Data Processing Agreement

Dernière mise à jour : 6 août 2026.

Le présent accord de traitement des données (« DPA ») est conclu entre l’Abonné et MR SHERLOCK, société à responsabilité limitée au capital de 500 €, immatriculée au RCS de Libourne sous le numéro 928 268 721, dont le siège social est situé 17 La Pistolette, 33390 Cars, France (« Mr Sherlock »).

Les parties concluent ce DPA pour garantir que le traitement des Données Personnelles réalisé par Mr Sherlock pour le compte de l’Abonné, dans le cadre des Services, est conforme à la réglementation applicable, en particulier aux articles 28(3) et 28(4) du RGPD. En accédant aux Services ou en les utilisant, l’Abonné accepte ce DPA, qui fait partie intégrante de l’Accord.

Article 1. Définitions

« Accord » : l’ensemble contractuel formé par les conditions générales, la politique de confidentialité, la page Tarifs et le présent DPA, accepté par l’Abonné avant l’utilisation des Services. « Abonné », « Workspace », « Logement », « Voyageur » et « Services » ont le sens défini par les conditions générales.

« Réglementation applicable » : l’ensemble des lois et règlements applicables au traitement des données personnelles mis en œuvre au titre de l’Accord, notamment le règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »), la loi n° 78-17 du 6 janvier 1978 modifiée, ainsi que les règles dites « e-Privacy » relatives aux communications électroniques, aux cookies et à la prospection directe.

« Responsable du traitement », « Sous-traitant », « Données Personnelles », « Traitement » et « Personne Concernée » ont le sens défini par le RGPD. Aux fins du présent DPA, l’Abonné agit en qualité de Responsable du traitement et Mr Sherlock en qualité de Sous-traitant.

« Sous-traitant ultérieur » : tout sous-traitant engagé par Mr Sherlock pour traiter des Données Personnelles pour le compte de l’Abonné.

Article 2. Objet

Le présent DPA définit les conditions dans lesquelles Mr Sherlock traite les Données Personnelles pour le compte de l’Abonné dans le cadre des Services. Les détails des opérations de traitement (nature, finalités, catégories de données, personnes concernées, durée) figurent en Annexe 1.

Article 3. Obligations de l’Abonné

L’Abonné s’engage à documenter par écrit toute instruction concernant le traitement des Données Personnelles par Mr Sherlock et à superviser le traitement, y compris, si nécessaire, par des audits dans les conditions de l’article 5.

L’Abonné demeure seul responsable de la licéité du traitement confié à Mr Sherlock, notamment de l’information des Personnes Concernées et, le cas échéant, du recueil de leur consentement.

Article 4. Obligations de Mr Sherlock

4.1. Instructions. Mr Sherlock traite les Données Personnelles uniquement sur instruction documentée de l’Abonné, telle qu’exprimée par l’Accord, le présent DPA et les réglages du Workspace, sauf obligation contraire du droit de l’Union ou d’un État membre ; dans ce cas, Mr Sherlock en informe l’Abonné avant le traitement, sauf interdiction légale. Mr Sherlock informe immédiatement l’Abonné si une instruction constitue, selon lui, une violation de la Réglementation applicable.

4.2. Limitation des finalités. Mr Sherlock traite les Données Personnelles pour les seules finalités décrites en Annexe 1, sauf instruction complémentaire documentée de l’Abonné.

4.3. Durée. Le traitement est réalisé pendant la durée précisée en Annexe 1.

4.4. Sécurité. Mr Sherlock met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2 pour protéger les Données Personnelles contre toute violation de sécurité entraînant leur destruction, leur perte, leur altération, leur divulgation ou un accès non autorisé (« Violation de Données Personnelles »), en tenant compte de l’état de l’art, des coûts de mise en œuvre, de la nature du traitement et des risques pour les Personnes Concernées.

4.5. Confidentialité du personnel. Mr Sherlock limite l’accès aux Données Personnelles aux membres de son personnel qui en ont strictement besoin et s’assure qu’ils sont soumis à une obligation de confidentialité appropriée.

4.6. Documentation. Mr Sherlock traite avec diligence les demandes de l’Abonné relatives au traitement des Données Personnelles et met à sa disposition les informations nécessaires pour démontrer le respect du présent DPA et de la Réglementation applicable.

4.7. Assistance. Mr Sherlock notifie sans délai à l’Abonné toute demande reçue d’une Personne Concernée, sans y répondre lui-même sauf autorisation de l’Abonné, et l’assiste dans le traitement de ces demandes. Mr Sherlock assiste également l’Abonné, compte tenu de la nature du traitement et des informations dont il dispose, pour la réalisation des analyses d’impact relatives à la protection des données, la consultation préalable de l’autorité de contrôle et le maintien de l’exactitude des Données Personnelles.

4.8. Intelligence artificielle. Les Services mettent en œuvre des modèles d’intelligence artificielle fournis par des tiers, principalement OpenAI et Anthropic, qui figurent dans la liste des Sous-traitants ultérieurs. Aucune Donnée Personnelle traitée pour le compte de l’Abonné n’est utilisée pour entraîner des modèles d’intelligence artificielle.

4.9. Cookies. Si les Services impliquent le dépôt de cookies sur le terminal des Voyageurs, Mr Sherlock communique préalablement à l’Abonné la liste de ces cookies, leur finalité et leur durée de validité, dans la limite des durées recommandées par la CNIL, ainsi que toute modification ultérieure.

Article 5. Audit

À la demande de l’Abonné, Mr Sherlock permet et contribue à un audit des activités de traitement couvertes par le présent DPA, dans la limite d’un audit par année contractuelle, sous réserve d’un préavis écrit de soixante jours désignant les personnes chargées de l’audit. L’audit est réalisé pendant les heures ouvrées, aux frais exclusifs de l’Abonné, par lui-même ou par un auditeur indépendant tenu à la confidentialité et non concurrent de Mr Sherlock. L’Abonné peut tenir compte des certifications détenues par Mr Sherlock pour décider de l’opportunité d’un audit.

Article 6. Sous-traitants ultérieurs

L’Abonné autorise de manière générale Mr Sherlock à engager des Sous-traitants ultérieurs figurant sur la liste publiée sur le Site.

Consulter la liste des sous-traitants

Tout ajout ou remplacement de Sous-traitant ultérieur est notifié par écrit à l’Abonné au moins deux semaines à l’avance, afin de lui permettre de s’y opposer. En cas d’opposition, l’Abonné peut résilier l’Accord par notification écrite, sans préjudice des sommes dues au titre des Services fournis avant la résiliation.

Mr Sherlock impose contractuellement à chaque Sous-traitant ultérieur des obligations de protection des données substantiellement équivalentes à celles du présent DPA et demeure pleinement responsable envers l’Abonné de l’exécution de leurs obligations. Mr Sherlock informe l’Abonné de tout manquement d’un Sous-traitant ultérieur à ses obligations contractuelles.

Article 7. Transferts hors de l’Espace économique européen

L’Abonné reconnaît que Mr Sherlock et ses Sous-traitants ultérieurs peuvent traiter des Données Personnelles en dehors de l’Espace économique européen. Tout transfert vers un pays tiers est réalisé sur la base des instructions documentées de l’Abonné ou d’une exigence du droit de l’Union ou d’un État membre, et dans le respect du chapitre V du RGPD, notamment au moyen des clauses contractuelles types adoptées par la Commission européenne conformément à l’article 46(2) du RGPD.

Article 8. Violation de Données Personnelles

En cas de Violation de Données Personnelles, Mr Sherlock notifie l’Abonné sans retard injustifié après en avoir pris connaissance. La notification décrit la nature de la violation (dont, si possible, les catégories et le nombre approximatif de Personnes Concernées et d’enregistrements concernés), les coordonnées d’un point de contact, les conséquences probables ainsi que les mesures prises ou proposées pour y remédier et en atténuer les effets. Si toutes les informations ne sont pas disponibles immédiatement, elles sont communiquées au fur et à mesure, sans retard injustifié.

Mr Sherlock coopère avec l’Abonné et l’assiste pour lui permettre de respecter ses obligations de notification à l’autorité de contrôle et, le cas échéant, de communication aux Personnes Concernées, prévues aux articles 33 et 34 du RGPD.

Article 9. Sort des données

Au terme de l’Accord, Mr Sherlock, au choix de l’Abonné, supprime l’ensemble des Données Personnelles traitées pour son compte ou les lui restitue, et détruit les copies existantes, sauf obligation légale de conservation. Sur demande, Mr Sherlock certifie par écrit qu’il y a procédé.

À défaut d’instruction contraire, la suppression du Workspace entraîne l’anonymisation irréversible des Données Personnelles : les données ainsi anonymisées ne permettent plus d’identifier quiconque et peuvent être conservées à des fins de statistiques et d’historique d’usage. Les données de facturation sont conservées dix ans, conformément à l’article L123-22 du Code de commerce. Jusqu’à la suppression, la restitution ou l’anonymisation des données, le présent DPA continue de s’appliquer.

Article 10. Dispositions diverses

Toute modification du présent DPA est notifiée par Mr Sherlock à l’Abonné. Les termes du présent DPA sont confidentiels, sous réserve des divulgations nécessaires aux conseils, auditeurs et sous-traitants des parties tenus à la confidentialité, ou exigées par la loi ou une autorité compétente.

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations de responsabilité prévues par l’Accord. Le présent DPA est régi par le droit français ; tout litige relève de la compétence exclusive des tribunaux de Paris.

Annexe 1. Description du traitement

Nature et finalités : fourniture des Services, notamment la messagerie automatisée par intelligence artificielle, la réponse téléphonique automatisée avec transcription (IA vocale), le parcours voyageur automatisé (Smart Journey), le livret d’accueil digital (Guest App), le check-in en ligne, la gestion des cautions, la gestion des accès et serrures connectées, la vente de services additionnels, la rédaction d’annonces, la réponse aux avis et les statistiques ; information des collaborateurs de l’Abonné des événements survenant sur ses Logements ; maintenance, optimisation et sécurité des Services.

Opérations de traitement : collecte, enregistrement, organisation, structuration, conservation, consultation, utilisation, transmission, effacement et destruction.

Durée du traitement : pendant la durée de l’Accord, puis dans les conditions prévues à l’article 9.

Personnes Concernées : les Voyageurs de l’Abonné ; les administrateurs et collaborateurs du Workspace.

Catégories de Données Personnelles. Pour les Voyageurs : données d’identification (nom, prénom, adresse e-mail, numéro de téléphone), données de réservation et de séjour (dates, Logement, plateforme de réservation), contenu des échanges (messages, appels téléphoniques et leurs transcriptions), informations déclarées lors du check-in en ligne et codes d’accès ; les données de paiement et de caution sont traitées par les prestataires de paiement. Pour les administrateurs et collaborateurs : données d’identification, données professionnelles (entreprise, adresse) et données de connexion (adresse IP).

Catégories particulières de données : aucune.

Annexe 2. Mesures techniques et organisationnelles

Mr Sherlock traite les Données Personnelles en appliquant notamment les mesures suivantes : garantie de la confidentialité, de l’intégrité, de la disponibilité et de la résilience des systèmes de traitement ; capacité de rétablir la disponibilité et l’accès aux données en cas d’incident physique ou technique ; identification et autorisation des utilisateurs ; protection des données lors de leur transmission et de leur stockage ; journalisation des événements ; configuration maîtrisée des systèmes, y compris par défaut ; gouvernance interne des technologies de l’information et de la sécurité ; traçabilité et responsabilité ; portabilité et effacement des données.