Accord de traitement des données à caractère personnel (Annexe 1 des conditions hôtes)

Article 1 — Parties, objet et cadre

1.1. Le présent accord (l'« Accord ») est conclu entre :

• [À COMPLÉTER : raison sociale], [À COMPLÉTER : forme juridique] au capital de [À COMPLÉTER : capital social], immatriculée au registre du commerce et des sociétés sous le numéro [À COMPLÉTER : numéro d'immatriculation RCS], dont le siège social est situé [À COMPLÉTER : adresse du siège social], ci-après le « Sous-traitant » ou « YStay » ;
• et l'Hôte titulaire du compte YStay, ci-après le « Responsable ».

1.2. L'Accord constitue l'Annexe 1 des conditions générales d'utilisation du service YStay (les « CGU ») et en fait partie intégrante. Il est accepté par le Titulaire du compte, qui engage le Responsable.

1.3. L'Accord a pour objet de définir les conditions dans lesquelles YStay traite, pour le compte et sur instruction du Responsable, des données à caractère personnel, conformément à l'article 28.3 du Règlement (UE) 2016/679 (« RGPD »).

1.4. Périmètre. L'Accord ne couvre que les traitements pour lesquels YStay agit comme sous-traitant, décrits à l'Annexe A : données de séjour des Voyageurs (réservations, accès, check-in et check-out, preuves StayProof, échanges), dossiers de candidature à la location longue durée, et part des journaux d'audit qui trace des opérations faites pour le compte du Responsable. Les traitements pour lesquels YStay agit comme responsable de traitement — comptes des Hôtes et de leurs Membres d'équipe, facturation et abonnement, demandes de support, journaux d'audit de sécurité, comptes des Voyageurs, prospection — relèvent de sa politique de confidentialité et non du présent Accord.

1.5. En cas de contradiction entre l'Accord et les CGU sur le traitement des données à caractère personnel, l'Accord prévaut.

Article 2 — Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne l'article 4 du RGPD. Les termes définis à l'article 1.2 des CGU (Plateforme, Hôte, Voyageur, Réservation, StayProof, Canal de distribution, Données de séjour, Membre d'équipe, Prestataire de paiement) conservent leur sens dans le présent Accord.

Article 3 — Durée

3.1. L'Accord prend effet à la date d'acceptation des CGU et demeure en vigueur pendant toute la durée de la relation contractuelle.

3.2. Il survit à la résiliation des CGU pour ce qui concerne les obligations de confidentialité et les opérations de restitution ou de suppression prévues à l'article 11.

Article 4 — Nature, finalités et portée des traitements

4.1. Finalité générale. YStay traite les données pour la seule finalité de fournir au Responsable le service décrit à l'article 4 des CGU : gestion des Annonces, des Réservations, des accès, des séjours, des preuves d'état des lieux, des incidents, des échanges avec les Voyageurs, des dossiers de candidature, et des obligations qui en découlent.

4.2. Nature des opérations. Collecte, enregistrement, organisation, structuration, conservation, adaptation, extraction, consultation, utilisation, communication par transmission, rapprochement, limitation, effacement ou destruction, ainsi que l'analyse automatisée décrite à l'article 4.4.

4.3. Description détaillée par traitement : voir Annexe A.

4.4. Traitements assistés par intelligence artificielle. Certaines fonctions du service font appel à un modèle d'intelligence artificielle fourni par un sous-traitant ultérieur (Annexe B), décrites fonction par fonction à l'Annexe C : données transmises, fournisseur, durée de conservation chez le fournisseur, possibilité de désactivation. Ces traitements sont explicables, bornés, surchargeables par le Responsable et audités ; ils ne produisent aucune décision automatisée au sens de l'article 22 du RGPD, ne fondent aucune sanction et ne se substituent à aucune appréciation humaine. Le Responsable demeure seul décideur et chaque fonction s'exécute à son initiative ou à celle d'un Membre d'équipe ; les réglages permettant de désactiver individuellement une fonction depuis le compte sont mis à disposition à la date [À COMPLÉTER : date de mise à disposition des réglages de désactivation par fonction].

4.5. Interdiction. YStay s'interdit d'utiliser les données traitées pour le compte du Responsable à ses propres fins, notamment à des fins de prospection, de revente ou d'entraînement de modèles. YStay obtient de chaque fournisseur de modèle d'intelligence artificielle l'engagement contractuel de ne pas entraîner ses modèles sur les données transmises.

4.6. Dossiers de candidature : garde-fous. Pour les dossiers de candidature à la location longue durée, le Responsable détermine seul les pièces demandées au candidat, parmi la liste limitative fixée en application de l'article 22-2 de la loi n° 89-462 du 6 juillet 1989, ainsi que la durée de conservation applicable, dans les limites de l'article 11.3. L'extraction automatisée de champs est un moyen technique au service de la revue par le Responsable ; elle ne produit ni score, ni classement des candidats, ni recommandation de sélection.

Article 5 — Catégories de personnes concernées et de données

5.1. Personnes concernées : Voyageurs et occupants d'un séjour, y compris ceux qui n'ont créé aucun compte ; correspondants d'un Voyageur désignés par lui ; candidats à une location longue durée et, le cas échéant, leurs garants ; intervenants de terrain mandatés par le Responsable.

5.2. Catégories de données :

• Identité et coordonnées : nom, prénom, adresse électronique, numéro de téléphone, langue, adresse de facturation du Voyageur telle que rattachée à la Réservation.
• Données de séjour : dates, nombre d'occupants adultes, enfants et nourrissons, notes d'arrivée, montant et détail du prix, statut, canal d'origine, jeton public de réservation, attestation d'assurance et son statut lorsque le Responsable la demande.
• Données de paiement : références d'opérations chez le Prestataire de paiement, statut d'une caution. Les données de carte ne sont jamais collectées ni conservées par YStay : elles sont saisies directement auprès du Prestataire de paiement.
• Données d'accès : codes ou droits d'accès associés à un séjour, horodatages d'émission, de transmission et de révocation.
• Données de check-in et de check-out : informations recueillies aux étapes d'arrivée et de départ.
• Preuves StayProof : réponses de contrôle, photographies, signature manuscrite numérisée du Voyageur, horodatages, motifs de validation ou de rejet, résultat de l'analyse d'écart, empreinte cryptographique du dossier.
• Échanges : messages entre le Responsable et le Voyageur, pièces jointes.
• Dossiers de candidature (locations longue durée) : identité, coordonnées, situation professionnelle, employeur, revenus, pièces justificatives, texte extrait et champs extraits de ces pièces, statut et référence auprès du service public de vérification de dossier.
• Journaux d'audit (part sous-traitée) : identifiant de l'acteur, action, sujet, contexte, horodatage.

5.3. Catégories particulières. Le service n'a pas pour objet de traiter des données relevant de l'article 9 du RGPD, et le Responsable s'interdit d'en solliciter. Le Responsable reconnaît qu'une pièce justificative déposée par une personne concernée peut en contenir de façon incidente, qu'il lui appartient d'en apprécier la licéité et, le cas échéant, de la supprimer sans délai.

Article 6 — Instructions documentées du Responsable

6.1. YStay ne traite les données que sur instruction documentée du Responsable. Constituent de telles instructions : les CGU et le présent Accord ; le paramétrage du compte et des fonctionnalités réalisé par le Responsable ou ses Membres d'équipe, y compris le recours aux fonctions assistées par intelligence artificielle et le choix des durées de conservation modifiables ; l'usage normal des fonctions de la Plateforme ; et toute instruction écrite complémentaire adressée à privacy@ystay.app et acceptée par YStay.

6.2. YStay informe immédiatement le Responsable si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre relative à la protection des données, et peut suspendre l'exécution de l'instruction concernée jusqu'à sa confirmation ou sa correction.

6.3. Si YStay est tenue de procéder à un transfert ou à une communication en vertu du droit de l'Union ou d'un État membre, elle en informe le Responsable avant le traitement, sauf interdiction légale fondée sur des motifs importants d'intérêt public.

6.4. Le Responsable garantit disposer d'une base légale pour les traitements confiés, avoir informé les personnes concernées et, lorsque c'est requis, recueilli leur consentement. YStay met à sa disposition une mention d'information type dans le tunnel de réservation (article 9.4 des CGU).

Article 7 — Confidentialité et engagement du personnel

7.1. YStay veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

7.2. L'accès aux données est limité aux membres du personnel qui en ont besoin pour l'exécution du service. Le personnel de YStay n'accède au compte du Responsable, y compris en agissant dans l'interface à sa place, qu'à la demande du Responsable ou d'un Membre d'équipe, pour traiter un signalement ou pour la sécurité de la Plateforme, en lecture par défaut, avec journalisation de l'opérateur, du motif et de l'horodatage, visible du Responsable dans son journal d'audit. Les échanges entre le Responsable et ses Voyageurs sont des correspondances privées : YStay n'en prend connaissance que dans les mêmes cas et la même limite (article 3.6 des CGU). Toute consultation par le personnel de YStay d'un fil d'échanges ou de support est journalisée.

7.3. YStay sensibilise son personnel aux exigences applicables en matière de protection des données et à l'usage des systèmes d'intelligence artificielle (article 4 du règlement (UE) 2024/1689).

Article 8 — Sécurité des traitements (article 32)

YStay met en œuvre les mesures techniques et organisationnelles décrites ci-dessous, appréciées au regard de l'état des connaissances, des coûts, de la nature du traitement et des risques. Cette description reflète l'état du service à la date de l'Accord ; elle peut évoluer, sans que le niveau de sécurité global puisse être réduit.

8.1. Cloisonnement par compte. Toute donnée métier est rattachée à un compte hôte, et toute requête est portée dans le périmètre de ce compte ; des règles d'autorisation sont appliquées à chaque accès.

8.2. Chiffrement. Les échanges entre les surfaces de la Plateforme et les serveurs sont chiffrés en transit. Les sauvegardes de la base de données sont chiffrées (AES-256). Le chiffrement au repos des volumes de la base de données et du stockage objet des documents est en cours de déploiement ; YStay s'engage à le mettre en service à la date [À COMPLÉTER : date d'entrée en service du chiffrement des volumes]. Jusqu'à cette date, ces données sont protégées par le cloisonnement de l'article 8.1, les restrictions d'accès à l'infrastructure de l'article 8.10 et le service des documents par adresses signées de l'article 8.3.

8.3. Documents et médias privés. Les documents et médias probants sont stockés sur un espace privé, servis au moyen d'adresses signées à durée limitée, jamais par une adresse publique. La source, l'extraction automatisée, les dérivés et les éléments de revue sont conservés séparément.

8.4. Authentification. Authentification par mot de passe, avec authentification à deux facteurs disponible et exigée pour certaines opérations sensibles. Révocation des sessions et des jetons.

8.5. Traçabilité et intégrité des preuves. Les transitions sensibles (réservation, accès serrure, check-in et check-out, incidents, signature, documents, consultation d'un fil de support par le personnel) sont journalisées avec l'acteur, l'action, le sujet et l'horodatage. Les journaux sont conservés trente-six (36) mois. Le calcul, à la clôture d'un état des lieux StayProof, d'une empreinte cryptographique du dossier de preuve inscrite au journal d'audit entre en service à la date [À COMPLÉTER : date de mise en service en production].

8.6. Minimisation dans les journaux. Les journaux d'audit et les journaux applicatifs ne portent pas de contenu de document ni de donnée d'identification directe ; certaines valeurs sensibles y sont remplacées par une empreinte cryptographique non réversible.

8.7. Secrets en file d'attente. Les traitements différés qui transportent un code d'accès sont chiffrés dans la file d'attente.

8.8. Sauvegardes et continuité. Sauvegardes régulières de la base de données permettant une restauration à un instant donné, avec essais de restauration périodiques. Un registre des effacements est tenu afin qu'une restauration ne réintroduise pas des données déjà effacées ; il est exporté avant toute opération de restauration.

8.9. Pièces jointes. Le type d'un fichier déposé est déterminé par sa signature binaire et non par son extension ; les fichiers sont servis en téléchargement et jamais affichés en ligne depuis l'origine de l'interface de programmation ; leur nombre et leur taille sont bornés. Aucune analyse antivirale n'est effectuée sur les fichiers déposés ; cette limite est portée à la connaissance du Responsable, à qui il appartient de ne pas ouvrir une pièce d'origine inconnue sans précaution.

8.10. Développement et exploitation. Environnements séparés, revues de code, tests automatisés du chemin critique, restrictions d'accès à l'infrastructure, et suppression des données d'identification directe dans les copies de données destinées aux environnements hors production.

8.11. Incidents. Procédures internes de détection, de qualification et de traitement des incidents de sécurité, et interrupteurs permettant de suspendre une opération d'effacement automatisée.

Article 9 — Sous-traitants ultérieurs

9.1. Le Responsable autorise YStay à recourir aux sous-traitants ultérieurs listés à l'Annexe B, au titre de l'autorisation générale prévue à l'article 28.2 du RGPD.

9.2. YStay informe le Responsable, par courrier électronique et par une mise à jour de l'Annexe B publiée sur son site, de tout ajout ou remplacement de sous-traitant ultérieur, au moins trente (30) jours avant que celui-ci ne traite des données. Le Responsable peut, dans les quinze (15) jours de cette information, élever une objection motivée par des raisons tenant à la protection des données. YStay propose alors une solution (maintien du sous-traitant précédent, désactivation de la fonction concernée ou autre mesure) ; à défaut de solution acceptable dans les trente (30) jours de l'objection, le Responsable peut résilier les CGU sans pénalité, les sommes versées d'avance pour la période postérieure lui étant remboursées au prorata.

9.3. YStay impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données non moins protectrices que celles du présent Accord, et demeure pleinement responsable devant le Responsable de l'exécution par ce sous-traitant de ses obligations.

9.4. L'Annexe B mentionne, pour chaque sous-traitant ultérieur, son rôle, l'entité contractante, sa localisation et la garantie encadrant un éventuel transfert hors Union européenne.

Article 10 — Assistance au Responsable

10.1 Droits des personnes concernées

10.1.1. YStay met à disposition du Responsable les fonctions de consultation, d'export, de rectification et de suppression nécessaires pour répondre lui-même aux demandes d'exercice de droits (articles 15 à 22 du RGPD).

10.1.2. Si une personne concernée s'adresse directement à YStay au sujet d'un traitement relevant du présent Accord, YStay s'abstient d'y répondre au fond, oriente la personne vers le Responsable et en informe ce dernier sans délai indu.

10.1.3. Lorsque les fonctions de la Plateforme ne suffisent pas, YStay apporte au Responsable une assistance raisonnable, compte tenu de la nature du traitement et des informations dont elle dispose. Une assistance excédant manifestement l'usage normal du service peut être facturée au tarif indiqué sur la page Tarifs, après devis accepté par le Responsable.

10.2 Violations de données à caractère personnel

10.2.1. YStay notifie au Responsable toute violation de données affectant les traitements du présent Accord, sans délai indu et au plus tard quarante-huit (48) heures après en avoir eu connaissance, par courrier électronique à l'adresse du Titulaire du compte.

10.2.2. La notification décrit, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un point de contact. Les informations manquantes sont communiquées au fur et à mesure.

10.2.3. La notification à l'autorité de contrôle (article 33.1) et, le cas échéant, l'information des personnes concernées (article 34) incombent au Responsable. YStay lui apporte l'assistance et les informations nécessaires. YStay ne notifie pas l'autorité de contrôle au nom du Responsable, sauf instruction écrite expresse de ce dernier.

10.2.4. YStay documente toute violation, ses effets et les mesures correctives prises.

10.3 Analyses d'impact et consultation préalable

YStay apporte au Responsable, sur demande et dans la limite des informations dont elle dispose, une assistance raisonnable pour la réalisation d'une analyse d'impact relative à la protection des données (article 35) et pour une éventuelle consultation préalable de l'autorité de contrôle (article 36).

Article 11 — Durées de conservation pendant le contrat, et fin du traitement

11.1. Durées par défaut pendant la relation. Pendant la durée du contrat, YStay applique aux données traitées pour le compte du Responsable les durées ci-dessous, qui constituent des instructions par défaut du Responsable. Lorsque la colonne « modifiable » l'indique, le Responsable peut fixer une autre durée depuis son compte, dans la limite indiquée ; il en assume la justification.

11.2. Exception comptable, énoncée sans ambiguïté. L'anonymisation des Réservations à trois ans n'emporte pas celle des pièces comptables : la facture d'un séjour porte le nom du Voyageur et est conservée dix ans par YStay au titre de ses propres obligations comptables (article L123-22 du Code de commerce). Les données de facturation demeurent donc, pour une personne ayant payé, le dernier endroit où son identité subsiste.

11.3. Exécution. YStay procède à la suppression ou à l'anonymisation au terme des durées ci-dessus et inscrit chaque effacement au registre des effacements de l'article 8.8. Ces opérations sont exécutées par des traitements planifiés, dont l'inscription au planificateur est vérifiée par ses tests automatisés, à compter du [À COMPLÉTER : date de mise en service en production] pour les durées du tableau de l'article 11.1 ; jusqu'à cette date, la suppression et l'anonymisation sont exécutées sur demande du Responsable adressée à privacy@ystay.app, dans le mois de la demande.

11.4. Suspension pour motif juridique. La conservation est prolongée, et toute opération d'effacement suspendue, lorsqu'une réclamation, un litige ou une obligation légale l'exige, sur signalement du Responsable depuis son compte ou à l'initiative de YStay. La suspension est motivée et tracée.

11.5. Fin du contrat : restitution puis suppression. À la fin de la fourniture du service, quelle qu'en soit la cause :

• pendant trente (30) jours à compter de la fin du contrat, le Responsable peut demander à YStay, par courrier électronique à privacy@ystay.app, la restitution de l'ensemble des données traitées pour son compte, dans un format structuré et couramment utilisé ; YStay y procède dans le mois de la demande ;
• à l'issue d'un délai de quatre-vingt-dix (90) jours à compter de la fin du contrat, YStay supprime l'ensemble de ces données et en détruit les copies existantes, sauf obligation légale de conservation (pièces comptables de l'article 11.2) ou suspension de l'article 11.4 ;
• les sauvegardes contenant ces données expirent selon leur cycle de rotation, sans excéder [À COMPLÉTER : durée de rétention des sauvegardes de la base de données], et sont couvertes par le registre des effacements en cas de restauration.

Sur demande écrite du Responsable avant le terme des 90 jours, YStay confirme par écrit la suppression.

Article 12 — Mise à disposition d'informations et audits

12.1. YStay met à la disposition du Responsable les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD : le présent Accord, l'Annexe B à jour, la description des mesures de sécurité et, sur demande, ses réponses à un questionnaire de sécurité raisonnable.

12.2. Le Responsable peut faire réaliser un audit, par lui-même ou par un tiers indépendant soumis à une obligation de confidentialité et non concurrent de YStay, au plus une fois par période de douze mois, sauf à la suite d'une violation de données ou sur demande d'une autorité de contrôle. L'audit est notifié avec un préavis de trente (30) jours, se déroule d'abord sur pièces, puis le cas échéant sur site pendant les heures ouvrables, sans perturber l'exploitation et dans le respect de la confidentialité des données des autres clients de YStay. Les coûts de l'audit sont à la charge du Responsable ; le temps consacré par YStay au-delà de deux jours ouvrés peut être facturé au tarif indiqué sur la page Tarifs.

12.3. YStay peut satisfaire à une demande d'audit par la remise de rapports d'audit ou de certifications pertinents et récents lorsqu'elle en dispose.

Article 13 — Transferts hors Union européenne

13.1. Les données sont hébergées dans l'Union européenne : la base de données et l'interface de programmation sont hébergées chez netcup GmbH, dans un centre de données situé à Vienne (Autriche) ; les compartiments de stockage objet Cloudflare R2 sont créés dans une juridiction déclarée Union européenne.

13.2. Certains sous-traitants ultérieurs listés à l'Annexe B sont établis hors de l'Union européenne ou susceptibles d'y traiter des données. Pour chacun, l'Annexe B indique la garantie appropriée au sens du chapitre V du RGPD sur laquelle repose le transfert : décision d'adéquation (dont la certification au cadre de protection des données UE–États-Unis, « DPF »), ou clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant d'une analyse d'impact de transfert. YStay ne procède à aucun transfert dépourvu de garantie.

13.3. Si une garantie venait à être invalidée ou à cesser (notamment en cas d'invalidation de la décision d'adéquation relative au DPF), YStay met en œuvre sans délai indu la garantie de substitution prévue par le contrat du sous-traitant ultérieur concerné (clauses contractuelles types), ou suspend le transfert, et en informe le Responsable.

Article 14 — Responsabilité

14.1. Chaque partie assume les conséquences de ses propres manquements aux obligations que le RGPD met à sa charge, conformément à son article 82. Chaque partie garantit l'autre contre les réclamations de tiers et les sanctions administratives causées par son propre manquement.

14.2. Entre les parties, la responsabilité de YStay au titre du présent Accord est soumise au plafond de l'article 8.6 des CGU, sauf dol ou faute lourde. Ce plafond ne limite en rien la responsabilité que chaque partie encourt directement envers les personnes concernées ou les autorités de contrôle.

14.3. Chaque partie informe l'autre, sans délai indu, de toute action, réclamation ou procédure d'une autorité de contrôle relative aux traitements du présent Accord, et coopère de bonne foi.

Article 15 — Dispositions diverses

15.1. Modification. L'Accord peut être modifié selon les modalités de l'article 14 des CGU (préavis de trente jours, acceptation versionnée et horodatée), notamment pour tenir compte d'une évolution réglementaire ou d'une décision d'une autorité de contrôle. Les mises à jour de l'Annexe B suivent la procédure de l'article 9.2 ; celles de l'Annexe C sont notifiées au Responsable.

15.2. Contact. Toute demande relative au présent Accord est adressée à privacy@ystay.app. YStay n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas requise à ce stade ; elle sera réévaluée en cas de suivi régulier et systématique à grande échelle des personnes concernées.

15.3. Droit applicable et juridiction : ceux des conditions générales d'utilisation (article 15).

15.4. Langue. L'Accord est rédigé en français et peut être traduit pour la commodité du Responsable. La version française fait foi.

Annexe A — Description des traitements confiés à YStay

La colonne « base légale » indique la base usuellement retenue pour ce type de traitement ; le choix de la base et la documentation qui l'accompagne relèvent du Responsable.

Annexe B — Sous-traitants ultérieurs

État vérifié au 15 septembre 2026. Ne figurent ici que les prestataires qui traitent des données du Responsable pour le compte de YStay. Les tiers qui traitent ces données en qualité de responsable de traitement indépendant, qui sont les prestataires propres du Responsable, ou qui n'interviennent que sur les traitements dont YStay est elle-même responsable, sont listés en fin d'annexe pour information. La colonne « Garantie de transfert » indique la garantie retenue ; « à confirmer à la signature » signifie que la pièce contractuelle correspondante doit être classée avant que l'Accord ne soit signé.

Tiers destinataires qui ne sont pas des sous-traitants ultérieurs de YStay (pour information) :

Fournisseurs déclarés dans la configuration du service mais non activés, qui ne traitent aucune donnée : Moonshot AI (verrou fermé ; sa réintroduction supposerait la qualification complète du transfert vers Singapour et l'information préalable de l'article 9.2), Sentry, AWS SES, Postmark et Slack. Le géocodage est auto-hébergé sur l'infrastructure européenne de YStay.

Annexe C — Fonctions assistées par intelligence artificielle

Chaque fonction s'exécute à l'initiative du Responsable ou d'un Membre d'équipe ; les réglages permettant de la désactiver individuellement depuis le compte sont mis à disposition à la date [À COMPLÉTER : date de mise à disposition des réglages de désactivation par fonction]. Aucune donnée transmise n'est utilisée pour entraîner des modèles. Les durées de conservation chez le fournisseur sont celles de son contrat (Anthropic : 30 jours au plus dans les systèmes de production, sauf option de non-conservation). Aucune de ces fonctions ne produit de décision au sens de l'article 22 du RGPD.