Accord de traitement des données (DPA)

Dernière mise à jour : 23 octobre 2026.

Document en cours de finalisation : les informations entre crochets seront complétées avant l'ouverture des abonnements payants.

Le présent accord, conclu en application de l’article 28 du RGPD, fait partie des conditions générales. Il s’applique entre le client (le « Responsable de traitement ») et [À COMPLÉTER : nom et prénom de l'entrepreneur, ou dénomination sociale], éditeur de Tenly (le « Sous-traitant »), pour les données personnelles que le client saisit ou importe dans le Service. Il prend effet à la création du compte et dure tant que le Sous-traitant traite ces données.

1. Description du traitement

• Objet et finalité : fourniture du logiciel de gestion locative Tenly (suivi des biens, baux, loyers et paiements, relances, quittances et documents, révisions et régularisations, contrats, états des lieux et signatures, espaces locataires et propriétaires, rapprochement bancaire).
• Nature des opérations : collecte par saisie ou import, enregistrement, stockage, consultation, calcul, génération de documents, envoi d’e-mails et de SMS sur instruction du client, export, effacement.
• Personnes concernées : locataires, colocataires, garants, occupants, propriétaires mandants, artisans et prestataires, utilisateurs invités par le client.
• Catégories de données : identité, coordonnées, données du bail et du logement, montants et historiques de loyers et de paiements, impayés, coordonnées bancaires (IBAN, chiffré), libellés de relevés bancaires importés, documents et photos, signatures et preuves de signature, messages et signalements. Le client s’abstient de saisir des données sensibles au sens de l’article 9 du RGPD ou des données relatives aux infractions, sauf nécessité et base légale appropriée.
• Durée : durée du compte, puis effacement selon l’article 7 ci-dessous.

2. Instructions du Responsable de traitement

Le Sous-traitant traite les données uniquement sur instruction documentée du client, constituée par les conditions générales, le présent accord et l’utilisation des fonctions du Service. Il informe immédiatement le client s’il estime qu’une instruction viole la réglementation. Il n’utilise pas les données à ses propres fins.

3. Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et n’y accèdent que lorsque c’est nécessaire (support demandé par le client, incident, obligation légale).

4. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées (article 32 du RGPD), notamment : chiffrement des échanges (HTTPS) ; empreinte des mots de passe ; double authentification disponible et imposable aux administrateurs ; isolation des données par organisation, contrôlée automatiquement ; chiffrement applicatif des coordonnées bancaires ; stockage privé des documents ; liens d’accès à usage limité, à durée de vie bornée et révocables ; journal d’activité ; limitation des tentatives de connexion ; hébergement dans l’Union européenne ; sauvegardes automatiques ; mises à jour de sécurité régulières.

5. Sous-traitants ultérieurs

Le client autorise de manière générale le recours aux sous-traitants ultérieurs listés ci-dessous. Le Sous-traitant informe le client par e-mail au moins 30 jours avant tout ajout ou remplacement ; le client peut s’y opposer pour un motif raisonnable et, à défaut d’accord, résilier sans frais. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes et reste responsable de leur exécution.

• Vercel Inc. (États-Unis) : hébergement et exécution de l'application (serveurs à Francfort, Allemagne).
• Neon (Databricks, États-Unis) : base de données PostgreSQL et sauvegardes (serveurs à Francfort, Allemagne).
• Cloudflare, Inc. (États-Unis) : stockage privé des documents, nom de domaine, protection du site, acheminement des e-mails entrants (documents stockés en Europe de l'Ouest).
• Brevo (Sendinblue SAS, France) : envoi des e-mails de service et des relances configurées par le client (Union européenne).
• Stripe Payments Europe, Ltd. (Irlande) : paiement des abonnements et facturation (Union européenne, avec transferts encadrés).
• DocuSign (États-Unis) : signature électronique avancée, si le client l'active (désactivé par défaut).
• Anthropic (États-Unis) : assistant de rédaction, si le mode IA est activé (désactivé par défaut).

6. Transferts hors de l’Union européenne

Les données sont hébergées dans l’Union européenne. Lorsqu’un sous-traitant ultérieur établi hors de l’Union peut y accéder, le transfert est encadré par une décision d’adéquation (notamment le Data Privacy Framework UE–États-Unis) ou par les clauses contractuelles types de la Commission européenne.

7. Fin du traitement : restitution et effacement

Le client peut exporter ses données à tout moment. À la suppression du compte par le client, ou à l’expiration du délai prévu par les conditions générales, le Sous-traitant efface les données de la base active ; les copies de sauvegarde sont effacées au terme de leur cycle de rotation, au plus tard dans un délai de 30 jours. Les données que la loi impose de conserver sont conservées pour la durée légale.

8. Assistance au Responsable de traitement

• Droits des personnes : le Service permet au client de consulter, rectifier, exporter et anonymiser les données d’une personne. Si une personne s’adresse directement au Sous-traitant, celui-ci transmet la demande au client sans délai.
• Violation de données : le Sous-traitant notifie au client toute violation de données le concernant dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et volume approximatif, conséquences probables, mesures prises), afin de lui permettre de notifier la CNIL dans les 72 heures si nécessaire.
• Analyses d’impact et consultation préalable : le Sous-traitant fournit la documentation utile sur le Service et ses mesures de sécurité.

9. Documentation et audit

Le Sous-traitant tient un registre des traitements effectués pour le compte de ses clients et met à disposition du client, sur demande à contact@tenly.fr, les informations nécessaires pour démontrer le respect du présent accord. Un audit peut être mené une fois par an, aux frais du client, par lui-même ou par un auditeur indépendant tenu au secret, sur préavis de 30 jours et sans perturber le Service ni accéder aux données d’autres clients.

10. Obligations du Responsable de traitement

Le client détermine les finalités et les moyens essentiels du traitement, dispose d’une base légale pour chaque donnée saisie, informe les personnes concernées (notamment ses locataires) de l’utilisation de Tenly, ne saisit que des données nécessaires et protège les accès de ses utilisateurs.

11. Contact

Toute question relative au présent accord : contact@tenly.fr.