Valevia — Accord de traitement des données (AVV)

Dernière mise à jour : 6 novembre 2026

Le présent AVV fait partie intégrante du Contrat d'abonnement SaaS (« Contrat ») entre Valevia et le Client.

---

1. Parties et qualités

---

2. Objet et durée

2.1 Objet

Valevia traite des données personnelles pour le compte du Client afin de fournir la plateforme Valevia, pour les finalités prévues à l'Annexe A (contenu immobilier) et à l'Annexe B (le courrier, la mémoire, les transactions et le dossier de lutte contre le blanchiment du Client). Chaque finalité indique les catégories de personnes concernées et de données personnelles, l'usage de services d'IA et les engagements qui lient Valevia. La manière dont chaque finalité est mise en œuvre est décrite dans les Détails des traitements (§3.4).

2.2 Durée

Le présent AVV s'applique pendant toute la durée du Contrat. Le traitement cesse à la résiliation, sous réserve des dispositions de conservation et de suppression prévues au §8.

---

3. Instructions

3.1 Instructions de traitement

Valevia ne traite les données personnelles que sur la base d'instructions documentées du Client, à savoir :

• Le Contrat et le présent AVV (les instructions initiales), et
• Toute instruction écrite ultérieure du Client (par e-mail ou configuration de la Plateforme).

3.2 Notification d'instructions illicites

Si Valevia estime qu'une instruction enfreint le RGPD ou une autre disposition applicable de droit de l'UE ou d'un État membre en matière de protection des données, Valevia en informe le Client sans délai injustifié. Valevia peut suspendre le traitement concerné jusqu'à ce que le Client confirme ou modifie l'instruction.

3.3 Absence d'usage indépendant

Valevia ne traite pas les données personnelles à d'autres fins que la fourniture du Service, et ne vend, ne loue ni ne partage les données personnelles, hormis avec des sous-traitants ultérieurs dans les conditions prévues par le présent AVV.

3.4 Nouvelles fonctionnalités au sein d'une finalité

Le Service évolue souvent. Valevia peut ajouter ou modifier une fonctionnalité sans nouvelle version du présent AVV lorsque la fonctionnalité (a) sert une finalité prévue à l'Annexe B, (b) ne traite que les catégories de données personnelles, relatives aux catégories de personnes concernées, que l'Annexe B énumère pour cette finalité, (c) n'utilise un service d'IA que de la manière que l'Annexe B décrit pour cette finalité, (d) respecte chaque engagement pris à l'Annexe B et au §7, et (e) ne conserve pas les données plus longtemps que le §8.1 ne le prévoit pour leur catégorie. Valevia décrit chaque fonctionnalité dans ses Détails des traitements, publiés à l'adresse platform.valevia.eu/dpa/details et tenus à jour, avec la date de chaque modification. Les Détails des traitements expliquent la manière dont le présent AVV est mis en œuvre ; ils ne l'étendent jamais, et en cas de divergence entre eux et le présent AVV, le présent AVV prévaut.

Tout autre changement — une nouvelle finalité, une nouvelle catégorie de données personnelles ou de personnes concernées, un nouvel usage d'un service d'IA, une durée de conservation plus longue ou un engagement affaibli — est proposé sous la forme d'une fonctionnalité que le titulaire du compte du Client peut activer. Le Service montre ce que la fonctionnalité traite avant qu'elle soit activée ; l'activer vaut instruction du Client et acceptation du texte correspondant, et la fonctionnalité ne traite aucune donnée du Client auparavant. Un changement qui ne peut être proposé sous la forme d'une activation ne prend effet pour le Client qu'avec son consentement exprès au titre de l'article 10.3 des Conditions. Un sous-traitant ultérieur nouveau ou remplacé suit le §5.3.

---

4. Confidentialité

4.1 Personnel

Valevia s'assure que les personnes autorisées à traiter des données personnelles sont liées par des obligations de confidentialité appropriées et ne traitent les données personnelles que sur instruction.

4.2 Contrôles d'accès

• L'accès à la Plateforme requiert une session authentifiée (mots de passe hachés et sessions fondées sur des jetons JWT).
• Les communications service-à-service utilisent des secrets partagés (clés d'API / signatures HMAC).
• Aucun membre du personnel de Valevia n'accède aux données personnelles du Client, sauf si nécessaire au support ou à la réponse à incident, ou sur instruction du Client.

4.3 Accès au titre du support

Afin de fournir une assistance, de diagnostiquer des incidents et d'assurer la maintenance et l'amélioration du Service — y compris l'examen du bon déroulement de la prise en main par un nouveau Client —, le personnel autorisé de Valevia peut accéder à l'espace de travail du Client, y compris au moyen d'un mode « affichage en tant que » qui présente le compte tel que le Client le voit, et utiliser des outils internes, y compris des outils assistés par l'IA, pour analyser l'utilisation du Service par le Client. Cet accès est limité à ce qui est nécessaire à la finalité indiquée, réalisé uniquement par du personnel autorisé soumis aux obligations de confidentialité de la section 4.1, et consigné dans un journal d'accès indiquant la personne agissant, le compte client consulté et l'horodatage ; l'accès au moyen d'outils internes consigne en outre la finalité déclarée. Les résultats de ces analyses qui quittent l'environnement de production de Valevia se limitent à des décomptes, des catégories, des indications temporelles et des identifiants pseudonymisés ; ils ne contiennent jamais le contenu des communications du Client, ni les noms ou coordonnées de personnes. Valevia n'utilise pas cet accès pour lire les communications du Client, sauf lorsque cela est nécessaire pour résoudre une demande de support ou un problème de sécurité spécifique.

---

5. Sous-traitants ultérieurs

5.1 Sous-traitants autorisés

Le Client donne une autorisation écrite générale à Valevia pour engager des sous-traitants ultérieurs. La liste à jour — l'identité de chaque sous-traitant ultérieur, sa localisation, le traitement qu'il effectue et les catégories de données — est publiée à l'adresse platform.valevia.eu/dpa/sub-processors et tenue à jour.

5.2 Obligations imposées aux sous-traitants

Valevia s'assure que chaque sous-traitant ultérieur est lié par des obligations de protection des données au moins aussi protectrices que le présent AVV, présente des garanties suffisantes de mesures techniques et organisationnelles appropriées, et traite les données au sein de l'EEE ou dans le cadre d'un mécanisme de transfert adéquat (§6).

5.3 Notification des changements

Valevia notifie le Client au moins 30 jours à l'avance de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur, par e-mail au titulaire du compte du Client et dans le Service, en précisant son identité, sa localisation, la nature du traitement et les catégories de données. Le Client peut s'y opposer pendant le délai de préavis ; Valevia n'utilise alors pas le nouveau sous-traitant ultérieur pour les données du Client et, si elle ne peut raisonnablement fournir sans lui la composante de Service concernée, l'une ou l'autre partie peut résilier cette composante. Une fonctionnalité qui repose sur le nouveau sous-traitant ultérieur ne traite les données du Client qu'une fois le délai de préavis écoulé sans opposition du Client, ou plus tôt si le titulaire du compte du Client a indiqué par écrit à Valevia que le Client accepte le changement.

5.4 Responsabilité

Valevia demeure responsable des actes et omissions de ses sous-traitants ultérieurs comme des siens.

---

6. Transferts internationaux

6.1 Traitement au sein de l'EEE

Les données personnelles sont hébergées et traitées au sein de l'Espace économique européen (EEE), principalement dans les régions de l'UE de Microsoft Azure. Le traitement par Azure OpenAI a lieu dans le cadre de la frontière de données UE de Microsoft.

6.2 Transferts hors EEE

Certains sous-traitants ultérieurs sont établis hors EEE (par exemple aux États-Unis). Lorsqu'ils traitent des données personnelles, Valevia s'appuie sur :

• le EU-US Data Privacy Framework, lorsque le sous-traitant est certifié ;
• les clauses contractuelles types (décision (UE) 2021/914 de la Commission) ; et
• des mesures supplémentaires appropriées (par ex. chiffrement en transit, suppression des identifiants personnels).

6.3 Statut actuel des transferts

La liste des sous-traitants ultérieurs publiée au titre du §5.1 constitue la source faisant foi et à jour de ces informations.

---

7. Mesures de sécurité

7.1 Mesures techniques (article 32 du RGPD)

Chiffrement

• En transit : TLS 1.2+ sur tous les points d'accès (HTTPS uniquement).
• Au repos : AES-256 (Azure Storage et Azure Database for PostgreSQL).
• Secrets : Azure Key Vault.
• La partie de lutte contre le blanchiment des documents conservés avec une transaction (Annexe B, finalité B4) : chiffrée au repos avec une clé dédiée que Valevia gère dans son propre Azure Key Vault (clé gérée par le client au sens d'Azure), et non avec les clés propres du service de stockage ; leur partie transaction est chiffrée comme ci-dessus.

Contrôle d'accès

• Accès basé sur les rôles (admin / membre) avec cloisonnement multi-locataire.
• Authentification service-à-service par clés d'API (signées HMAC).
• Authentification utilisateur par hachage de mot de passe conforme à l'état de l'art.
• Limitation de débit et quotas d'usage sur les points d'authentification et d'IA (par ex. 5 connexions échouées / 15 minutes).

Réseau

• Points d'accès privés pour la base de données (non exposée à l'Internet public) et isolation par réseau virtuel en production.
• Liste blanche des destinations sur la passerelle de comptage pour prévenir l'usage en proxy ouvert.

Surveillance et audit

• Journalisation d'audit des actions utilisateurs clés (connexion, accès aux données, approbations, modifications).
• Journal d'audit consigné en mode ajout uniquement au niveau applicatif, conservé dans Azure Blob Storage, ainsi qu'un journal d'audit PostgreSQL.
• Journal d'accès au niveau du stockage : chaque lecture, écriture et suppression de données du Client dans le stockage est consignée (identité, horodatage, objet) et conservée 12 mois ; l'accès au moyen d'outils internes consigne en outre la finalité déclarée.
• Chaque ouverture d'un document conservé avec une transaction (Annexe B, finalités B3 et B4) est inscrite au journal d'audit (qui, quand, quel document — jamais son contenu).
• Télémétrie Application Insights pour la surveillance opérationnelle.

7.2 Mesures organisationnelles

• Minimisation des données — seules les données nécessaires au Service sont traitées.
• Limitation des finalités — les données sont traitées exclusivement pour les fonctions du Service contracté.
• Suppression des identifiants — les identifiants personnels courants (par ex. numéros de téléphone, numéros de compte) sont retirés du contenu des e-mails et du texte des pièces jointes avant la classification par IA, ainsi que des événements analytiques ; les images et les scans de documents ainsi que les numéros de pièces d'identité ne sont jamais transmis à une IA (Annexe B, engagements communs à toutes les finalités).
• Pseudonymisation — les fils de conversation sont référencés par un hachage à sens unique dans l'analytique, et non par adresse e-mail ou objet.
• Séparation des environnements — les environnements de production, de recette et de test sont isolés (groupes de ressources Azure, bases de données et coffres de clés distincts).

Aucune méthode de transmission ou de stockage n'est totalement sûre ; Valevia maintient des mesures adaptées au risque mais ne peut garantir une sécurité absolue.

7.3 Description des mesures

Les mesures du présent §7 et des Annexes B et C décrivent la manière dont Valevia protège les données personnelles à la date de la présente version. Valevia peut remplacer ou modifier une mesure — un outil, une méthode, une fréquence ou un réglage technique — à condition que la nouvelle mesure offre un niveau de protection au moins équivalent et que le niveau global de sécurité au sens de l'article 32 du RGPD ne soit pas réduit. L'engagement qu'une catégorie de données n'est jamais transmise à un service d'IA, jamais utilisée pour une finalité ou jamais montrée à une personne n'est pas une mesure à ce titre et ne change pas en vertu du présent §7.3. Le présent §7.3 ne permet pas non plus à Valevia de traiter une nouvelle catégorie de données personnelles, pour une nouvelle finalité ou par un nouveau sous-traitant ultérieur : un tel changement suit les §3 et §5. Valevia tient à jour une description de ses mesures et la communique au Client sur demande.

---

8. Conservation et suppression des données

8.1 Pendant la durée du Contrat

Valevia ne conserve les données personnelles que le temps nécessaire à la fourniture du Service, ou aussi longtemps que la loi l'exige :

Comment les données arrivent au terme de leur durée (§8.1). La suppression selon les durées ci-dessus suit un cycle mensuel : le premier jour du mois, le titulaire du compte du Client est informé — dans le Service et par e-mail — du nombre de données du Client qui atteindront le terme de leur durée au quinze, afin que le Client puisse d'abord les exporter ; le quinze, exactement ces données sont supprimées. Une donnée est donc supprimée dans un délai d'environ un mois après le terme de sa durée, avec un préavis d'au moins 14 jours. Une exécution qui supprimerait une part inhabituellement élevée des personnes ou des dossiers de transaction du Client ne supprime rien pour le Client et est vérifiée par Valevia avant l'exécution du mois suivant. Lorsqu'une personne qui a demandé à ne plus être contactée est supprimée, Valevia conserve, jusqu'à la fin du Contrat, une empreinte à clé de chacune de ses adresses e-mail et de chacun de ses numéros de téléphone, avec la date — sans nom ni adresse en clair — uniquement pour que l'opposition continue d'être respectée si la personne réapparaît (article 21, paragraphe 3, du RGPD). Aucun consentement d'une personne concernée ne prolonge ces durées.

Une fonctionnalité ajoutée au titre du §3.4 conserve les données qu'elle traite pendant la durée prévue pour leur catégorie dans le tableau ci-dessus. Une nouvelle catégorie, ou une durée plus longue, constitue une nouvelle version du présent AVV (§3.4).

8.2 Lors de la résiliation

Au choix du Client, Valevia restitue ou supprime les données personnelles du Client à la résiliation, comme suit :

1. Fenêtre d'export — pendant une période limitée après la résiliation (généralement 30 jours), le Client peut demander un export (« restitution ») de son contenu (données de biens, annonces, contenus marketing) par e-mail à contact@valevia.eu.
2. Suppression — Valevia supprime ensuite les données personnelles du Client d'Azure Blob Storage et des bases PostgreSQL dans un délai raisonnable, et révoque les jetons d'accès et sessions associés.
3. Confirmation — Valevia fournit, sur demande du Client, une confirmation écrite de la suppression.
4. Exceptions — les données dont la conservation est imposée par la loi (par ex. les documents de facturation ci-dessus) et une trace minimale attestant que la suppression a eu lieu (sans données personnelles) sont conservées pendant leur durée applicable dans un stockage à accès restreint.

Export à tout moment. Pendant la durée du Contrat, le titulaire du compte du Client peut aussi télécharger, à tout moment, un export complet des données du Client dans un format lisible par machine (Paramètres → Données, « Tout exporter ») ; chaque export est consigné dans le journal d'audit.

Suppression demandée dans le Service. Le Client peut aussi demander lui-même la suppression, à tout moment, dans le Service (Paramètres → Données), le titulaire du compte saisissant à nouveau son mot de passe. Avant confirmation, le Service propose un export complet des données du Client dans un format lisible par machine. La suppression intervient quatorze (14) jours après la demande, délai pendant lequel le Client peut l'annuler ; Valevia confirme la demande et son exécution par e-mail au titulaire du compte et met fin à l'abonnement du Client avant la suppression. Après suppression, Valevia ne conserve qu'une trace, sans nom, de la demande et de son exécution (trois (3) ans) et les factures qu'elle est légalement tenue de conserver.

8.3 Mécanisme de suppression

La suppression est effectuée par la suppression des enregistrements dans PostgreSQL (suppression définitive), la suppression des blobs associés dans Azure Storage, et la révocation des jetons d'accès et sessions.

---

9. Droits des personnes concernées

9.1 Assistance

Compte tenu de la nature du traitement, Valevia assiste le Client pour répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité, limitation, opposition) en fournissant les moyens techniques d'exporter les données, en donnant suite sans délai injustifié aux instructions du Client de supprimer des enregistrements spécifiques, et en fournissant les informations utiles sur le traitement.

Lorsque le Client donne instruction à Valevia d'effacer une personne, Valevia supprime aussitôt la fiche de cette personne et tout ce qui est consigné à son sujet, chaque message reçu d'elle et chaque message que le Client a envoyé à elle seule, avec leurs pièces jointes et brouillons ; un message qui concerne aussi d'autres personnes est conservé pour elles et n'est plus rattaché à la personne effacée. Les données que le Client doit conserver en application du droit de la lutte contre le blanchiment (une transaction terminée, pendant sa durée de conservation) sont conservées, sans plus être rattachées à la personne effacée, et supprimées au terme de cette durée. Valevia refuse l'effacement d'une partie à une transaction non terminée tant que le Client n'a pas clôturé la transaction ou retiré la partie. Pour respecter l'effacement, Valevia conserve une empreinte à clé de chaque adresse e-mail et de chaque numéro de téléphone de la personne effacée et la date de l'effacement — jamais l'adresse ou le numéro en clair — et ne l'utilise que pour écarter, lors d'un import ultérieur, les messages antérieurs à l'effacement ; ces empreintes sont supprimées avec les données du Client à la résiliation.

9.2 Demandes directes

Si Valevia reçoit directement une demande d'une personne concernée, elle redirige sans délai injustifié la personne vers le Client et notifie le Client, et ne répond pas autrement sans les instructions du Client (sauf à accuser réception et rediriger).

---

10. Violation de données à caractère personnel

10.1 Notification au Client

Valevia notifie le Client sans délai injustifié après avoir pris connaissance d'une violation de données à caractère personnel affectant les données personnelles du Client, et fournit (dans la mesure du possible) : la nature de la violation ainsi que les catégories et le nombre approximatif de personnes concernées ; un point de contact ; les conséquences probables ; et les mesures prises ou proposées pour y remédier et en atténuer les effets.

10.2 Communication continue

Valevia fournit des mises à jour à mesure que son enquête progresse, coopère avec les obligations de notification propres du Client (articles 33 et 34 du RGPD), et documente la violation (faits, effets, mesures correctrices).

10.3 Obligations du Client

Le Client reconnaît qu'en sa qualité de responsable, il doit notifier son autorité de contrôle dans les 72 heures lorsque cela est requis (article 33 du RGPD). La notification rapide de Valevia vise à lui donner suffisamment de temps pour respecter cette obligation.

---

11. Droits d'audit

11.1 Droit d'audit

Le Client (ou un auditeur indépendant qu'il désigne, tenu à la confidentialité) peut auditer la conformité de Valevia au présent AVV moyennant un préavis écrit de 30 jours, au maximum une fois par an (sauf survenance d'une violation ou exigence d'une autorité de contrôle), pour une portée et une durée raisonnables. Valevia peut facturer des frais raisonnables lorsque le soutien à l'audit excède un jour ouvré.

11.2 Documentation en premier lieu

Valevia peut satisfaire une demande d'audit, en premier lieu, en fournissant sa documentation des mesures techniques et organisationnelles, ses éléments de diligence raisonnable concernant les sous-traitants ultérieurs, et les synthèses de toute évaluation indépendante de sécurité, lorsqu'elles sont disponibles.

---

12. Analyse d'impact relative à la protection des données

Lorsque le Client doit effectuer une AIPD au titre de l'article 35 du RGPD, Valevia fournit une assistance raisonnable, comprenant une description des opérations de traitement, les mesures techniques et organisationnelles en place, et les informations utiles sur les risques.

Recommandation : une AIPD est probablement appropriée pour la messagerie, compte tenu du traitement systématique de communications et de la classification assistée par IA d'une correspondance pouvant contenir des données financières et d'autres données personnelles. Voir l'Annexe B.

---

13. Droit applicable

Le présent AVV est régi par le droit de la République fédérale d'Allemagne et par le RGPD. L'autorité de contrôle compétente pour Valevia est le Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP), Hintere Bleiche 34, 55116 Mainz — datenschutz.rlp.de. Les personnes concernées peuvent également introduire une réclamation auprès de leur autorité nationale (par ex. CNPD au Luxembourg, APD/GBA en Belgique, CNIL en France, ICO au Royaume-Uni).

---

Annexe A — Détails du traitement Génération de contenu immobilier

Catégories de personnes concernées

• Vendeurs de biens (dont les biens sont commercialisés)
• Agents immobiliers (dont les noms/coordonnées figurent dans les contenus marketing)
• Acheteurs/prospects (lorsque leurs noms figurent dans les notes du bien fournies par le Client)

Catégories de données personnelles

Finalité du traitement

• Générer des descriptions multilingues de biens.
• Générer des contenus visuels marketing (visuel principal, carrousel, reel, story).
• Présenter les contenus pour revue et approbation humaine.
• Publier les contenus approuvés sur les comptes sociaux connectés du Client (et, si le Client l'active, un CRM).
• Suivre les indicateurs ROI et de pipeline (agrégés/anonymisés).

Données sensibles

La génération de contenu immobilier ne traite pas intentionnellement de données de catégories particulières. Les images de biens peuvent contenir incidemment des visages ou, sur les photos d'environnement, des lieux de culte ; ces éléments sont traités exclusivement à des fins de marketing visuel et ne sont pas utilisés à des fins de profilage ou d'identification.

---

Annexe B — Le courrier, la mémoire, les transactions et le dossier LBC du Client

L'Annexe B présente un risque de protection des données plus élevé que l'Annexe A. Elle traite la correspondance entre l'agence du Client et des tiers (prospects, acheteurs, vendeurs, locataires, autres professionnels), les fiches que le Client tient à leur sujet et les pièces de ses transactions.

L'Annexe B est organisée par finalité. Pour chaque finalité : ce que fait Valevia, les données de qui et lesquelles, ce que fait un service d'IA, et les engagements qui lient Valevia. Un engagement qu'une chose n'est jamais faite vaut pour toute fonctionnalité, présente et future, et ne change que par une nouvelle version du présent AVV (§3.4). Le service d'IA est Azure OpenAI, dans le cadre de la frontière de données UE de Microsoft (§6.1), sauf indication contraire. La manière dont chaque finalité est mise en œuvre est décrite dans les Détails des traitements (§3.4).

Catégories de personnes concernées

• Prospects et leads, acheteurs et vendeurs, locataires
• Contacts professionnels (notaires, courtiers en crédit, autres agents)
• Salariés du Client (dont les boîtes e-mail sont traitées)
• Parties à une transaction traitée par le Client, leurs représentants et, pour une société, ses bénéficiaires effectifs (dossiers de transaction, finalité B3)
• Les personnes que le Client désigne dans son dispositif LBC-FT — son responsable LBC-FT et, pour un Client en France, son déclarant et son correspondant TRACFIN (finalité B4)
• Candidats à la location d'un bien que le Client donne en location (dossiers de candidats locataires, finalité B3)
• Personnes enregistrées dans les anciens outils du Client dont le Client importe les fiches (finalité B2)
• L'interlocuteur d'une conversation WhatsApp qu'un utilisateur du Client ajoute (finalité B2)
• Visiteurs du site du Client qui écrivent par son formulaire de contact ou son formulaire propriétaire (finalité B1)
• Vendeurs auxquels le Client remet un lien propriétaire (finalité B5)
• Les personnes qui signent un document que l'agent du Client envoie en signature électronique — les parties à la transaction et, lorsqu'ils signent, les propres utilisateurs du Client (finalité B3)
• Les utilisateurs du Client, sous un pseudonyme propre à chaque connexion, dans le relevé des étapes effectuées dans le compte du Client (finalité B6)

Catégories de données personnelles

Engagements communs à toutes les finalités

• Les identifiants de contact et d'identité — numéros de téléphone, adresses e-mail, numéros de compte, de carte, de pièce d'identité, d'identification nationale et de paiement, dates de naissance et autres numéros longs — sont retirés de tout texte avant qu'un service d'IA ne le lise. Les noms de personnes et les adresses ne sont pas retirés, car une IA en a besoin pour produire un résultat pertinent.
• Les images et les scans ne sont jamais transmis à un service d'IA. Les numéros de pièces d'identité ne sont jamais transmis à un service d'IA ; un numéro d'identification national n'est jamais transmis, conservé ni affiché.
• Valevia n'envoie, ne publie, ne classe ni ne réserve rien pour le compte du Client sans une action d'un utilisateur du Client. Elle ne répond jamais automatiquement.
• Rien de ce qui est dérivé des données du Client — un fait, une fiche, une synthèse — ne contient de données de catégories particulières ni de données relatives aux condamnations pénales ; lorsque de telles données figurent dans ce qu'une personne a écrit, elles ne restent que dans ce message, cette note ou cette conversation et sont supprimées avec lui.
• Valevia ne produit, ne conserve ni n'affiche aucune mesure de l'activité ou des performances d'un salarié pris individuellement ; les chiffres décrivent l'agence du Client dans son ensemble.
• Les données du Client ne sont jamais partagées avec un autre Client ni montrées à un autre Client ; seuls des totaux anonymes, les petits groupes étant supprimés, sont combinés entre Clients (« Données anonymisées et agrégées »).
• Valevia ne se connecte jamais à un compte de messagerie et ne lit jamais le compte de messagerie personnel d'un salarié.

B1. Lire et organiser le courrier du Client

Objet. Valevia reçoit les e-mails des boîtes que le Client connecte (Microsoft, Google, IMAP) et des formulaires du site du Client, rattache chaque message à la personne, au bien et à la transaction qu'il concerne, le classe, rédige un projet de réponse dans le ton et la langue du Client et le présente à l'agent du Client, qui le modifie et l'envoie. Si le Client l'active, Valevia lit l'agenda d'une boîte connectée pour les visites, les estimations et les signatures, et ajoute un rendez-vous à l'agenda propre de l'utilisateur lorsque celui-ci clique pour le faire. Un message dont Valevia ne détient plus le texte peut être ouvert à nouveau depuis la boîte du Client.

Personnes concernées. Les correspondants du Client (prospects, acheteurs, vendeurs, locataires, bailleurs, contacts professionnels), les salariés du Client dont les boîtes sont connectées et les visiteurs qui écrivent par le site du Client.

IA. Un service d'IA lit le texte expurgé d'un message pour le classer, trouver ce qu'il concerne et rédiger une réponse.

Engagements.

• Une boîte n'est lue qu'une fois connectée par son utilisateur ou par le titulaire du compte du Client ; le titulaire du compte décide si les autres utilisateurs peuvent connecter la leur et peut les déconnecter. Le Client peut déconnecter toute boîte à tout moment.
• Un message ouvert à nouveau depuis la boîte est montré à l'utilisateur qui l'a ouvert puis écarté — jamais écrit dans le stockage, les journaux ou les caches de Valevia. Seul un message déjà présent dans le relevé du Client peut être ouvert ainsi, depuis une boîte que le Client a connectée et que l'utilisateur peut voir ; chaque ouverture est journalisée, jamais son texte.
• Un agenda n'est lu qu'une fois que le titulaire du compte du Client l'a activé pour une boîte et que l'utilisateur de cette boîte a accordé l'autorisation. D'un agenda, seuls les visites, les estimations et les signatures sont conservés — leur type, leur heure de début, les adresses extérieures invitées, la référence de l'annonce et leur éventuelle annulation ; le titre et le lieu d'un rendez-vous ne servent qu'à le reconnaître et ne sont pas conservés, et sa description, ses notes et ses pièces jointes ne sont jamais lues. Un rendez-vous n'est ajouté que sur le clic de l'utilisateur, à son propre agenda ; par cette autorisation, Valevia ne lit, ne modifie ni ne supprime jamais un rendez-vous, n'invite personne et n'en garde aucune copie — seulement une trace qu'un rendez-vous a été ajouté.
• D'un formulaire du site, Valevia conserve ce que le visiteur a saisi et la page d'où il provient — aucune adresse IP, aucun identifiant de navigateur ; un formulaire propriétaire ne demande, n'affiche ni ne promet jamais un prix ou une valeur ; le spam est filtré par des règles, sans aucun service extérieur. Le Client informe les visiteurs de son site sur son site.
• Un rapport d'activité par bien ne contient que des décomptes, jamais le contenu d'un message. L'analytique du courrier ne contient que la catégorie et la priorité d'un message et un hachage à sens unique de sa conversation — jamais une adresse e-mail, un objet ni un contenu.

Ce qui revient au Client. Le Client obtient l'autorisation appropriée de ses salariés avant que leurs boîtes soient connectées, et informe ses contacts que sa correspondance peut être traitée, y compris par IA, afin de la classer et de tenir un relevé des personnes avec qui le Client a échangé, quand et au sujet de quel bien.

B2. Tenir la mémoire du Client sur les personnes, les biens et les transactions

Objet. À partir du courrier du Client, passé et présent, et de ce que ses utilisateurs ajoutent — notes, notes dites, une conversation WhatsApp exportée à la fois, fiches importées de ses anciens outils, champs qu'il crée —, Valevia tient pour le Client une fiche de chaque personne, bien et transaction : qui a écrit, quand et à quel sujet, les faits énoncés, et les propres chiffres du Client (honoraires, prix demandés). Elle montre au Client ce qui demande son attention et rapproche les personnes et les biens. Lorsque le Client connecte une boîte, Valevia lit son courrier passé sur la période choisie, au plus 36 mois.

Personnes concernées. Comme en B1, ainsi que les personnes enregistrées dans les anciens outils du Client et dans les conversations et notes que les utilisateurs du Client ajoutent.

IA. Un service d'IA lit le texte expurgé d'un message, d'une note ou d'une conversation pour trouver les faits qu'il énonce ; il transcrit en texte les propres mots dits par un utilisateur.

Engagements.

• Un fait énoncé est un choix fixe, une date, un montant ou un nom tel qu'écrit — jamais un texte libre — et est conservé avec le message, la note ou la conversation dont il provient, que le Client peut ouvrir ; le Client peut corriger tout fait et la correction est conservée. Une raison sensible donnée par un vendeur n'est consignée que comme « autre ».
• Du courrier passé, seuls les en-têtes et les champs structurés des messages générés par un système sont conservés, et ses pièces jointes ne sont jamais lues. Son texte n'est conservé, expurgé et chiffré, que jusqu'à ce que sa conversation ait été lue pour les faits qu'elle énonce — par rien d'autre — et jamais plus de 7 jours, sauf le texte d'un message qu'un fait énoncé cite, conservé 12 mois à compter de la date du message. Un message dont le titulaire de la boîte a marqué l'objet comme privé est ignoré. La personne qui a connecté une boîte, ou le titulaire du compte du Client, peut en arrêter l'import à tout moment ; l'arrêt ou la suppression d'un import, ou la désactivation de sa lecture, supprime tout texte encore conservé.
• Une conversation ne parvient à Valevia que lorsqu'un utilisateur l'ajoute : une conversation, son seul texte — aucune photo, note vocale ni autre média, aucune conversation de groupe, pas le nom du titulaire du téléphone — et jamais modifiée.
• Un enregistrement fait pour dicter est la seule voix de l'utilisateur — jamais un appel, jamais la voix d'une autre personne —, n'est jamais conservé et dure au plus 5 minutes ; rien n'est fait en raison de ce qui a été dit.
• Les propres mots du Client dans une conversation ne sont jamais consignés comme ceux de l'autre personne.
• Un enregistrement n'est entendu ou vu que par l'utilisateur qui l'a fait.
• L'auteur d'une note n'est conservé que pour l'audit. Les notes sont données au rédacteur de brouillons comme contexte et ne sont jamais citées à quiconque ; un compte rendu de visite utilisé pour le point au vendeur ne nomme jamais le visiteur. Le Service avertit lorsqu'une note semble contenir des données de catégories particulières, et règle sur « ne pas importer » une colonne d'import dont le nom évoque de telles données. La suppression d'une note ou d'une conversation retire les faits qu'elle a apportés.
• Seul le titulaire du compte du Client importe des fichiers. Une liste d'oppositions ou un registre des mandats n'est lu que pour les colonnes nécessaires — pour un mandat, l'adresse e-mail du propriétaire, ses dates, l'exclusivité, le statut, le prix demandé, la localité et le type de bien — et une personne connue uniquement par un tel fichier est conservée sous la seule forme de son adresse e-mail. Un fichier d'import téléversé est conservé au plus 30 jours ; l'annulation d'un import retire tout ce qu'il a apporté, sauf les oppositions. Une personne qui s'est opposée reste marquée comme à ne pas contacter, y compris après la suppression de l'import. Ce qui est partagé entre Clients pour aider un import ultérieur est le format d'un fichier — noms de colonnes et libellés de valeurs, jamais une colonne au nom générique —, jamais une valeur d'une ligne, et il n'est que proposé, jamais appliqué sans que l'autre Client vérifie ses propres lignes d'exemple.
• Rien dans les suggestions, le rapprochement ou les brouillons du Service ne dépend d'un champ créé par le Client.
• Les chiffres du Client sont ceux qu'il a fixés ou que sa correspondance énonce — jamais une valeur calculée ou estimée. Valevia n'émet aucune facture pour le compte du Client.

B3. Les dossiers de transaction et les pièces d'une transaction

Objet. Pour chaque transaction, Valevia tient un dossier de transaction : son étape et ses dates, les pièces qu'elle exige et la date d'arrivée de chacune. Elle reconnaît les pièces qui arrivent par e-mail ou que les utilisateurs ajoutent, en conserve les valeurs dont la transaction a besoin avec leur source, vérifie ce qu'énonce une pièce au regard d'une courte liste, remplit les modèles propres du Client et les documents standard de Valevia avec des valeurs que l'agent du Client a vérifiées, et conserve les documents de la transaction avec celle-ci. Pour un bien que le Client donne en location, elle regroupe les pièces de chaque candidat en un dossier. Sur instruction de l'agent du Client, Valevia envoie un document de la transaction en signature électronique simple : elle le convertit en PDF dans son propre environnement, y ajoute une page pour les signatures et l'envoie, avec le nom, l'adresse e-mail et le numéro de mobile de chaque signataire, au service de signature électronique, qui renvoie un lien de signature pour chaque signataire ; Valevia place chaque lien dans un e-mail rédigé dans la propre boîte de l'agent, que l'agent envoie. Chaque signataire confirme par un code envoyé par SMS ou par e-mail et signe sur la page du service. Lorsque tous les signataires ont signé, Valevia classe le document signé et son dossier de preuve avec la transaction.

Personnes concernées. Les parties à une transaction, leurs représentants et, pour une société, ses bénéficiaires effectifs ; les candidats à la location d'un bien que le Client donne en location ; les personnes qui signent un document que l'agent du Client envoie en signature électronique.

IA. Un service d'IA lit le texte expurgé d'une pièce qui porte du texte pour trouver sa nature, ses dates et les faits qu'elle énonce, et lit une fois un modèle vierge pour proposer quelle valeur va dans chaque blanc. Aucun service d'IA ne prend part à une signature électronique.

Engagements.

• Le texte d'une pièce est extrait, et reconnu dans un scan, dans l'environnement propre de Valevia ; le numéro, le nom du titulaire et la date d'expiration d'une pièce d'identité y sont lus dans ses lignes lisibles par machine, jamais par un service d'IA.
• D'une pièce, Valevia conserve chaque valeur avec sa pièce, sa page et le passage — jamais le texte de la pièce.
• Une vérification est une information, pas un conseil : elle montre ce qu'une pièce énonce ou non et n'affirme jamais qu'une pièce, une clause ou une transaction est conforme ou licite, ne bloque rien et ne recommande rien.
• Valevia n'écrit aucune clause, ne propose aucune formulation et ne fournit aucun modèle de contrat ; elle ne remplit que les blancs que le Client a associés, avec des valeurs que l'agent du Client a vérifiées. Tant que chaque blanc requis n'est pas rempli et que l'agent n'a pas confirmé les valeurs, seul un brouillon à l'écran est montré, jamais un fichier.
• Les documents sont produits dans l'environnement propre de Valevia ; aucun autre service ne les reçoit, sauf le service de signature électronique pour un document que l'agent du Client envoie en signature (ci-dessous). Valevia ne joint une pièce ou un document à un e-mail que sur action de l'agent du Client, chaque fichier étant listé avant l'envoi.
• Les documents conservés avec une transaction sont tenus dans un espace distinct de toutes les autres données ; chaque ouverture est journalisée.
• Un candidat locataire n'est jamais noté, classé, recommandé, écarté ni masqué ; d'une fiche de paie, d'un contrat ou d'un avis d'imposition, seules la nature et la période couverte sont consignées — aucun revenu, employeur, ratio, nationalité, âge, situation familiale, état de santé ni autre situation n'est consigné ou déduit. Les dossiers des candidats sont tenus à l'écart et ne sont jamais utilisés pour le rapprochement, la prospection ou l'analytique ; le document assemblé pour le bailleur ne contient que les pièces de la liste du Client ; un candidat non retenu n'est conservé en vue de futures locations qu'avec son accord, et alors uniquement ses coordonnées, ses critères et la date de son accord.
• Signature électronique. Un document n'est envoyé en signature que sur action de l'agent du Client, aux signataires que l'agent confirme, et seulement une fois que le §5.3 permet au service de signature électronique de traiter les données du Client. Le service reçoit le document ainsi que le nom, l'adresse e-mail et le numéro de mobile de chaque signataire, et aucune autre donnée personnelle. Valevia ne modifie rien dans le document ; elle n'y ajoute qu'une page pour les signatures. Le document signé et son dossier de preuve sont conservés comme les documents conservés avec la transaction (§8.1) ; le service conserve son dossier de preuve 10 ans après la signature, afin que la signature puisse être prouvée. Une signature électronique simple ne vérifie pas l'identité d'un signataire ; le choix de l'utiliser pour un document donné appartient au Client.

B4. Le dossier de lutte contre le blanchiment du Client

Objet. Pour le volet LBC de chaque dossier de transaction, Valevia remplit les fiches d'identification, la déclaration du client et la fiche d'évaluation des risques du Client à partir de valeurs que l'agent du Client vérifie ; filtre les parties au regard des listes officielles de sanctions et, par Didit, des données sur les personnes politiquement exposées ; rédige, à partir de décomptes des propres dossiers de transaction du Client et de ses réponses, l'évaluation des risques de l'agence et sa politique LBC-FT, que le titulaire du compte approuve ; et, sur instruction de l'agent du Client, envoie la déclaration du client en signature électronique comme le décrit B3.

Personnes concernées. Comme en B3 pour les parties filtrées, ainsi que les personnes que le Client désigne dans son dispositif LBC-FT.

IA. Aucune. Aucune pièce ni aucun document du volet LBC n'est lu par un service d'IA ; le filtrage et la rédaction de l'évaluation des risques et de la politique se font par des règles, dans l'environnement de Valevia.

Engagements.

• Le volet LBC sert uniquement au dossier LBC du Client. Rien de ce qu'il contient n'est utilisé pour la mémoire du Client (B2), le rapprochement, la prospection, l'analytique ni aucune autre finalité. Une pièce de nature LBC n'est consignée que dans le volet LBC ; une pièce qui sert aux deux volets — une lettre d'accord de prêt — est consignée dans le volet LBC, et la transaction ne garde que le fait que le prêt a été accordé et son échéance.
• D'une pièce LBC, Valevia ne conserve que le fait que chaque champ a été trouvé ou non — jamais une valeur ni un numéro — et ne relit les valeurs dans la pièce que pour générer un document, puis les supprime une fois celui-ci généré.
• Les documents du volet LBC sont chiffrés avec une clé dédiée que gère Valevia ; le personnel de Valevia ne les ouvre pas, ni au titre du §4.3 ni autrement, sans instruction écrite du Client pour une question précise, et les outils internes de Valevia n'en voient que le nombre, la taille et les dates.
• Le filtrage au regard des listes de sanctions n'envoie aucune donnée d'une partie hors de l'environnement de Valevia. Une correspondance possible n'est montrée que sur l'écran de revue, avec l'entrée de liste à laquelle elle ressemble ; ailleurs, le résultat n'apparaît que sous forme de statut. La vérification PPE ne transmet à Didit que le nom, le type de partie et une date de naissance que l'agent a saisie pour cette vérification ; Didit a pour instruction de ne pas la conserver et ne surveille pas la personne ; Valevia ne conserve que les réponses qui concernent une personne politiquement exposée, jamais les données de sanctions, pénales ou de presse que le service détient par ailleurs. Lorsqu'une vérification ne peut avoir lieu, la partie est affichée comme pas encore vérifiée — jamais comme sans correspondance.
• Valevia ne décide jamais qu'une personne figure ou non sur une liste, ne bloque aucune transaction ni ne donne d'avis à son sujet, n'évalue aucun risque et n'approuve rien à la place du Client, et n'adresse aucune déclaration à une autorité. Le Client est l'entité assujettie ; chaque correspondance possible et chaque approbation est un acte du Client.
• L'évaluation des risques de l'agence n'utilise que des décomptes — jamais le nom d'une partie, sa nationalité, sa réponse sur les personnes politiquement exposées, son mode de paiement ou son niveau de risque. Le dispositif LBC-FT n'est montré qu'au titulaire du compte et aux administrateurs du Client et n'est utilisé à aucune autre fin ; une approbation conserve sa version et ne remplace jamais une version antérieure.
• La déclaration du client signée électroniquement. Du volet LBC, seule la déclaration du client — le formulaire, avec les données d'identification qu'il porte — peut être envoyée en signature électronique, sur action de l'agent du Client, comme le décrit B3. Aucune pièce d'identité, aucune image d'une pièce d'identité et aucune autre pièce du volet LBC n'est jamais envoyée. La déclaration signée et son dossier de preuve sont conservés dans le volet LBC.

B5. Ce que le Client montre à ses vendeurs et aux visiteurs de son site

Objet. Sur instruction du Client, Valevia montre à un vendeur, par un lien privé, l'avancement de la vente de son bien, et affiche les annonces approuvées du Client sur le site du Client.

Personnes concernées. Le vendeur qui reçoit un lien.

IA. Aucune.

Engagements.

• Un lien propriétaire ne montre jamais une valeur du bien, un prix autre que le propre prix demandé du vendeur, le nom d'un acquéreur ni le montant d'une offre ; il indique qu'il n'est pas une estimation, demande aux moteurs de recherche de ne pas l'indexer et ne montre plus rien une fois révoqué. Valevia ne conserve qu'une empreinte de son jeton et le moment de ses ouvertures.
• La liste du site ne contient que du contenu immobilier, aucune donnée personnelle.

B6. Faire fonctionner, assister et sécuriser le Service

Objet. Valevia tient des journaux d'audit et de sécurité, fournit une assistance (§4.3) et conserve, pendant 30 jours, un relevé des étapes effectuées dans le compte du Client — écrans ouverts, actions et leur résultat — afin de trouver et de corriger les défauts.

Personnes concernées. Les utilisateurs du Client.

IA. Des outils internes, y compris des outils assistés par l'IA, peuvent analyser l'utilisation du Service par le Client au titre du §4.3.

Engagements.

• Le relevé des étapes ne contient aucun contenu ni aucun identifiant d'utilisateur : chaque connexion a son propre pseudonyme, calculé par les serveurs de Valevia et non conservé sur l'appareil de l'utilisateur ; il n'est jamais consulté, filtré ni décompté par personne, n'est pas mis à la disposition du Client et n'est pas utilisé pour surveiller ou évaluer quiconque. Le personnel autorisé ne rejoue des étapes enregistrées que par le mode « affichage en tant que » du §4.3, qui ne modifie rien dans le compte du Client.
• Ce qui quitte l'environnement de production de Valevia au titre de l'assistance ou de l'analyse se limite à des décomptes, des catégories, des indications temporelles et des identifiants pseudonymisés — jamais le contenu des communications du Client ni les noms ou coordonnées de personnes.

Données sensibles

Le traitement au titre de la présente Annexe ne porte pas intentionnellement sur des données de catégories particulières. La correspondance rédigée par une personne concernée peut néanmoins en contenir incidemment — par exemple des circonstances de santé, de deuil ou de famille que l'expéditeur expose de lui-même pour expliquer pourquoi il achète ou vend. Valevia ne recherche, n'infère, n'étiquette ni ne dérive de telles données.

En particulier, elles ne sont jamais inscrites dans la fiche d'une personne ni dans aucun autre enregistrement dérivé. Cette exclusion est essentielle : les enregistrements dérivés sont conservés pendant des années alors que le contenu des e-mails est supprimé au bout de douze mois (§8) ; sans elle, des données de catégories particulières divulguées incidemment survivraient au message qui les contenait. Lorsque de telles informations figurent dans la correspondance, elles ne sont conservées qu'au titre de cet e-mail, sous la durée de conservation applicable au contenu des e-mails, et sont supprimées avec lui.

Les notes — tapées ou dites —, les conversations WhatsApp et les fiches importées (finalité B2) sont écrites par le Client ou ses correspondants et peuvent contenir n'importe quoi. La même exclusion s'y applique ; en outre, le Service avertit pendant la saisie d'une note et règle par défaut sur « ne pas importer » une colonne d'import dont le nom évoque des données de catégories particulières. Le Client ne devrait consigner de telles données que s'il dispose d'une base légale pour le faire.

Données anonymisées et agrégées

Valevia peut établir des statistiques anonymes et agrégées à partir des données traitées au titre du présent Contrat — par exemple des décomptes de demandes d'acheteurs par secteur, type de bien et tranche de prix. Ces statistiques sont irréversiblement anonymisées : elles ne contiennent aucune donnée personnelle ni aucun contenu de correspondance, ne peuvent être rattachées à aucune personne, aucun acheteur, aucun bien ni aucun Client, et les petits groupes sont supprimés pour empêcher toute réidentification. Les données anonymisées n'étant pas des données personnelles, Valevia peut les utiliser pour exploiter, sécuriser et améliorer le Service, y compris pour fournir aux Clients des fonctionnalités d'information sur le marché. Aucun contenu de correspondance, aucun contact ni aucune donnée identifiable d'un Client n'est jamais partagé avec un autre Client ni rendu visible à un autre Client — seuls les totaux anonymes combinés le sont.

Recommandation d'AIPD

Nous recommandons au Client d'effectuer une AIPD pour la messagerie, en considérant le traitement systématique de communications et de leurs pièces jointes, la classification assistée par IA, la présence de données financières dans la correspondance, les données d'identification traitées dans les dossiers de transaction et les pièces d'identité, documents et contrats conservés avec chaque transaction, les pièces financières et d'identité réunies dans les dossiers de candidats locataires, le filtrage des parties à une transaction au regard des listes de sanctions et des personnes politiquement exposées et le traitement de données personnelles de tiers — ainsi que, s'il les utilise, les notes et conversations WhatsApp que ses utilisateurs ajoutent, les fiches qu'il importe de ses anciens outils, les messages qu'apportent les formulaires de son site, les liens propriétaire qu'il remet aux vendeurs et les enregistrements que ses utilisateurs font transcrire pour dicter ou dire une note (finalités B1, B2 et B5), et les documents que ses agents envoient en signature électronique (finalité B3). Valevia fournit les informations nécessaires pour la soutenir.

---

Annexe C — Synthèse des mesures techniques et organisationnelles