# Politique de confidentialité et de traitement des données personnelles d'Atrium **Version de travail :** 21 août 2026 **Entrée en vigueur :** [à compléter] **Dernière mise à jour :** 21 août 2026 > **Document à finaliser avant publication.** Les éléments entre crochets doivent être complétés. La promesse relative à la destruction immédiate des fichiers bruts doit être vérifiée sur l'implémentation de production avant toute publication. ## 1. Objet de la présente politique La présente politique explique comment les données personnelles sont traitées dans le cadre du SaaS **Atrium**, destiné aux agences immobilières en Belgique et consacré à l'automatisation et à l'assistance au tri des candidatures locatives. Atrium traite notamment des dossiers pouvant contenir des pièces d'identité, des fiches de paie, des compositions de ménage, des extraits de compte, des justificatifs de domicile, des documents professionnels et d'autres justificatifs transmis par un candidat. La présente politique distingue : 1. les traitements propres à Atrium, notamment ceux liés au site, au compte Client, à la sécurité, au support et à la facturation ; 2. les traitements réalisés pour le compte d'une agence immobilière concernant les dossiers de candidats locataires. ## 2. Identité et coordonnées ### 2.1. Éditeur d'Atrium Atrium est édité par : - **Dénomination légale :** [à compléter] - **Forme juridique :** [à compléter] - **Siège social :** [à compléter] - **Numéro d'entreprise BCE :** [à compléter] - **Numéro de TVA :** [à compléter] - **Adresse e-mail générale :** [à compléter] - **Adresse e-mail relative aux données personnelles :** [à compléter] - **Délégué à la protection des données, si désigné :** [nom et coordonnées à compléter] Ci-après, cette entité est dénommée **« Atrium »**. ### 2.2. Agence immobilière responsable du dossier Pour les dossiers de candidatures locatives, l'agence immobilière qui collecte les données, définit les finalités du tri et prend la décision locative est le **responsable du traitement**. L'identité et les coordonnées de cette agence doivent être communiquées au candidat dans la notice d'information présentée au moment de la collecte. Atrium ne remplace pas cette notice propre à l'agence. ## 3. Répartition des rôles au sens du RGPD ### 3.1. Dossiers de candidats locataires Pour les données contenues dans les candidatures locatives : - l'agence immobilière agit en qualité de **responsable du traitement** ; - Atrium agit en qualité de **sous-traitant** ; - Atrium traite les données uniquement pour le compte de l'agence et conformément à ses instructions documentées ; - l'agence détermine les finalités, la base juridique, les catégories de personnes concernées, les données nécessaires, les critères licites de tri, la durée de conservation et la décision locative ; - Atrium détermine uniquement les moyens techniques et organisationnels nécessaires à l'exécution du service, dans les limites des instructions de l'agence. Atrium ne peut pas transformer un traitement de sous-traitance en traitement propre en réutilisant les dossiers de candidats pour la publicité, la vente de fichiers, l'entraînement de modèles ou une finalité étrangère au service. Si Atrium détermine lui-même les finalités ou les moyens essentiels d'un traitement, la qualification juridique de ce traitement doit être réévaluée avant sa mise en œuvre. ### 3.2. Traitements propres à Atrium Atrium peut agir en qualité de responsable du traitement pour ses traitements strictement propres, notamment : - la gestion des comptes administrateurs et des Utilisateurs ; - la facturation et le suivi des paiements ; - la gestion des demandes adressées à Atrium ; - la sécurité, la prévention des abus et la journalisation technique ; - la gestion des obligations comptables, fiscales et légales. Ces traitements ne permettent pas à Atrium d'utiliser les dossiers de candidats à des fins commerciales ou d'entraînement de modèles. ## 4. Catégories de données traitées Selon les instructions de l'agence et la région où se situe le bien, Atrium peut traiter les catégories suivantes : ### 4.1. Données relatives aux candidats - nom, prénom, adresse et coordonnées ; - adresse électronique et numéro de téléphone ; - rôle dans la candidature, par exemple titulaire, co-candidat ou garant ; - profil déclaré, lorsque ce champ est utilisé par l'agence ; - composition du ménage, nombre de personnes et nombre d'enfants ; - état civil ou capacité à contracter, lorsque la loi applicable l'autorise et lorsque ces données sont nécessaires ; - informations relatives aux ressources financières ; - informations relatives aux revenus, charges, crédits et garanties ; - informations relatives à l'activité professionnelle ou indépendante ; - référence de dossier, dates, statuts, échanges et rappels. ### 4.2. Documents et données extraites Les documents peuvent inclure, lorsque cela est légalement autorisé et nécessaire : - pièces d'identité ; - fiches de paie ; - compositions de ménage ; - extraits de compte ou justificatifs financiers ; - justificatifs de domicile ; - contrats de travail, attestations de revenus ou attestations de chômage ; - extraits BCE, bilans ou attestations comptables ; - attestations de paiement de loyers ; - attestations ou documents relatifs à des crédits ; - autres justificatifs déterminés par l'agence dans les limites de la finalité et du droit applicable. Les données extraites peuvent notamment comprendre des dates, montants, employeurs, périodes de revenus, adresses, identifiants documentaires, numéros d'entreprise, références de compte et résultats de contrôles de cohérence. ### 4.3. Données de traitement et résultats Atrium peut traiter : - les statuts de complétude et de lisibilité ; - les champs extraits et leur niveau de confiance ; - les incohérences détectées ; - les signaux d'attention ; - le cas échéant, un indicateur ou score d'aide au tri ; - les décisions ou corrections introduites par un Utilisateur de l'agence ; - les historiques de relance et de consultation ; - les journaux techniques nécessaires à la sécurité et à la preuve des opérations. ### 4.4. Données du Client et de facturation Pour le compte de l'agence, Atrium peut traiter les données professionnelles suivantes : - nom et coordonnées de l'agence ; - identité et coordonnées des administrateurs et Utilisateurs ; - identifiants, données de session et informations de sécurité ; - données de facturation, de plan, de quota et de paiement ; - échanges avec le support. Atrium ne demande pas les données complètes de carte bancaire lorsque le paiement est effectué via Stripe Checkout ou le Portail client Stripe. Le périmètre exact dépend de la configuration de l'intégration active. ## 5. Qualification des données particulièrement sensibles Les pièces d'identité, fiches de paie, compositions de ménage et extraits de compte sont traités comme des données **hautement personnelles et à haut risque** en raison des conséquences possibles d'un accès non autorisé, d'une erreur ou d'une divulgation. Cette qualification de risque ne signifie pas que chaque information contenue dans ces documents constitue automatiquement une **catégorie particulière de données** au sens de l'article 9 du RGPD. Les données financières et salariales ne relèvent pas, par leur seule nature, de la liste fermée de l'article 9. En revanche, un document peut révéler incidemment une information de santé, une origine, une conviction, une appartenance syndicale, une situation familiale ou une autre donnée protégée. Atrium : - ne demande pas de données de catégories particulières pour établir un classement locatif ; - ne déduit pas une caractéristique protégée à partir d'un document ; - ne doit pas utiliser une telle caractéristique, directement ou par l'intermédiaire d'un critère substitut, pour classer ou écarter un candidat ; - applique des restrictions et garanties supplémentaires lorsque le contenu effectivement transmis relève des articles 9 ou 10 du RGPD ; - peut refuser une instruction qui imposerait un traitement manifestement contraire au RGPD ou au droit applicable. L'agence reste responsable de la licéité de la collecte et doit éviter de demander des documents ou informations non nécessaires. ## 6. Finalités des traitements ### 6.1. Pour le compte de l'agence Atrium traite les données des candidatures uniquement pour : 1. recevoir et rattacher une candidature au bien indiqué par l'agence ; 2. stocker temporairement les données nécessaires à l'exécution du flux ; 3. extraire du texte et des champs structurés à partir des documents transmis ; 4. classifier les documents et vérifier leur lisibilité ; 5. réaliser des contrôles de cohérence et des contrôles arithmétiques déterministes ; 6. produire des statuts, signaux et résultats d'aide au tri ; 7. permettre à l'agence de consulter, corriger, télécharger ou exporter les éléments disponibles ; 8. envoyer des confirmations et des relances relatives aux pièces manquantes ou illisibles ; 9. assurer la sécurité, l'isolation entre agences, la traçabilité et la disponibilité raisonnable du service ; 10. assister l'agence dans l'exercice des droits des personnes concernées et dans la gestion d'un incident. ### 6.2. Traitements propres à Atrium Atrium peut traiter les données du Client pour : - ouvrir et administrer un compte ; - fournir le support demandé ; - gérer l'abonnement, le quota et la facturation ; - prévenir les accès frauduleux et les abus ; - respecter les obligations comptables, fiscales ou légales ; - défendre ses droits en justice. Atrium n'utilise pas les dossiers candidats pour : - entraîner ou améliorer les modèles d'IA ; - établir des profils commerciaux ; - vendre ou louer des données ; - faire de la publicité ciblée ; - comparer les candidats entre agences ; - alimenter un autre client ou un autre tenant. ## 7. Bases juridiques ### 7.1. Dossiers de candidats L'agence, en qualité de responsable du traitement, détermine et documente la base juridique applicable à chaque finalité. Selon le contexte et la région, cette base peut notamment relever de l'exécution de mesures précontractuelles, d'une obligation légale, d'un intérêt légitime mis en balance ou d'un consentement lorsque celui-ci est juridiquement approprié. La présence d'une case d'information ou de consentement dans le formulaire Atrium ne dispense pas l'agence de déterminer la base juridique correcte. L'agence doit également déterminer, lorsque nécessaire, la condition applicable à l'article 9 du RGPD. ### 7.2. Compte, support et facturation Pour ses propres traitements, Atrium peut s'appuyer, selon la finalité concernée, sur : - l'exécution du contrat ou de mesures précontractuelles ; - le respect d'une obligation légale ; - son intérêt légitime à sécuriser le Service, prévenir les abus et défendre ses droits. La base effectivement applicable doit être documentée dans le registre de traitement d'Atrium. ## 8. Décision locative, intervention humaine et non-discrimination ### 8.1. Atrium ne prend pas la décision locative Atrium fournit un résultat d'aide au tri. Il ne prend pas seul la décision d'accepter, de refuser ou de classer définitivement un candidat. L'agence doit : - vérifier les résultats et les documents nécessaires ; - pouvoir corriger les données extraites ; - examiner les dossiers présentant un résultat incertain ou négatif ; - permettre au candidat de signaler une erreur ; - prendre la décision finale sur une base humaine, licite et documentée. Lorsqu'une personne conteste un résultat, l'agence doit pouvoir réexaminer le dossier sans se limiter à la sortie automatique d'Atrium. ### 8.2. Critères autorisés et critères interdits Atrium ne doit pas être configuré pour utiliser directement ou indirectement : - le sexe, la grossesse, la maternité, la paternité ou les responsabilités familiales ; - la prétendue race, la couleur de peau, l'ascendance, la nationalité ou l'origine nationale ou ethnique ; - l'origine ou la condition sociale ; - l'âge ; - le statut de séjour ; - l'orientation sexuelle, l'identité ou l'expression de genre ; - l'état civil ou la naissance ; - la fortune comme critère discriminatoire ; - les convictions religieuses, philosophiques, politiques ou syndicales ; - la langue ; - l'état de santé, le handicap ou une caractéristique physique ou génétique ; - toute autre caractéristique protégée par le droit fédéral, régional ou communautaire applicable. La grille de pré-tri Atrium est limitée aux catégories documentées et autorisées par le projet : **Financiers, Confiance, Adéquation et Techniques**. Aucun critère supplémentaire ne peut être ajouté pour contourner cette limitation ou produire un effet discriminatoire. La capacité financière peut être vérifiée lorsque la loi l'autorise, mais l'agence ne peut pas exclure catégoriquement une source de revenus licite. L'analyse doit rester individualisée, nécessaire et proportionnée. ### 8.3. Différences régionales Les règles relatives aux informations et documents pouvant être demandés à un candidat varient selon la Région où se situe le bien. L'agence doit donc activer une configuration correspondant à la Région concernée et vérifier la liste des documents autorisés avant de les demander. Pour Bruxelles, les informations pouvant être demandées et le moment de la demande sont limités par la réglementation régionale. Les règles wallonnes et flamandes présentent des différences. Atrium ne doit pas appliquer une même liste de pièces indistinctement à toute la Belgique. Il est interdit de donner suite à une demande discriminatoire d'un propriétaire ou d'un tiers. ## 9. Section Sécurité et Traitement ### 9.1. Rôle de sous-traitant et instructions Pour les données de candidats : - l'agence est le responsable du traitement ; - Atrium est le sous-traitant ; - Atrium ne traite les données que sur instruction documentée de l'agence ; - les personnes autorisées par Atrium sont soumises à une obligation de confidentialité ; - Atrium informe l'agence lorsqu'une instruction lui paraît contraire au RGPD ou à une autre règle applicable ; - Atrium n'utilise pas les données de candidats pour son propre compte. L'accord de sous-traitance doit préciser l'objet, la durée, la nature, la finalité, les types de données, les catégories de personnes et les obligations respectives des parties. ### 9.2. Architecture et flux techniques Le Service repose sur les composants suivants : - **Cloudflare Workers** pour l'exécution du code applicatif et la couche de traitement des requêtes ; - **Neon** pour le stockage des données structurées nécessaires au Service ; - **API cloud tierces d'extraction**, notamment PaddleOCR-VL et Qwen 3.5, lorsque ces fournisseurs sont activés dans l'environnement concerné. Les flux entre le navigateur, Cloudflare Workers, Neon et les API d'extraction sont chiffrés en transit au moyen de connexions HTTPS/TLS. Les données structurées persistées dans Neon sont chiffrées au repos selon les mécanismes de sécurité du fournisseur et les paramètres du projet. Les clés, jetons et secrets d'accès ne doivent jamais être intégrés dans le code client ni exposés aux candidats. Les accès aux environnements de production sont limités selon le principe du moindre privilège. ### 9.3. Fichiers bruts envoyés aux API d'extraction Les fichiers bruts nécessaires à l'extraction, notamment les images et les pages de documents, sont transmis aux API PaddleOCR-VL et Qwen 3.5 uniquement pour la durée et la finalité de l'extraction demandée. Atrium s'engage à appliquer les garanties suivantes : 1. le fichier brut est transmis uniquement au fournisseur d'extraction autorisé pour le traitement demandé ; 2. aucune copie brute durable n'est conservée dans la base de données structurée ; 3. le fichier brut est détruit immédiatement après l'extraction du texte et des champs nécessaires ; 4. les fichiers bruts ne sont jamais utilisés pour entraîner, réentraîner, évaluer ou améliorer les modèles des API tierces ; 5. les fournisseurs d'API ne peuvent pas réutiliser les images pour une finalité propre ; 6. si un fournisseur ne peut pas garantir la non-utilisation pour l'entraînement et la destruction après extraction, Atrium ne lui transmet pas les fichiers de candidats ; 7. les résultats structurés sont limités aux champs nécessaires à la finalité indiquée par l'agence. Cette garantie s'applique également aux fichiers temporaires créés lors d'une conversion technique nécessaire à l'extraction. Toute conservation technique exceptionnelle doit être documentée, protégée et supprimée dès qu'elle n'est plus nécessaire. ### 9.4. Isolation et contrôle des accès Atrium met en œuvre des mesures destinées à empêcher qu'une agence accède aux données d'une autre agence, notamment : - séparation logique par tenant et par identifiant d'agence ; - vérification de l'autorisation sur chaque opération de lecture, d'écriture, d'export et de téléchargement ; - limitation des accès des Utilisateurs aux seuls biens et candidatures autorisés ; - gestion des sessions et des secrets ; - journalisation des opérations de sécurité nécessaires ; - revue des droits d'accès et retrait des comptes qui ne sont plus nécessaires ; - contrôle des dépendances et des fournisseurs techniques ; - sauvegardes et procédures de restauration soumises à des règles de conservation et de suppression documentées. Les journaux ne doivent pas contenir les images brutes ni des copies inutiles de pièces d'identité, de fiches de paie ou d'extraits de compte. ### 9.5. Violations de données Atrium informe l'agence, sans délai indu après en avoir pris connaissance, de toute violation de données personnelles concernant les données traitées pour son compte. Atrium fournit, dans la mesure des informations disponibles, les éléments utiles à l'agence pour : - qualifier la nature et l'étendue de la violation ; - identifier les catégories de personnes et de données concernées ; - évaluer les conséquences probables ; - notifier l'Autorité de protection des données dans les délais applicables ; - informer les personnes concernées lorsque cela est requis ; - documenter l'incident et les mesures correctrices. Atrium coopère avec l'agence et ne contacte pas directement les candidats au sujet d'une violation, sauf instruction de l'agence ou obligation légale contraire. ### 9.6. Sous-traitants ultérieurs Atrium ne recourt qu'à des sous-traitants ultérieurs présentant des garanties suffisantes. Les sous-traitants ultérieurs sont soumis à des obligations de protection des données au moins équivalentes à celles prévues entre Atrium et l'agence. Atrium tient une liste à jour des sous-traitants autorisés et informe l'agence de tout ajout ou remplacement conformément à l'accord de sous-traitance. L'agence peut s'opposer à un changement pour un motif lié à la protection des données. ## 10. Hébergement, fournisseurs et transferts internationaux Les fournisseurs techniques susceptibles d'intervenir sont les suivants : | Fournisseur ou catégorie | Fonction | Données susceptibles d'être concernées | Localisation et mécanisme de transfert | |---|---|---|---| | Cloudflare | Workers, acheminement et sécurité applicative | Requêtes, métadonnées, données nécessaires au fonctionnement | [régions et garanties à compléter] | | Neon | Base de données des données structurées | Données de compte, métadonnées de candidature et résultats structurés | [région du projet et garanties à compléter] | | Fournisseur API PaddleOCR-VL | Extraction de texte et de champs | Fichiers bruts temporaires et requête d'extraction | [entité juridique, région, DPA et garanties à compléter] | | Fournisseur API Qwen 3.5 | Extraction ou analyse autorisée | Fichiers bruts temporaires et requête d'extraction | [entité juridique, région, DPA et garanties à compléter] | | Stripe | Paiement et abonnement | Données de compte, de facturation et de paiement | [rôle, région et garanties à compléter] | Aucun transfert vers un pays situé en dehors de l'Espace économique européen ne peut être réalisé sans identifier le destinataire, le pays, la finalité, la base de transfert et les garanties applicables, notamment une décision d'adéquation ou des clauses contractuelles types lorsque cela est requis. Les fournisseurs qui reçoivent des fichiers bruts doivent être liés par des engagements contractuels interdisant l'entraînement des modèles avec les données de candidats et imposant la destruction après extraction. ## 11. Durées de conservation et purge ### 11.1. Fichiers bruts Les fichiers bruts envoyés aux API PaddleOCR-VL et Qwen 3.5 sont détruits immédiatement après l'extraction du texte et des champs nécessaires. ### 11.2. Données d'une candidature Les données d'un candidat, les champs extraits, les résultats, les indicateurs, les pièces dérivées, les PDF générés, les jetons de reprise et les éléments de relance sont supprimés automatiquement : - dès que le bien concerné est marqué **« Loué »** par l'agence ; ou - sur demande de l'agence ; ou - lorsqu'une autre obligation de suppression prévue par le RGPD ou par le droit applicable s'applique. La purge doit couvrir les données opérationnelles et les copies directement accessibles dans le Service. Elle doit être traçable sans conserver une copie du contenu supprimé. ### 11.3. Candidatures associées à un bien qui n'est pas marqué « Loué » La durée maximale de conservation lorsqu'un bien reste ouvert, est annulé ou n'est jamais marqué « Loué » doit être fixée avant publication : **[durée maximale à compléter]**. Cette durée est nécessaire pour respecter le principe de limitation de la conservation. L'agence peut demander une suppression anticipée à tout moment. ### 11.4. Sauvegardes et journaux La durée de conservation des sauvegardes techniques, des journaux de sécurité et des traces de facturation doit être documentée séparément : - sauvegardes techniques : [durée et mécanisme de purge à compléter] ; - journaux de sécurité : [durée à compléter] ; - données de facturation et pièces comptables : [durée légale applicable à compléter]. Les sauvegardes et journaux ne peuvent pas être utilisés pour rétablir ou réintroduire des données supprimées, sauf nécessité documentée de continuité, de sécurité ou d'obligation légale. ### 11.5. Fin du contrat À la fin de la prestation, Atrium, au choix de l'agence et selon l'accord de sous-traitance : - restitue les données personnelles dans un format raisonnablement disponible ; ou - les supprime et détruit les copies existantes, sauf obligation légale de conservation. ## 12. Exercice des droits Pour les données des candidatures, les personnes concernées doivent en priorité adresser leur demande à l'agence immobilière responsable du traitement, dont les coordonnées figurent dans la notice remise au candidat. Atrium assiste l'agence, dans la mesure du possible, pour répondre aux demandes d'exercice des droits. Atrium ne répond pas au fond à la place de l'agence, sauf instruction documentée ou obligation légale. Selon les conditions prévues par le RGPD, la personne concernée peut demander : - l'accès à ses données ; - la rectification de données inexactes ou incomplètes ; - l'effacement de ses données ; - la limitation du traitement ; - la portabilité de certaines données ; - l'opposition à un traitement fondé sur sa situation particulière ; - le retrait d'un consentement lorsqu'un traitement repose effectivement sur ce consentement ; - une intervention humaine et un réexamen lorsqu'un résultat automatisé a produit ou pourrait produire un effet significatif ; - des informations sur la logique générale, l'importance et les conséquences d'un traitement automatisé, dans les limites légales. Les demandes sont traitées dans le délai légal applicable, en principe un mois à compter de leur réception, avec possibilité de prolongation dans les conditions prévues par le RGPD. Lorsque la demande concerne un score, un signal ou une extraction, l'agence doit vérifier l'identité du demandeur, préserver les droits des autres personnes présentes dans le dossier et corriger ou supprimer les données lorsque les conditions légales sont remplies. ## 13. Réclamation auprès de l'autorité de contrôle La personne concernée peut introduire une réclamation auprès de l'autorité de contrôle compétente, notamment l'Autorité de protection des données belge : **Autorité de protection des données** Rue de la Presse 35 1000 Bruxelles Belgique Téléphone : +32 (0)2 274 48 00 E-mail : contact@apd-gba.be Site : https://www.autoriteprotectiondonnees.be/ Lorsque la réclamation porte sur une décision locative ou sur la licéité de la collecte, la personne concernée peut également s'adresser à l'agence responsable du traitement et aux organismes compétents en matière de logement et de discrimination. ## 14. Cookies et données techniques Atrium utilise uniquement les cookies ou mécanismes techniques strictement nécessaires à : - l'authentification et la gestion de session ; - la sécurité et la prévention des abus ; - la conservation d'un choix indispensable au fonctionnement du Service. Tout outil de mesure d'audience, de publicité ou de suivi non nécessaire doit être identifié séparément et activé uniquement selon les exigences de consentement applicables. La liste des cookies et traceurs effectivement utilisés doit être publiée dans une annexe technique : **[à compléter avant publication]**. ## 15. Sécurité des paiements Les paiements et abonnements sont traités par Stripe lorsque ce prestataire est activé. Atrium reçoit les informations nécessaires au suivi de l'abonnement et de la facturation selon l'intégration mise en place. Les données de paiement sont soumises aux conditions et à la politique de confidentialité de Stripe. Atrium ne doit pas stocker les données complètes de carte bancaire dans sa base de données. ## 16. Modifications de la présente politique Atrium peut modifier la présente politique pour tenir compte d'une évolution du Service, de l'infrastructure, des fournisseurs, de la réglementation ou des mesures de sécurité. En cas de modification substantielle affectant les finalités, les catégories de données, les destinataires, les transferts ou les durées de conservation, Atrium en informe les Clients et leur permet de prendre les mesures nécessaires avec les agences responsables du traitement. La version applicable est celle publiée à la date du traitement concerné, sous réserve des obligations d'information et de documentation applicables. --- # Annexe A. Description du traitement au titre de l'article 28 du RGPD Cette annexe constitue une base de description du traitement. Elle doit être complétée par un accord de sous-traitance signé avec chaque agence. ## A.1. Parties - **Responsable du traitement :** l'agence immobilière identifiée dans le bon de commande ou dans l'accord de sous-traitance. - **Sous-traitant :** l'entité légale qui édite Atrium, identifiée à l'article 2. ## A.2. Objet Fourniture d'un service SaaS d'assistance à la réception, à l'extraction, à la structuration, à la vérification de cohérence et au pré-tri des candidatures locatives. ## A.3. Durée Pendant la durée du contrat et jusqu'à la restitution ou la suppression des données, sous réserve des obligations légales de conservation et des périodes techniques documentées. ## A.4. Nature des opérations - collecte ou réception de dossiers ; - hébergement temporaire et traitement des données structurées ; - extraction OCR et classification ; - contrôles de cohérence et calculs déterministes ; - production d'indicateurs d'aide au tri ; - transmission de notifications ; - accès, correction, export, restitution et suppression ; - journalisation de sécurité et gestion des incidents. ## A.5. Finalités Exécuter les instructions de l'agence afin de faciliter la gestion des candidatures locatives et de permettre à l'agence de prendre elle-même une décision locative humaine et conforme au droit applicable. ## A.6. Catégories de personnes concernées - candidats locataires ; - co-candidats ; - garants ; - membres du ménage lorsque leurs données figurent dans les documents ; - représentants ou Utilisateurs de l'agence ; - destinataires des communications liées au dossier. ## A.7. Types de données Données d'identification, coordonnées, adresse, composition du ménage, informations financières et professionnelles, données de documents d'identité, données de paie, données de compte ou de ressources, données de crédit, résultats d'extraction, statuts, signaux, scores d'aide au tri, historiques de relance, traces d'accès et données de sécurité. Les catégories particulières de données et les données relatives aux condamnations pénales ne doivent pas être collectées pour le tri locatif, sauf instruction licite, nécessité démontrée et garanties supplémentaires documentées par l'agence. ## A.8. Obligations d'Atrium Atrium s'engage à : 1. traiter les données uniquement sur instruction documentée ; 2. garantir la confidentialité des personnes autorisées ; 3. mettre en œuvre des mesures de sécurité adaptées au risque ; 4. informer l'agence de toute instruction manifestement contraire au RGPD ; 5. ne pas engager de sous-traitant ultérieur sans autorisation selon les modalités convenues ; 6. assister l'agence pour les demandes de droits, les violations de données, les analyses d'impact et les consultations préalables, lorsque cela est nécessaire ; 7. supprimer ou restituer les données au terme du service selon le choix de l'agence ; 8. mettre à disposition les informations nécessaires pour démontrer la conformité ; 9. permettre les audits proportionnés prévus par l'article 28 du RGPD ; 10. ne jamais utiliser les documents bruts ou les données extraites pour entraîner les modèles d'Atrium ou des fournisseurs d'API ; 11. faire détruire immédiatement les fichiers bruts après extraction par les API autorisées ; 12. signaler sans délai indu toute violation de données dont il prend connaissance. ## A.9. Obligations de l'agence L'agence s'engage à : 1. déterminer les finalités et les bases juridiques ; 2. informer les candidats de manière claire et accessible ; 3. limiter les données et documents demandés à ce qui est nécessaire et autorisé dans la Région concernée ; 4. vérifier la conformité de ses critères de sélection et de ses décisions ; 5. ne pas utiliser Atrium pour une décision exclusivement automatisée ou discriminatoire ; 6. instruire Atrium de supprimer les données lorsqu'une suppression est requise ; 7. gérer les demandes des candidats et les réclamations ; 8. réaliser, lorsque nécessaire, une analyse d'impact relative à la protection des données ; 9. vérifier les garanties et la localisation des sous-traitants ultérieurs ; 10. signaler à Atrium tout incident ou accès non autorisé. ## A.10. Sous-traitants ultérieurs à compléter La liste suivante doit être complétée et validée avant tout traitement en production : | Sous-traitant | Fonction | Données | Pays ou régions | DPA | Mécanisme de transfert | |---|---|---|---|---|---| | Cloudflare | Workers et infrastructure applicative | [à préciser] | [à préciser] | [à compléter] | [à compléter] | | Neon | Base de données | Données structurées | [à préciser] | [à compléter] | [à compléter] | | API PaddleOCR-VL | Extraction | Fichiers bruts temporaires | [à préciser] | [à compléter] | [à compléter] | | API Qwen 3.5 | Extraction ou analyse | Fichiers bruts temporaires | [à préciser] | [à compléter] | [à compléter] | Aucun fournisseur non listé ne peut recevoir de données de candidats avant validation de son rôle, de ses garanties, de sa localisation, de sa durée de conservation et de son engagement de non-entraînement. ## A.11. Mesures techniques et organisationnelles minimales - chiffrement TLS des flux ; - chiffrement au repos de la base de données ; - contrôle d'accès par rôle et par tenant ; - authentification robuste et gestion des sessions ; - séparation des environnements ; - gestion des secrets hors du code client ; - journalisation des accès de sécurité ; - limitation des données dans les logs ; - suppression des fichiers bruts après extraction ; - sauvegardes chiffrées, avec durée de conservation documentée ; - tests d'isolation entre agences ; - gestion des vulnérabilités et des incidents ; - procédures de restitution et de purge ; - revue régulière des sous-traitants et des droits d'accès.