MENTIONS LÉGALES

Accord de traitement des données

Version officielle et faisant foi de l’accord de traitement des données de Lizio

Le présent accord de traitement des données (le «DPA») fait partie intégrante des Conditions d’utilisation de Lizio (les «Conditions») et les complète, entre Lizio Rolli, Seestrasse 137B, 8800 Thalwil, Suisse («Lizio») et le Client. Les termes définis dans les Conditions ont la même signification dans le présent DPA. En cas de contradiction entre le présent DPA et les Conditions concernant le traitement de données personnelles, le présent DPA prévaut.

Le présent DPA est accepté en même temps que les Conditions et ne nécessite aucune signature distincte. Le Client qui souhaite obtenir un exemplaire contresigné peut en faire la demande à contact@lizio.io.

1. Rôles des parties

Pour les données personnelles contenues dans les Données Client, le Client agit en qualité de responsable du traitement et Lizio en qualité de sous-traitant.

Lizio agit en qualité de responsable du traitement autonome pour la création de comptes, l’authentification, l’administration de la facturation, la sécurité, l’assistance, l’exploitation du site web, les communications de service, les préférences marketing ainsi que ses registres juridiques et commerciaux. Le présent DPA ne régit pas ces traitements, décrits dans l’Avis de confidentialité.

Il incombe au Client de s’assurer que ses traitements reposent sur une base légale valable, que les informations requises ont été fournies aux personnes concernées et que ses instructions à Lizio sont conformes au droit applicable en matière de protection des données.

2. Droit applicable en matière de protection des données

Le «Droit applicable en matière de protection des données» désigne le Règlement (UE) 2016/679 (le «RGPD»), la loi fédérale suisse sur la protection des données (la «LPD»), le UK GDPR lorsqu’il est pertinent, ainsi que toute autre législation relative à la protection des données applicable au traitement effectué par une partie au titre du présent DPA.

3. Étendue du traitement

Lizio ne traite les données personnelles que sur instructions documentées du Client, y compris en ce qui concerne les transferts internationaux, sauf obligation légale à laquelle Lizio est soumise. Dans ce cas, Lizio informe le Client de cette obligation juridique avant le traitement, sauf si la loi le lui interdit.

Les Conditions, le présent DPA, la configuration du Service et l’utilisation que le Client fait du Service au moyen de ses fonctionnalités ordinaires constituent ensemble les instructions documentées du Client.

Si Lizio estime qu’une instruction constitue une violation du Droit applicable en matière de protection des données, elle en informe le Client dans les meilleurs délais.

L’objet, la durée, la nature et la finalité du traitement, les types de données personnelles et les catégories de personnes concernées sont décrits à l’Annexe 1.

4. Confidentialité

Lizio veille à ce que les personnes autorisées à traiter les données personnelles au titre du présent DPA soient soumises à une obligation de confidentialité appropriée, contractuelle ou légale, et à ce que les accès soient limités à ce qui est nécessaire à chacune pour l’exécution du Service.

5. Sécurité

Lizio met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu de l’état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement.

Les mesures en vigueur à la date d’entrée en vigueur du présent DPA sont décrites à l’Annexe 2. Lizio peut faire évoluer ces mesures, à condition que le niveau de sécurité ne s’en trouve pas réduit.

Le Client est responsable de la sécurité de ses propres comptes, notamment de la gestion des identifiants, de l’attribution des rôles au sein de son Organisation et de l’exactitude des destinataires de rappels qu’il configure.

6. Sous-traitants ultérieurs

Le Client donne à Lizio une autorisation écrite générale de recourir à des sous-traitants ultérieurs. Les sous-traitants ultérieurs auxquels Lizio a recours à la date d’entrée en vigueur du présent DPA sont énumérés à l’Annexe 3.

Lizio impose à chaque sous-traitant ultérieur des obligations de protection des données substantiellement équivalentes à celles prévues par le présent DPA et demeure pleinement responsable envers le Client de l’exécution par ce sous-traitant ultérieur de ses obligations.

Lizio informe le Client au moins trente (30) jours à l’avance de l’ajout ou du remplacement d’un sous-traitant ultérieur, par courriel adressé au Propriétaire de l’Organisation ou par mise à jour datée de l’Annexe 3. Le Client peut s’y opposer pour des motifs raisonnables tenant à la protection des données dans un délai de quinze (15) jours à compter de cette information. Les parties examinent l’opposition de bonne foi; à défaut de solution, le Client peut résilier l’Abonnement concerné sans pénalité, avec remboursement au prorata des sommes payées d’avance et non utilisées.

Lizio peut remplacer un sous-traitant ultérieur moyennant un préavis plus court, ou sans préavis, lorsque cela est nécessaire pour répondre à un risque de sécurité urgent, à la défaillance d’un prestataire ou à une obligation légale. Lizio en informe le Client dans les meilleurs délais raisonnablement possibles.

7. Transferts internationaux

Lizio est établie en Suisse. La Suisse bénéficie d’une décision d’adéquation de la Commission européenne; les transferts de données personnelles de l’EEE vers Lizio ne requièrent donc aucune garantie supplémentaire.

Les sous-traitants ultérieurs peuvent traiter des données personnelles en Suisse, dans l’Espace économique européen, au Royaume-Uni, aux États-Unis ou dans d’autres pays identifiés à l’Annexe 3.

Lorsque des données personnelles sont transférées vers un pays ne bénéficiant pas d’une décision d’adéquation, Lizio veille à ce qu’un mécanisme de transfert approprié soit en place. Selon le destinataire, il peut s’agir d’une décision d’adéquation, d’un cadre de certification reconnu, des clauses contractuelles types de la Commission européenne (adaptées au droit suisse le cas échéant) ou d’un autre mécanisme de transfert licite, assorti des mesures techniques et contractuelles complémentaires nécessaires.

Des informations sur les garanties applicables à un sous-traitant ultérieur déterminé peuvent être demandées à contact@lizio.io, sous réserve de la protection des informations confidentielles et sensibles du point de vue de la sécurité.

8. Assistance relative aux droits des personnes concernées

Compte tenu de la nature du traitement, Lizio aide le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées.

Le Service met à disposition des fonctionnalités permettant au Client d’accéder aux données personnelles de son Organisation, de les rectifier, de les exporter et de les supprimer. Lorsqu’une demande ne peut être satisfaite au moyen de ces fonctionnalités, Lizio apporte une assistance complémentaire raisonnable.

Si Lizio reçoit directement d’une personne concernée une demande relative aux Données Client, elle n’y répond pas sur le fond, oriente la personne concernée vers le Client et en informe celui-ci dans les meilleurs délais.

9. Violations de données personnelles

Lizio notifie au Client toute violation de données personnelles affectant les Données Client dans les meilleurs délais et, en tout état de cause, dans les quarante-huit (48) heures suivant le moment où elle en a pris connaissance.

La notification décrit, dans la mesure des informations disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables ainsi que les mesures prises ou envisagées. Lorsque ces informations ne peuvent être fournies en une seule fois, elles peuvent l’être de manière échelonnée, sans autre retard indu.

Lizio assiste le Client dans l’exécution de ses propres obligations de notification à l’autorité de contrôle et aux personnes concernées.

La notification d’une violation ne constitue ni une reconnaissance de faute ni une reconnaissance de responsabilité.

10. Analyses d’impact relatives à la protection des données

Compte tenu de la nature du traitement et des informations dont elle dispose, Lizio apporte au Client une assistance raisonnable pour la réalisation des analyses d’impact relatives à la protection des données et pour les consultations préalables auprès des autorités de contrôle au sens des articles 35 et 36 du RGPD.

11. Suppression et restitution

Le Client peut exporter les Données Client au moyen du Service à tout moment pendant la durée de l’Abonnement.

À l’expiration ou à la résiliation, Lizio supprime ou restitue les Données Client conformément aux règles de conservation prévues par les Conditions et l’Avis de confidentialité. En résumé:

  • lorsque la suppression de l’Organisation est demandée, un délai de suppression programmée de 30 jours s’applique. À l’issue de ce délai, l’Organisation devient inaccessible et les Données Client sont retirées des systèmes actifs, sous réserve d’un délai supplémentaire limité correspondant à la revue manuelle périodique;

  • lorsqu’aucune suppression n’est demandée, les Données d’Organisation dormantes peuvent être conservées jusqu’à douze (12) mois après la fin de l’accès payant afin de permettre une réactivation ou un export autorisé, puis être définitivement supprimées;

  • les copies de sécurité restreintes et les sauvegardes ordinaires subsistent jusqu’à leur expiration selon leur cycle de conservation normal et ne sont pas utilisées à des fins commerciales ordinaires.

Lizio peut conserver des données personnelles lorsque et aussi longtemps que la loi l’exige. En particulier, les métadonnées minimisées de remise, de configuration, d’audit et de sécurité relatives aux rappels peuvent être conservées jusqu’à cinq (5) ans après l’événement concerné lorsque cela est raisonnablement nécessaire pour traiter un litige, démontrer les actions entreprises ou faire valoir des droits en justice; les enregistrements d’audit de suppression peuvent être conservés jusqu’à cinq (5) ans après l’achèvement de la suppression; et les documents comptables, de paiement et fiscaux sont conservés pendant la durée exigée par la loi, généralement jusqu’à dix (10) ans selon les règles suisses. Une obligation de conservation à des fins probatoires ou une procédure en cours peut nécessiter une conservation plus longue.

12. Audits et informations

Lizio met à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect du présent DPA et permet la réalisation d’audits, y compris d’inspections, par le Client ou par un auditeur qu’il mandate, et contribue à ces audits.

Le Client exerce normalement ce droit en demandant de la documentation, des descriptions des mesures de sécurité et des réponses à un questionnaire raisonnable. Une inspection sur site requiert un préavis écrit d’au moins trente (30) jours, ne peut avoir lieu plus d’une fois par période de douze mois — sauf à la suite d’une violation de données personnelles ou sur exigence d’une autorité de contrôle —, doit se dérouler pendant les heures ouvrables, ne doit pas perturber le Service de manière déraisonnable et est soumise à des obligations de confidentialité. L’auditeur ne doit pas être un concurrent de Lizio.

Le Client supporte ses propres frais ainsi que les frais raisonnables exposés par Lizio à l’occasion de toute inspection sur site.

13. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues par les Conditions, dans la mesure permise par le Droit applicable en matière de protection des données. Aucune disposition du présent DPA ne limite les droits des personnes concernées.

14. Durée

Le présent DPA entre en vigueur au moment où le Client accepte les Conditions et demeure applicable aussi longtemps que Lizio traite des données personnelles pour le compte du Client. Les clauses qui, par leur nature, doivent survivre à son terme y survivent.

15. Modifications du présent DPA

Lizio peut modifier le présent DPA lorsque la loi, une autorité de contrôle ou une évolution du Service l’exige, à condition que la modification ne réduise pas substantiellement les protections dont bénéficie le Client. Les modifications substantielles sont notifiées conformément au processus de modification prévu par les Conditions. La version en vigueur et sa date d’entrée en vigueur sont publiées à l’adresse lizio.io/dpa.

16. Droit applicable et for

Le présent DPA est régi par le droit matériel suisse, à l’exclusion des règles de conflit de lois. Les tribunaux du siège de Lizio sont exclusivement compétents, sous réserve de tout for qui ne peut être valablement exclu en vertu du droit impératif.

17. Langue

Le présent DPA est rédigé et publié principalement en français, qui constitue la langue faisant foi. Les traductions, notamment la version anglaise, sont fournies à titre de convenance uniquement et n’ont aucun effet juridique propre. En cas de conflit, d’ambiguïté ou de divergence entre une traduction et la présente version française, la version française prévaut.

Annexe 1 — Détails du traitement

Objet. Fourniture du service de gestion de portefeuille de baux Lizio, tel que décrit dans les Conditions.

Durée. La durée de l’Abonnement, augmentée des périodes de conservation décrites à la clause 11.

Nature et finalité. Hébergement, stockage, organisation, consultation, affichage, export et suppression des Données Client; authentification des utilisateurs et contrôle des accès; génération et envoi de rappels d’échéances; stockage et consultation de documents; établissement de rapports et analyses au sein de l’Organisation du Client; fourniture de l’assistance.

Catégories de personnes concernées

  • Les utilisateurs du Service au sein du Client (Propriétaires, Administrateurs, membres)

  • Les personnes physiques désignées dans les enregistrements de baux, notamment les représentants des locataires et des bailleurs, les signataires et les contacts

  • Les personnes physiques désignées dans les documents téléversés par le Client

  • Les destinataires des rappels configurés par le Client

Types de données personnelles

  • Données de compte et d’identité : nom, adresse électronique professionnelle, identifiants de connexion sous forme protégée, identifiants de compte, rôle au sein de l’Organisation, préférence linguistique, informations d’authentification

  • Données Client : informations relatives aux biens et aux contreparties, dates et clauses contractuelles, paramètres de rappel, coordonnées, fichiers téléversés, notes et exports, ainsi que toute autre donnée à caractère personnel que le Client choisit de saisir dans les enregistrements de baux, de sites, d’actions et de rappels

  • Contenu des documents : toute donnée à caractère personnel contenue dans les fichiers téléversés par le Client

  • Données de rappel et de communication : destinataires, adresses de remise, configuration des rappels, tentatives d’envoi, réponses des prestataires, statut de remise et métadonnées d’audit associées

  • Données techniques et de sécurité : adresse IP, informations relatives à l’appareil et au navigateur, événements de session et d’authentification, horodatages, journaux de diagnostic et alertes de sécurité

Données sensibles. Le Service n’est pas conçu pour traiter, et ne requiert pas, de données concernant la santé, de données biométriques ou d’autres catégories particulières de données personnelles au sens de l’article 9 du RGPD, ni de données relatives aux condamnations pénales et aux infractions. Lorsque le Client choisit de soumettre de telles données, il lui appartient de déterminer que cette transmission est nécessaire, licite et assortie de protections appropriées.

Annexe 2 — Mesures techniques et organisationnelles

Contrôle des accès

  • Sécurité au niveau des lignes (row-level security) appliquée à la couche base de données, garantissant l’isolation des données de chaque Organisation

  • Contrôle des accès fondé sur les rôles au sein de chaque Organisation

  • Lizio est exploitée par un opérateur unique; l’accès aux systèmes de production est limité à cet opérateur

Stockage et transmission

  • Chiffrement en transit au moyen de TLS

  • Chiffrement au repos de la base de données et du stockage de fichiers

  • Documents téléversés et images de sites servis au moyen d’URL signées à durée de validité courte, et non de liens publics

Sécurité applicative

  • Politique de sécurité du contenu (Content Security Policy) appliquée

  • Protection automatisée contre les robots et les abus sur les points d’accès d’authentification et de contact

  • Application côté serveur des limites de plan et de l’état de facturation

Disponibilité et résilience

  • Sauvegardes gérées de la base de données

  • Hébergement sur une infrastructure infogérée assortie de la redondance du prestataire

Localisation des données

  • Base de données principale, authentification et stockage de fichiers hébergés dans l’Union européenne (AWS eu-west-1, Irlande)

Mesures organisationnelles

  • Toute personne ou tout prestataire auquel un accès serait accordé à l’avenir est soumis à des obligations de confidentialité écrites préalablement à l’octroi de cet accès

  • Journaux d’audit pour la remise des rappels et les événements de suppression

  • Contrôles automatisés de sécurité de la base de données exécutés après chaque modification touchant les vues, les politiques d’accès ou les fonctions de base de données

  • Les modifications de schéma, de politiques d’accès et de fonctions serveur sont appliquées et vérifiées sur un projet de développement distinct avant toute mise en production

  • Les environnements de développement et de production reposent sur des projets de base de données entièrement distincts, avec des identifiants distincts

Annexe 3 — Sous-traitants ultérieurs

Sous-traitant ultérieur

Finalité

Lieu de traitement

Supabase Pte. Ltd.

Base de données, authentification, stockage de fichiers

Union européenne (AWS eu-west-1, Irlande)

Vercel Inc.

Hébergement et diffusion de l’application

Union européenne (Paris, eu-west-3)

AhaSend B.V.

Envoi de courriels transactionnels

Pays-Bas

Cloudflare, Inc.

Protection contre les robots (Turnstile)

Réseau périphérique mondial

Fonctionnalités assistées par IA. Les Conditions et l’Avis de confidentialité décrivent une fonctionnalité facultative d’extraction assistée par IA à partir des documents de bail. Cette fonctionnalité n’est pas active et aucun prestataire d’IA n’intervient en qualité de sous-traitant ultérieur. Aucune Donnée Client n’est transmise à un prestataire d’IA. Si la fonctionnalité est activée, le prestataire sera ajouté à la présente Annexe et notifié conformément à la clause 6 avant tout traitement de Données Client par celui-ci.

Ne sont pas des sous-traitants ultérieurs. Stripe agit en qualité de responsable du traitement autonome pour le traitement des paiements et n’intervient pas en qualité de sous-traitant ultérieur de Lizio. Ses traitements sont décrits dans sa propre documentation relative à la protection des données.

La liste en vigueur est publiée à l’adresse lizio.io/dpa. Les Clients peuvent s’abonner aux notifications de modification en écrivant à contact@lizio.io.

Détails du document

Fournisseur : Lizio Rolli, raison individuelle suisse

Adresse : Seestrasse 137B, 8800 Thalwil, Suisse

Contact confidentialité : contact@lizio.io

Version : 1.0

Date d’effet : 1er septembre 2026

Services couverts : www.lizio.io et app.lizio.io