Accord de traitement des données

1. Objet et parties

Cet accord de traitement des données (l’“Accord”) est conclu entre le Client, responsable du traitement, et PoolVision, Louvain-la-Neuve, Belgique, sous-traitant, au sens de l’article 28 du Règlement (UE) 2016/679 (“RGPD”).

Il fait partie des Conditions d’utilisation. Le Client l’accepte en créant son compte. Il s’applique tant que PoolVision traite des Données du Client. En cas de contradiction sur la protection des données, cet Accord prévaut sur les Conditions.

“Données du Client” désigne les données personnelles que le Client enregistre dans le Service ou fait créer par le Service, décrites à l’annexe 1. Les autres termes ont le sens que leur donne le RGPD.

2. Instructions du Client

• PoolVision traite les Données du Client uniquement sur instruction documentée du Client, y compris pour les transferts hors de l’Espace économique européen. Les Conditions, cet Accord et l’usage que le Client fait du Service (enregistrer, générer, télécharger, supprimer) constituent ces instructions.
• Si le droit de l’Union ou d’un État membre impose un autre traitement, PoolVision en informe le Client avant le traitement, sauf si ce droit l’interdit.
• PoolVision informe immédiatement le Client si, selon elle, une instruction viole le RGPD.
• PoolVision n’utilise pas les Données du Client pour ses propres fins. Elle ne les vend pas.

3. Obligations du Client

• Le Client dispose d’une base légale pour chaque traitement qu’il confie à PoolVision.
• Le Client informe ses prospects du traitement de leurs données, y compris de l’usage de PoolVision et de ses sous-traitants (art. 13 et 14 RGPD).
• Le Client n’enregistre pas de catégories particulières de données (art. 9 RGPD), ni de données relatives à des enfants, dans les notes ou les photos.
• Le Client répond aux demandes de ses prospects relatives à leurs droits.

4. Confidentialité

PoolVision donne accès aux Données du Client uniquement aux personnes qui en ont besoin pour fournir le Service ou le support. Ces personnes sont tenues à la confidentialité par contrat ou par la loi.

5. Sécurité

PoolVision met en œuvre les mesures techniques et organisationnelles de l’annexe 2, conformément à l’article 32 du RGPD. PoolVision peut les faire évoluer, sans réduire le niveau de protection.

6. Sous-traitants ultérieurs

• Le Client autorise PoolVision à faire appel aux sous-traitants ultérieurs de l’annexe 3.
• PoolVision informe le Client par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s’y opposer pour un motif raisonnable lié à la protection des données, dans ce délai. Si aucune solution n’est trouvée, le Client peut supprimer son compte, sans frais et avec remboursement de la part non utilisée de la période déjà payée.
• PoolVision impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles de cet Accord. PoolVision reste responsable envers le Client de leur exécution.

7. Transferts hors de l’Espace économique européen

PoolVision ne transfère des Données du Client hors de l’Espace économique européen qu’avec une garantie prévue au chapitre V du RGPD : une décision d’adéquation (notamment le EU-U.S. Data Privacy Framework pour les entreprises certifiées) ou les clauses contractuelles types de la Commission européenne.

8. Assistance au Client

• Droits des personnes : le tableau de bord permet au Client de consulter, modifier, télécharger et supprimer les données de chaque prospect, ses images et ses vidéos. Si une personne s’adresse directement à PoolVision, PoolVision transmet sa demande au Client sans retard et ne lui répond pas elle-même, sauf instruction du Client.
• Sécurité, analyse d’impact et consultation préalable : PoolVision aide le Client à respecter les articles 32 à 36 du RGPD, avec les informations dont elle dispose.

9. Violation de données

PoolVision notifie au Client toute violation de données personnelles qui concerne les Données du Client, sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance. La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un contact. PoolVision complète ces informations dès qu’elle les obtient.

10. Fin du traitement

Le Client peut télécharger ses images et ses vidéos à tout moment (bouton “Tout télécharger” de la page d’un prospect). Quand le Client supprime son compte, PoolVision efface immédiatement les Données du Client de sa base de données et de son stockage. Les copies qui subsistent dans les journaux des sous-traitants ultérieurs sont effacées selon leurs cycles de conservation. PoolVision ne garde que ce que la loi l’oblige à conserver.

11. Information et audits

PoolVision met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD. Le Client peut réaliser un audit, lui-même ou par un auditeur indépendant tenu au secret, une fois par an, avec un préavis écrit de 30 jours et à ses frais. Cette limite ne s’applique pas après une violation de données ou à la demande d’une autorité de contrôle. Un audit ne doit pas donner accès aux données d’autres Clients.

12. Responsabilité et droit applicable

La responsabilité de chaque partie suit les Conditions d’utilisation, sans préjudice de l’article 82 du RGPD. Cet Accord est soumis au droit belge et aux tribunaux désignés dans les Conditions.

Annexe 1 — Description du traitement

• Personnes concernées : les prospects et clients du Client.
• Données : nom, téléphone, adresse e-mail, adresse postale et coordonnées géographiques, statut commercial, notes ; vue satellite de la propriété ; photos de la façade ou du jardin et croquis envoyés par le Client ; images et vidéos générées de la propriété.
• Catégories particulières : aucune.
• Nature et finalité : hébergement, affichage et suivi des prospects ; géocodage de l’adresse ; récupération de l’imagerie satellite ; création d’images et de vidéos de la future piscine par des modèles d’IA ; téléchargement ; suppression.
• Durée : tant que le compte du Client existe, ou jusqu’à ce que le Client supprime les données.

Annexe 2 — Mesures de sécurité

• Chiffrement des données en transit (TLS) et au repos.
• Isolation des Clients : chaque requête est liée au compte connecté, et la base de données applique des règles d’accès par ligne (row level security).
• Fichiers stockés dans un espace privé, servis seulement par des liens signés à durée limitée.
• Mots de passe stockés sous forme de hachage.
• Clés d’accès aux prestataires gardées côté serveur, jamais envoyées au navigateur. Appels internes signés.
• Limites de requêtes par utilisateur contre les abus.
• Journaux techniques avec un identifiant par requête, pour analyser les incidents.
• Accès de l’équipe PoolVision limité aux personnes qui en ont besoin.
• Suppression à la demande : prospect, image, vidéo ou compte entier, depuis le tableau de bord.

Annexe 3 — Sous-traitants ultérieurs

• Supabase — base de données, authentification et stockage des fichiers. Serveurs en Irlande (UE).
• Netlify — hébergement de l’application et exécution du code serveur. États-Unis.
• Sentry — suivi des erreurs du serveur. Reçoit les messages d’erreur et l’identifiant de la requête ; des Données du Client n’y figurent que si un message d’erreur en contient. Serveurs dans l’UE (Allemagne).
• Google — Google Maps Platform (géocodage de l’adresse) et Gemini API (création des images et des vidéos). Les modèles reçoivent la vue satellite, les photos et les croquis, jamais le nom ni les coordonnées du prospect. États-Unis et autres pays.
• Mapbox — imagerie satellite. Reçoit seulement la position de la zone affichée. États-Unis.

Pour leurs transferts hors de l’Espace économique européen, voir la section 7.

Contact

Pour toute question sur cet Accord : hello@poolvision.app.