Accord de traitement des données (DPA)

1. Objet, durée, nature et finalités

DiagLine traite les données confiées par le cabinet pendant la durée nécessaire à la fourniture du service, à la sécurisation du compte, à la restitution des données et à la clôture contractuelle. Les opérations peuvent comprendre la collecte par formulaires, l’enregistrement, l’organisation, la consultation, la génération de documents, la transmission, le stockage, la sauvegarde technique, la mise à disposition et la suppression.

Les finalités sont limitées à la gestion des demandes, clients, biens, devis, signatures, rendez-vous, prescripteurs, documents, factures, règlements, rapports et communications nécessaires au fonctionnement de DiagLine selon les instructions du cabinet.

2. Personnes et données concernées

Les personnes concernées peuvent notamment être les clients et prospects du cabinet, propriétaires, bailleurs, acquéreurs, locataires, prescripteurs, partenaires, contacts de sociétés et utilisateurs du cabinet.

Les données peuvent comprendre identité, coordonnées, adresse du bien, informations relatives à la mission, documents transmis, données de devis et de facturation, rendez-vous, historique de communication, rapports et informations techniques nécessaires à la traçabilité. Le cabinet s’engage à ne confier que les données adéquates et nécessaires à ses finalités licites.

3. Instructions du cabinet

DiagLine ne traite les données métier que sur instruction documentée du cabinet résultant du contrat, de la configuration du compte et des actions réalisées par les utilisateurs autorisés. Si DiagLine estime qu’une instruction viole le RGPD ou une règle applicable en matière de protection des données, il en informe le cabinet dans la mesure prévue par la réglementation.

4. Confidentialité et accès

Les personnes autorisées à traiter les données pour DiagLine sont soumises à une obligation de confidentialité et n’accèdent aux informations que dans la mesure nécessaire à l’exploitation, à la sécurité ou au support du service.

5. Mesures de sécurité

DiagLine met en œuvre des mesures techniques et organisationnelles proportionnées au risque, comprenant notamment authentification des utilisateurs, contrôle d’accès, isolation logique entre cabinets, chiffrement des communications, journalisation de certaines opérations sensibles, limitation des privilèges administratifs et recours à des fournisseurs d’infrastructure présentant des garanties adaptées.

Le cabinet demeure responsable de la sécurité de ses propres terminaux, de ses boîtes e-mail, de l’attribution de ses comptes et de la conservation indépendante des documents qu’il doit archiver.

6. Sous-traitants ultérieurs

Le cabinet autorise de manière générale DiagLine à recourir aux sous-traitants ultérieurs nécessaires au service. DiagLine leur impose, lorsqu’ils traitent des données pour son compte, des obligations de protection des données appropriées et vérifie l’existence de garanties suffisantes au regard des informations raisonnablement disponibles.

La liste opérationnelle des principaux sous-traitants est mise à disposition des clients dans leur espace DiagLine. En cas d’ajout ou de remplacement ayant un impact matériel sur le traitement des données métier, DiagLine informe les cabinets selon un moyen approprié et leur laisse la possibilité de présenter une objection motivée liée à la protection des données.

Conformément au RGPD, lorsque l’un de ces sous-traitants ultérieurs ne remplit pas ses obligations de protection des données, DiagLine demeure responsable vis-à-vis du cabinet de l’exécution des obligations de protection des données confiées à ce sous-traitant, dans les conditions prévues par le droit applicable.

7. Transferts internationaux

Lorsque des données sont transférées hors de l’Espace économique européen, DiagLine utilise un mécanisme de transfert autorisé par le droit applicable et s’appuie, selon le cas, sur une décision d’adéquation, des clauses contractuelles types ou d’autres garanties appropriées proposées par le prestataire concerné.

8. Assistance au cabinet

Compte tenu de la nature du traitement et des informations dont il dispose, DiagLine assiste raisonnablement le cabinet pour répondre aux demandes d’exercice de droits, gérer les violations de données, effectuer les analyses ou consultations requises et démontrer le respect de ses obligations lorsque cette assistance entre dans le périmètre du service.

9. Violation de données personnelles

DiagLine informe le cabinet dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles affectant les données traitées pour son compte et lui communique les informations disponibles utiles à l’évaluation de l’incident. Le cabinet reste responsable des notifications aux personnes concernées ou à l’autorité de contrôle lorsqu’elles lui incombent en qualité de responsable du traitement.

10. Restitution, export et suppression

À la fin de la relation, le cabinet dispose de la période de récupération prévue aux CGV pour consulter ou exporter les données disponibles. Passé ce délai, DiagLine peut supprimer les données opérationnelles actives, sauf obligation légale de conservation. Les copies résiduelles présentes dans des sauvegardes techniques sont éliminées selon les cycles normaux de rotation et restent protégées jusqu’à leur suppression.

11. Audit et informations

DiagLine met à disposition du cabinet les informations raisonnablement nécessaires pour démontrer le respect des obligations de sous-traitant. Toute demande d’audit doit être proportionnée, préserver la sécurité et la confidentialité des autres clients et privilégier en premier lieu les documents, attestations et informations disponibles. Un audit sur site exceptionnel peut faire l’objet d’un encadrement préalable de confidentialité, de sécurité et de coûts lorsque la loi le permet.

13. Contact

Questions relatives au présent DPA : contact@diagline.fr.

Les cabinets connectés peuvent également consulter la liste des sous-traitants techniques mise à leur disposition.