Informations légales

Contrat de sous-traitance — article 28 du RGPD

Annexe 1 aux conditions générales d'utilisation de +Connect — version 12 du 26 octobre 2026

Ce qui change dans la version 12

Elle remplace la version 11 du 18 octobre 2026. Ce qui change :

• L'ouverture du pack syndic de copropriété (en tête du contrat ; annexe II, « Le pack syndic de copropriété »). Les fonctions du pack ne sont ouvertes à un Client que s'il a accepté, par l'écran d'acceptation, la présente version ou une version suivante. Le pack sert un Client dont l'activité déclarée est l'administration d'immeubles et qui a répondu qu'il exerce le métier de syndic de copropriété ; il s'ouvre à l'inscription, au changement de SIREN ou par le bouton « Activer le pack syndic » des réglages, une fois que +Connect l'a ouvert aux nouveaux Clients. L'écran des premiers pas du cabinet et le modèle d'information des copropriétaires, servi dans l'application, sont décrits.
• L'accès aux boîtes Outlook / Microsoft 365 (annexe II, « Nature du traitement »). La fenêtre où un message marqué comme personnel est lu en entier avant d'être écarté est dite par ses lectures : entre la lecture qui cherche cette marque et celle du message entier. L'administrateur Microsoft 365 du Client peut accorder les permissions d'avance pour son organisation, sans ouvrir aucune boîte ; le dépôt de brouillons et l'envoi restent demandés à la personne qui a connecté la boîte, et ne servent que sur son clic.
• Les pièces jointes depuis une boîte Outlook / Microsoft 365 (annexe II, « L'accès aux boîtes Outlook / Microsoft 365 » et « Les pièces jointes des courriels envoyés depuis +Connect »). Sur le clic « Envoyer » de la personne qui a connecté la boîte, le service y dépose le brouillon avec le texte écrit dans +Connect et les documents de l'espace documentaire du Client qu'elle y joint, seulement pour le pack syndic de copropriété ; depuis Outlook, chaque pièce à moins de 3 Mo et l'ensemble à 12 Mo. Pour un brouillon auquel il ajoute des documents, le service retient, pour chaque document, son identifiant dans l'espace documentaire du Client et s'il est joint — ni son nom ni son contenu.
• Le registre national des copropriétés (annexe II, « Le registre national des copropriétés »). La copie ne garde plus que les copropriétés dont le syndic est une personne morale vérifiée auprès de l'annuaire des entreprises ; un nom d'usage à la forme d'un nom de personne n'est plus copié.
• La restitution du pack syndic de copropriété (annexe II, « Les pièces jointes des courriels envoyés depuis +Connect », « Les suppléances » et « Durée du traitement »). L'archive complète contient, dès que le Client a une ligne dans les tables du pack, ses copropriétés, leurs personnes, les demandes, les ventes de lots et leurs pièces cochées, les assemblées générales, les suppléances en cours et à venir et le journal des pièces jointes des envois. L'export d'une personne d'une copropriété et l'export du vendeur livrent les documents partis avec les envois du fil de ses demandes et les pièces cochées de ses dossiers de vente.
• Les notes d'appel, les ventes de lots et les assemblées générales (annexe II, « Catégories de données à caractère personnel », « Les notes d'appel », « Les ventes de lots », « Les assemblées générales » et « Durée du traitement »). Quand une fiche est supprimée par son retrait ou par la clôture d'un dossier de vente, ses notes d'appel reçoivent son prénom et son nom ; la liste des demandes se filtre sur les notes d'appel ; l'assemblée d'une copropriété archivée se lit, par le propriétaire et les administrateurs, et son lieu se vide.
• Les pièces protégées du pack syndic de copropriété (annexe II, « Données sensibles » ; annexe III, « Restriction de l'indexation »). Un administrateur ne lit les pièces des relevés des comptes séparés et du gardiennage qu'une fois leur dossier confirmé par un humain ; le classement ne range plus une pièce à la racine des domaines qui portent ces dossiers ; une pièce dont le texte porte l'un des mots d'une liste courte de santé, de handicap ou de conviction est en accès restreint, et le propriétaire peut lever la protection venue de ces mots.
• Les suppléances (annexe II, « Durée du traitement »). Une suppléance finie ou terminée est supprimée par la purge quotidienne trente jours après son dernier jour, ou après le jour (heure de Paris) du clic « Terminer », le premier des deux.
• Anthropic (annexe IV, liste des sous-traitants ultérieurs). Sa ligne nomme aussi la lecture des courriels reçus pour en connaître la nature, le classement d'une réponse à un devis, l'explication du planning et la rédaction assistée des lignes d'un devis, que le tableau des transferts décrivait déjà. Aucun flux nouveau.
• Les garanties des transferts (annexe IV). Sur demande du Client, le sous-traitant lui fournit une copie des garanties sur lesquelles reposent les transferts hors de l'Union européenne, pour qu'il la remette aux personnes concernées qui la lui demandent.
• Les lectures automatiques d'un courriel relevé (annexe II, « Nature du traitement »). Une pièce jointe d'un courriel relevé n'est pas envoyée si son analyse tombe pendant que la messagerie est éteinte pour le fournisseur de sa boîte ou la boîte déconnectée : la condition se lit quand l'analyse a lieu, non à l'instant de l'extinction.
• La copie personnelle des mails (annexe IV, « Transferts hors de l'Union européenne »). Un mail reçu envoyé depuis l'adresse +Connect du Client ou depuis l'adresse de destination de la copie n'est pas recopié.
• L'acceptation (« Acceptation et preuve »). Le contrat est annexé aux conditions générales d'utilisation de +Connect en leur version 5 du 26 octobre 2026.

Pour un Client déjà engagé, cette version entre en vigueur trente jours après sa notification par courriel (stipulations des parties, « Modification »). Les fonctions du pack syndic de copropriété ne sont ouvertes à un Client que s'il a accepté, par l'écran d'acceptation, la présente version ou une version suivante : l'acceptation enregistrée fait foi ; la notification seule n'ouvre rien. Un Client qui disposait déjà de ces fonctions les conserve. La connexion d'une boîte Outlook / Microsoft 365, que la version 10 a ajoutée, ne lui est pas ouverte avant que la version 10, la version 11 ou la présente version soit en vigueur pour lui ; l'import depuis Google Drive, pas avant que la version 9, la version 10, la version 11 ou la présente version le soit.

Les parties, et ce qui forme le contrat

Le responsable du traitement est le Client : l'entreprise qui utilise le service +Connect, identifiée à l'annexe I.

Le sous-traitant est SERPENTIS, société par actions simplifiée au capital de 100 €, dont le siège est Place de la Bergère, 13190 Allauch, immatriculée au RCS de Marseille sous le numéro 941 606 493, qui exploite le service sous le nom commercial +Connect.

Le présent contrat est formé :

• des clauses contractuelles types entre responsables du traitement et sous-traitants adoptées par la décision d'exécution (UE) 2021/915 de la Commission du 4 juin 2021 (Journal officiel de l'Union européenne L 199 du 7 juin 2021, p. 18), reproduites ci-dessous sans modification, avec les options retenues par les parties ;
• de leurs annexes I à IV, qui en font partie intégrante ;
• des stipulations des parties qui suivent, ajoutées dans les conditions de la clause 2, point b), des clauses : elles ne les contredisent pas.

Les options retenues

• Clause 1, point a) : l'option 1 — le règlement (UE) 2016/679 (RGPD). Les clauses 8 et 9 sont lues avec la même option.
• Clause 5 (clause d'amarrage) : non retenue.
• Clause 7.7, point a) : l'option 2 — autorisation écrite générale ; le délai d'information préalable est de 30 jours calendaires. L'information se fait par courriel à l'adresse du compte du Client, qui peut, dans ce délai, s'opposer au changement et résilier sans frais.

Les stipulations des parties

Acceptation et preuve. Le présent contrat est annexé aux conditions générales d'utilisation de +Connect (version 5 du 26 octobre 2026) et accepté avec elles, au nom du Client, par la case que l'écran d'acceptation fait cocher. La date, l'heure, la personne, son rôle et l'empreinte de la version acceptée sont enregistrés ; c'est la forme écrite, y compris électronique, qu'exige l'article 28, paragraphe 9, du RGPD. Cette preuve est conservée pendant la durée du contrat, puis cinq ans.

Qui représente le Client. Pour l'application des clauses 8 et 9, le Client est représenté par l'utilisateur qui porte le rôle de propriétaire (« owner ») de son compte. Un salarié à qui le Client a ouvert un accès ne le représente pas à ce titre.

Fin du contrat (clause 10, point d)). Le choix du responsable du traitement est le suivant : restitution puis suppression. À la fin du contrat, le responsable du traitement dispose de quatre-vingt-dix jours pour exporter ses données, en lecture seule. À l'issue de ce délai, le sous-traitant les supprime de la base de production, factures émises comprises ; les copies de sauvegarde qui les contiennent expirent à leur échéance (annexe II). Leur conservation incombe au responsable du traitement, qui les a exportées.

Responsabilité. En cas de contradiction, les clauses prévalent sur les conditions générales d'utilisation (clause 4). Elles ne traitent pas de la responsabilité civile entre les parties : pour le reste de leur relation, la limitation de responsabilité des conditions générales d'utilisation (article « Responsabilité ») s'applique.

Modification. Toute nouvelle version du présent contrat est notifiée au Client par courriel au moins trente jours avant son entrée en vigueur, dans les conditions des conditions générales d'utilisation (article « Modification des conditions »). Les versions antérieures sont conservées. Le jour de l'immatriculation de la société +Connect SAS, la personne du sous-traitant change : une nouvelle version est notifiée dans ces conditions, et une nouvelle acceptation est demandée.

Les clauses contractuelles types

Texte officiel, en français : annexe de la décision d'exécution (UE) 2021/915, publiée sur EUR-Lex (CELEX 32021D0915), lue le 6 octobre 2026. Les options du texte officiel sont remplacées par celles que les parties ont retenues (ci-dessus), et la clause 5, facultative, n'est pas reprise ; rien d'autre n'est modifié.

SECTION I

Clause 1

Objet et champ d’application

a) Les présentes clauses contractuelles types (ci-après les «clauses») ont pour objet de garantir la conformité avec l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données.

b) Les responsables du traitement et les sous-traitants énumérés à l’annexe I ont accepté ces clauses afin de garantir le respect des dispositions de l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 et/ou des dispositions de l’article 29, paragraphes 3 et 4, du règlement (UE) 2018/1725.

c) Les présentes clauses s’appliquent au traitement des données à caractère personnel tel que décrit à l’annexe II.

d) Les annexes I à IV font partie intégrante des clauses.

e) Les présentes clauses sont sans préjudice des obligations auxquelles le responsable du traitement est soumis en vertu du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.

f) Les clauses ne suffisent pas à elles seules pour assurer le respect des obligations relatives aux transferts internationaux conformément au chapitre V du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.

Clause 2

Invariabilité des clauses

a) Les parties s’engagent à ne pas modifier les clauses, sauf en ce qui concerne l’ajout d’informations aux annexes ou la mise à jour des informations qui y figurent.

b) Les parties ne sont pour autant pas empêchées d’inclure les clauses contractuelles types définies dans les présentes clauses dans un contrat plus large, ni d’ajouter d’autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses ou qu’elles ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées.

Clause 3

Interprétation

a) Lorsque des termes définis respectivement dans le règlement (UE) 2016/679 ou dans le règlement (UE) 2018/1725 figurent dans les clauses, ils s’entendent comme dans le règlement en question.

b) Les présentes clauses doivent être lues et interprétées à la lumière des dispositions du règlement (UE) 2016/679 et du règlement (UE) 2018/1725 respectivement.

c) Les présentes clauses ne doivent pas être interprétées d’une manière contraire aux droits et obligations prévus par le règlement (UE) 2016/679 / le règlement (UE) 2018/1725 ou d’une manière qui porte atteinte aux libertés ou droits fondamentaux des personnes concernées.

Clause 4

Hiérarchie

En cas de contradiction entre les présentes clauses et les dispositions des accords connexes qui existent entre les parties au moment où les présentes clauses sont convenues ou qui sont conclus ultérieurement, les présentes clauses prévaudront.

Clause 5 — Facultative

Clause d’amarrage

Non retenue par les parties.

SECTION II

OBLIGATIONS DES PARTIES

Clause 6

Description du ou des traitements

Les détails des opérations de traitement, et notamment les catégories de données à caractère personnel et les finalités du traitement pour lesquelles les données à caractère personnel sont traitées pour le compte du responsable du traitement, sont précisés à l’annexe II.

Clause 7

Obligations des parties

7.1. Instructions

a) Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis. Dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si la loi le lui interdit pour des motifs importants d’intérêt public. Des instructions peuvent également être données ultérieurement par le responsable du traitement pendant toute la durée du traitement des données à caractère personnel. Ces instructions doivent toujours être documentées.

b) Le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction donnée par le responsable du traitement constitue une violation du règlement (UE) 2016/679 / du règlement (UE) 2018/1725 ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données.

7.2. Limitation de la finalité

Le sous-traitant traite les données à caractère personnel uniquement pour la ou les finalités spécifiques du traitement, telles que définies à l’annexe II, sauf instruction complémentaire du responsable du traitement.

7.3. Durée du traitement des données à caractère personnel

Le traitement par le sous-traitant n’a lieu que pendant la durée précisée à l’annexe II.

7.4. Sécurité du traitement

a) Le sous-traitant met au moins en œuvre les mesures techniques et organisationnelles précisées à l’annexe III pour assurer la sécurité des données à caractère personnel. Figure parmi ces mesures la protection des données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel ou l'accès non autorisé à de telles données (violation de données à caractère personnel). Lors de l’évaluation du niveau de sécurité approprié, les parties tiennent dûment compte de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées.

b) Le sous-traitant n’accorde aux membres de son personnel l’accès aux données à caractère personnel faisant l’objet du traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi du contrat. Le sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

7.5. Données sensibles

Si le traitement porte sur des données à caractère personnel révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que des données génétiques ou des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique, ou des données relatives aux condamnations pénales et aux infractions («données sensibles»), le sous-traitant applique des limitations spécifiques et/ou des garanties supplémentaires.

7.6. Documentation et conformité

a) Les parties doivent pouvoir démontrer la conformité avec les présentes clauses.

b) Le sous-traitant traite de manière rapide et adéquate les demandes du responsable du traitement concernant le traitement des données conformément aux présentes clauses.

c) Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans les présentes clauses et découlant directement du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725. À la demande du responsable du traitement, le sous-traitant permet également la réalisation d’audits des activités de traitement couvertes par les présentes clauses et y contribue, à intervalles raisonnables ou en présence d’indices de non-conformité. Lorsqu’il décide d’un examen ou d’un audit, le responsable du traitement peut tenir compte des certifications pertinentes en possession du sous-traitant.

d) Le responsable du traitement peut décider de procéder lui-même à l’audit ou de mandater un auditeur indépendant. Les audits peuvent également comprendre des inspections dans les locaux ou les installations physiques du sous-traitant et sont, le cas échéant, effectués moyennant un préavis raisonnable.

e) Les parties mettent à la disposition de l’autorité de contrôle compétente/des autorités de contrôle compétentes, dès que celles-ci en font la demande, les informations énoncées dans la présente clause, y compris les résultats de tout audit.

7.7. Recours à des sous-traitants ultérieurs

a) AUTORISATION ÉCRITE GÉNÉRALE: le sous-traitant dispose de l’autorisation générale du responsable du traitement pour ce qui est du recrutement de sous-traitants ultérieurs sur la base d’une liste convenue. Le sous-traitant informe spécifiquement par écrit le responsable du traitement de tout projet de modification de cette liste par l’ajout ou le remplacement de sous-traitants ultérieurs au moins 30 jours calendaires à l’avance, donnant ainsi au responsable du traitement suffisamment de temps pour pouvoir s’opposer à ces changements avant le recrutement du ou des sous-traitants ultérieurs concernés. Le sous-traitant fournit au responsable du traitement les informations nécessaires pour lui permettre d’exercer son droit d’opposition.

b) Lorsque le sous-traitant recrute un sous-traitant ultérieur pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement), il le fait au moyen d’un contrat qui impose au sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des données que celles imposées au sous-traitant en vertu des présentes clauses. Le sous-traitant veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu des présentes clauses et du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.

c) À la demande du responsable du traitement, le sous-traitant lui fournit une copie de ce contrat conclu avec le sous-traitant ultérieur et de toute modification qui y est apportée ultérieurement. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les données à caractère personnel, le sous-traitant peut expurger le texte du contrat avant d’en diffuser une copie.

d) Le sous-traitant demeure pleinement responsable, à l’égard du responsable du traitement, de l’exécution des obligations du sous-traitant ultérieur conformément au contrat conclu avec le sous-traitant ultérieur. Le sous-traitant informe le responsable du traitement de tout manquement du sous-traitant ultérieur à ses obligations contractuelles.

e) Le sous-traitant convient avec le sous-traitant ultérieur d’une clause du tiers bénéficiaire selon laquelle — dans le cas où le sous-traitant a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable — le responsable du traitement a le droit de résilier le contrat conclu avec le sous-traitant ultérieur et de donner instruction au sous-traitant ultérieur d’effacer ou de renvoyer les données à caractère personnel.

7.8. Transferts internationaux

a) Tout transfert de données vers un pays tiers ou une organisation internationale par le sous-traitant n’est effectué que sur la base d’instructions documentées du responsable du traitement ou afin de satisfaire à une exigence spécifique du droit de l’Union ou du droit de l’État membre à laquelle le sous-traitant est soumis et s’effectue conformément au chapitre V du règlement (UE) 2016/679 ou du règlement (UE) 2018/1725.

b) Le responsable du traitement convient que lorsque le sous-traitant recrute un sous-traitant ultérieur conformément à la clause 7.7 pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement) et que ces activités de traitement impliquent un transfert de données à caractère personnel au sens du chapitre V du règlement (UE) 2016/679, le sous-traitant et le sous-traitant ultérieur peuvent garantir le respect du chapitre V du règlement (UE) 2016/679 en utilisant les clauses contractuelles types adoptées par la Commission sur la base de l’article 46, paragraphe 2, du règlement (UE) 2016/679, pour autant que les conditions d’utilisation de ces clauses contractuelles types soient remplies.

Clause 8

Assistance au responsable du traitement

a) Le sous-traitant informe sans délai le responsable du traitement de toute demande qu’il a reçue de la part de la personne concernée. Il ne donne pas lui-même suite à cette demande, à moins que le responsable du traitement des données ne l’y ait autorisé.

b) Le sous-traitant prête assistance au responsable du traitement pour ce qui est de remplir l’obligation qui lui incombe de répondre aux demandes des personnes concernées d’exercer leurs droits, en tenant compte de la nature du traitement. Dans l’exécution de ses obligations conformément aux points a) et b), le sous-traitant se conforme aux instructions du responsable du traitement.

c) Outre l’obligation incombant au sous-traitant d’assister le responsable du traitement en vertu de la clause 8, point b), le sous-traitant aide en outre le responsable du traitement à garantir le respect des obligations suivantes, compte tenu de la nature du traitement et des informations dont dispose le sous-traitant:

1) l’obligation de procéder à une évaluation de l’incidence des opérations de traitement envisagées sur la protection des données à caractère personnel («analyse d’impact relative à la protection des données») lorsqu’un type de traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques;

2) l’obligation de consulter l'autorité de contrôle compétente/les autorités de contrôle compétentes préalablement au traitement lorsqu'une analyse d'impact relative à la protection des données indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque;

3) l’obligation de veiller à ce que les données à caractère personnel soient exactes et à jour, en informant sans délai le responsable du traitement si le sous-traitant apprend que les données à caractère personnel qu’il traite sont inexactes ou sont devenues obsolètes;

4) les obligations prévues à l’article 32 du règlement (UE) 2016/679.

d) Les parties définissent à l’annexe III les mesures techniques et organisationnelles appropriées par lesquelles le sous-traitant est tenu de prêter assistance au responsable du traitement dans l’application de la présente clause, ainsi que la portée et l’étendue de l’assistance requise.

Clause 9

Notification de violations de données à caractère personnel

En cas de violation de données à caractère personnel, le sous-traitant coopère avec le responsable du traitement et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du règlement (UE) 2016/679 ou des articles 34 et 35 du règlement (UE) 2018/1725, selon celui qui est applicable, en tenant compte de la nature du traitement et des informations dont dispose le sous-traitant.

9.1. Violation de données en rapport avec des données traitées par le responsable du traitement

En cas de violation de données à caractère personnel en rapport avec des données traitées par le responsable du traitement, le sous-traitant prête assistance au responsable du traitement:

a) aux fins de la notification de la violation de données à caractère personnel à l’autorité de contrôle compétente/aux autorités de contrôle compétentes, dans les meilleurs délais après que le responsable du traitement en a eu connaissance, le cas échéant (sauf si la violation de données à caractère personnel est peu susceptible d'engendrer un risque pour les droits et libertés des personnes physiques);

b) aux fins de l’obtention des informations suivantes qui, conformément à l’article 33, paragraphe 3, du règlement (UE) 2016/679, doivent figurer dans la notification du responsable du traitement, et inclure, au moins:

1) la nature des données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés;

2) les conséquences probables de la violation de données à caractère personnel;

3) les mesures prises ou les mesures que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais;

c) aux fins de la satisfaction, conformément à l’article 34 du règlement (UE) 2016/679, de l’obligation de communiquer dans les meilleurs délais la violation de données à caractère personnel à la personne concernée, lorsque la violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

9.2. Violation de données en rapport avec des données traitées par le sous-traitant

En cas de violation de données à caractère personnel en rapport avec des données traitées par le sous-traitant, celui-ci en informe le responsable du traitement dans les meilleurs délais après en avoir pris connaissance. Cette notification contient au moins:

a) une description de la nature de la violation constatée (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et d'enregistrements de données à caractère personnel concernés);

b) les coordonnées d’un point de contact auprès duquel des informations supplémentaires peuvent être obtenues au sujet de la violation de données à caractère personnel;

c) ses conséquences probables et les mesures prises ou les mesures qu’il est proposé de prendre pour remédier à la violation, y compris pour en atténuer les éventuelles conséquences négatives.

Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais.

Les parties définissent à l’annexe III tous les autres éléments que le sous-traitant doit communiquer lorsqu’il prête assistance au responsable du traitement aux fins de la satisfaction des obligations incombant à ce dernier en vertu des articles 33 et 34 du règlement (UE) 2016/679.

SECTION III

DISPOSITIONS FINALES

Clause 10

Non-respect des clauses et résiliation

a) Sans préjudice des dispositions du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725, en cas de manquement du sous-traitant aux obligations qui lui incombent en vertu des présentes clauses, le responsable du traitement peut donner instruction au sous-traitant de suspendre le traitement des données à caractère personnel jusqu’à ce que ce dernier se soit conformé aux présentes clauses ou jusqu’à ce que le contrat soit résilié. Le sous-traitant informe rapidement le responsable du traitement s’il n’est pas en mesure de se conformer aux présentes clauses, pour quelque raison que ce soit.

b) Le responsable du traitement est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel conformément aux présentes clauses si:

1) le traitement de données à caractère personnel par le sous-traitant a été suspendu par le responsable du traitement conformément au point a) et le respect des présentes clauses n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension;

2) le sous-traitant est en violation grave ou persistante des présentes clauses ou des obligations qui lui incombent en vertu du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725;

3) le sous-traitant ne se conforme pas à une décision contraignante d’une juridiction compétente ou de l’autorité de contrôle compétente/des autorités de contrôle compétentes concernant les obligations qui lui incombent en vertu des présentes clauses ou du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.

c) Le sous-traitant est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel en vertu des présentes clauses lorsque, après avoir informé le responsable du traitement que ses instructions enfreignent les exigences juridiques applicables conformément à la clause 7.1, point b), le responsable du traitement insiste pour que ses instructions soient suivies.

d) À la suite de la résiliation du contrat, le sous-traitant supprime, selon le choix du responsable du traitement, toutes les données à caractère personnel traitées pour le compte du responsable du traitement et certifie auprès de celui-ci qu’il a procédé à cette suppression, ou renvoie toutes les données à caractère personnel au responsable du traitement et détruit les copies existantes, à moins que le droit de l’Union ou le droit national n’impose de les conserver plus longtemps. Le sous-traitant continue de veiller à la conformité aux présentes clauses jusqu’à la suppression ou à la restitution des données.

ANNEXE I — Liste des parties

Responsable du traitement : le Client.

Le Client est l'entreprise qui utilise le service. Il est identifié par les informations de son compte : le nom de l'entreprise saisi à l'inscription et, s'il les a renseignés, sa dénomination sociale, son SIRET et son adresse ; l'adresse électronique du propriétaire du compte, qui a accepté le présent contrat et déclaré être habilité à engager l'entreprise. Le Client garantit l'exactitude de ces informations en application de l'article « Votre compte » des conditions d'utilisation. Elles valent identification au sens de la présente annexe.

Point de contact pour les questions de protection des données : l'adresse électronique du compte, sauf autre adresse communiquée par le Client.

Signature et date d'adhésion : l'acceptation du présent contrat, enregistrée dans les conditions de ses stipulations (« Acceptation et preuve »).

Sous-traitant : SERPENTIS, exploitant le service sous le nom commercial +Connect.

Signature et date d'adhésion : la mise en ligne de la présente version, le 26 octobre 2026, et son acceptation par le Client.

ANNEXE II — Description du traitement

Catégories de personnes concernées

• les salariés du Client, y compris les personnes dont il gère les absences, les habilitations et la paie ;
• les clients du Client, y compris les clients finaux importés depuis un système de caisse ;
• les fournisseurs du Client et leurs interlocuteurs ;
• les prospects du Client — des personnes qui ne sont pas encore ses clientes, dont il enregistre une demande ;
• les correspondants du Client — expéditeurs, destinataires et personnes en copie des courriels de sa boîte ;
• les contacts professionnels figurant, à quelque titre que ce soit, dans les documents déposés — un contrat, un devis, une photo de chantier ;
• les tiers nommés dans les libellés des relevés bancaires que le Client dépose ;
• pour un Client dont le métier est servi par le pack « syndic de copropriété » : les personnes des copropriétés qu'il gère — copropriétaires occupants et bailleurs, locataires et occupants, président et membres du conseil syndical, gardiens, contacts des prestataires des syndicats — ; les vendeurs, acquéreurs, notaires et clercs d'une vente de lot, l'acquéreur et le notaire n'étant pas enregistrés comme personnes ; l'hôte d'une assemblée générale, quand son lieu le nomme ; et, comme correspondants, les assureurs, prestataires et autres tiers qui écrivent au Client ou à qui il écrit ;
• les utilisateurs auxquels le Client ouvre un accès au service.

Catégories de données à caractère personnel

Données sensibles, et les limitations qui s'y appliquent

Le Client s'engage, par l'article « Vos obligations » des conditions d'utilisation, à ne pas déposer de données relevant de l'article 9 du RGPD sauf nécessité de son activité et base légale de son côté. En pratique, un motif d'absence peut constituer une donnée de santé, et un bulletin de paie peut révéler une appartenance syndicale. Le service applique donc les limitations suivantes :

• les documents que le service classe en accès restreint — par le rangement automatique, par le dossier que le Client choisit au dépôt, par le rattachement à un salarié, ou par reconnaissance du contenu — ne sont jamais indexés sémantiquement : leur texte n'est pas transmis au moteur d'indexation ;
• les documents liés explicitement à un salarié sont exclus de l'indexation avant toute lecture ;
• un reclassement postérieur pose le marqueur d'accès restreint — il ne le retire jamais —, écarte la pièce des réponses adressées aux rôles autres que le propriétaire et supprime les segments déjà produits ; il ne rappelle pas le texte déjà transmis au moteur d'indexation ;
• le classement en dossier à accès restreint est automatique, et faillible : une pièce nominative qu'il manque n'est couverte par aucune de ces limitations, sauf à relever du lien avec un salarié ou de la détection de contenu, qui ne reconnaît qu'un ensemble fermé de pièces et, pour le pack syndic de copropriété, de mots (annexe III, « Restriction de l'indexation ») ;
• la reconnaissance de texte s'applique au fichier entier, avant tout classement : un document à accès restreint est donc lu par le prestataire de reconnaissance de texte, même s'il n'est jamais indexé ensuite ;
• les questions posées au service ne sont pas filtrées, et ne peuvent pas l'être : leur texte doit être comparé aux documents par le même moteur ;
• pour le pack syndic de copropriété, quatre dossiers sont en accès restreint — les relevés des comptes séparés des syndicats, le gardiennage des immeubles, la comptabilité du Client et ses salariés : leurs pièces sont lues par la reconnaissance de texte et par le classement, puis ni résumées ni indexées ; le propriétaire les lit ; un administrateur lit, quel que soit son portefeuille, dans les deux premiers de ces dossiers et pour toutes les copropriétés, les seules pièces typées relevé de compte du syndicat ou contrat du gardien dont le dossier a été confirmé par un humain — le propriétaire, par « Confirmer le dossier », ou le propriétaire ou un administrateur qui y a lui-même déplacé la pièce alors qu'il la lisait — et dont le texte ne porte aucun des mots de santé, de handicap ou de conviction de la liste du pack, sauf si le propriétaire a indiqué que ce n'était pas une donnée sensible ; une pièce confirmée avant le 20 octobre 2026 n'a pas été lue avec cette liste ; une pièce que le classement range dans ces dossiers, ou que le propriétaire y dépose, reste au propriétaire tant qu'il n'a pas confirmé son dossier ; une pièce typée bulletin de paie ou contrat de travail, par le classement ou par ses indices, reste au propriétaire, mais un bulletin du gardien que le classement range comme son contrat, sans que ses indices le reconnaissent comme une paie, est lisible par un administrateur une fois son dossier confirmé, sauf s'il porte l'un de ces mots ; le classement ne range pas une pièce à la racine des domaines qui portent ces dossiers (Charges & appels de fonds, Cabinet, Immeubles) : il la range dans l'un de leurs sous-dossiers, ou « à trier », qui n'est pas en accès restreint ; une pièce rangée hors de ces quatre dossiers n'a pas cette protection, sauf si son texte porte l'un des mots de santé, de handicap ou de conviction d'une liste du pack : elle est alors en accès restreint — lue par la reconnaissance de texte et le classement, puis ni résumée ni indexée, et lue du seul propriétaire ; cette liste est courte et lue en mots entiers : une donnée dite autrement n'est pas reconnue, et une pièce ordinaire qui porte l'un de ces mots est restreinte comme les autres, jusqu'à ce que le propriétaire indique que ce n'est pas une donnée sensible — elle reprend alors l'accès de son dossier, sans être résumée ni indexée automatiquement après coup ; ce geste est gardé (qui, quand) et ne retire que la protection venue de ces mots : une autre protection — un lien avec un salarié, présent ou passé, un bulletin de paie, un numéro de sécurité sociale, un dossier protégé où la pièce a été rangée — demeure, et une pièce déjà en accès restreint avant le 20 octobre 2026 le reste ; une pièce entrée avant le 20 octobre 2026 n'est lue avec cette liste qu'au rattrapage de son indexation, à la confirmation de son dossier ou à son reclassement par un humain, et un reclassement vers un dossier qui n'est pas en accès restreint ne la protège pas ; les courriels ne sont pas lus avec cette liste ; le gardien, salarié du syndicat des copropriétaires et non du Client, ne figure pas au registre du personnel : un scan de sa paie, que rien ne lie à un salarié, peut partir en image chez Anthropic quand la reconnaissance de texte échoue ;
• le libellé d'une opération bancaire peut porter le nom d'un tiers ou l'indice d'une donnée sensible (une mutuelle, un syndicat) : il est conservé tel que la banque l'écrit, et les limitations ci-dessus, qui portent sur les documents, ne s'y appliquent pas.

Nature du traitement

Collecte, enregistrement, organisation, structuration, conservation, extraction, consultation, rapprochement, mise à disposition et effacement, aux fins suivantes :

La copie personnelle des mails. Si le Client l'active, la copie de ses mails part vers une adresse qu'il choisit : c'est une communication à un destinataire qu'il désigne, sur son instruction et sous sa responsabilité.

L'accès aux boîtes Gmail. Lorsque le Client connecte une boîte Gmail, +Connect y accède avec l'autorisation qu'il lui donne et dans les limites de celle-ci : il relève les messages reçus et envoyés, prépare des brouillons et, sur l'action d'un utilisateur, envoie un message depuis cette boîte. Google est le fournisseur de messagerie choisi par le Client ; il n'est pas un sous-traitant de SERPENTIS. Le Client peut retirer cette autorisation depuis +Connect, une fois les conditions acceptées par le dirigeant, ou à tout moment depuis son compte Google. Depuis +Connect, le service en demande la révocation à Google et supprime ses clés d'accès ; si ces clés ne se lisent plus, il ne peut pas la demander : il les supprime.

L'accès aux boîtes Outlook / Microsoft 365. Lorsque le Client connecte la boîte d'un compte professionnel Microsoft 365, +Connect y accède avec les permissions déléguées que la personne qui la connecte lui accorde — ou que l'administrateur Microsoft 365 du Client a accordées pour son organisation —, et dans les limites de celles-ci : la connexion et la lecture du profil de cette personne (« openid », « User.Read »), dont le service ne garde que l'adresse de la boîte ; la lecture de la boîte (« Mail.Read »), dont il ne relève que les messages de la Boîte de réception, de ses sous-dossiers et des Éléments envoyés, cinquante dossiers au plus ; le maintien de cet accès (« offline_access ») ; et deux permissions demandées à part, à la seule personne qui a connecté la boîte, la première fois qu'elle en a besoin : le dépôt de brouillons (« Mail.ReadWrite ») et l'envoi (« Mail.Send »). L'administrateur Microsoft 365 du Client peut accorder d'avance, pour son organisation, la lecture seule, la lecture et le dépôt de brouillons, ou la lecture, le dépôt de brouillons et l'envoi, sans ouvrir aucune boîte au service : chacune reste connectée par la personne qui la tient. Le service demande toujours le dépôt de brouillons et l'envoi à la personne qui a connecté la boîte, la première fois qu'elle en a besoin — Microsoft ne lui redemande alors pas son accord si l'administrateur les a accordés — et il ne dépose un brouillon et n'envoie un message que sur son clic ; rien ne part sans ce clic. La relève écarte un sous-dossier dont le nom contient le mot personnel, privé ou perso, ou l'une de leurs formes, et les dossiers qu'il contient : d'un tel dossier, le service ne reçoit que le nom, l'identifiant et le nombre de sous-dossiers ; pour la page de la messagerie, il garde les noms de vingt au plus des sous-dossiers qu'il ne relève pas au-delà de cinquante, jamais celui d'un dossier écarté comme personnel, et les efface à la déconnexion de la boîte. Elle écarte aussi un message que l'utilisateur marque comme personnel — par l'un de ces mots dans son objet, par une catégorie de ce nom, ou par la sensibilité « Personnel » ou « Privé » qu'Outlook permet de lui donner : pour l'écarter, le service ne reçoit de Microsoft que son objet, ses catégories, sa sensibilité, son dossier, sa date de réception et ses identifiants, sauf si la marque est posée pendant sa relève, entre la lecture qui cherche cette marque et celle du message entier ; il est alors écarté après avoir été lu en entier. Sur le clic de la personne qui a connecté la boîte, le service y dépose un brouillon — la réponse à un message relevé, ou un nouveau message — avec le texte écrit dans +Connect et, sur son clic « Envoyer », les documents de l'espace documentaire du Client qu'elle y joint. Quand elle le redemande pour la même réponse, depuis le même onglet, dans les vingt-quatre heures, il réécrit ce brouillon au lieu d'en déposer un second, sauf s'il a été modifié dans Outlook ; pour le savoir, il ne relit chez Microsoft que la version du brouillon. Le service ne garde ni le brouillon ni son texte ; le navigateur de cette personne garde, dans l'onglet, l'identifiant du brouillon, des empreintes qui permettent de le retrouver, les identifiants des documents qu'il porte déjà et, sauf pour un message classé sensible, le texte de la réponse, qu'il ne reprend plus après vingt-quatre heures. Sur son clic « Envoyer », le service envoie depuis la boîte le seul brouillon qu'il vient d'y déposer ou d'y réécrire — ou ce brouillon tel qu'il a été modifié dans Outlook, si elle le choisit —, et aucun autre message ; rien ne part sans ce clic. Avant l'envoi, il relit la version et les destinataires du brouillon (À, Cc, Cci), jamais son contenu, et n'envoie pas un brouillon adressé à d'autres destinataires que ceux qu'il a montrés à la personne, sauf ce choix ; une retouche faite dans Outlook dans l'instant qui sépare cette relecture de l'envoi partirait avec lui. Un brouillon garni par le service et modifié dans Outlook n'est pas envoyé depuis +Connect tant que le service retient les documents qu'il y a ajoutés ; sinon, une pièce jointe ajoutée dans Outlook part avec lui. Pour un brouillon auquel il ajoute des documents, le service retient, jusqu'à l'envoi, la boîte, l'empreinte de l'identifiant du brouillon et, pour chaque document, son identifiant dans l'espace documentaire du Client et s'il est joint — ni son nom ni son contenu ; tant qu'il les retient, il ne les joint pas deux fois. Ces données sont effacées quand Microsoft confirme l'envoi, quand le service constate, à un nouvel envoi, que le brouillon n'existe plus, avec la boîte, le compte de la personne ou le Client, et au plus tard le lendemain de 25 heures sans nouvel envoi ni nouvelle préparation de ce brouillon (la déconnexion de la boîte ne les efface pas) ; repris ensuite depuis +Connect, ce brouillon est traité comme un brouillon auquel le service n'a rien ajouté. Au plus vingt envois par heure, et un nombre fixé par jour, partent ainsi d'une même boîte. Chaque envoi est inscrit au journal des envois, le même que pour une boîte Gmail : qui l'a envoyé, quand, depuis quelle boîte, s'il s'agit d'une réponse ou d'un nouveau message, les adresses des destinataires et l'issue — ni l'objet, ni le texte ; à l'effacement des données d'une personne, son adresse y est remplacée et la ligne gardée, sauf si cette adresse est aussi celle d'une autre personne. Microsoft est le fournisseur de messagerie choisi par le Client ; il n'est pas un sous-traitant de SERPENTIS. Le Client peut déconnecter la boîte depuis +Connect, une fois les conditions acceptées par le dirigeant : le service arrête la relève et supprime ses clés d'accès et le journal de ses envois. Microsoft ne permettant pas au service de révoquer lui-même l'autorisation, celle-ci se retire chez Microsoft, par l'utilisateur depuis son compte ou par l'administrateur Microsoft 365 du Client.

Les lectures automatiques d'un courriel relevé. Un courriel relevé par une boîte connectée, Gmail ou Outlook / Microsoft 365, n'est lu par le moteur d'IA, pour en connaître la nature, que si la messagerie est allumée pour le fournisseur de cette boîte et la boîte connectée au moment de cette lecture ; sinon, il n'est pas lu, et ne l'est pas après le rallumage. Le classement d'une réponse à un devis reconnue dans un tel courriel suit les mêmes conditions, vérifiées chaque fois que la carte qui la montre est calculée : sinon, la carte s'affiche sans classement, et rien n'en est envoyé au moteur d'IA. Une pièce jointe d'un tel courriel dont l'analyse tombe pendant que ces conditions manquent n'est pas envoyée : elle apparaît en échec, et, pour qu'elle soit analysée, elle doit être supprimée puis déposée à nouveau ; l'indexation d'une pièce déjà analysée qui était en attente attend le rallumage. Ce qu'une lecture déjà commencée envoie part néanmoins : une analyse de pièce jointe déjà commencée peut avoir envoyé tout ou partie de la pièce, sans borne de temps ; un rattrapage d'indexation déjà en cours laisse partir dix pièces au plus pour le Client. Un courriel reçu à l'adresse de réception que +Connect attribue au Client n'est pas concerné par ces conditions.

L'import depuis Google Drive. Si +Connect a ouvert cette fonction pour le Client, le dirigeant et les administrateurs peuvent connecter chacun un ou plusieurs comptes Google Drive. +Connect y accède avec l'autorisation que la personne lui donne chez Google, et dans les limites de celle-ci : « drive.file », qui ne donne accès qu'aux fichiers que la personne ouvre ou choisit avec le service. Du compte Google, il ne lit que son adresse, qu'il garde. La personne choisit, dans la fenêtre de sélection de Google, des fichiers auxquels son compte Google a accès : au clic, le navigateur charge dans la page du service un programme de Google, qui s'y exécute et s'adresse directement à Google, lequel voit l'adresse IP et les cookies du compte Google de la personne ; pour l'ouvrir, le service remet au navigateur de la personne qui a connecté ce Drive une clé d'accès temporaire, valable environ une heure, qu'il n'y enregistre pas. Le service lit chaque fichier choisi ; un document Google Docs, Sheets, Slides ou Drawings est lu dans la copie en PDF que Google en produit, et les autres types de Google ne sont pas lus. Chaque fichier lu dont le format est accepté devient un document du Client, traité comme un document déposé (C1 à C4), sauf si son contenu y est déjà ; un fichier d'un autre format est écarté, et rien n'en est gardé. Le service n'écrit rien dans le Drive. Google est le fournisseur du Drive, choisi par le Client ou par la personne qui le connecte ; il n'est pas un sous-traitant de SERPENTIS. La personne qui a connecté un Drive, ou le dirigeant, peut le déconnecter depuis +Connect, une fois les conditions acceptées par le dirigeant ; l'autorisation se retire aussi à tout moment depuis le compte Google. À la déconnexion, le service supprime la connexion — l'adresse du compte, la personne qui l'a connecté, les clés d'accès — et demande la révocation à Google ; si ces clés ne se lisent plus, il ne peut pas la demander. La révocation retire l'accès que ce compte Google a donné à +Connect pour Google Drive : une autre connexion du même compte à un Drive, par une autre personne ou pour un autre client, devra être refaite. Les documents importés restent. À la fin du contrat, la suppression des données du Client efface les connexions sans demander la révocation à Google : pour qu'elle le soit, le Client déconnecte ses Drive avant, ou retire l'autorisation depuis le compte Google.

Les pièces jointes des courriels envoyés depuis +Connect. Sur le clic « Envoyer » d'un propriétaire ou d'un administrateur, un courriel peut porter un à dix documents de l'espace documentaire du Client, choisis par cette personne. Cela vaut pour un courriel envoyé par l'adresse +Connect du Client (par Brevo) ou depuis la boîte Gmail ou Outlook / Microsoft 365 que cette personne a connectée (par Google ou Microsoft, que le Client a choisi). Depuis une boîte Outlook / Microsoft 365, seulement pour le pack syndic de copropriété ; la fonction ne s'ouvre au Client qu'avec la version du contrat qui la décrit. Pour le pack syndic de copropriété, l'écran propose, depuis une demande (la réponse, un « Prévenir », une relance) : les documents de la copropriété de la demande, les pièces cochées de son dossier de vente, l'attestation d'assurance et la carte professionnelle du cabinet. Pour chaque pièce, il indique avant le clic son nom, son poids et la manière dont elle a été rattachée. Le document part entier, tel qu'il est gardé. Son nom, sans accents ni signes, sert de nom de fichier. Le contenu comme le nom peuvent désigner des personnes : un vendeur, un copropriétaire, un occupant, l'auteur d'une demande. Le nom de l'auteur retiré du texte d'un « Prévenir » ne l'est pas des pièces. Les destinataires sont ceux du courriel. Aucun modèle d'IA ne lit un document pour l'envoyer. Par l'adresse +Connect, chaque pièce est limitée à 3,5 Mo et l'ensemble à 12 Mo ; depuis Gmail, l'ensemble à 12 Mo ; depuis Outlook, chaque pièce à moins de 3 Mo et l'ensemble à 12 Mo. La copie personnelle des envois faits par l'adresse +Connect, si le Client l'a activée, porte aussi les pièces. Sauf ce que dit la fin de ce paragraphe, ne part jamais :

• un document que la personne ne peut pas lire dans l'espace (une pièce en accès restreint réservée à un autre rôle) ;
• un document du personnel : rangé dans le dossier des salariés, lié à un salarié, déposé au portail salarié, ou dont le type — choisi, ou reconnu à l'analyse — est un bulletin de paie, un contrat de travail ou un autre type que le métier du Client range au dossier des salariés, où qu'il soit rangé ;
• un document rattaché à une copropriété par une règle de +Connect (le courriel de sa demande, le numéro d'immatriculation ou l'adresse lus dans le document), tant qu'un humain n'a pas confirmé ce rattachement ou n'a pas coché ce document dans un dossier de vente de la même copropriété.

Ce qui est gardé : pour chaque document parti — ou, depuis Outlook, peut-être joint au brouillon d'un envoi parti —, son identifiant, l'empreinte (SHA-256) et le nombre d'octets partis, rattachés à l'envoi — ni son contenu ni son nom. Depuis Outlook, ce journal tient les documents que le service sait avoir joints au brouillon : un brouillon garni puis envoyé depuis Outlook les emporte sans ligne, de même qu'un brouillon garni repris depuis +Connect après l'effacement de ce que le service en retenait. Pour un envoi depuis une boîte, la ligne n'est écrite que si l'envoi est parti, ou peut-être parti (le fournisseur de la boîte n'a pas répondu, ou a répondu par une panne). Envoi depuis une boîte : la ligne disparaît avec le journal des envois (douze mois, la déconnexion de la boîte, ou la suppression du compte de la personne qui a envoyé). Courriel parti par l'adresse +Connect : la ligne reste avec ce courriel ; l'application ne supprime pas un courriel envoyé : elle l'anonymise à partir de 60 mois après l'envoi, quand l'exécuteur de conservation est lancé, et la ligne, qui ne porte ni adresse ni texte, demeure. Pour une pièce cochée d'un dossier de vente, envoyée avec la réponse faite depuis la demande du notaire et rangée dans le fil de cette demande : la date de sa première transmission. Base : celle de la correspondance du Client, à confirmer par lui en tant que responsable du traitement. L'export de la personne qui envoie (article 15 du RGPD) livre, pour ses envois depuis ses boîtes, l'identifiant des documents joints. L'effacement de son compte supprime ces lignes en même temps que ses envois depuis ses boîtes. L'archive complète, quand elle contient le dossier du pack syndic de copropriété (dès que le Client y a une copropriété, une personne, une demande, un dossier de vente, une assemblée ou une suppléance en cours ou à venir), livre ce journal dans ce dossier : l'instant de l'envoi, la voie, si l'envoi est parti ou peut-être parti, le nom du document au moment de l'archive (absent s'il a été supprimé ou mis à la corbeille), son poids et son identifiant — ni l'empreinte, ni le document, ni le courriel. L'export d'une personne d'une copropriété livre, pour chaque envoi rangé dans le fil de ses demandes, l'identifiant et le nom des documents partis avec lui ; le nom d'un document en accès restreint, ou supprimé, ou mis à la corbeille, n'y figure jamais. L'export du vendeur livre en plus, pour chacun de ses dossiers de vente, les pièces cochées : la pièce, le document qui la prouve (son identifiant, et son nom sous la même règle) ou « fournie hors de +Connect », le jour de la coche et celui de sa première transmission. Depuis une boîte, ces contrôles se font avant l'appel à Google ou à Microsoft : une pièce supprimée ou rendue protégée pendant cet appel part quand même.

Le pack syndic de copropriété. Le pack sert un Client dont l'activité déclarée est l'administration d'immeubles (code 68.32A de la nomenclature d'activités française, ou 68.32H de la nomenclature de 2025) et qui a répondu, à son inscription ou dans ses réglages, qu'il exerce le métier de syndic de copropriété, seul ou avec la gestion locative. Sa réponse est déclarée, non vérifiée, et gardée avec les réglages de son compte. Un Client qui ne fait que de la gestion locative, ou une autre activité de ces codes, ne le reçoit pas. Le pack s'ouvre à l'inscription, au changement de SIREN (proposition confirmée par le propriétaire), ou par le bouton « Activer le pack syndic » des réglages, réservé au propriétaire ; chaque fois, seulement si l'acceptation de la présente version ou d'une suivante est enregistrée, et une fois que +Connect a ouvert le pack aux nouveaux Clients. Au changement de son SIREN, un Client qui a le pack ne se le voit jamais retirer au profit de l'accueil générique ; si le nouveau code NAF relève d'un autre pack, la bascule vers ce pack lui est proposée, et ne se fait que si le propriétaire la confirme. Pour un Client dont le métier est servi par le pack « syndic de copropriété », le service traite en outre, pour son compte, ce que décrivent les paragraphes qui suivent (C23 et C25). Sauf mention contraire, ces données ne sont lues et modifiées que par le propriétaire et les administrateurs du Client. Les documents et les courriels du Client — y compris ceux qui portent sur les charges, les impayés et les ventes d'un copropriétaire, montants compris — suivent le régime des documents et des courriels (C1 à C4, C14), parce que les traiter demande de les lire : un document est lu par la reconnaissance de texte de Mistral AI quand il est scanné, classé et résumé par Anthropic sur ses 2 000 premiers caractères et indexé par Voyage AI ; un courriel reçu est lu chez Anthropic pour en connaître la nature ; les dossiers en accès restreint du pack suivent les limitations décrites plus haut (« Données sensibles »). Base de chacun de ces traitements : celle du Client, à confirmer par lui en tant que responsable du traitement, sauf mention contraire. L'écran des premiers pas du cabinet, servi au propriétaire et aux administrateurs, vérifie à chaque ouverture qu'un courriel a été reçu à son adresse +Connect, compte ses copropriétés actives, leurs copropriétaires et les copropriétés qui ont un gestionnaire, et vérifie que l'adresse du cabinet est remplie ; il ne garde rien et ne mesure l'activité d'aucune personne. Le modèle d'information des copropriétaires est servi au cabinet dans l'application (Copropriétés). Il nomme les transferts hors de l'Union européenne et leur base, recopiés de l'annexe IV, et propose des bases légales par défaut, que le cabinet relit.

La remontée des courriels du cabinet. Le Client peut faire suivre sa boîte vers l'adresse de réception que +Connect lui attribue : tout ce qu'elle reçoit y arrive, pièces jointes comprises, et suit le régime des courriels reçus (C14) — l'objet et le corps lus chez Anthropic, aux États-Unis, sur leurs 2 000 premiers caractères, courrier de tiers compris ; les pièces jointes traitées comme des documents déposés (C1 à C4). Pour la validation d'un transfert depuis Gmail, l'adresse du demandeur que Gmail écrit dans son message de confirmation est montrée au propriétaire et aux administrateurs.

Les copropriétés. La fiche d'une copropriété (« Catégories de données », ci-dessus) est saisie par le Client, importée d'un fichier, ou ajoutée depuis le registre national (paragraphe suivant). À la saisie et à la modification, l'adresse est normalisée par la Base Adresse Nationale. Le fichier d'un import est lu en mémoire et n'est pas gardé, ni sur disque, ni entre l'aperçu et l'import ; seules les colonnes que le Client confirme sont écrites ; ni modèle d'IA ni Base Adresse Nationale ne sont appelés ; le journal porte des compteurs et l'encodage du fichier ; la fiche garde son origine. Le nom d'usage sert d'étiquette au nœud de la copropriété dans le cerveau du Client. Les notes de la fiche ne sont servies qu'au propriétaire et aux administrateurs. Le salarié lit la liste des copropriétés et sait si un gestionnaire et un(e) assistant(e) y sont posés, sans savoir qui. Une réponse de la barre sur les copropriétés — jamais une pièce en accès restreint ni le corps d'un courriel — repart au moteur d'IA avec l'historique de la conversation aux tours suivants, comme toute réponse de la barre. L'archive complète contient, dès que le Client a une ligne dans les tables du pack, ses copropriétés, archivées comprises, avec leur portefeuille (l'adresse de connexion du gestionnaire et de l'assistant(e)) ; l'export d'une personne d'une copropriété en donne le nom.

Le registre national des copropriétés. SERPENTIS tient, pour son propre compte, une copie du registre national d'immatriculation des copropriétés que l'Agence nationale de l'habitat publie (data.gouv.fr, Licence Ouverte 2.0), limitée aux copropriétés dont le syndic est une personne morale, vérifiée à chaque chargement auprès de l'annuaire des entreprises (recherche-entreprises.api.gouv.fr) ; un syndic en entreprise individuelle, ou dont la nature juridique n'a pas pu être vérifiée, n'y est pas gardé. Le service y retrouve les copropriétés déclarées sous le SIRET que le Client a saisi pour son entreprise, sans le vérifier contre le registre, quand ce SIRET est celui d'un syndic ainsi gardé — sinon il n'en retrouve aucune, et le Client peut importer ses copropriétés d'un fichier —, et le Client peut les ajouter à ses copropriétés. La copie qui entre dans ses copropriétés porte le nom d'usage, l'adresse, le numéro d'immatriculation, le nombre de lots et la période de construction, avec l'origine « registre », sans le SIRET ni la raison sociale du représentant ; un nom d'usage qui a la forme d'un nom de personne (« Chez … », « Indivision … », une civilité en tête) n'est ni proposé ni copié ; sans nom d'usage, la voie ou le numéro d'immatriculation sert de nom ; un nom d'usage peut encore être celui d'une personne, quand la règle ne le reconnaît pas. Une fois ajoutée, c'est une copropriété du Client comme les autres : son nom et sa ville peuvent partir à la lecture d'une demande, son nom et son adresse à la préparation d'un courriel, et elle devient un nœud de son cerveau.

Le rattachement d'un document à sa copropriété. Le texte déjà extrait d'un document (ses 20 000 premiers caractères) est lu par une règle écrite, sans modèle d'IA, pour y chercher un numéro d'immatriculation, une adresse ou un nom de copropriété du Client ; rien de ce texte n'est gardé : seuls la copropriété, la façon dont elle a été posée et la date de la dernière lecture le sont. Une pièce en accès restreint n'est pas lue, et son texte n'est pas chargé. L'adresse que le Client a saisie pour son entreprise sert, en mémoire, à ne pas rattacher seule la copropriété où il a ses bureaux. Une pièce jointe suit la copropriété de sa demande, y compris après l'anonymisation de son courriel. Les documents d'avant la mise en route ne sont lus qu'au geste du gestionnaire.

Les personnes d'une copropriété. La fiche d'une personne (« Catégories de données », ci-dessus) vient de la saisie du Client ; d'un import d'un fichier de son logiciel de gestion, lu en mémoire et non gardé, dont seules les colonnes confirmées sont lues et dont les notes ne sont jamais importées ; ou d'un courriel reçu, dont seule l'adresse de l'expéditeur est reprise, par un geste du gestionnaire qui tape le nom et le prénom. Aucun modèle d'IA ne lit une fiche ; elle ne devient pas un nœud du cerveau, n'est pas indexée, et la barre ne la lit pas — cela vaut pour la fiche seulement : les courriels de ces personnes sont lus comme les autres (C14). Le journal ne porte que des identifiants et des compteurs. Une personne est, pour le service, son adresse, son nom et son prénom, sans tenir compte de la casse, des blancs du bord ni des accents ; un prénom absent n'égale qu'un prénom absent ; deux fiches sans prénom, ou deux vrais homonymes, à la même adresse sont tenues pour une seule personne : c'est une limite de ces données. Une fiche peut être retirée de la copropriété et gardée, avec ses demandes, pour une vente en cours (« Les ventes de lots », ci-dessous). L'export d'une personne (article 15 du RGPD) livre ses fiches — les autres fiches de la même adresse comptées, sans leur contenu —, ni ses courriels ni ses documents. « Effacer » une personne, après un aperçu qui nomme chaque fiche, supprime ses fiches — celles des autres personnes de l'adresse seulement si elles sont cochées — et inscrit l'adresse à la liste d'opposition (C20) ; les courriels de l'adresse s'effacent à part. Une saisie, un import ou une modification vers l'adresse d'une fiche retirée de la même copropriété est refusé ; « La remettre » et l'abandon d'un dossier de vente ne recréent jamais une fiche effacée.

Les demandes. Le service fait une demande d'un courriel reçu par le Client depuis la mise en route de ce module — par son adresse +Connect, une redirection de sa boîte ou une boîte connectée —, une fois ce courriel lu pour en connaître la nature (C14) ; n'en deviennent pas une : un courriel qui n'a pas été lu (un message automatique, un courriel d'une boîte dont la messagerie est éteinte, une lecture en échec), un courriel anonymisé, un courriel écarté par l'effacement d'une adresse (plus bas), une réponse rangée dans le fil d'une demande. Pour les courriels reçus avant la mise en route, un geste du gestionnaire, une seule fois par mise en route, reprend ceux des trente jours qui précèdent ce geste. Un retour après une sortie du module (un autre métier) de plus de vingt-quatre heures est une nouvelle mise en route, et la reprise redevient possible ; une fermeture du compte, une panne ou un échec propre au Client n'est pas une sortie, et les courriels reçus pendant deviennent des demandes au retour. Le service rattache seul une demande à une copropriété — par l'adresse d'une seule fiche, ou par la voie ou le nom d'une copropriété que le courriel désigne, hors des lignes citées —, jamais à une personne, que seul un geste du gestionnaire lie. L'expéditeur d'un courriel n'est pas authentifié : ce rattachement est un tri, jamais le fondement d'un envoi. L'urgence se lit dans un lexique du pack, sans modèle d'IA ; la lecture (ci-dessous) peut la monter. L'expéditeur d'origine d'un courriel transféré est lu à chaque affichage, tel que le transfert l'écrit, sans être vérifié ni gardé ; l'effacement des courriels d'un correspondant ne l'atteint pas. Un courriel reçu au plus tard à l'effacement de l'adresse de son expéditeur ne devient ni une demande ni une ligne du fil d'une demande, et n'est jamais lu par la lecture des demandes ; il reste un courriel, lu à sa réception dans les conditions de tout courriel reçu (C14), pour en connaître la nature ; pour un tel courriel déjà lu ainsi et reçu depuis la mise en route, son identifiant est consigné une fois, et rien d'autre. L'effacement d'une personne écarte ainsi de la file des demandes tout courriel reçu de son adresse avant l'effacement, celui d'une autre personne qui partage la boîte compris ; un courriel déjà devenu une demande avant l'effacement reste une demande, détachée de la fiche, et peut encore être lu et servir à préparer un courriel — une réponse préparée depuis elle reste proposée à l'adresse effacée.

Les relances et le fil d'une demande. Une demande en attente d'un tiers garde l'instant de son entrée en attente et sa date de relance — ce jour, plus un délai de travail du pack de sept jours, modifiable —, effacés à la sortie de l'attente. Son fil est fait de liens vers les courriels partis depuis la demande (la réponse, un « Prévenir », une relance) et vers les réponses reçues — leur nature et leur instant ; rien du message n'est copié. Une ligne du fil part avec le courriel ou l'envoi qu'elle désigne, et vit sinon avec la demande. Le brouillon de relance, un texte du pack préparé sans modèle d'IA, n'est gardé nulle part ; aucune relance ne part sans le clic « Envoyer ». Une réponse rangée dans le fil ne devient pas une demande. Le lien entre un envoi et la demande est celui que l'écran désigne au service juste après l'envoi : l'identifiant du courriel parti par l'adresse +Connect, ou la clé du clic d'un envoi depuis la boîte de la personne. Le service ne range cet envoi que s'il est parti dans les deux minutes, s'il n'est rangé dans aucun fil et, pour une boîte, s'il a été envoyé par la personne qui clique. Un courriel de l'adresse +Connect ne porte pas qui l'a envoyé : un propriétaire ou un administrateur qui désignerait l'identifiant du courriel d'un collègue, parti dans ces deux minutes, le rangerait ; « Retirer du fil » l'en ôte. Le journal des opérations sensibles n'est pas lu. L'export d'une personne livre les deux dates et le fil de ses demandes, sans adresse ; « Effacer » une personne retire du fil de ses demandes les lignes des courriels échangés avec son adresse.

Les notes d'appel. Le gestionnaire peut noter un appel : une demande dont l'objet, des notes en texte libre (2 000 caractères au plus) et, quand l'appelant n'a pas de fiche, son nom tapé. Ces notes ne sont lues par aucun modèle d'IA, ne sont pas indexées, et ne sont jamais servies par la barre ni journalisées. À la barre, une note dictée sous une forme que le service reconnaît n'est pas gardée dans la conversation : elle ouvre le formulaire, prérempli ; une dictée d'une autre forme est une question ordinaire, gardée dans la conversation. L'export d'une personne livre l'objet et les notes de ses appels ; « Effacer » une personne vide leurs notes et leur nom et remplace leur objet ; la fiche de la demande corrige et efface ce texte, y compris celui d'une note prise sous un nom tapé, que l'export et l'effacement d'une personne n'atteignent pas. Quand une fiche est supprimée par un autre geste qu'« Effacer » — son retrait, ou la clôture du dernier dossier de vente dont elle est le vendeur retiré (« Vendu », vendeur changé ou vidé) —, ses notes d'appel reçoivent son prénom et son nom, à la place d'un nom tapé, dans le même geste, et suivent dès lors le régime d'une note prise sous un nom tapé. La liste des demandes se filtre sur les notes d'appel et se lit par pages.

La lecture d'une demande par le moteur d'IA. Une demande née d'un courriel est lue par Anthropic (Claude Haiku, aux États-Unis), sauf les courriels qui ne partent pas (ci-dessous) et les demandes créées avant la mise en service de la lecture ; une note d'appel ne l'est jamais. Si la lecture échoue, le même texte peut être envoyé de nouveau, trois essais au plus, chacun pouvant être répété par le client d'appel en cas d'erreur réseau ou de surcharge ; ce qui en est tiré est écrit au plus une fois. Finalité : dire au gestionnaire ce qu'on demande au cabinet, l'action à faire, l'échéance, l'urgence qu'un mot du pack ne voit pas, la copropriété quand rien ne la nomme exactement ; rien ne s'envoie ni ne s'exécute depuis la lecture. Part : l'objet (300 caractères) et 3 000 caractères du courriel, pris après le retrait des lignes citées qui commencent par « > » parmi ses 32 768 premiers caractères, caractères invisibles retirés, et la date de réception. Les numéros de téléphone, IBAN et adresses électroniques sont masqués dans les formes que le service reconnaît ; restent en clair, par exemple, un numéro sans son 0 de tête ou suivi d'un symbole monétaire, un IBAN à barres obliques, un numéro coupé par un saut de ligne, une adresse électronique au point pleine chasse ; une adresse écrite en lettres (« arobase », « at ») n'est masquée que sous les formes que le masque reconnaît ; une partie de l'adresse, ou l'adresse entière, peut alors partir en clair. Les noms, adresses postales et dates écrits dans le courriel partent, une date de naissance comprise. Pour une demande sans copropriété, la liste des copropriétés actives du Client part aussi : leur nom et leur ville ; un nom peut être celui d'une personne. Ne part pas : un courriel tenu pour sensible, ou dont la lecture n'a pas classé le contenu ; un contenu très sensible (numéro de sécurité sociale, paie) ; un courriel portant, en lettres latines ordinaires, un mot d'une liste courte de santé, de handicap ou de religion — le même mot écrit en lettres pleine chasse ou avec une lettre d'un autre alphabet peut partir ; un courriel anonymisé ou supprimé avant l'envoi ; un courriel relevé par une boîte connectée quand la messagerie est éteinte pour son fournisseur ou la boîte déconnectée — la demande attend alors, sans rien transmettre, et redevient lisible quand la messagerie est rallumée et la boîte connectée ; née d'une boîte effacée, ou reconnectée depuis par une autre personne, elle n'est plus lue ; une extinction prend effet au passage suivant : un passage en cours laisse partir les demandes déjà retenues, dix au plus. Une donnée de santé dite autrement part. Est gardé : une phrase « ce qu'on vous demande » (200 caractères), une action prise dans une liste fermée, une échéance (soixante jours au plus), une copropriété proposée (posée seulement si le gestionnaire la confirme d'un clic), le domaine d'une demande qui n'en a pas, et l'urgence montée. La phrase n'est pas gardée — la demande dit « à lire » et seule l'urgence reste — si elle porte un mot d'un lexique de santé (soins reçus compris), de handicap, de religion, d'opinion, d'appartenance syndicale, d'orientation sexuelle, d'origine ou de donnée génétique, en français et en anglais, ou un nom de personne : une civilité suivie d'un nom, ou un nom que le courriel écrit en signature, en en-tête de transfert, après une civilité, dans « je m'appelle … » ou dans une adresse de la forme prénom.nom ; une périphrase, un nom écrit au fil d'une phrase sans civilité ou un nom en minuscules ne sont pas retenus. Quand le courriel nomme deux copropriétés du Client ou plus, aucune n'est proposée. La phrase est servie au propriétaire et aux administrateurs tant que le courriel existe et n'est pas anonymisé ; elle est effacée au passage suivant — cinq minutes — l'anonymisation du courriel (à partir de 60 mois quand l'exécuteur de conservation est lancé, ou à l'effacement d'un correspondant, ou d'un salarié hors courriels relevés par une boîte connectée) ou sa suppression ; « Effacer » une personne ne la retire pas. L'action, l'échéance, l'urgence et le domaine vivent avec la demande. L'export d'une personne livre, pour ses demandes, l'action, l'échéance et la phrase (tant que le courriel existe), l'urgence et le domaine, sans dire s'ils viennent de la lecture. Les demandes créées avant la mise en service de la lecture ne sont pas lues.

La préparation d'un courriel depuis une demande. À la demande du gestionnaire, et d'un clic, le service fait préparer par Anthropic (Claude Haiku, aux États-Unis) la réponse à la personne qui a écrit, ou un courriel pour prévenir le prestataire, l'assureur de l'immeuble ou le conseil syndical. Rien ne part sans le clic « Envoyer » du gestionnaire ; une note d'appel n'a pas ce geste. La préparation peut être demandée par le propriétaire ou un administrateur, pas seulement par la personne qui a connecté la boîte où le courriel a été relevé. Part : l'objet (300 caractères) et 3 000 caractères du courriel, masqués comme pour la lecture, puis les liens et les coordonnées que ce masque ne lit pas, remplacés par des repères. Les noms, adresses, lots et dates écrits dans le courriel partent. Partent aussi : la date de réception, le nom, l'adresse, le code postal et la ville de la copropriété, la consigne du pack pour le destinataire, et au plus trois passages des textes de loi de la copropriété, qui sont publics. Jamais une fiche de personne — ni son nom, ni ses notes, ni ses lots, ni son téléphone : le nom de la fiche rattachée et ceux des fiches de gardien et de contact d'un prestataire servent à la seule garde, sans partir ; jamais non plus l'adresse électronique de l'expéditeur ni une note d'appel. Ne part pas : un courriel que la lecture n'enverrait pas pour son contenu (tenu pour sensible ou non classé, très sensible, portant un mot de la courte liste, anonymisé ou supprimé) — une demande que la lecture n'a jamais lue, parce qu'elle est d'avant sa mise en service, peut être préparée ; un courriel relevé par une boîte Gmail ou Outlook / Microsoft 365 dont la messagerie est éteinte pour son fournisseur, ou dont la boîte est déconnectée ou effacée (un réglage illisible vaut éteint) — l'écran le dit ; un courriel arrivé par l'adresse +Connect du Client n'est pas concerné par cette dernière condition. Une donnée de santé dite autrement part. Avant de le montrer, le service retire d'un courriel « Prévenir », pour les trois destinataires, le nom de la personne qui a écrit, quand la lecture le reconnaît dans le courriel ou quand c'est celui de la fiche rattachée, toute personne nommée après une civilité, et les coordonnées ; pour l'assureur et le conseil syndical, aussi tout lot, étage, appartement ou porte numérotés, parties communes comprises. Le prestataire reçoit le lot, l'étage, la porte ou l'appartement, lieu de l'intervention, et le contact sur place nommé après une civilité quand son nom est celui d'une fiche de gardien ou de contact d'un prestataire de la copropriété. Un courriel « Prévenir » dont le texte préparé porte un mot du lexique de la phrase de la lecture (santé, handicap, religion, opinion, appartenance syndicale, orientation sexuelle, origine, donnée génétique) n'est pas servi, hors des mots du nom ou de l'adresse de la copropriété ; la réponse à la personne qui a écrit n'est pas soumise à ce contrôle. Ne sont pas retirés : un nom en minuscules ou écrit au fil d'une phrase ; le nom d'une autre personne citée sans civilité ; le nom de l'auteur quand il n'est reconnu que par sa signature et qu'il est aussi celui d'un contact déclaré ; pour l'assureur et le conseil syndical, un étage ou un appartement écrit en lettres ; une date de naissance, une adresse personnelle, une périphrase de santé. Ceux-là restent tenus par la consigne, la mention de l'écran et la relecture du gestionnaire. Rien n'est gardé de la préparation sur les serveurs de +Connect : le texte préparé vit dans l'écran ; pendant l'accord demandé par Google ou Microsoft, l'onglet le garde et ne le reprend que trente minutes ; une fois déposé dans la boîte par « Préparer dans Gmail » ou « Préparer dans Outlook », ou au clic sur « Envoyer », l'onglet le garde et ne le reprend qu'un jour, jusqu'à son envoi, la déconnexion ou l'ouverture d'une session par une autre personne dans l'onglet ; passé ces délais, il n'est plus repris et quitte l'onglet à sa prochaine écriture, au rechargement de l'application, à la déconnexion ou à la fermeture de l'onglet ; et un brouillon déposé reste dans la boîte. Le courriel envoyé est conservé comme tout envoi : avec la correspondance du Client ; depuis une boîte Gmail, au journal des envois et dans la boîte elle-même ; et, selon ses réglages, dans la copie personnelle du gestionnaire. Un refus pour texte sensible est journalisé sans sa catégorie. Un courriel « Prévenir » est préparé pour un seul destinataire : l'adresse est proposée depuis la fiche du contact du prestataire ou celles du président et des membres du conseil syndical, choisie par le gestionnaire quand il y en a plusieurs ; celle de l'assureur est saisie ; le gestionnaire peut modifier les destinataires avant l'envoi. Ces courriels ne sont ni livrés ni effacés par l'export et l'effacement d'une personne ; l'export livre les lignes du fil de ses demandes qui les désignent, sans adresse ; « Effacer » une personne ne retire que celles, dans le fil de ses demandes, des courriels échangés avec son adresse — la ligne d'un « Prévenir » envoyé à un tiers reste, et celle d'un courriel qui lui a été envoyé depuis la demande d'une autre personne aussi (« Les relances et le fil d'une demande »).

Les ventes de lots. Le gestionnaire ouvre un dossier de vente, par la saisie ou d'un clic depuis la demande du notaire, pour réunir les pièces de la promesse et de l'acte et ne pas laisser passer le délai d'opposition de l'article 20, I, de la loi n° 65-557 du 10 juillet 1965. L'acquéreur et le notaire ou son clerc n'y sont pas enregistrés comme personnes ; ils sont présents dans le courriel du notaire, dans les pièces et parfois dans le texte libre. Ni modèle d'IA, ni indexation, ni barre, ni cerveau ne lisent le dossier ; les sections du brief du matin du cabinet en comptent les oppositions possibles, sans les lots ni l'étude ; le journal ne porte que des identifiants, des états, des compteurs, des booléens et la clé d'une pièce. Les pièces sont des documents du Client et en suivent le régime : lues par Mistral AI et Anthropic, indexées par Voyage AI ; l'état daté porte les sommes dues par le vendeur ; une pièce cochée peut partir jointe à un courriel (« Les pièces jointes des courriels envoyés depuis +Connect », ci-dessus) ; une pièce propre à une vente, comme l'état daté, n'est pas proposée pour un dossier si elle est cochée dans une autre vente ou si elle a été reçue avant l'ouverture de ce dossier. L'export du vendeur (article 15 du RGPD) liste ses dossiers — copropriété, lots, étude, dates, état —, sans les pièces ni le courriel ; l'aperçu de « Effacer » nomme ses dossiers et ceux des autres fiches de l'adresse ; l'effacement les détache : ils restent, avec leurs lots, leur étude, leurs dates, leurs pièces et leur lien vers la demande. La fiche du dossier corrige et vide les lots et l'étude ; un notaire ou un clerc se cherche à la main, en lisant les dossiers de la copropriété, dont chaque ligne dit l'étude, quand elle est notée. « Retirer » une fiche qui est le vendeur d'un dossier en cours ne la supprime pas : elle est datée, sort de la liste de la copropriété, du rattachement des courriels et des notes, du choix d'un vendeur et de l'import, et reste entière, avec ses demandes, liée à ses dossiers en cours pour la seule finalité de la vente. Un dossier qui se clôt pendant qu'un autre dossier en cours la désigne en est détaché, et n'est plus listé dans son export, même si elle est remise ensuite. Quand plus aucun dossier en cours ne la désigne, la clôture du dernier décide : « Abandonné » sans changer de vendeur la remet dans la copropriété — seule sa date de retrait change ; « Vendu », ou le vendeur changé ou vidé, même dans le geste « Abandonné », la détache puis la supprime, sans consignation : ce n'est pas un effacement ; ses notes d'appel gardent son nom (« Les notes d'appel », ci-dessus). L'ordre compte : pour deux dossiers aux lots différents, abandonner l'un puis vendre l'autre supprime la fiche alors que la personne peut garder les lots du premier ; l'écran le dit avant le clic. D'ici là, l'export la livre, avec la date du retrait, ses demandes et le texte de ses notes d'appel, et « Effacer » la supprime aussitôt.

Les assemblées générales. Le Client tient le calendrier des assemblées générales de ses copropriétés et des délais qui les entourent — convocation, procès-verbal, contestation, déclaration au registre, budget, mandat —, à partir de ce que saisit le gestionnaire ; une date déclarée sur la fiche d'une copropriété n'entre au calendrier que par son geste, et le calendrier n'écrit jamais ces dates. Les échéances sont calculées à chaque lecture, jamais gardées. L'hôte d'une assemblée, quand le lieu le nomme, est un copropriétaire ou un tiers, jamais rattaché à une fiche. La liste et la fiche des copropriétés servent à tous les rôles, salarié compris, les dates déclarées des assemblées et le délai du règlement ; la fiche y ajoute la prochaine assemblée du calendrier, la plus récente des assemblées passées pas encore marquées tenues et la dernière tenue — des dates, jamais le lieu, y compris pour une copropriété archivée. Le salarié ne lit rien d'autre des assemblées. L'assemblée d'une copropriété archivée se lit, par le propriétaire et les administrateurs, et son lieu se vide ; elle ne se modifie autrement ni ne se retire, par personne. Aucun modèle d'IA, aucune indexation, aucun nœud ne lit une assemblée ; les sections du brief du matin du cabinet comptent celles d'aujourd'hui et des quarante-cinq jours suivants, sans leur lieu ; la barre sert leur date, leur copropriété, leur nature, leur état et leur prochaine échéance, jamais leur lieu, et cette réponse repart au moteur d'IA avec l'historique aux tours suivants. Le journal ne porte que des identifiants, des compteurs, des booléens et des valeurs d'ensembles fermés. Le lieu n'est lu ni par l'export ni par l'effacement d'une personne : il se corrige ou se vide depuis la fiche de l'assemblée, la copropriété active, et se vide aussi depuis la fiche de la copropriété, archivée comprise, qui liste ses assemblées avec leur lieu ; un hôte se cherche à la main, copropriété par copropriété.

Les portefeuilles. Le Client désigne, pour chaque copropriété, un gestionnaire et un(e) assistant(e) parmi les membres de son équipe : des données d'organisation du travail qu'il pose, jamais une mesure de l'activité. Finalité : répartir les copropriétés entre ses collaborateurs. Le propriétaire et les administrateurs les voient (la liste, la fiche, l'attribution en masse, l'équipe). Le salarié voit ses propres compteurs et « Mes copropriétés », et sait si un gestionnaire et un(e) assistant(e) sont posés sur une copropriété, sans savoir qui ; jamais le compte des autres, la vue « sans gestionnaire » ni le rôle d'un collègue. Le retrait d'un membre efface ces liens ; son passage d'administrateur à salarié ne les efface pas, et ses copropriétés sont alors dites à remplacer. Le journal porte des compteurs et les noms des champs attribués ; aucun modèle d'IA ne les lit. La vue choisie est gardée dans le navigateur, sous une clé qui porte l'identifiant de l'utilisateur ; la déconnexion ne l'efface pas. « Mes copropriétés » d'un membre — et les pages Demandes et Relances, et les sections du brief du matin du cabinet, qui la suivent — montre les copropriétés dont il est gestionnaire ou assistant(e), ou qu'une suppléance active ce jour-là lui fait suivre.

Les suppléances. Une suppléance dit qui remplace qui, et quand : le membre absent et son suppléant — tous deux propriétaire ou administrateurs du Client au jour de l'enregistrement, deux personnes différentes —, le premier jour, et le dernier ou aucun (« jusqu'à son retour »), qui l'a enregistrée et quand, et, si elle a été terminée avant sa date, l'instant du clic. Aucun motif ni aucune nature d'absence n'est demandé ni gardé : seulement qui, qui, et les dates. Finalité : assurer le suivi des copropriétés d'un membre absent. Pendant ces dates (jour de Paris, bornes comprises), « Mes copropriétés » du suppléant montre aussi les copropriétés dont l'absent est gestionnaire ou assistant(e), et ce qui la suit : les pages Demandes et Relances, le brief du matin à l'écran et dans le courriel du matin, qui porte alors des noms de copropriétés de l'absent, jamais son nom ni la suppléance. Le gestionnaire de chaque copropriété ne change pas, rien n'est réattribué, le lendemain du dernier jour tout revient seul ; une suppléance ne se chaîne pas. Base, à confirmer par le Client : son intérêt légitime à la continuité du suivi pendant une absence (article 6, paragraphe 1, point f), du RGPD). Le propriétaire et les administrateurs voient les suppléances en cours et à venir, avec l'adresse de connexion des deux membres ; l'archive complète du propriétaire livre les mêmes ; le suppléant voit en plus, pendant ses dates, un bandeau qui nomme la personne qu'il remplace ; le salarié n'en a aucun écran, et son export la livre s'il a été absent, suppléant ou auteur avant de passer salarié. Elle est sans effet tant que l'un des deux n'est plus propriétaire ni administrateur — le rôle est relu à chaque lecture —, et reprend effet s'il le redevient pendant ses dates. L'export de l'absent, du suppléant et de l'auteur livre son rôle, les deux dates, l'instant de l'enregistrement et celui de la fin anticipée ; à l'absent seulement, l'adresse de connexion de son suppléant ; au suppléant et à l'auteur, jamais l'identité de l'autre membre. L'attestation d'effacement d'un compte dit que les suppléances où la personne était absente ou suppléante sont supprimées avec lui, et que celles qu'elle avait seulement enregistrées restent, sans auteur. Aucun modèle d'IA, aucun envoi propre ; le journal ne porte que l'identifiant de la suppléance.

Le brief du matin du cabinet. Pour un cabinet de syndic, le brief du matin ajoute des sections comptées sans IA : les urgences ouvertes, les demandes sans réponse depuis plus de quarante-huit heures, les relances à faire, les assemblées d'aujourd'hui et des quarante-cinq jours suivants et leur prochaine échéance, les oppositions possibles après un avis de mutation, et les copropriétés sans gestionnaire. Elles lisent les demandes et leur fil, les assemblées, les dossiers de vente, les copropriétés et leurs portefeuilles. Le portefeuille sert seulement à montrer à chacun ses propres copropriétés et celles des personnes qu'il remplace ce jour-là : la lecture les choisit par l'identifiant de la personne qui lit, et ne rend ni l'identifiant du gestionnaire ni celui de l'assistant(e). Les comptes de chaque destinataire sont lus le temps du passage du matin, jamais servis à un autre, ni gardés, ni journalisés. Rien n'est gardé de ces sections ; l'écran les calcule à l'ouverture, le courriel au passage du matin ; rien n'en est transmis à un modèle d'IA. Dans le courriel du matin (Brevo), envoyé à l'adresse de connexion de la personne, ces sections portent des comptes, au plus trois noms de copropriétés par section et des dates, jamais l'objet d'un courriel, un expéditeur, le nom d'une personne, le lieu d'une assemblée ni les lots d'une vente. Une adresse partagée en étend la lecture à ceux qui la partagent. Le nom d'une copropriété est celui que le Client a saisi ou importé : s'il contient un nom de personne, ce nom part dans le courriel. Ces sections partent au propriétaire, avec son brief, s'il n'a pas éteint « Brief quotidien » ou « Email » ; à un administrateur seulement s'il s'est abonné lui-même ; jamais au salarié. L'abonnement porte l'identifiant du compte et l'instant de l'abonnement ; base : la demande de la personne ; il est supprimé quand elle se désabonne, quand elle cesse d'être administrateur (au changement de rôle ; redevenir administrateur ne le rend pas), quand elle quitte l'équipe et quand son compte ou celui du Client est effacé ; l'export de la personne le livre. Le reste du brief du matin suit son régime ordinaire (annexe IV, « Brief du matin »).

Les fonctions du pack syndic qui ne sont pas encore ouvertes. Le pack prévoit des fonctions qui ne sont pas ouvertes à la date de la présente version et ne traitent aucune donnée d'un Client : le calendrier réglementaire de chaque immeuble ; les sinistres et le suivi de leur expertise ; les contrats et les attestations des prestataires des syndicats ; les travaux votés ; le carnet d'entretien ; les messages aux occupants d'un immeuble ; les visites d'immeuble et leurs photographies des parties communes ; le tableau de la direction ; la préparation des assemblées ; les accords des copropriétaires à recevoir les notifications par voie électronique, et les envois recommandés ; les présences et les votes en assemblée. Aucune ne s'ouvre pour le Client avant qu'une version du présent contrat la décrive — ses données, ses flux vers un sous-traitant ultérieur, ses durées — et soit en vigueur pour lui.

Finalité

Fournir au Client le service décrit aux conditions d'utilisation, sur ses instructions documentées. Sous les seules réserves qui suivent, aucun traitement des données du Client n'est effectué pour le compte du sous-traitant, ni pour le compte d'un autre client, ni pour l'entraînement d'un modèle. Le compte du souscripteur n'en fait pas partie : SERPENTIS le traite pour son propre compte (catégories de données, ci-dessus). SERPENTIS tient aussi, pour son propre compte, les journaux techniques de ses serveurs, pour la sécurité et le bon fonctionnement du service (politique de confidentialité, § 1) ; ils servent également au service rendu au Client. SERPENTIS tient aussi, pour son propre compte et en qualité de responsable de traitement, au titre de son obligation de sécurité, le journal des opérations sensibles (annexe III, « Intégrité et traçabilité ») ; il sert également au Client à suivre ses propres opérations. SERPENTIS peut établir, pour son propre compte et en qualité de responsable de traitement, des statistiques pseudonymisées des demandes que le service n'a pas su traiter, afin de l'améliorer. SERPENTIS tient aussi, pour son propre compte, une copie du registre national d'immatriculation des copropriétés, fichier public (annexe II, « Le registre national des copropriétés »). Ce que Mistral AI, sous-traitant ultérieur, traite à ses propres fins est décrit à l'annexe IV.

Durée du traitement

Le traitement dure aussi longtemps que le compte du Client est actif, puis pendant les quatre-vingt-dix jours de restitution qui suivent la fin du contrat (stipulations des parties, « Fin du contrat »).

Pour les sous-traitants ultérieurs : l'objet et la nature de leur traitement sont décrits à l'annexe IV ; sa durée est celle du traitement qu'ils servent.

ANNEXE III — Mesures techniques et organisationnelles

Cloisonnement entre clients. Filtrage au niveau de la base de données (politiques de sécurité par ligne, activées et forcées), doublé d'un filtrage applicatif. Des tests d'isolation dédiés s'exécutent à chaque livraison de code. Cette couverture n'est pas exhaustive : le recensement des surfaces dont l'isolation ne repose pas sur ce mécanisme est en cours.

Contrôle des accès et authentification. Mots de passe stockés sous forme d'empreinte. Jeton de session révocable immédiatement, dont la validité est revérifiée à chaque requête. Accès du personnel du sous-traitant limité à ce qui est nécessaire, et soumis à un engagement de confidentialité.

Les accès techniques, qui échappent au cloisonnement entre clients. Leur liste se relève sur la base ; le Client peut en demander le relevé daté à tout moment.

• la sauvegarde chiffrée hors site, quotidienne, et les constats techniques lancés à la main : ils lisent l'ensemble des données, toutes entreprises confondues, et n'ont aucun droit d'écriture sur les données. Ces droits sont vérifiés automatiquement à chaque livraison, sur une base de test construite par les mêmes migrations que la base de production. Il leur reste des mécanismes internes à la base par lesquels un texte lu peut être recopié — leurs propres réglages de session et leur propre mot de passe, écrits dans des catalogues communs au serveur et dans son journal d'écriture anticipée, et le journal du serveur — ; un texte recopié dans le journal d'écriture anticipée y est retrouvable tel quel, il est repris par les sauvegardes de l'hébergeur, et aucune purge, aucun effacement au titre de l'article 17 du RGPD ne l'atteint ; dans la base de l'application, les autres moyens de recopie sont fermés ; les autres bases du même serveur restent joignables par défaut (mesuré sur une base de test le 30 septembre 2026 ; en production, non relevé) ; que l'accès des constats ait été ouvert en production, rien ne l'atteste ;
• le rapport hebdomadaire des demandes manquées, qui sert les statistiques que SERPENTIS établit pour son propre compte (annexe II, « Finalité ») : il est suspendu depuis le 6 octobre 2026 ; jusque-là, il s'exécutait hors de l'Union européenne, chaque lundi, sur l'infrastructure d'intégration continue, et lisait ligne à ligne la table des demandes manquées ; s'il reprend, il s'exécutera dans l'Union européenne. Son accès, créé chez l'hébergeur hors des migrations, existe toujours : il est destiné à la seule lecture, mais le contrôle automatique ne le couvre pas ; ses droits, relevés sur la base le 24 octobre 2026 : il échappe au cloisonnement entre clients, ne lit que la table des demandes manquées, n'hérite d'aucun autre accès, n'a pas les droits d'administrateur de la base et, depuis le 23 octobre 2026, ne peut plus se connecter (aucun mot de passe) ;
• l'accès d'administration, qui sert les déploiements, les purges de conservation et les demandes d'effacement : il lit et écrit, c'est sa raison d'être.

Leurs identifiants sont posés hors du code. Ces accès n'ont ni date d'expiration ni journal de leurs consultations.

Intégrité et traçabilité. Journal des opérations sensibles en ajout seul : la liste des actions journalisées est fermée et verrouillée au niveau de la base, et la suppression d'une entrée est impossible, y compris pour l'application elle-même.

Minimisation. Coordonnées de géolocalisation retirées des photographies avant enregistrement, avec refus en cas d'échec : si le retrait échoue, l'image n'est pas conservée. Journaux techniques : l'adresse IP, le navigateur et l'adresse complète des requêtes — texte des recherches compris —, des identifiants et des compteurs, stockés aux États-Unis par l'hébergeur (annexe IV), avec un filtre qui censure à l'écriture les champs porteurs de données personnelles — texte des documents déposés, coordonnées bancaires, données de santé, coordonnées de contact — et un contrôle automatisé qui refuse toute colonne nouvelle non classée sur les tables du registre des traitements. Quelques champs techniques restent lisibles pour le diagnostic ; ils sont recensés un par un avec leur motif. Notifications : le contenu ne transporte aucune donnée personnelle (il est chiffré de bout en bout et se réduit à un décompte) ; l'acheminement transmet l'identifiant de l'appareil au service de notification du navigateur.

Chiffrement. Secrets propres à chaque client chiffrés en base. Sauvegardes hors site chiffrées avant écriture sur disque, la clé privée étant conservée hors ligne : l'hébergeur de sauvegarde détient un contenu qu'il ne peut pas lire. Base de production chiffrée au repos : volumes et sauvegardes natives chiffrés en AES-256 par l'hébergeur, clés gérées par lui — confirmé par écrit par Railway le 25 septembre 2026 ; rapport SOC 3 de Railway sur la période du 22 janvier au 22 avril 2025.

Limitation de la conservation. Registre déclaratif des durées de conservation, appliqué par une purge planifiée quotidienne pour les données qu'il couvre, dont l'exécution se relit en base ; certaines suppressions restent des gestes manuels, que la politique de confidentialité dit.

Restriction de l'indexation. Les documents classés en accès restreint ne sont jamais vectorisés, selon trois critères combinés : le classement du dossier, le lien explicite avec un salarié, la détection de contenu.

• Le classement du dossier tient sur le dossier obtenu, pas sur la nature de la pièce : une pièce nominative que le classement automatique n'a pas rangée dans un dossier à accès restreint n'est pas couverte par ce critère. Mesuré le 19 septembre 2026 : l'apostrophe typographique suffit à faire changer une pièce de dossier.
• Le lien explicite avec un salarié et la détection de contenu ne dépendent pas du dossier. La détection ne reconnaît qu'un ensemble fermé de pièces : bulletin ou fiche de paie, numéro de sécurité sociale, « net à payer » accompagné de cotisations ; pour le pack syndic de copropriété, elle reconnaît en outre, dans le texte d'une pièce — facture électronique comprise —, une liste fermée de mots de santé, de handicap ou de conviction, lus en mots entiers — le propriétaire peut lever cette reconnaissance pour une pièce (« ce n'est pas une donnée sensible »), sans lever une autre protection.
• Le risque résiduel est donc la pièce nominative qui n'entre dans aucun de ces deux ensembles et que le classement a manquée : elle est segmentée, vectorisée et lisible par la recherche.

La clause 7.4 porte sur ce mécanisme, tel qu'il est décrit ici, et non sur un résultat.

Disponibilité. Sauvegarde hors site quotidienne de l'intégralité de la base, chiffrée. La procédure de restauration est écrite ; son dernier contrôle complet date du 12 juin 2026, et aucune cadence n'est tenue depuis.

Assistance au responsable du traitement (clauses 8 et 9). Droit d'accès et droit à l'effacement disponibles en libre-service. Ce que l'export contient et ne contient pas est dit sur la page « Vos droits » du site, d'après l'inventaire mesuré des exports. Point de contact unique pour les demandes des personnes concernées : contact@getplusconnect.com. Information du Client sans délai injustifié en cas de violation, avec les éléments nécessaires à sa propre notification.

ANNEXE IV — Liste des sous-traitants ultérieurs

Autorisation écrite générale au sens de l'option 2 de la clause 7.7, point a). Toute modification de cette liste est notifiée au Client par courriel 30 jours calendaires avant sa prise d'effet ; le Client peut s'y opposer et résilier sans frais dans ce délai. Ce délai vaut pour les sous-traitants ultérieurs directs nommés ci-dessous. Les sous-traitants de rang suivant relèvent du contrat de chaque fournisseur : leur liste est celle qu'il publie, à l'adresse donnée à sa ligne, et le sous-traitant relaie au Client un changement dont il est informé. Sur demande du Client, le sous-traitant lui fournit une copie des garanties sur lesquelles reposent les transferts hors de l'Union européenne décrits dans cette annexe, pour qu'il la remette aux personnes concernées qui la lui demandent (article 13, paragraphe 1, point f, du RGPD).

Google, au titre d'une boîte Gmail ou d'un Google Drive, ne figure pas dans ce tableau : quand le Client connecte une boîte Gmail ou un Google Drive, Google en est le fournisseur, et non un sous-traitant de SERPENTIS (annexe II, « Nature du traitement », « L'accès aux boîtes Gmail » et « L'import depuis Google Drive »). Il n'y figure qu'au titre de l'acheminement des notifications.

Microsoft, au titre d'une boîte Outlook / Microsoft 365, ne figure pas dans ce tableau : quand le Client connecte une telle boîte, Microsoft est le fournisseur de messagerie qu'il a choisi, et non un sous-traitant de SERPENTIS (annexe II, « Nature du traitement », « L'accès aux boîtes Outlook / Microsoft 365 »).

Destinataires activés au cas par cas, quand le Client active la fonction correspondante : HubRise (import des ventes) ; les annuaires publics INSEE Sirene, INPI RNE, recherche-entreprises et Base Adresse Nationale (vérification d'un SIRET et d'une adresse — donnée personnelle pour une entreprise individuelle) ; SuperPDP (facture électronique, non activé à ce jour) ; Open-Meteo (aucune donnée personnelle transmise) ; Légifrance/PISTE (textes publics) ; data.economie.gouv.fr, data.education.gouv.fr et travail-emploi.gouv.fr (référentiels publics).

Transferts hors de l'Union européenne