Accord de traitement des données (DPA)
Conditions de traitement des données conformes au RGPD
Vue d'ensemble du DPA
- 1Vous (le client) êtes le responsable du traitement des données - vous déterminez les finalités et les moyens de traitement
- 2Nous sommes le sous‑traitant - nous traitons les données uniquement sur vos instructions
- 3Aucune conservation de documents - les documents sont supprimés immédiatement après traitement
- 4Le chiffrement spécifique au client protège VOS données avec VOS clés uniques
- 5Services d'IA tiers certifiés SOC 2 sous obligations contractuelles de protection des données
- 6Nous assistons avec tous les droits des personnes concernées RGPD (accès, suppression, portabilité, etc.)
- 7Clauses contractuelles standard (SCC) pour les transferts de données UE‑États‑Unis
Objectif de l'accord
Cet accord de traitement des données (DPA) fait partie des Conditions d'utilisation et régit le traitement des données personnelles conformément au RGPD et aux autres lois de protection des données applicables.
Rôles et responsabilités
Vous (le Client) = Responsable du traitement
Vous déterminez les finalités et les moyens de traitement
Nous (LoanIntelligence.ai) = Sous-traitant
Nous traitons les données uniquement sur vos instructions
Portée du traitement
Objectif du traitement
Extraire des données structurées des documents de prêt pour la précision des données et l'analyse de qualité, effectuer des calculs financiers (DSCR, LTV, P&I, NOI), garantir la qualité des données grâce à des algorithmes propriétaires et des systèmes de signalisation, et synchroniser les résultats avec votre Google Sheets (si autorisé).
Types de données personnelles
Noms des emprunteurs, adresses, SSN, TIN, données financières (revenus, actifs, passifs), informations d'emploi, données immobilières et détails des transactions de prêt. IMPORTANT : Nous NE CONSERVONS PAS de données personnelles au-delà du traitement éphémère (pendant chaque exécution de traitement). Toutes les données persistantes sont chiffrées et stockées dans votre Google Drive AppData.
Personnes concernées
Demandeurs de prêt, co-emprunteurs, co-signataires, propriétaires immobiliers, garants et propriétaires d'entreprise (pour les prêts commerciaux).
Instructions de traitement
Activités autorisées
Activités interdites
Sous-traitants
Tiers que nous utilisons pour fournir le service
Services d'IA tiers
Objet : Traitement de documents (OCR, classification, extraction)
Lieu : USA
Mesures de protection : SOC 2 certifié Type I et Type II, accords de traitement des données en place, données chiffrées en transit, interdit contractuellement d'utiliser vos données pour l'entraînement
Google LLC
Objet : OAuth authentification, Drive API, Sheets API
Lieu : États-Unis (votre choix)
Mesures de protection : SOC 2 Type II, ISO 27001, Clauses contractuelles standard (SCCs)
Stripe Inc.
Objet : Traitement des paiements (email, identifiant client uniquement - pas de cartes de crédit)
Lieu : USA
Mesures de protection : PCI-DSS Niveau 1 certifié, conforme au GDPR
Fournisseur d'infrastructure cloud
Objet : Hébergement et informatique
Lieu : USA
Mesures de protection : Centres de données certifiés SOC 2 Type II
Nous utilisons des algorithmes propriétaires et des systèmes de signalisation combinés à des services d'IA tiers certifiés SOC 2. Tous les sous-traitants opèrent sous des obligations contractuelles de protection des données.
Modifications des sous-traitants
Nous vous notifierons 30 jours à l'avance de toute modification des sous-traitants. Vous pouvez vous opposer sur des motifs raisonnables de protection des données dans un délai de 14 jours.
Assistance aux droits des personnes concernées
Comment nous vous aidons à remplir vos obligations GDPR
Droit d'accès (Article 15)
Nous fournissons l'exportation de données au format JSON dans un délai de 30 jours à partir de votre demande.
Droit de rectification (Article 16)
Nous mettons à jour les données inexactes à votre demande.
Droit à l'effacement / Droit à l'oubli (Article 17)
Nous supprimons toutes les données personnelles dans un délai de 24 heures à partir de votre demande.
Droit de restriction du traitement (Article 18)
Nous suspendons le traitement sur votre demande.
Droit à la portabilité des données (Article 20)
Nous fournissons les données au format JSON structuré et lisible par machine.
Droit d'opposition (Article 21)
Nous autorisons la désinscription des traitements non essentiels.
Droits liés à la prise de décision automatisée (Article 22)
Nous fournissons une transparence sur la logique de traitement par l'IA et assurons la qualité des données.
Processus de demande
Si nous recevons une demande de personne concernée, nous la transmettons à vous dans un délai de 2 jours ouvrables. Vous êtes responsable de répondre à la personne concernée (dans 30 jours conformément au RGPD). Nous aidons en fournissant les exportations de données nécessaires, les suppressions ou les corrections dans un délai de 7 jours ouvrables à compter de votre demande.
Avantages de la non-conservation
En raison de notre architecture de non-conservation : (1) Les données personnelles dans les documents de prêt ne sont pas conservées (traitement éphémère), (2) Les données extraites sont stockées UNIQUEMENT dans votre Google Drive AppData (cryptées), (3) Les demandes de la personne concernée peuvent être satisfaites en supprimant votre compte (efface tous nos systèmes dans les 24 heures) ou en supprimant manuellement les données depuis votre propre Google Drive.
Mesures de sécurité
Comment nous protégeons vos données
Cryptage
Contrôles d'accès
Architecture de non-conservation
Notification de violation de données
Réponse immédiate (dans 1 heure)
Contenir la violation, évaluer l'étendue et l'impact, commencer l'investigation.
Notification du responsable (dans 72 heures)
Vous notifier par courriel avec des détails préliminaires (nature de la violation, données affectées, impact estimé).
Rapport complet (dans 7 jours)
Rapport détaillé de l'incident incluant la description, les sujets/records de données affectés, les conséquences, les mesures de remédiation et les recommandations.
Nous vous assistons avec
Statut de la violation
À partir du November 14, 2025 : zéro violations de données personnelles, zéro incidents d'accès non autorisé, zéro compromissions de clés de chiffrement. Notre architecture sans conservation minimise l'exposition (les documents n'existent que pendant l'exécution du traitement), le chiffrement spécifique aux clients isole les clients (une violation d'un client ne concerne pas les autres), et la rotation automatique des clés limite l'impact (la clé compromise est valide pour une seule exécution de traitement).
Transferts internationaux de données (UE vers les États-Unis)
Clauses contractuelles standard (SCTs)
Nous nous appuyons sur des Clauses contractuelles standard approuvées par la Commission européenne (Décision (UE) 2021/914, Module Deux : transferts du responsable au prestataire).
Mesures techniques complémentaires
Demandes d'accès du gouvernement américain
Nous sommes soumis aux lois américaines de surveillance (FISA, CLOUD Act). Cependant, notre architecture zéro-connaissance garantit que même si nous sommes contraints de divulguer des données, nous ne pouvons pas décrypter vos données sans les clés (stockées dans YOUR Google Drive). La conservation zéro de documents signifie qu'un minimum de données est disponible à divulguer. Nous vous notifierons des demandes gouvernementales (à moins qu'elles ne soient interdites par la loi) et contesterons les demandes trop larges ou illégales. À ce jour : zéro demandes gouvernementales de données reçues (au 14 novembre 2025).
Suppression des données à la résiliation
Dans 24 heures
Dans 30 jours
Supprimez toutes les données personnelles des sauvegardes chiffrées et écrasez les données supprimées (suppression sécurisée).
Certificat de suppression
Sur demande, nous fournissons un Certificat de suppression confirmant la date de suppression, les catégories de données supprimées et les méthodes de suppression sécurisée utilisées.
Droits d'audit
Vos droits d'audit
Vous pouvez auditer notre conformité avec cette DPA une fois par an (préavis de 30 jours requis). Les audits doivent être non perturbateurs, pendant les heures de travail, et soumis à un accord de confidentialité. Vous supportez tous les coûts d'audit.
Rapports d'audit tiers
Au lieu d'un audit direct, vous pouvez consulter notre rapport SOC 2 Type II (lorsqu'il est disponible), les rapports d'audit de sécurité tiers, ou demander des réponses écrites aux questionnaires normalisés.
Limitation de responsabilité
En vertu de l'article 82 du RGPD, nous sommes responsables des dommages causés par un traitement qui viole les obligations du RGPD pour les processeurs ou lorsque nous agissons en dehors ou contre vos instructions légales. Notre responsabilité totale est limitée aux montants spécifiés dans les Conditions de service, sauf en cas de négligence grave, de mauvaise conduite volontaire ou de responsabilité qui ne peut pas être limitée par la loi.
Besoin d'aide?
Besoin d'aide avec cette DPA?
Pour les questions relatives au RGPD, au SCC ou à la DPA, envoyez un e‑mail à notre équipe juridique à [email protected].
Nous répondons dans un jour ouvrable.