Accord de traitement des données (DPA)

Le présent accord (article 28 du RGPD) fait partie du contrat accepté par le Client lors de son inscription au service Lokyzen, avec les conditions générales d'utilisation et les conditions générales de vente ; il ne nécessite pas de signature séparée.

Entre :

• le Client, qui utilise le service Lokyzen pour gérer des locations de courte durée (le « Responsable de traitement ») ;
• Inferevo, éditeur de Lokyzen, société par actions simplifiée à associé unique au capital de 1 000 €, immatriculée au RCS de Paris sous le n° 130 803 158 (n° de TVA intracommunautaire : FR60130803158), dont le siège est 173 rue de Courcelles, 75017 Paris, représentée par Bertrand Boucher, Président (le « Sous-traitant »).

1. Objet

Le présent accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données personnelles nécessaires au service Lokyzen : PMS, channel manager, site de réservation, espace voyageur, messagerie, paiements, opérations, portail propriétaire et fonctions d'intelligence artificielle.

2. Description des traitements

3. Fonctions d'intelligence artificielle

1. Qualification. Lorsque le Responsable de traitement active une fonction d'IA (rédaction, traduction, classement des messages, assistants voyageur, tarifs et administratif), le traitement des données personnelles qu'elle implique est réalisé pour son compte et sur ses instructions, qui résultent de l'activation de la fonction et de son paramétrage (mode suggestion ou automatique, actions autorisées, seuil de confiance). Le Sous-traitant agit en qualité de sous-traitant ; Anthropic PBC agit en qualité de sous-traitant ultérieur (annexe).
2. Données transmises. Seules sont transmises les données nécessaires à la tâche : texte du message ou de l'avis, langue, contexte du logement (base de connaissances) et de la réservation concernée. Aucune donnée de pièce d'identité ni aucun IBAN n'est transmis ; les codes d'accès et le WiFi ne le sont que lorsqu'ils sont déjà communicables au voyageur, pour lui répondre.
3. Finalités exclues. Le Sous-traitant n'utilise pas ces données pour entraîner, évaluer ou améliorer des modèles d'IA, ni pour ses propres finalités. Il impose la même interdiction à Anthropic PBC (conditions commerciales de l'API) ; ce dernier conserve les données transmises 30 jours au plus, à des fins de sécurité uniquement, et jusqu'à 2 ans pour un contenu signalé comme contraire à ses règles d'usage.
4. Journal. Chaque action d'IA est consignée dans le compte du Responsable de traitement (fonction, statut, validation humaine, modèle utilisé), aux fins de traçabilité. Ce journal fait partie des données traitées pour le compte du Responsable de traitement, qui peut le consulter et l'exporter ; il suit leur durée de conservation.
5. Absence de décision automatisée. Les fonctions d'IA ne prennent aucune décision au sens de l'article 22 du RGPD ; aucune opération financière ne peut être déclenchée par un assistant.
6. Désactivation. Le Responsable de traitement peut désactiver chaque fonction à tout moment ; aucune donnée n'est alors plus transmise au fournisseur du modèle.

4. Obligations du Sous-traitant

1. Ne traiter les données que sur instruction documentée du Responsable de traitement. Ces instructions sont le présent accord et l'usage du service (paramétrage, actions des utilisateurs). Le Sous-traitant informe le Client si une instruction lui paraît contraire au RGPD.
2. Garantir la confidentialité : les personnels habilités sont tenus au secret, et l'accès du support aux données d'un Client (session d'assistance) est limité à 1 heure et journalisé.
3. Mettre en œuvre les mesures de sécurité de l'article 7.
4. Ne recourir à un sous-traitant ultérieur que dans les conditions de l'article 6.
5. Aider le Client à répondre aux demandes d'exercice des droits (article 8).
6. Aider le Client à respecter les articles 32 à 36 du RGPD : sécurité, notification des violations (article 9), analyse d'impact (le Sous-traitant fournit la documentation utile, notamment pour les fiches de police).
7. Supprimer ou restituer les données à la fin du contrat (article 12).
8. Mettre à disposition les informations nécessaires pour démontrer le respect du présent accord et permettre des audits (article 11).

5. Obligations du Responsable de traitement

• Informer les personnes concernées : politique de confidentialité du site de réservation et de l'espace voyageur, en mentionnant les sous-traitants ultérieurs et les transferts listés en annexe.
• Déterminer les bases légales et recueillir les consentements nécessaires (prospection).
• Paramétrer les droits de ses utilisateurs (rôles, restriction par logement) et activer la 2FA, obligatoire pour les rôles propriétaire et administrateur.
• Ne collecter que les données nécessaires.

6. Sous-traitants ultérieurs

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés en annexe. Le Sous-traitant informe le Client de tout ajout ou remplacement 30 jours à l'avance, par e-mail et dans le service ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans pénalité. Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations et reste responsable de leur exécution.

Les plateformes de distribution (Airbnb, Booking.com, Vrbo, Expedia, Google) auxquelles le Client connecte ses annonces sont des responsables de traitement indépendants, pas des sous-traitants ultérieurs.

7. Mesures de sécurité (art. 32)

• Hébergement dans l'Union européenne (Scaleway, Amsterdam ; copie de sauvegarde à Paris) ; chiffrement en transit (TLS, HSTS) et au repos (volumes et stockage objet de l'hébergeur).
• Cloisonnement des Clients : sécurité au niveau des lignes (Row Level Security PostgreSQL) sur toutes les tables métier, testée automatiquement.
• Chiffrement applicatif (AES-256-GCM, clés versionnées) des numéros de pièce d'identité, codes d'accès et mots de passe WiFi, IBAN et secrets d'intégration.
• Authentification : mots de passe hachés, 2FA TOTP obligatoire pour les administrateurs du Client, limitation de débit, cookies sécurisés.
• Habilitations par rôle et par logement, matrice testée ; documents et exports soumis à des droits spécifiques et journalisés.
• Journal d'audit en ajout seul.
• Purge automatique selon les durées de conservation documentées ; anonymisation à la demande.
• Revues de sécurité (OWASP Top 10) ; test d'intrusion externe prévu avant l'ouverture commerciale.
• Sauvegardes quotidiennes : instantanés de la base conservés 14 jours, et copie chiffrée conservée 30 jours dans une autre région de l'Union européenne (Paris) ; exercice de restauration trimestriel.

8. Droits des personnes

Le service permet au Client, depuis la fiche voyageur, d'exporter l'ensemble des données d'un voyageur au format JSON (accès, portabilité) et de l'anonymiser (effacement), sous réserve des obligations légales de conservation : factures 10 ans, fiche de police 6 mois.

Si une demande parvient directement au Sous-traitant, il la transmet au Client sous 5 jours ouvrés sans y répondre lui-même.

9. Violation de données

Le Sous-traitant notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations de l'article 33.3 du RGPD dont il dispose : nature, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises ou proposées, contact. Les informations sont complétées au fil de l'enquête.

10. Transferts hors UE

Aucun transfert hors de l'Espace économique européen n'a lieu sans les garanties du chapitre V du RGPD (décision d'adéquation, dont le Data Privacy Framework, ou clauses contractuelles types de la Commission). Les transferts existants sont listés en annexe.

11. Audit

Le Sous-traitant met à la disposition du Client, sur demande, les informations nécessaires pour démontrer le respect du présent accord : registre des traitements réalisés pour le Client, description des mesures de sécurité, rapports de test d'intrusion, attestations des sous-traitants ultérieurs.

Le Client peut faire réaliser des audits, y compris des inspections sur place, par lui-même ou par un auditeur indépendant tenu au secret, à ses frais : une fois par an avec un préavis de 30 jours et, en outre, sans condition de fréquence et avec un préavis réduit à 5 jours ouvrés, après une violation de données le concernant ou à la demande d'une autorité de contrôle. La demande est adressée par écrit à contact@inferevo.com. L'audit porte sur les seuls traitements réalisés pour le Client, se déroule pendant les heures ouvrées, sans perturber le service ni donner accès aux données des autres clients. Le Sous-traitant y contribue de bonne foi (article 28.3 h) du RGPD).

12. Fin du contrat

À la fin du contrat, le Client dispose de 30 jours pour exporter ses données (exports CSV et Excel, API publique). Passé ce délai, le Sous-traitant supprime les données du Client, sauvegardes comprises à leur expiration (au plus 30 jours), sauf obligation légale de conservation. Les archives annuelles signées du registre des encaissements (article 13.7 des conditions générales d'utilisation) sont conservées six ans à compter de la fin de l'année concernée, puis supprimées ; l'archive complète du registre est remise au Client à la fermeture du compte. Le Sous-traitant atteste la suppression sur demande. En cas de changement de prestataire, l'article 13.4 des conditions générales d'utilisation s'applique.

13. Responsabilité et droit applicable

La responsabilité des parties au titre du présent accord est régie par l'article 14 des conditions générales d'utilisation. Le présent accord est soumis au droit français ; tout litige relève des juridictions désignées à l'article 19 des conditions générales d'utilisation.

Annexe : sous-traitants ultérieurs

Version n° 2026-11-06, publiée le 6 novembre 2026.