Accord de sous-traitance des données personnelles

Le présent accord est conclu entre le Client — le professionnel (agent, mandataire, agence ou réseau) titulaire d'un compte Immotheo — agissant comme responsable du traitement, et Ghost World Society, société de droit américain, constituée dans l'État du Delaware (États-Unis), 2810 North Church Street, Wilmington, DE 19802, États-Unis, EIN 32-0863434, agissant comme sous-traitant (RGPD, art. 4 et 28).

Il s'applique dès l'ouverture du compte, gratuit ou payant, et fait partie intégrante des CGV et des CGU. En cas de contradiction, il prévaut sur elles pour tout ce qui touche aux données personnelles. Version du 10 novembre 2026. Un exemplaire signé peut être obtenu sur demande à contact@ghoststudio.us.

Ghost World Society traite, pour le compte du Client, les données personnelles nécessaires à la fourniture de Immotheo : gestion des contacts, des biens et des dossiers de vente ou de location, lecture et classement du courrier et de l'agenda reliés, échanges par mail, WhatsApp et SMS, préparation de documents, signature électronique, diffusion des annonces, assistant d'intelligence artificielle. La description détaillée figure en annexe 1.

Conformément à l'article 28, paragraphe 3, du RGPD, Ghost World Society :

• (a) Instructions — ne traite les données que sur instruction documentée du Client : le présent accord, les CGU et CGV, les réglages et les actions du Client dans le logiciel. Il informe immédiatement le Client s'il estime qu'une instruction constitue une violation de la réglementation. S'il est tenu de traiter les données en vertu d'une loi qui s'impose à lui, il en informe le Client avant le traitement, sauf si cette loi l'interdit.
• (b) Confidentialité — veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et n'y accèdent que dans la mesure nécessaire (support, maintenance, sur demande du Client).
• (c) Sécurité — met en œuvre les mesures techniques et organisationnelles requises par l'article 32 du RGPD, décrites en annexe 2.
• (d) Sous-traitants ultérieurs — ne recourt à un autre sous-traitant que dans les conditions de l'article 4 ci-dessous, en lui imposant par contrat des obligations de protection des données équivalentes à celles du présent accord, et demeure pleinement responsable de son exécution.
• (e) Droits des personnes — aide le Client, par des mesures appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition) : le logiciel permet de retrouver, exporter, corriger et supprimer les données d'une personne. Toute demande reçue directement est transmise au Client sans délai, sans y répondre lui-même sauf instruction.
• (f) Assistance — aide le Client à garantir le respect des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact, consultation préalable), compte tenu de la nature du traitement et des informations dont il dispose.
• (g) Fin du contrat — au choix du Client, supprime toutes les données ou les lui restitue au terme de la prestation : le Client peut à tout moment exporter l'intégralité de ses données (Réglages › Données de l'agence) puis demander la suppression de l'agence, effective 30 jours après la demande ; les copies existantes sont détruites, sauf obligation légale de conservation.
• (h) Information et audits — met à la disposition du Client toutes les informations nécessaires pour démontrer le respect du présent article et permet la réalisation d'audits, y compris des inspections, par le Client ou un auditeur qu'il mandate et qui est tenu au secret, moyennant un préavis raisonnable de 30 jours, au plus une fois par an sauf violation avérée, et aux frais du Client.

Le Client autorise de manière générale Ghost World Society à recourir aux sous-traitants ultérieurs listés en annexe 3 (et tenus à jour dans l'application, Réglages › Sous-traitants). Ghost World Society informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance, par courriel ou dans l'application. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut de solution, il peut résilier sans frais la partie concernée du service, avec remboursement de la part payée non consommée.

Les données du service sont hébergées par Railway : États-Unis (Californie) — migration vers l'Union européenne prévue. Ghost World Society et plusieurs sous-traitants ultérieurs sont établis aux États-Unis : le traitement implique des transferts hors de l'Union européenne.

Les parties incorporent par référence au présent accord les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914 du 4 juin 2021), module 2 (transfert de responsable du traitement à sous-traitant), le Client étant l'exportateur et Ghost World Society l'importateur ; l'option de la clause 9 retenue est l'autorisation générale décrite à l'article 4 ; les clauses 17 et 18 désignent le droit et les juridictions de la France. Les annexes du présent accord tiennent lieu d'annexes aux clauses. En cas de contradiction, les clauses prévalent.

Pour les sous-traitants ultérieurs établis hors de l'Union, les transferts sont encadrés par les clauses contractuelles types (module 3) de leurs accords de traitement des données ou, lorsque le sous-traitant y est certifié, par le cadre de protection des données UE–États-Unis. Ghost World Society évalue, et documente sur demande, la législation du pays destinataire et les mesures complémentaires mises en œuvre.

Ghost World Society notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, à l'adresse du titulaire du compte, avec les informations prévues à l'article 33, paragraphe 3, du RGPD dont il dispose (nature, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises ou proposées), complétées au fur et à mesure. Il appartient au Client, responsable du traitement, de notifier l'autorité de contrôle et, le cas échéant, les personnes concernées.

• disposer d'une base légale pour chaque traitement et informer les personnes concernées (clients, prospects, candidats, locataires) de l'usage du logiciel et des sous-traitants ;
• recueillir les consentements nécessaires, notamment pour la prospection par mail, SMS ou WhatsApp ;
• ne saisir que des données adéquates et nécessaires ; ne pas enregistrer de données sensibles (santé, opinions, origine) hors des cas où la loi l'impose ;
• fixer et appliquer ses propres durées de conservation, en s'appuyant sur les outils de suppression du logiciel ;
• gérer les droits d'accès de ses membres et révoquer ceux qui quittent l'agence.

L'accord dure tant que Ghost World Society traite des données pour le compte du Client. Quand l'abonnement prend fin, le compte revient à l'accès libre et les données restent à la disposition du Client jusqu'à ce qu'il en demande la suppression (article 3 (g)). Chaque partie répond des manquements qui lui sont imputables dans les conditions et limites prévues par les CGV, sans préjudice de l'article 82 du RGPD.

• chiffrement des échanges (HTTPS) ; mots de passe hachés de façon irréversible ; accès aux comptes WhatsApp chiffrés en base ;
• cloisonnement des données par agence ; rôles et droits par membre ; journal des actions sensibles non modifiable, conservé 400 jours ;
• liens publics à usage limité, expirants et révocables, protégés contre les abus ; empreinte de l'adresse IP plutôt que l'adresse ;
• lecture des pièces d'identité sur l'appareil de l'utilisateur, sans envoi de l'image ; numéro masqué ;
• minimisation automatique (purges quotidiennes listées en annexe 1) ; transmission aux modèles d'IA limitée aux éléments utiles à la demande ;
• accès des personnels de Ghost World Society limité au support et à la maintenance, soumis à confidentialité ;
• export complet des données de l'agence à tout moment ; suppression de l'agence sur demande.