légaux, visiteurs de biens, candidats locataires et garants, bailleurs, notaires, appelants du secrétariat téléphonique, correspondants email et contacts de l'Agent.

Catégories de données :

• identité et coordonnées (nom, prénom, email, téléphone, adresse) ;
• documents de dossiers, y compris documents d'identité officiels, situation familiale et matrimoniale, données patrimoniales et fiscales (mandats, diagnostics, avis d'imposition, justificatifs de revenus) ;
• données transactionnelles : montant et conditions des offres, plan de financement, signature électronique (horodatage, IP, user agent — valeur probatoire) ;
• données de vigilance LCB-FT : identité complète, date et lieu de naissance, résultat du criblage gel des avoirs ;
• communications : emails, messages WhatsApp/SMS, transcriptions et enregistrements d'appels du secrétariat vocal ;
• données de visites : identité des visiteurs, dates, bons de visite signés, retours qualitatifs.

Le Service n'est pas destiné au traitement de catégories particulières de données (art. 9 RGPD) ; l'Agent s'engage à ne pas en soumettre en dehors de ce qui figure incidemment dans les documents de dossiers.

TALQOR ne traite les données que sur instruction documentée de l'Agent. Constituent des instructions : les présentes CGU et le présent DPA, le paramétrage du workspace, la connexion des intégrations, l'activation des modules et chaque action déclenchée dans l'interface (envoi d'un document, d'une relance, création d'une fiche de vigilance…).

TALQOR informe immédiatement l'Agent si, selon lui, une instruction constitue une violation du RGPD ou d'une autre disposition en matière de protection des données. TALQOR peut traiter les données en dehors des instructions de l'Agent uniquement si le droit de l'Union ou d'un État membre l'y oblige ; dans ce cas, TALQOR en informe l'Agent avant le traitement, sauf interdiction légale.

TALQOR garantit que les personnes autorisées à traiter les données (personnel et prestataires) sont soumises à une obligation de confidentialité contractuelle ou légale appropriée. L'accès aux données de production est restreint au strict nécessaire à la maintenance du Service et journalisé.

TALQOR met en œuvre les mesures techniques et organisationnelles suivantes, adaptées au risque :

• chiffrement TLS 1.3 en transit sur tous les échanges ;
• chiffrement au repos AES-256-GCMdes secrets et jetons d'accès, avec rotation de clé ; mots de passe hashés (bcrypt) ;
• isolation par workspace : les données de chaque Agent sont cloisonnées et inaccessibles aux autres utilisateurs ;
• journalisationdes actions sensibles et des accès aux données (audit logs, logs d'accès aux données Google), conservée 12 mois ;
• URLs de partage de fichiers présignées à durée courte, tokens publics cryptographiquement forts, rate limiting sur les endpoints publics ;
• sauvegardes journalières chiffrées (14 jours), restauration testée ;
• plan de réponse à incident, revues de sécurité régulières.

Le détail est publié sur la page Sécurité. TALQOR peut faire évoluer ces mesures à condition de ne pas en réduire le niveau global de protection.

L'Agent donne à TALQOR une autorisation généralede recourir à des sous-traitants ultérieurs pour l'exécution du Service. La liste à jour des sous-traitants ultérieurs, avec leur rôle, leur localisation et les garanties de transfert applicables, figure à la section 6 de la politique de confidentialité, qui fait partie intégrante du présent DPA.

TALQOR impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent DPA, et demeure pleinement responsable envers l'Agent de l'exécution de leurs obligations.

Notification des changements :TALQOR informe l'Agent de tout ajout ou remplacement de sous-traitant ultérieur, via l'application et/ou par email, au moins avant sa mise en œuvre effective. L'Agent dispose d'un délai de trente (30) jours à compter de la notification pour formuler une objection motivée à contact@talqor.fr. En cas d'objection et à défaut de solution raisonnable (par exemple la désactivation du module concerné), l'Agent peut résilier son abonnement sans pénalité pour la partie du Service concernée.

Transferts hors UE :lorsque le sous-traitant ultérieur est situé en dehors de l'Union européenne, le transfert est encadré par les Clauses Contractuelles Types de la Commission européenne, une décision d'adéquation ou toute autre garantie appropriée au sens du chapitre V du RGPD.

Droits des personnes (art. 28.3.e).Compte tenu de la nature du traitement, TALQOR assiste l'Agent, par des mesures techniques et organisationnelles appropriées, pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité) : suppression ciblée des données d'un contact, rectification dans l'outil, extraction des données d'une personne sur demande à contact@talqor.fr. Si une personne concernée s'adresse directement à TALQOR, TALQOR transmet la demande à l'Agent sans délai indu.

Violations de données (art. 28.3.f / 33.2). TALQOR notifie à l'Agent toute violation de données personnelles le concernant sans délai induaprès en avoir pris connaissance, à l'adresse email du compte, en documentant la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Contact sécurité : security@talqor.fr.

Analyses d'impact et consultation préalable. TALQOR fournit à l'Agent, sur demande raisonnable, les informations nécessaires à la réalisation d'analyses d'impact relatives à la protection des données (art. 35) et à la consultation préalable de l'autorité de contrôle (art. 36).

TALQOR tient un registre des catégories d'activités de traitement effectuées pour le compte des Agents (art. 30.2 RGPD) et coopère, à leur demande, avec l'autorité de contrôle compétente dans l'exécution de ses missions.

À la clôture du compte — à l'initiative de l'Agent (suppression en libre-service : Paramètres → Compte → Supprimer mon compte) ou à l'issue du cycle de vie d'un compte expiré — TALQOR supprimel'ensemble des données personnelles traitées pour le compte de l'Agent : purge immédiate de la base de données et du compte d'authentification, suppression des fichiers stockés sous 48 heures maximum, révocation des accès aux intégrations.

Réversibilité :avant la clôture, l'Agent peut demander la restitution de ses données dans un format structuré et couramment utilisé, à contact@talqor.fr (réponse sous 30 jours) ; un export en libre-service est en cours de déploiement.

Font exception les données dont la conservation est exigée par le droit applicable (notamment pièces comptables — 10 ans — et données de vigilance LCB-FT dont la conservation de 5 ans incombe à l'Agent après la clôture, à charge pour lui d'en exporter une copie avant suppression du compte).

TALQOR met à la disposition de l'Agent toutes les informations nécessaires pour démontrer le respect des obligations du présent DPA : documentation de sécurité, registre des catégories de traitements, liste des sous-traitants ultérieurs, politique de rétention.

L'Agent peut en outre réaliser, ou faire réaliser par un auditeur indépendant qu'il mandate (non concurrent de TALQOR), un audit documentaire du respect du présent DPA, au maximum une (1) fois par période de douze (12) mois, sur demande écrite adressée à contact@talqor.fr avec un préavis raisonnable d'au moins trente (30) jours. L'audit est conduit pendant les heures ouvrées, sans perturber le Service, dans le respect de la confidentialité des données des autres clients, et aux frais de l'Agent.

Chaque partie est responsable des dommages causés par un traitement dans les conditions de l'article 82 du RGPD : TALQOR n'est tenu que des dommages résultant d'un manquement aux obligations que le RGPD met spécifiquement à la charge des sous-traitants ou d'un traitement effectué en dehors des instructions licites de l'Agent. La responsabilité contractuelle de TALQOR demeure par ailleurs régie par la clause de limitation de responsabilité des CGU, sans préjudice des droits des personnes concernées.

L'Agent demeure responsable, en sa qualité de responsable de traitement, de la licéité des traitements qu'il décide, de l'information des personnes concernées (TALQOR fournissant les supports : page d'information dédiée, mentions intégrées aux formulaires et emails) et, le cas échéant, du recueil des consentements requis.

Le présent DPA prévaut sur toute stipulation contraire des CGU pour ce qui concerne la protection des données personnelles. Il est régi par le droit français. Toute évolution du DPA est notifiée dans les conditions prévues par les CGU pour leurs modifications ; la version applicable et sa date d'acceptation sont horodatées sur le compte de l'Agent.

Contact : contact@talqor.fr.