Contrat de sous-traitance des données (AV-Vertrag)

Mise à jour : mai 2026 · Sous-traitance art. 28 RGPD

En utilisant Rentprime pour vos locataires, vous traitez des données personnelles de tiers en tant que responsable RGPD. Un contrat de sous-traitance écrit (art. 28 RGPD) est requis.

Parties contractantes

Responsable du traitement : Le client (vous comme utilisateur de Rentprime)
Sous-traitants : KRUPKA Concept GmbH, Monheim am Rhein

Objet et durée

Le sous-traitant traite les données des locataires uniquement dans le cadre de la prestation du Logiciel selon le contrat. Le traitement dure le temps de la relation.

Type et finalité du traitement

Collecte, stockage, traitement et mise à disposition des données locataires pour décomptes de charges, baux, mises en demeure, communication, autres prestations contractuelles.

Catégories de personnes concernées

• Locataires du responsable du traitement
• Mandataires et membres de la famille
• Kontaktpersonen (Hausmeister, Handwerker etc.)

Catégories de données personnelles

• Stammdaten (Name, Anschrift, Geburtsdatum, Familienstand)
• Coordonnées (téléphone, e-mail)
• Données contractuelles (loyer, début/fin du contrat)
• Coordonnées bancaires (IBAN pour SEPA)
• Données de consommation (chauffage, eau, électricité)
• Kommunikationsdaten (E-Mails, Anrufnotizen)

Mesures techniques et organisationnelles (MTO)

Le sous-traitant met en œuvre les mesures techniques et organisationnelles de sécurité (art. 32 RGPD) suivantes :

• Pseudonymisation et chiffrement des données personnelles (AES-256, TLS 1.3)
• Contrôle d'accès par des mots de passe forts, 2FA en option
• Hosting bei nach ISO 27001 zertifizierten EU-Anbietern (Anwendungs-Datenbank in Stockholm/Schweden, Compute in Frankfurt und Stockholm)
• Sauvegardes quotidiennes chiffrées avec rétention de 30 jours
• Capacité à rétablir les données personnelles en cas d'incident physique ou technique (art. 32, par. 1, lit. c RGPD)
• Vérification régulière de l'efficacité des MTO (art. 32, par. 1, lit. d RGPD)
• Engagement des salariés au respect du secret des données
• Protokollierung sicherheitsrelevanter Ereignisse

Sous-traitants ultérieurs

Le sous-traitant est autorisé à recourir à d'autres sous-traitants (sous-traitants ultérieurs). Le responsable du traitement donne à cet effet son autorisation générale. Le sous-traitant informe préalablement le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs et lui accorde un droit d'opposition. Une liste complète et à jour est mise à disposition sur demande. Sous-traitants ultérieurs actuellement employés :

Les transfer impact assessments (TIA) pour les sous-traitants de pays tiers (Anthropic, Google, Stripe) conformément à la recommandation 01/2020 du CEPD sont transmis sur demande.

• Vercel Inc., USA — Frontend- und Serverless-Function-Hosting; Compute in Frankfurt (fra1). Drittlandmechanismus: DPF + SCC.
• Fly, Inc., USA — Betrieb der Anwendungs-API api.rentprime.de; Compute in Frankfurt (fra). Drittlandmechanismus: SCC (kein DPF).
• Supabase Inc., USA — Anwendungs-Datenbank in der EU-Region Stockholm (eu-north-1, Schweden). Drittlandmechanismus: DPF + SCC.
• Cloudflare Inc., USA — CDN, DDoS- und WAF-Schutz; Edge-Verarbeitung in der EU. Drittlandmechanismus: DPF + SCC.
• Stripe Payments Europe Ltd., Dublin, Irland (Zahlungsabwicklung — Konzernanbindung an Stripe, Inc. USA; DPF + SCC).
• Brevo (Sendinblue SAS), Paris, Frankreich — Newsletter- und Lead-Formular-Verwaltung; Verarbeitung innerhalb der EU (kein Drittland).
• Resend, Inc., USA — Transaktions-Mail-Versand. Drittlandmechanismus: DPF + SCC.
• Postmark (ActiveCampaign LLC), USA — Transaktions-Mail-Fallback. Drittlandmechanismus: DPF + SCC.
• Twilio Inc., USA — SMS-/WhatsApp-Versand (nur bei aktivierter Mieterkommunikation). Drittlandmechanismus: DPF + SCC.
• Anthropic PBC, USA — KI-Funktionen Lou-Chat/Vertrags-Check. Drittlandmechanismus: DPF + SCC.
• Anthropic PBC, USA — Beleg-/OCR-Erkennung (Claude Vision). Drittlandmechanismus: DPF + SCC.
• finAPI / Klarna Kosma — Bank-Sync nach PSD2 (nur bei aktivierter Kontoanbindung; Verarbeitung innerhalb der EU).

Pour tous les sous-traitants établis aux USA (Vercel, Fly, Supabase, Cloudflare, Resend, Postmark, Twilio, Anthropic, Google) ainsi que pour le sous-traitant de paiement irlandais Stripe (société mère aux USA), un transfert vers un pays tiers vers les USA a lieu. Celui-ci est encadré par le EU-US Data Privacy Framework (décision d'adéquation de la Commission européenne du 10.07.2023) et/ou par les EU-Standardvertragsklauseln (SCC, Art. 46 RGPD + Loi Informatique et Libertés) ainsi que par des mesures complémentaires (chiffrement en transit et at rest, minimisation des PII, zero retention/pas d'entraînement garanti contractuellement chez les prestataires d'IA). Fly, Inc. n'est pas répertorié DPF ; le transfert s'effectue ici exclusivement sur la base des SCC.

Droits et obligations

Le sous-traitant traite les données uniquement sur instruction documentée du responsable du traitement. Il assiste le responsable dans l'exécution de ses obligations au titre des art. 32 à 36 RGPD ainsi que dans le traitement des demandes des personnes concernées — y compris les locataires du responsable — exerçant leurs droits (art. 12 à 22 RGPD).

Notification des violations de données : Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel sans délai après en avoir pris connaissance, afin de permettre au responsable de notifier dans le délai prévu à l'art. 33 RGPD (dans les 72 heures), et l'assiste pour la communication aux personnes concernées selon l'art. 34 RGPD.

Droits de contrôle et d'audit (art. 28 § 3 h RGPD) : Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'art. 28 RGPD et permet la réalisation d'audits — y compris des inspections — par le responsable du traitement ou un auditeur qu'il a mandaté, et y contribue.

Suppression et restitution (art. 28 § 3 g RGPD) : Au terme de la prestation de traitement, le sous-traitant supprime ou restitue, au choix du responsable du traitement, toutes les données à caractère personnel et supprime les copies existantes, sauf obligation légale de conservation contraire.

Signature du contrat de sous-traitance

La version complète et signée du contrat de sous-traitance vous sera transmise sur simple demande par e-mail à contact@rentprime.de envoyé dans les 24 heures les jours ouvrés. Le contrat est conclu en forme électronique (DocuSign ou signature électronique qualifiée).