Accord de traitement des données

Dernière mise à jour : 1 septembre 2025

Annexe 1
ACCORD DE TRAITEMENT DES DONNÉES DE GIRAFFE360 (DPA)

1. Contexte

1.1 Le présent Accord de traitement des données et ses annexes (le « DPA ») s’appliquent aux Clients exerçant leurs activités dans les pays de l’Espace économique européen (EEE) et au Royaume-Uni (RU) et reflètent l’accord entre Giraffe360 et le Client concernant le traitement des Données du Client par Giraffe360 en qualité de sous-traitant pour le compte du Client, lequel agit en qualité de responsable du traitement.
1.2 Le présent DPA est intégré aux Conditions d’utilisation de Giraffe360 conclues entre le Client et Giraffe360 (le « Contrat ») et en fait partie intégrante. En cas de conflit entre l’une quelconque des dispositions du présent DPA et les dispositions du Contrat, les dispositions du présent DPA prévalent.

2. Définitions

Sauf indication contraire ci-dessous, chaque terme commençant par une majuscule dans le présent DPA a le sens qui lui est attribué dans le Contrat, et les termes suivants commençant par une majuscule utilisés dans le présent DPA sont définis comme suit :

« Données du Client » désigne toutes les Données à caractère personnel contenues dans le Contenu Giraffe360 et tout autre contenu ou toutes autres données que le Client met à la disposition de Giraffe360 et qui sont hébergés par Giraffe360 dans le cadre de la fourniture du Service Giraffe360, y compris les Données relatives aux biens, les Données de profil du Client et les Données des clients du Client, telles que décrites plus en détail à l’article 3.1 du présent DPA.

« Responsable du traitement » désigne la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du Traitement des Données à caractère personnel. Aux fins du présent DPA, le Responsable du traitement est le Client.

« Lois sur la protection des données » désigne le RGPD, toute législation nationale de mise en œuvre ou complémentaire et toute autre législation applicable protégeant les libertés et droits fondamentaux des personnes et leur droit à la vie privée à l’égard du traitement des Données du Client.

« Personne concernée » désigne la personne physique à laquelle se rapportent les Données à caractère personnel.

« Espace économique européen » ou « EEE » désigne les États membres de l’Union européenne ainsi que l’Islande, la Norvège et le Liechtenstein.

« RGPD » désigne le règlement général sur la protection des données de l’UE 2016/679 du Parlement européen et du Conseil et, le cas échéant, le « UK GDPR » tel que défini dans The Data Protection, Privacy and Electronic Communications (Amendment Etc.) (EU Exit) Regulations 2019.

« Instructions » désigne les instructions écrites et documentées données par le Client à Giraffe360 et enjoignant à Giraffe360 d’accomplir une action spécifique ou générale à l’égard des Données du Client.

« Sous-traitant ultérieur » désigne tout Sous-traitant engagé par Giraffe360 qui Traite des Données du Client de Giraffe360.

« Données à caractère personnel » désigne toute information se rapportant à une personne physique identifiée ou identifiable, au sens des Lois sur la protection des données applicables.

« Violation de données à caractère personnel » désigne la destruction, la perte, l’altération, la corruption, la divulgation non autorisée de Données du Client ou l’accès non autorisé à celles-ci, de manière accidentelle ou illicite, au sens des Lois sur la protection des données applicables.

« Traitement » désigne toute opération ou tout ensemble d’opérations effectuées sur des Données à caractère personnel, englobant la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction de Données à caractère personnel. Les termes « Traiter », « Traite » et « Traité » sont interprétés en conséquence.

« Sous-traitant » désigne la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui Traite des Données à caractère personnel pour le compte du Responsable du traitement. Aux fins du présent DPA, le Sous-traitant est Giraffe360.

3. Traitement des données

3.1 Giraffe360 traite les catégories suivantes de Données à caractère personnel relatives aux Personnes concernées suivantes, aux fins décrites ci-dessous :
1. Données relatives aux biens : Elles comprennent les images, vidéos, nuages de points, visites virtuelles, plans d’étage, données de localisation GPS, informations fournies dans la page de présentation du bien et autres informations connexes relatives au bien capturées par le Client, extraites de la caméra Giraffe360 ou fournies par le Client dans le cadre de son utilisation du Service Giraffe360. Bien que ces informations ne permettent généralement pas d’identifier une personne physique, elles peuvent, dans de rares cas, permettre d’identifier les propriétaires du bien, les personnes dont les données sont capturées lors d’un Scan, ou le Client. Il incombe au Client de veiller à ce que les Éléments de capture ne contiennent aucune Information personnelle interdite au sens des Conditions d’utilisation. Les Données relatives aux biens sont traitées afin de créer le Contenu Giraffe360.
2. Données de profil du Client : Elles comprennent les Données à caractère personnel concernant le Client, ses représentants ou ses employés, telles que les noms, prénoms, adresses e-mail, numéros de téléphone, photos, slogans et liens hypertextes vers des comptes de réseaux sociaux fournis par le Client via le Tableau de bord dans le cadre de son utilisation du Service Giraffe360. Ces données sont Traitées afin de permettre : la création de profils sur le Tableau de bord pour le Client, ses représentants ou ses employés ; l’accès au Contenu Giraffe360 au sein du Tableau de bord ; le partage du Contenu Giraffe360 ainsi que la fourniture d’informations concernant le Client, ses représentants ou ses employés par l’intermédiaire du Service Giraffe360.
3. Données des clients du Client : Elles comprennent les données à caractère personnel des clients du Client, telles que les noms, prénoms, adresses e-mail, numéros de téléphone et messages d’acheteurs ou de locataires potentiels de biens. Ces données sont mises à la disposition du Client via le Tableau de bord. Elles sont collectées lorsque le Client active la fonctionnalité Leads, qui permet aux clients du Client de laisser leurs coordonnées afin que le Client puisse les contacter. Le Client peut désactiver cette fonctionnalité dans le Tableau de bord.
3.2 Les Données du Client sont transférées de manière continue dans le cadre de la fourniture des services prévus par le Contrat et le présent DPA jusqu’à la résiliation du Contrat.

4. Obligations du Client

4.1 Le Client est responsable du respect de toutes les exigences qui lui sont applicables en vertu des Lois sur la protection des données en ce qui concerne le Traitement de Données à caractère personnel par le Client.
4.2 En particulier, mais sans préjudice de la portée générale de ce qui précède, le Client reconnaît et accepte être seul responsable :
1. de l’exactitude, de la qualité et de la licéité des Données du Client et des moyens par lesquels le Client a obtenu ces données ;
2. du respect de toutes les exigences nécessaires de transparence et de licéité prévues par les Lois sur la protection des données pour la collecte et l’utilisation des Données du Client, y compris la fourniture d’informations adéquates, l’obtention de tous les consentements et autorisations nécessaires et le respect des préférences d’opposition (en particulier en cas d’utilisation par le Client à des fins de marketing) ; et
3. de s’assurer qu’il dispose du droit de transférer les Données du Client à Giraffe360, ou de lui en donner l’accès, aux fins de leur Traitement conformément aux conditions du Contrat (y compris le présent DPA).
4.3 Le Client informe Giraffe360 dans les meilleurs délais s’il n’est pas en mesure de respecter ses responsabilités au titre du présent article ou des Lois sur la protection des données.
4.4 Le Client est responsable de s’assurer que ses Instructions à Giraffe360 concernant le Traitement des Données du Client sont conformes aux lois applicables, y compris aux Lois sur la protection des données.
4.5 Les parties conviennent que le Contrat (y compris le présent DPA), ainsi que l’utilisation du Service Giraffe360 par le Client conformément au Contrat, constituent l’intégralité des Instructions du Client à Giraffe360 concernant le Traitement des Données du Client par Giraffe360, étant entendu que le Client peut donner des Instructions supplémentaires pendant la durée du Contrat, à condition qu’elles soient compatibles avec le Contrat ainsi qu’avec la nature et l’utilisation licite du Service Giraffe360.
4.6 Il incombe au Client de déterminer de manière indépendante si la sécurité des données assurée dans le cadre du Service Giraffe360 répond de manière adéquate à ses obligations au titre des Lois sur la protection des données. Le Client est également responsable de l’utilisation sécurisée qu’il fait du Service Giraffe360.

5. Obligations de Giraffe360

5.1 En qualité de Sous-traitant de Données à caractère personnel, Giraffe360 ne Traitera les Données du Client qu’aux fins décrites dans le présent DPA ou autrement convenues dans le cadre des Instructions licites du Client, sauf lorsque et dans la mesure où la loi applicable l’exige autrement, auquel cas Giraffe360, dans la mesure permise par la loi applicable, informera le Client de cette obligation légale avant de Traiter ces Données du Client. Giraffe360 n’est pas responsable du respect des Lois sur la protection des données applicables au Client ou au secteur d’activité du Client qui ne sont pas généralement applicables à Giraffe360.
5.2 Giraffe360 mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées pour protéger les Données du Client, conformément aux exigences des Lois sur la protection des données (les « Mesures de sécurité »). Nonobstant toute disposition contraire, Giraffe360 peut modifier ou mettre à jour les Mesures de sécurité à sa discrétion, à condition que cette modification ou mise à jour n’entraîne pas de dégradation importante de la protection offerte par les Mesures de sécurité.
5.3 Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre des Mesures de sécurité afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
1. la pseudonymisation et le chiffrement des données à caractère personnel ;
2. des Mesures de sécurité appropriées permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
3. des Mesures de sécurité appropriées permettant de rétablir la disponibilité des Données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ;
4. une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des Mesures de sécurité destinées à assurer la sécurité du Traitement.
5.4 Giraffe360 veillera à ce que tout membre du personnel autorisé à Traiter des Données du Client pour le compte de Giraffe360 soit soumis à des obligations de confidentialité appropriées à l’égard des Données du Client.
5.5 Dans un délai de 30 jours à compter de la résiliation du Contrat, Giraffe360 supprimera ou, au choix du Client, restituera toutes les copies des Données du Client traitées par Giraffe360 au titre du présent DPA. Le Client notifie son choix à Giraffe360 dans un délai de 14 jours ouvrés à compter de la résiliation du Contrat. Ce délai de 30 jours s’applique sauf lorsque nous sommes tenus par la loi applicable de conserver tout ou partie des Données du Client.
5.6 Giraffe360 peut conserver et utiliser les Données relatives aux biens, pendant la durée du Contrat et après sa résiliation, à des fins d’apprentissage automatique, d’entraînement d’intelligence artificielle et d’amélioration du service. Ce Traitement sera effectué par Giraffe360 en qualité de Responsable du traitement et conformément à la Politique de confidentialité de Giraffe360.
5.7 Giraffe360 peut conserver les Données du Client dans la mesure où Giraffe360 le juge nécessaire pour intenter ou défendre toute action en justice, à condition que ces Données du Client ne soient conservées que dans la mesure et pendant la durée requises par les lois applicables ou dans l’attente de la résolution de tout litige, et toujours à condition que Giraffe360 garantisse la confidentialité de l’ensemble de ces Données du Client.

6. Sous-traitants ultérieurs

6.1 Le Client accorde par les présentes à Giraffe360 une autorisation écrite générale de faire appel à des Sous-traitants ultérieurs pour l’aider à fournir le Service Giraffe360. Giraffe360 veille à ce que tous les Sous-traitants ultérieurs soient liés par des obligations contractuelles offrant au moins le même niveau de protection des données que celui exigé par le présent DPA et les Lois sur la protection des données applicables. Une liste à jour des Sous-traitants ultérieurs, précisant notamment leur nom, leur localisation et leur finalité, est tenue à jour sur le site web de Giraffe360 (la « Liste des sous-traitants ultérieurs »).
6.2 Giraffe360 se réserve le droit de mettre à jour la Liste des sous-traitants ultérieurs selon les besoins. Tout ajout ou remplacement dans la Liste des sous-traitants ultérieurs sera publié sur le site web au moins 15 jours avant que le nouveau Sous-traitant ultérieur ne soit autorisé à traiter des Données du Client. Les Clients sont invités à consulter régulièrement la Liste des sous-traitants ultérieurs.
6.3 Si un Client s’oppose raisonnablement à un nouveau Sous-traitant ultérieur en raison de préoccupations légitimes liées à la protection des données, il doit en informer Giraffe360 par écrit dans un délai de 15 jours à compter de la publication de la mise à jour. À réception d’une opposition, Giraffe360 examinera les préoccupations du Client et s’efforcera de bonne foi de trouver une solution mutuellement acceptable. Si aucune opposition n’est reçue dans le délai de notification de 15 jours, le Client est réputé avoir accepté le Sous-traitant ultérieur mis à jour.
6.4 Giraffe360 demeure à tout moment responsable du respect de ses obligations au titre du DPA et sera responsable envers le Client des actes et omissions de tout Sous-traitant ultérieur comme s’il s’agissait des actes et omissions de Giraffe360.

7. Transferts internationaux

7.1 Giraffe360 ne transfère pas de Données du Client à un destinataire situé dans un pays ou un territoire en dehors de l’EEE ou du Royaume-Uni, sauf si :
1. le destinataire, ou le pays ou territoire dans lequel il traite les Données du Client ou y accède, assure un niveau de protection adéquat des droits et libertés des personnes concernées à l’égard du traitement des Données du Client, tel que constaté par la Commission européenne ; ou
2. le transfert repose sur les clauses contractuelles types (sous-traitants) approuvées par la décision d’exécution (UE) 2021/914 de la Commission, ou toute version ultérieure de celles-ci, ou sur un autre mécanisme de transfert légalement reconnu.

8. Sécurité des données, audits et notifications de sécurité

8.1 Le Client peut, moyennant un préavis raisonnable et à des moments raisonnables, auditer (lui-même ou en faisant appel à des auditeurs tiers indépendants) le respect des Mesures de sécurité par Giraffe360, y compris en procédant à des audits des installations de traitement des données de Giraffe360. Giraffe360 apporte son assistance et contribue à tout audit réalisé conformément au présent DPA, à condition que ces audits ne soient pas effectués plus d’une fois par an.
8.2 À la demande du Client, Giraffe360 met à disposition toutes les informations raisonnablement nécessaires pour démontrer le respect du présent DPA et des Lois sur la protection des données.
8.3 Lorsque l’article 28, paragraphe 3, point h), du RGPD l’exige, Giraffe360 informe immédiatement le Client si Giraffe360 estime que les Instructions du Client sont contraires aux exigences de toute Loi sur la protection des données ou d’autres lois de l’UE, du Royaume-Uni ou d’un État membre de l’EEE.
8.4 Giraffe360 informe le Client par écrit dans les meilleurs délais après avoir pris connaissance de toute Violation de données à caractère personnel concernant les Données du Client et le Traitement effectué en vertu du présent DPA. Giraffe360 fournit au Client une assistance raisonnable afin d’assurer le respect des Lois sur la protection des données applicables en ce qui concerne la Violation de données à caractère personnel, y compris un soutien dans le cadre de toute enquête réglementaire et de toute notification aux autorités de contrôle et/ou aux Personnes concernées.
8.5 Lorsqu’elle signale une Violation de données à caractère personnel, Giraffe360 communique, en des termes clairs et simples, au minimum et dans la mesure du possible compte tenu des informations disponibles : une explication de la nature de la Violation de données, le nom et les coordonnées du délégué à la protection des données (« DPO ») ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues, une description des conséquences probables de la Violation de données à caractère personnel et une description des mesures prises ou proposées pour remédier à la Violation de données à caractère personnel, y compris, le cas échéant, les mesures prises pour en atténuer les éventuelles conséquences négatives.

9. Demandes d’accès et droits des personnes concernées

9.1 Sauf obligation (ou interdiction) prévue par la loi applicable, Giraffe360 informe le Client de toute demande reçue par Giraffe360 d’une Personne concernée, directement ou par l’intermédiaire d’un Sous-traitant ultérieur, concernant ses Données à caractère personnel figurant dans les Données du Client, et ne répond pas à la Personne concernée.
9.2 Giraffe360 donne au Client la possibilité de rectifier, de supprimer, de bloquer, de consulter ou de copier les Données du Client conformément aux fonctionnalités du Service Giraffe360 et dans la mesure où celles-ci le permettent.
9.3 Giraffe360 informe le Client de toute demande de divulgation de Données du Client émanant d’un organisme gouvernemental ou de réglementation ou d’une autorité répressive (y compris toute autorité de contrôle de la protection des données), sauf si la loi ou une décision juridiquement contraignante de cet organisme ou de cette autorité l’interdit.
9.4 Le cas échéant, compte tenu de la nature du Traitement et dans la mesure requise par les Lois sur la protection des données applicables, Giraffe360 :
1. déploie tous les efforts raisonnables pour aider le Client, au moyen de mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées prévus par le RGPD ; et
2. fournit une assistance raisonnable au Client dans le cadre de toute analyse d’impact relative à la protection des données et de toute consultation préalable de toute autorité de contrôle du Client, dans chaque cas uniquement en ce qui concerne le Traitement des Données du Client et compte tenu des informations dont dispose Giraffe360.