Accord sur le traitement des données

1.1 Le présent accord règle le traitement des données personnelles que vous saisissez dans Arca pour gérer vos locations, notamment celles de vos locataires. Il fait partie du contrat et l'emporte sur les conditions générales pour tout ce qui concerne ces données.

1.2 Vous choisissez librement les données que vous saisissez et l'usage que vous en faites : vous êtes le responsable du traitement (art. 5 let. j LPD). Arca Software SNC traite ces données uniquement pour votre compte : elle est votre sous-traitante (art. 5 let. k et art. 9 LPD).

1.3 Vous acceptez cet accord en cochant, lors de votre inscription, la case « J'accepte les conditions générales et l'accord sur le traitement des données ». Aucune signature séparée n'est nécessaire (art. 9 al. 1 LPD).

2.1 Personnes concernées : vos locataires et candidats locataires, leurs colocataires, conjoints ou partenaires et garants, les anciens locataires, les artisans et autres contacts que vous enregistrez.

2.2 Données pouvant être saisies, selon votre usage : identité et coordonnées ; date de naissance, nationalité, permis de séjour, profession et revenus ; données du bail, des loyers, des paiements, de la garantie de loyer (y compris l'IBAN) et des charges ; mises en demeure et résiliations ; états des lieux et photos ; documents que vous téléversez (par exemple pièce d'identité, extrait du registre des poursuites, fiches de salaire) ; notes libres.

2.3 Certaines de ces données méritent une protection particulière, notamment les extraits du registre des poursuites, les revenus et les pièces d'identité. D'autres sont des données sensibles au sens de la loi (art. 5 let. c LPD), par exemple une information sur la santé saisie dans une note ou le paiement du loyer par un service d'aide sociale. Ne saisissez que ce qui est nécessaire. Pour les candidats, suivez l'aide-mémoire du Préposé fédéral sur les formulaires de location : copie d'identité et fiches de salaire seulement pour le candidat retenu, données des autres candidats supprimées dès le bail conclu. Arca ne demande pas le numéro AVS.

3.1 Traiter les données uniquement pour vous fournir le service, selon les instructions qui résultent de votre usage de l'application, et jamais pour ses propres besoins : pas de vente, pas de publicité, pas d'utilisation pour entraîner un modèle d'intelligence artificielle. La maintenance, la sécurité et la correction des erreurs du service ne sont pas des besoins propres d'Arca.

3.2 Garder les données confidentielles. Au sein d'Arca, seuls les deux associés peuvent y accéder, uniquement lorsque c'est nécessaire (incident technique, demande de votre part). Les consultations de documents faites dans l'application sont journalisées ; une intervention technique directe sur la base de données, réservée aux associés, ne passe pas par ce journal. Les associés sont tenus au secret par leur contrat d'associés. Le personnel de nos prestataires (article 4) ne peut accéder aux données que dans les limites de leurs engagements contractuels de sécurité et de confidentialité.

3.3 Prendre les mesures de sécurité décrites à l'article 5 et les adapter à l'évolution des risques.

3.4 Vous aider, dans la mesure du possible, à répondre aux demandes de vos locataires (accès, rectification, effacement) et à remplir vos obligations en cas de fuite.

3.5 Vous prévenir dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, de toute violation de la sécurité touchant vos données (art. 24 al. 3 LPD), en vous transmettant les informations disponibles énumérées à l'art. 15 al. 1 OPDo (nature, moment, catégories et nombre approximatif de données et de personnes concernées, conséquences, mesures prises, personne de contact), puis les compléments dès qu'ils sont connus. Il vous appartient de décider s'il faut l'annoncer au Préposé fédéral et en informer les personnes concernées (art. 24 al. 1 et 4 LPD).

3.6 Vous informer, sauf interdiction légale, de toute demande d'une autorité portant sur vos données, et vous aider sur demande dans une analyse d'impact (art. 22 LPD).

4.1 Vous autorisez Arca à confier le traitement aux prestataires ci-dessous (art. 9 al. 3 LPD). Arca les choisit avec soin, les lie par contrat et privilégie la Suisse ou l'Europe lorsqu'elle a le choix.

• Supabase (Supabase Pte. Ltd., Singapour) : base de données, authentification et fichiers — base de données, comptes et fichiers en Suisse (Zurich) ; journaux techniques et support hors de Suisse, notamment aux États-Unis et à Singapour — garantie : clauses contractuelles types avec adaptation suisse (art. 16 al. 2 let. d LPD) — toutes les données saisies.
• Vercel (Vercel Inc., États-Unis) : hébergement de l'application et production des PDF — traitement en Allemagne (Francfort) ; plateforme et journaux aux États-Unis — garantie : certification Swiss-U.S. Data Privacy Framework (art. 16 al. 1 LPD) — données traitées le temps de la requête et journaux techniques.
• Resend (Plus Five Five, Inc., États-Unis) : envoi des courriels — envoi depuis l'Irlande ; contenu des courriels, journaux et compte conservés aux États-Unis (30 jours pour les courriels) — garantie : clauses contractuelles types avec adaptation suisse (art. 16 al. 2 let. d LPD) — adresse du destinataire et contenu du courriel.
• Sentry (Functional Software, Inc., États-Unis) : signalement des erreurs techniques — erreurs stockées en Allemagne ; compte et réglages aux États-Unis — garantie : certification Swiss-U.S. Data Privacy Framework — données techniques nettoyées ; une donnée saisie peut exceptionnellement figurer dans un message d'erreur.
• Upstash (Upstash, Inc., États-Unis) : limitation des tentatives et réception des retours — Allemagne (Francfort) — garantie : certification Swiss-U.S. Data Privacy Framework — identifiants techniques ; contenu des retours, qui peut contenir une donnée que vous y écrivez.
• PostHog (PostHog, Inc., États-Unis) : mesure d'usage, seulement si vous l'avez acceptée — Allemagne (Francfort) ; accès possible depuis les États-Unis — garantie : certification Swiss-U.S. Data Privacy Framework — pages consultées et actions, liées à un identifiant interne ; le texte affiché à l'écran n'est pas collecté.
• Infomaniak (Infomaniak Network SA, Genève) : messagerie (support@ et bonjour@) et assistant d'intelligence artificielle Socle — Suisse (selon Infomaniak) — contenu des échanges avec le support ; documents et questions soumis à l'assistant, gardés par Infomaniak le temps du traitement et jamais utilisés pour entraîner ses modèles (engagement contractuel d'Infomaniak).
• Services de la Confédération (Office fédéral de topographie swisstopo) : recherche d'adresses — Suisse — adresse des biens que vous saisissez.
• Skribble (Skribble AG, Zurich) : signature électronique, lorsqu'elle sera activée — Suisse ; quelques sous-traitants techniques hors de Suisse et de l'UE sous clauses contractuelles types — documents à signer et identité des signataires.

4.2 Les données sont traitées en Suisse ou dans des États dont le Conseil fédéral reconnaît le niveau de protection adéquat (annexe 1 OPDo, notamment l'Allemagne et l'Irlande). Lorsqu'un prestataire traite des données aux États-Unis ou peut y accéder depuis ce pays, Arca s'appuie sur sa certification au Swiss-U.S. Data Privacy Framework (art. 16 al. 1 LPD) ou, à défaut, sur des clauses contractuelles types reconnues par le Préposé fédéral (art. 16 al. 2 let. d LPD) ; pour les autres États, notamment Singapour, sur de telles clauses. La base retenue pour chaque prestataire figure dans la liste ci-dessus.

4.3 Nous vous informons par courriel de tout nouveau prestataire ou du remplacement d'un prestataire au moins 30 jours à l'avance (art. 7 OPDo). Vous pouvez vous y opposer dans ce délai ; si nous ne trouvons pas de solution, vous pouvez quitter le programme et l'article 3.6 des conditions générales s'applique. En cas d'urgence (défaillance ou risque de sécurité chez un prestataire), le délai peut être plus court ; nous vous en informons alors sans délai.

Nous décrivons ce qui est en place aujourd'hui, sans l'embellir :

• a) Hébergement de la base de données en Suisse ; communications chiffrées (HTTPS) ; données de la base chiffrées au repos par le fournisseur (AES-256).
• b) Séparation stricte des comptes par des règles d'accès dans la base de données : chaque bailleur ne voit que ses propres données.
• c) Double authentification disponible pour tous les comptes et fortement recommandée ; obligatoire pour l'administration d'Arca.
• d) Protection contre les robots et limitation du nombre de tentatives de connexion.
• e) Fichiers dans des espaces privés, accessibles seulement par des liens temporaires de quelques minutes.
• f) IBAN de votre compte chiffré par Arca ; les autres données ne font pas l'objet d'un chiffrement supplémentaire propre à Arca.
• g) Journaux de sécurité et des accès aux documents conservés 12 mois.
• h) Copies de sécurité : chaque nuit, une copie chiffrée de la base de données et de tous les fichiers est déposée en Suisse, hors de l'hébergeur de la base (30 copies quotidiennes, puis une par mois pendant 12 mois). Le 1er de chaque mois, une restauration d'essai vérifie que la copie est complète. L'hébergeur de la base garde en plus sa propre copie quotidienne pendant 7 jours, sans les fichiers.
• i) Les outils d'aide au développement, y compris d'intelligence artificielle, n'ont aucun accès aux données de production ; ils travaillent uniquement sur des données fictives.
• j) Ordinateurs des associés protégés par chiffrement du disque et double authentification ; environnement de test séparé, avec des données fictives ; mises à jour de sécurité régulières.
• k) Lectures de l'assistant d'intelligence artificielle (texte lu et proposition) effacées 90 jours après la lecture ; seules restent les informations que vous avez validées.

6.1 À la fin du contrat, vous pouvez exporter vos données selon l'article 3 des conditions générales.

6.2 Arca supprime ensuite les données dans ses systèmes et chez ses prestataires dans les délais de l'article 3.6 des conditions générales. Les données résiduelles chez les prestataires s'effacent selon leurs propres délais : copies de sécurité de la base de données, 7 jours ; courriels chez Resend, 30 jours ; messages d'erreur chez Sentry, 90 jours au plus ; journaux techniques chez Vercel, 30 jours au plus.

Vous pouvez nous demander par écrit les informations nécessaires pour vérifier le respect du présent accord. Nous y répondons dans un délai raisonnable.

La responsabilité est réglée par l'article 8 des conditions générales. Le droit suisse s'applique ; le for est celui de l'article 11 des conditions générales.

Le modèle promis à l'article 6.2 des conditions générales. Complétez la fin avec vos coordonnées.

« Je gère votre location avec le logiciel Arca. J'y enregistre votre identité, vos coordonnées, les informations de votre dossier de location, votre bail, vos loyers, les états des lieux et les documents que vous me remettez, uniquement pour gérer la location. Arca et ses prestataires, dont certains aux États-Unis, sont décrits sur arcaimmo.ch/accord-traitement-donnees ; un assistant d'intelligence artificielle peut lire les documents que je lui confie, pour m'aider à remplir mes fiches. Vous pouvez me demander quelles données je détiens sur vous, les faire corriger ou vous opposer à un traitement : [nom, adresse, adresse électronique]. »