Accord de traitement de données (DPA) — Données des locataires et des artisans

Date de dernière mise à jour : 10 juin 2026

Version : 1.4 (revue interne go-live)

Préambule

Le présent accord de traitement de données à caractère personnel (ci-après le « DPA ») est conclu entre :

Butleo SASU, BUTLEO SASU, société par actions simplifiée immatriculée au RCS de Mulhouse, 104 610 050, dont le siège social est situé 8 A rue Aumatten, 68730 Ranspach-le-Bas, représentée par Yann Kauderer, en qualité de Président (ci-après « Butleo »),

et

Tout utilisateur souscripteur d'un abonnement Butleo en qualité de propriétaire bailleur ou de professionnel mandaté de la gestion locative (ci-après le « Propriétaire » ou « Owner »).

Le présent DPA constitue une annexe contractuelle aux Conditions générales d'utilisation acceptées par le Propriétaire lors de la souscription au service Butleo. Il a pour objet de définir les conditions dans lesquelles Butleo, agissant en qualité de sous-traitant au sens de l'article 28 du RGPD, traite les données à caractère personnel des locataires et des artisans pour le compte du Propriétaire.

1. Qualification des parties au regard du RGPD

1.1. Butleo en qualité de sous-traitant

Pour les données à caractère personnel des locataires invités dans le service par le Propriétaire et pour les données à caractère personnel des artisans contactés via la plateforme à la demande du Propriétaire, Butleo agit en qualité de sous-traitant au sens de l'article 4.8 du RGPD.

Le Propriétaire est, à l'égard de ces données, le responsable du traitement au sens de l'article 4.7 du RGPD. Il détermine les finalités et les moyens essentiels du traitement (gestion de son patrimoine immobilier, exécution du bail, coordination des interventions techniques).

1.2. Butleo en qualité de responsable de traitement

Pour ses propres traitements opérationnels (fonctionnement technique du service, sécurité, facturation, journaux d'audit, statistiques anonymisées, amélioration du service à l'exclusion de tout entraînement de modèles d'intelligence artificielle sur les données traitées, conformément à la Charte IA), Butleo agit en qualité de responsable de traitement. Ces traitements sont décrits dans la Politique de confidentialité Butleo.

2. Objet du traitement

Butleo traite, sur instructions documentées du Propriétaire, les catégories de données suivantes :

2.1. Données des locataires

2.2. Données des artisans

3. Durée du traitement

Le présent DPA s'applique pendant toute la durée du contrat d'abonnement entre le Propriétaire et Butleo, et jusqu'à la restitution ou la suppression définitive des données conformément à l'article 8 du présent DPA.

4. Obligations de Butleo en tant que sous-traitant

Conformément à l'article 28 du RGPD, Butleo s'engage à :

4.1. Traiter les données conformément aux instructions du Propriétaire

Butleo traite les données à caractère personnel uniquement sur instructions documentées du Propriétaire, telles que résultant de l'usage du service Butleo et de ses fonctionnalités. Tout traitement supplémentaire est exclu, sauf obligation légale, auquel cas Butleo en informera le Propriétaire avant la mise en œuvre, sauf interdiction légale.

4.2. Garantir la confidentialité

Butleo veille à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

4.3. Mettre en œuvre les mesures de sécurité requises (art. 32 RGPD)

Butleo met en œuvre les mesures techniques et organisationnelles appropriées décrites dans l'Annexe 2 du présent DPA, en tenant compte de l'état de l'art, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes physiques.

4.4. Recourir à des sous-sous-traitants dans des conditions encadrées

Butleo a recours à des sous-sous-traitants pour la fourniture du service. Le Propriétaire donne à Butleo une autorisation générale écrite de recourir à des sous-sous-traitants, conformément à l'article 28.2 du RGPD.

La liste des sous-sous-traitants est annexée au présent DPA (Annexe 1). Butleo informera le Propriétaire de tout changement prévu concernant l'ajout ou le remplacement d'un sous-sous-traitant via une notification dans l'interface du service ou par email, au moins 30 jours avant la modification, donnant ainsi au Propriétaire la possibilité d'émettre des objections à l'encontre de ces changements.

Butleo conclut avec chaque sous-sous-traitant un contrat imposant les mêmes obligations de protection des données que celles fixées dans le présent DPA.

4.5. Notifier les violations de données

En cas de violation de données à caractère personnel, Butleo notifie le Propriétaire dans les meilleurs délais et au plus tard dans les 72 heures suivant la prise de connaissance de l'incident, conformément à l'article 33 du RGPD. La notification précise notamment :

• La nature de la violation
• Les catégories et le nombre approximatif de personnes concernées
• Les catégories et le nombre approximatif d'enregistrements concernés
• Les conséquences probables de la violation
• Les mesures prises ou proposées pour atténuer les éventuelles conséquences négatives

4.6. Assister le Propriétaire dans le respect de ses obligations

Butleo apporte son assistance au Propriétaire pour :

• Répondre aux demandes d'exercice de droits des personnes concernées (accès, rectification, effacement, portabilité, opposition, limitation)
• Conduire des analyses d'impact relatives à la protection des données (AIPD) lorsque cela est nécessaire
• Notifier les violations de données aux autorités de contrôle et aux personnes concernées
• Tenir un registre des activités de traitement, le cas échéant

4.7. Tenir un registre des activités de traitement

Butleo tient à jour le registre prévu à l'article 30.2 du RGPD, recensant toutes les catégories d'activités de traitement effectuées pour le compte du Propriétaire.

4.8. Permettre les audits

Butleo met à la disposition du Propriétaire toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD et permettre la réalisation d'audits, y compris des inspections, par le Propriétaire ou un auditeur indépendant qu'il aura mandaté, une fois par an sur la base d'une demande raisonnable adressée par écrit avec un préavis minimal de 30 jours. Les frais d'audit sont à la charge du Propriétaire, sauf si l'audit révèle un manquement substantiel imputable à Butleo.

4.9. Localisation des données

Butleo s'engage à ce que le stockage primaire des données s'effectue sur le territoire de l'Union européenne. Les transferts vers des sous-sous-traitants situés hors UE (Twilio Inc., Google LLC, ClickUp) sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, complétées par les mesures supplémentaires appropriées (chiffrement TLS, journalisation, droit d'audit).

5. Obligations du Propriétaire en tant que responsable de traitement

Le Propriétaire s'engage à :

5.1. Disposer d'une base légale licite

Le Propriétaire garantit qu'il dispose d'une base légale valable au sens de l'article 6 du RGPD pour collecter et faire traiter les données des locataires et des artisans qu'il importe ou invite dans le service Butleo. Pour les locataires, la base légale principale est l'exécution du contrat de bail (art. 6.1.b RGPD). Pour les artisans, la base légale principale est l'intérêt légitime du Propriétaire à coordonner les interventions techniques (art. 6.1.f RGPD) ou le consentement de l'artisan lorsqu'il s'est inscrit dans l'annuaire Butleo.

5.2. Informer les personnes concernées

Le Propriétaire informe, préalablement à toute invitation dans Butleo :

• Le locataire de ce que ses données seront traitées via le service Butleo, des finalités du traitement, des destinataires (y compris des sous-traitants tels que Twilio pour les messages SMS, WhatsApp et appels vocaux émis depuis le numéro +33 9 39 24 74 94, et Mistral AI pour l'agent Léo), de la durée de conservation et de ses droits
• L'artisan de ce que ses données peuvent être collectées via Google Places, traitées dans Butleo, et utilisées pour la coordination des interventions

Cette information préalable doit être conforme aux articles 13 et 14 du RGPD. Butleo met à disposition du Propriétaire un modèle de notice d'information téléchargeable depuis l'interface du service.

5.3. Garantir la légitimité du numéro de téléphone du locataire

Le Propriétaire s'engage à n'utiliser que des numéros de téléphone fournis par le locataire dans le cadre du bail ou avec son accord explicite. L'usage des canaux SMS, WhatsApp et appels vocaux via le numéro Léo +33 9 39 24 74 94 opéré par Twilio Inc. est subordonné à cette légitimité.

5.4. Documenter ses choix

Le Propriétaire est responsable de la conformité de ses propres traitements et doit, le cas échéant, tenir son propre registre des activités de traitement et conduire les analyses d'impact requises pour son activité de bailleur.

6. Information du locataire au premier contact Léo

Afin de renforcer la transparence à l'égard du locataire, Butleo a mis en place un mécanisme automatique d'information :

• Premier message Léo : lors du premier échange entre le locataire et l'agent IA Léo, ce dernier indique clairement qu'il est une intelligence artificielle, mandatée par le Propriétaire, et fournit un lien vers la Politique de confidentialité et la Charte IA
• Possibilité de refus : le locataire peut à tout moment demander à ne plus échanger avec Léo et à communiquer directement avec le Propriétaire. Cette demande est transmise au Propriétaire via une notification
• Identification IA : conformément à l'article 50 du Règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act), tous les messages Léo identifient leur origine artificielle

7. Sécurité

Les mesures techniques et organisationnelles mises en œuvre par Butleo sont décrites de manière détaillée dans l'Annexe 2 du présent DPA. Elles incluent notamment :

• Chiffrement au repos AES-256-GCM pour les documents sensibles
• Chiffrement TLS 1.2 ou supérieur en transit
• Authentification à deux facteurs (TOTP ou email OTP)
• Hachage scrypt à coût élevé des mots de passe
• Limiteurs de débit anti-abus
• Pipeline de modération PII sur les sorties IA
• Journaux d'audit append-only
• Validation Zod des entrées
• Tests automatisés et revue de code obligatoire

8. Effacement ou restitution en fin de relation contractuelle

À la fin de la relation contractuelle entre Butleo et le Propriétaire, ou à la demande explicite du Propriétaire, Butleo procède, au choix du Propriétaire :

• À la restitution des données dans un format structuré, couramment utilisé et lisible par machine (export JSON)
• À la suppression définitive des données

Cette opération est effectuée dans un délai maximum de 30 jours à compter de la demande, sauf obligation légale de conservation contraire (notamment factures et données comptables sur 10 ans, quittances de loyer sur 5 ans, journaux d'audit du module documentaire à des fins probatoires).

Butleo fournit, sur demande, une attestation de suppression.

9. Responsabilités

Chacune des parties assume les conséquences d'un manquement à ses obligations respectives. En cas de manquement de Butleo à ses obligations de sous-traitant, sa responsabilité est engagée dans les limites prévues par les Conditions générales d'utilisation et la réglementation applicable.

Butleo ne peut être tenu pour responsable du contenu des données importées par le Propriétaire, ni de l'absence d'information préalable des personnes concernées dont le Propriétaire est seul responsable.

10. Loi applicable et juridiction

Le présent DPA est régi par le droit français. Tout litige relatif à son interprétation ou à son exécution sera soumis aux tribunaux compétents du ressort du siège social de Butleo, sous réserve des règles d'ordre public en matière de protection des données.

Annexe 1 — Liste des sous-sous-traitants ultérieurs

La liste à jour est également consultable dans la Politique de confidentialité Butleo, section 5.1.

Toute modification fera l'objet d'une notification préalable de 30 jours.

Annexe 2 — Mesures techniques et organisationnelles (MTO)

Sécurité des accès

• Authentification à deux facteurs (TOTP ou email OTP)
• Hachage des mots de passe via scrypt à coût élevé
• Sessions Better Auth via cookies sécurisés HttpOnly, SameSite=Lax
• Renouvellement automatique des jetons et déconnexion sur inactivité

Sécurité des données

• Chiffrement au repos AES-256-GCM (DOC_ENCRYPTION_KEY)
• Chiffrement en transit TLS 1.2 ou supérieur
• Pipeline de modération PII (PiiModerator) sur sorties IA
• Filtres d'anonymisation sur journaux Sentry (masquage IP 1.2.x.x / /64)
• Suppression automatique des documents sensibles à 6 mois (TTL CNIL)

Sécurité applicative

• Validation Zod stricte de toutes les entrées
• 9 limiteurs de débit dédiés (authentification, webhooks, API publique bundles, API publique quittances)
• Vérification HMAC des webhooks Twilio (signature crypto-native)
• Vérification SDK officielle des webhooks Stripe (signature t=...,v1=...)
• Tests automatisés (>= 80 % de couverture)
• Revue de code obligatoire avant tout déploiement

Sécurité organisationnelle

• Habilitation au principe du moindre privilège
• Engagements de confidentialité signés
• Formation continue de l'équipe technique
• Registre des activités de traitement (art. 30 RGPD)
• Procédure de réponse à incident documentée
• AIPD en cours pour les modules sensibles
• Revue annuelle des mesures de sécurité

Sécurité de l'IA

• Identification automatique de Léo en tant qu'IA
• Pas de décision automatisée individuelle (art. 22 RGPD)
• Filtre PII en sortie
• Journalisation de toutes les conversations (12 mois)
• Tag Sentry pii_callsite=* sur tous les call-sites sensibles

Document généré le 13 mai 2026, dernière révision interne le 10 juin 2026 — Version 1.4 — Statut : brouillon en attente de publication (revue interne go-live du 2026-06-10).