Sous-traitance des données

1. Objet et rôles

Lorsqu'une entreprise utilise Heimster à des fins professionnelles - par exemple une agence immobilière, une régie ou un promoteur - pour gérer ses propres données de contacts, de prospects, de candidats, de propriétaires ou de locataires, cette entreprise demeure responsable du traitement de ces données. Heimster les traite sur son mandat. Les présentes dispositions régissent ce traitement; elles font partie des conditions d'utilisation et sont convenues lors de l'acceptation de celles-ci.

Ne sont pas couverts par les présentes dispositions les traitements dont Heimster est elle-même responsable - par exemple les comptes et données d'accès, l'exploitation et la sécurité de la plateforme, la facturation ainsi que la mise en relation entre profils de recherche et biens. Ce dont Heimster répond elle-même est décrit dans la déclaration de protection des données.

Nature et finalité du traitement: fourniture des fonctions souscrites - conservation, structuration, analyse, communication et partage de données dans le cadre de la location, de la vente, de la gestion et de la commercialisation de biens immobiliers. Durée: pour la durée de la relation d'utilisation.

Catégories de personnes concernées: personnes intéressées, candidats, locataires et acquéreurs, propriétaires, contacts professionnels ainsi que collaborateurs du client. Catégories de données personnelles: données de contact et de base, informations sur la situation de logement et du ménage, dossiers de candidature, données contractuelles et relatives aux biens, correspondance, rendez-vous et historiques d'activité. Les dossiers de candidature peuvent contenir des données personnelles sensibles.

2. Traitement sur instruction

Heimster traite ces données uniquement pour fournir les prestations convenues et conformément aux instructions du client. L'utilisation de la plateforme - ce qui est saisi, partagé, envoyé, exporté ou supprimé - vaut instruction. Toute instruction complémentaire est donnée sous forme de texte.

Heimster ne vend pas ces données, ne les utilise pas pour sa propre publicité et ne s'en sert pas pour entraîner des modèles d'IA généralisés. Si Heimster estime qu'une instruction est illicite, le client en est informé; l'exécution peut être suspendue jusqu'à clarification. Lorsque Heimster est tenue de traiter des données en vertu du droit impératif, nous en informons au préalable, sauf si le droit l'interdit.

3. Confidentialité

Toutes les personnes ayant accès à ces données chez Heimster sont tenues à la confidentialité et formées en conséquence. L'accès est limité à ce qui est nécessaire à l'exploitation, au support et à la sécurité, et il est journalisé. L'équipe de Heimster n'a pas accès au contenu des boîtes aux lettres connectées.

4. Mesures techniques et organisationnelles

Heimster prend des mesures appropriées pour protéger ces données, notamment:

• exploitation et stockage en Suisse; les exceptions sont énumérées de manière exhaustive dans la déclaration de protection des données
• chiffrement des transmissions (TLS) et chiffrement des données au repos
• conservation des jetons d'accès et des clés dans un coffre à clés, séparé de l'application
• séparation des clients: les données d'une organisation ne sont pas accessibles aux autres organisations
• concept de rôles et de droits, authentification à deux facteurs ou par passkey, journalisation des événements pertinents pour la sécurité
• sauvegardes régulières, conservées séparément du système de production, et restauration testée
• surveillance de la disponibilité et des abus ainsi qu'installation rapide des mises à jour de sécurité

Les mesures sont adaptées en permanence à l'état de la technique, en maintenant un niveau de protection équivalent ou supérieur.

5. Sous-traitants ultérieurs

Le client autorise Heimster à recourir à des sous-traitants ultérieurs pour fournir les prestations - notamment pour l'hébergement et le stockage, l'envoi d'e-mails, les fonctions assistées par IA, les services cartographiques, le traitement des paiements ainsi que les services de sécurité et d'infrastructure. Les catégories et les pays vers lesquels les données sont transférées sont décrits dans la déclaration de protection des données; nous remettons sur demande la liste actuelle des entreprises concernées.

Heimster astreint chaque sous-traitant ultérieur à un niveau de protection correspondant aux présentes dispositions et répond de ses prestations comme des siennes. Avant de recourir à un nouveau sous-traitant ultérieur ou d'en remplacer un, nous informons au moins 30 jours à l'avance sous forme de texte. Dans ce délai, le client peut s'y opposer pour un motif important relevant de la protection des données; si l'objection ne peut être levée, il peut résilier les prestations concernées pour la fin du mois de facturation en cours.

Lorsque des données sont communiquées vers un pays n'offrant pas un niveau de protection adéquat, Heimster s'appuie sur des clauses contractuelles types ou une autre garantie admissible et prend des mesures techniques complémentaires.

6. Assistance au client

Heimster assiste le client par des moyens techniques appropriés pour répondre aux demandes d'accès, de rectification, d'effacement, de limitation et de remise des personnes concernées. Les fonctions nécessaires - recherche, consultation, correction, export et suppression - sont disponibles dans le produit; si une personne concernée s'adresse directement à nous, nous la renvoyons au client et en informons ce dernier.

Si Heimster a connaissance d'une violation de la sécurité des données touchant les données du client, nous l'en informons sans délai, en règle générale dans les 48 heures suivant la prise de connaissance, avec les indications disponibles sur la nature, l'étendue, les conséquences probables et les mesures prises. L'annonce à une autorité de surveillance ou aux personnes concernées incombe au client; nous l'y assistons.

Sur demande, Heimster assiste le client dans une mesure raisonnable lors d'une analyse d'impact relative à la protection des données et lors d'une consultation préalable de l'autorité de surveillance, pour autant qu'elles portent sur le traitement réglé ici.

7. Suppression et restitution

Les données du client restent les siennes. Pendant la relation d'utilisation, il dispose des fonctions d'export du produit. S'il demande un export après la fin du contrat, nous mettons ses données à disposition dans un délai de 30 jours dans un format courant; nous les supprimons ensuite, y compris les copies figurant dans les sauvegardes, dans le cadre des cycles de conservation usuels. Font exception les données que nous devons conserver en vertu d'une obligation légale - par exemple les documents de facturation; celles-ci restent conservées avec accès restreint jusqu'à l'échéance du délai.

8. Preuve et contrôle

Sur demande, Heimster démontre le respect des présentes dispositions, en premier lieu par des renseignements, une documentation à jour des mesures techniques et organisationnelles et, si disponibles, des rapports d'audit ou des certificats. Si cela ne suffit pas dans un cas d'espèce, le client peut, moyennant un préavis raisonnable et au maximum une fois par an, effectuer un contrôle ou le faire effectuer par un spécialiste indépendant tenu à la confidentialité, sans perturber l'exploitation de manière disproportionnée. En présence d'indices concrets de violation, un contrôle est admissible en tout temps. Les frais d'un contrôle demandé par le client sont à sa charge, sauf si une violation contractuelle essentielle est constatée.

9. Durée, primauté et dispositions finales

Les présentes dispositions s'appliquent pendant la durée de la relation d'utilisation; les obligations de confidentialité, de suppression et de preuve subsistent au-delà. Pour le traitement réglé ici, elles priment les conditions d'utilisation. Pour le surplus, les conditions d'utilisation s'appliquent, notamment quant à la responsabilité, au droit applicable et au for.

Pour toute question sur les présentes dispositions et toute demande concernant les sous-traitants ultérieurs, écrivez à privacy@heimster.ch.