Accord de traitement des données
Data Processing Agreement (DPA) applicable à toute agence partenaire ou utilisateur B2B accédant à pro.menzil.ma. Accepté implicitement lors de l'activation d'un compte.
Acceptation implicite — Lire avant utilisation
En activant un compte sur pro.menzil.ma, le Responsable du traitement partenaire (ci-après « le Responsable ») accepte automatiquement le présent Accord de traitement des données (DPA), conjointement aux Conditions d'utilisation. Si vous refusez ces conditions, vous devez cesser d'utiliser le service et contacter legal@menzil.ma.
Sommaire
- Définitions
- Parties et qualités
- Objet et durée de l'accord
- Nature, finalités et catégories de données
- Catégories de personnes concernées
- Obligations de Menzil (sous-traitant)
- Obligations du Responsable du traitement
- Sous-traitants ultérieurs
- Droits des personnes concernées
- Notification des violations de données
- Transferts internationaux
- Restitution et suppression des données
- Droit d'audit
- Responsabilité
- Droit applicable et juridiction
- Annexes
Article 1 — Définitions
Aux fins du présent Accord, les termes suivants ont les significations indiquées ci-dessous :
- « DPA »
- Le présent Accord de traitement des données (Data Processing Agreement).
- « RGPD »
- Le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
- « Loi 09-08 »
- La Loi marocaine n° 09-08 du 18 février 2009 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel.
- « Données personnelles »
- Toute information se rapportant à une personne physique identifiée ou identifiable (Art. 4(1) RGPD ; Art. 1 Loi 09-08).
- « Traitement »
- Toute opération effectuée sur des données personnelles (Art. 4(2) RGPD).
- « Responsable du traitement »
- La personne morale (agence partenaire, tenant B2B) qui détermine les finalités et moyens du traitement et qui accède à pro.menzil.ma. Désigné « le Responsable » dans le présent DPA.
- « Sous-traitant »
- Menzil Immobilier, en tant que prestataire de la plateforme pro.menzil.ma, qui traite des données personnelles pour le compte du Responsable. Désigné « Menzil » dans le présent DPA.
- « Sous-traitant ultérieur »
- Tout prestataire tiers auquel Menzil fait appel pour l'exécution de tout ou partie des services (voir liste à /sous-traitants).
- « Violation de données »
- Toute violation de la sécurité entraînant accidentellement ou illicitement la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès à des données personnelles (Art. 4(12) RGPD).
- « Services »
- La plateforme pro.menzil.ma et ses fonctionnalités associées (gestion de biens, CRM contacts, pipeline, messagerie, agent IA).
Article 2 — Parties et qualités
2.1 Menzil Immobilier — Sous-traitant
Dénomination : Menzil Immobilier [À COMPLÉTER — forme juridique, capital, RC, ICE]
Siège social : Sidi Maarouf, Casablanca, Maroc
DPO : dpo@menzil.ma
Contact légal : legal@menzil.ma
Dans le cadre des Services, Menzil agit en qualité de sous-traitantau sens de l'article 4(8) du RGPD et de l'article 1 de la Loi 09-08, traitant des données personnelles pour le compte et sur instruction du Responsable.
2.2 Responsable du traitement partenaire
Le Responsable est l'agence immobilière, l'agent indépendant ou la personne morale ayant souscrit un compte B2B sur pro.menzil.ma. Les coordonnées du Responsable sont celles fournies lors de la création du compte (email, raison sociale, adresse).
Double qualité possible
Pour les données internes à Menzil Immobilier (base propre de Menzil : contacts Menzil, biens Menzil), Menzil est responsable du traitement. Pour les données propres à un tenant B2B (ses clients, ses biens), Menzil est sous-traitantdu tenant. La présente DPA s'applique exclusivement à cette seconde situation.
Article 3 — Objet et durée de l'accord
3.1 Objet
Le présent DPA a pour objet de définir les conditions dans lesquelles Menzil effectue des traitements de données personnelles pour le compte du Responsable dans le cadre de la fourniture des Services pro.menzil.ma, conformément à l'article 28 §3 du RGPD.
3.2 Durée
Le présent DPA entre en vigueur à la date d'activation du compte B2B du Responsable et reste en vigueur pendant toute la durée de l'accès aux Services. Il prend fin automatiquement à la résiliation ou à l'expiration des Services, sous réserve des obligations de conservation et de restitution prévues à l'Article 12.
Article 4 — Nature, finalités et catégories de données
| Traitement | Nature de l'opération | Finalité | Base légale (RGPD) |
|---|---|---|---|
| Gestion des contacts CRM | Collecte, stockage, modification, consultation, suppression | Suivi des prospects et clients immobiliers du Responsable | Art. 6(1)(b) — exécution d'un contrat ; Art. 6(1)(f) — intérêt légitime |
| Gestion des biens immobiliers | Collecte, stockage, publication, consultation, suppression | Valorisation et commercialisation du portefeuille de biens du Responsable | Art. 6(1)(b) — exécution d'un contrat |
| Pipeline et transactions | Stockage, mise à jour, archivage | Suivi des projets immobiliers du début à la conclusion de la transaction | Art. 6(1)(b) — exécution d'un contrat ; Art. 6(1)(c) — obligation légale (mandats) |
| Messagerie omnicanale (WhatsApp, email) | Réception, stockage, envoi, archivage | Communication entre le Responsable et ses clients | Art. 6(1)(b) — exécution d'un contrat |
| Agent IA WhatsApp | Transmission de contexte à l'API Anthropic, exécution d'instructions | Assistance opérationnelle des agents du Responsable | Art. 6(1)(b) — exécution d'un contrat |
| Journalisation des activités | Collecte automatique, stockage sécurisé 5 ans | Traçabilité pour audit de sécurité et conformité LCB-FT | Art. 6(1)(c) — obligation légale (Loi 43-05 Maroc, RGPD Art. 32) |
Article 5 — Catégories de personnes concernées
Les personnes concernées par les traitements effectués dans le cadre du présent DPA sont :
- Les clients du Responsable (acheteurs, vendeurs, locataires, propriétaires) dont les coordonnées sont enregistrées dans le CRM pro.menzil.ma
- Les prospects et leads immobiliers du Responsable
- Les agents et collaborateursdu Responsable disposant d'un compte sur pro.menzil.ma
- Les partenairesdu Responsable (notaires, apporteurs d'affaires, promoteurs) dont les coordonnées seraient enregistrées dans la plateforme
Article 6 — Obligations de Menzil (sous-traitant)
Conformément à l'article 28 §3 du RGPD, Menzil s'engage à :
- a) Instructions documentées — ne traiter les données personnelles que sur instruction documentée du Responsable, y compris pour les transferts internationaux. Menzil informe sans délai le Responsable si une instruction constitue une violation du droit applicable.
- b) Confidentialité— veiller à ce que les personnes autorisées à traiter les données aient pris l'engagement de confidentialité ou soient soumises à une obligation légale de confidentialité.
- c) Mesures de sécurité— mettre en œuvre les mesures techniques et organisationnelles appropriées décrites à l'Annexe 1 et dans la Politique de sécurité, conformément à l'article 32 du RGPD.
- d) Sous-traitants ultérieurs— ne recourir à d'autres sous-traitants qu'avec l'autorisation préalable générale du Responsable (accordée lors de l'acceptation du DPA). Menzil informe le Responsable de tout changement prévu au moins 30 jours à l'avance, lui offrant la possibilité de s'y opposer.
- e) Assistance droits des personnes— aider le Responsable à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, opposition).
- f) Notification des violations— notifier le Responsable de toute violation de données dans les 72 heures après en avoir eu connaissance, avec les informations requises par l'article 33 §3 du RGPD.
- g) Assistance AIPD— fournir au Responsable toute information nécessaire à la réalisation d'une Analyse d'Impact relative à la Protection des Données (AIPD / DPIA) si requise par l'article 35 du RGPD.
- h) Restitution et suppression— à l'issue des Services, supprimer ou restituer toutes les données personnelles au choix du Responsable, et supprimer les copies existantes (sauf obligation légale de conservation).
- i) Audit— mettre à la disposition du Responsable toutes les informations nécessaires pour démontrer le respect des obligations du présent article et contribuer aux audits conformément à l'Article 13.
Article 7 — Obligations du Responsable du traitement
Le Responsable déclare et garantit à Menzil que :
- Il collecte les données personnelles de ses clients dans le respect du droit applicable (RGPD, Loi 09-08) et dispose d'une base légale valide pour chaque traitement
- Il a effectué ou effectuera les déclarations nécessaires auprès de la CNDP (Commission Nationale de contrôle de la Protection des Données à caractère Personnel) pour les traitements soumis à déclaration
- Il a informé ses clients, prospects et agents de l'existence de traitements effectués par Menzil dans le cadre de la fourniture des Services (transparence)
- Il ne fournira à Menzil que des données personnelles strictement nécessaires aux finalités des Services (minimisation)
- Il respecte la Charte de lutte contre le blanchiment et la Charte déontologique Menzil
- Il ne donnera à Menzil que des instructions de traitement conformes au droit applicable
- Il est responsable de la sécurité des accès de ses propres agents à pro.menzil.ma (gestion des mots de passe, révocation des accès en cas de départ d'un agent)
Article 8 — Sous-traitants ultérieurs
Le Responsable autorise Menzil à recourir aux sous-traitants ultérieurs listés à menzil.ma/sous-traitants.
En cas de changement (ajout ou remplacement d'un sous-traitant ultérieur), Menzil en informe le Responsable au moins 30 jours à l'avancepar email. Le Responsable peut s'y opposer par écrit dans ce délai en indiquant ses motifs légitimes. À défaut d'opposition, le changement est réputé accepté.
Menzil impose à ses sous-traitants ultérieurs des obligations contractuelles de protection des données au moins équivalentes à celles du présent DPA, conformément à l'article 28 §4 du RGPD.
Article 9 — Droits des personnes concernées
Menzil met en place les mécanismes techniques permettant au Responsable de répondre aux demandes d'exercice de droits de ses clients. Si un client du Responsable adresse une demande directement à Menzil, Menzil la transfère sans délai au Responsable et n'y répond pas directement, sauf instruction du Responsable.
| Droit | Mécanisme disponible | Délai de Menzil |
|---|---|---|
| Accès (Art. 15 RGPD) | Export des données du contact disponible via l'API pro.menzil.ma ou sur demande au DPO | 5 jours ouvrables pour fournir l'export |
| Rectification (Art. 16 RGPD) | Modification directe dans l'interface pro.menzil.ma par le Responsable | Immédiat via l'interface |
| Effacement (Art. 17 RGPD) | Suppression du contact dans l'interface ou demande au DPO pour anonymisation complète | 72 heures pour l'anonymisation complète en base de données |
| Portabilité (Art. 20 RGPD) | Export JSON ou CSV disponible via l'interface (module Contacts > Export) | Immédiat via l'interface |
| Opposition (Art. 21 RGPD) | Changement de statut du contact vers 'inactif' + blocage des relances automatiques | Immédiat |
Article 10 — Notification des violations de données
En cas de violation de données impliquant les données du Responsable, Menzil s'engage à :
- Notifier le Responsable dans les 72 heuresaprès avoir eu connaissance de la violation (Art. 33 RGPD), à l'adresse email du compte B2B
- Fournir dans la notification : la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les données concernées, les conséquences probables, les mesures prises ou envisagées
- Collaborer avec le Responsable pour lui permettre de notifier la CNDP et les personnes concernées conformément à ses obligations légales
- Documenter la violation et les mesures prises dans son registre interne (Art. 33 §5 RGPD)
Le Responsable reste seul compétent pour déterminer si la violation doit être notifiée à la CNDP et aux personnes concernées.
Article 11 — Transferts internationaux
Dans le cadre de la fourniture des Services, des données personnelles peuvent être transférées vers des pays hors Union européenne et hors Maroc, notamment vers les États-Unis, dans le cadre du recours aux sous-traitants ultérieurs (voir liste des sous-traitants).
Ces transferts sont encadrés par les mécanismes légaux suivants (Art. 46 RGPD) :
- EU-US Data Privacy Framework (DPF) — pour les prestataires certifiés (Google, Meta, Stripe)
- Clauses Contractuelles Types (SCCs) 2021 — pour les autres prestataires américains (Anthropic, Groq, Mapbox, Resend, Sentry)
- Résidence UE — pour Supabase (Irlande) et Vercel (Frankfurt) : aucun transfert hors EEE
Le Responsable donne expressément son accord pour ces transferts en acceptant le présent DPA.
Article 12 — Restitution et suppression des données
À la résiliation ou à l'expiration des Services :
- Menzil conserve les données du Responsable pendant 30 jours après la fin des Services pour permettre une migration éventuelle
- Durant ce délai, le Responsable peut demander un export complet de ses données (contacts, biens, mandats, transactions, messages) au format JSON via legal@menzil.ma
- À l'issue du délai de 30 jours, les données sont définitivement supprimées (anonymisation irréversible) sauf obligation légale de conservation (5 ans pour le journal_activite au titre de la Loi 43-05 et des obligations fiscales)
- Menzil fournit une attestation écrite de suppression sur demande du Responsable
Article 13 — Droit d'audit
Le Responsable dispose d'un droit de vérification de la conformité de Menzil aux obligations du présent DPA. Ce droit s'exerce selon les modalités suivantes :
- Audit documentaire (une fois par an) — Menzil fournit sur demande : les certifications SOC 2 de ses sous-traitants clés, les rapports de tests de pénétration anonymisés, la liste à jour des sous-traitants ultérieurs, les politiques de sécurité en vigueur
- Questionnaire de conformité — Le Responsable peut adresser un questionnaire de conformité écrit une fois par an ; Menzil y répond sous 30 jours ouvrables
- Audit sur site — Un audit sur site par un prestataire tiers mandaté par le Responsable est possible, après accord écrit préalable de Menzil, aux frais du Responsable et avec un préavis de 60 jours. Il est limité aux procédures et systèmes de sécurité pertinents, ne doit pas perturber l'activité et est soumis à un accord de confidentialité
- Limitation— l'audit ne peut porter sur les données d'autres clients de Menzil, ni sur les systèmes communs à plusieurs tenants
Article 14 — Responsabilité
Chaque partie est responsable du respect de ses obligations au titre du présent DPA et du droit applicable.
- Menzil n'est responsable vis-à-vis du Responsable que pour les dommages directs résultant d'un manquement avéré aux obligations du présent DPA ou du droit applicable, dans la limite du montant total des sommes facturées par Menzil au Responsable au cours des 12 mois précédant le fait générateur
- Menzil ne saurait être tenu responsable des dommages résultant d'instructions illicites ou incorrectes du Responsable, d'une utilisation non conforme des Services ou d'un manquement du Responsable à ses propres obligations légales
- En cas de réclamation d'une personne concernée ou d'une autorité de contrôle directement auprès de Menzil pour des faits imputables au Responsable, ce dernier s'engage à indemniser Menzil de toutes les conséquences financières qui en résulteraient
Article 15 — Droit applicable et juridiction
Le présent DPA est régi par le droit marocain, sous réserve de l'application directe du RGPD pour les données des résidents de l'Union européenne.
Tout litige relatif à l'interprétation ou à l'exécution du présent DPA sera soumis à la compétence exclusive des tribunaux commerciaux de Casablanca, après tentative de résolution amiable d'une durée de 30 jours.
En cas de contradiction entre les dispositions du présent DPA et celles des Conditions d'utilisation, les dispositions du DPA prévalent pour tout ce qui concerne la protection des données personnelles.
Annexes
Annexe 1 — Mesures de sécurité techniques et organisationnelles
Les mesures de sécurité mises en œuvre par Menzil sont décrites en détail dans la Politique de sécurité(menzil.ma/securite). Elles comprennent notamment :
| Domaine | Mesure | Niveau |
|---|---|---|
| Chiffrement en transit | TLS 1.3 (minimum 1.2) sur toutes les communications | Obligatoire |
| Chiffrement au repos | AES-256-GCM (Supabase/AWS KMS) | Obligatoire |
| Authentification | Magic link OTP (sans mot de passe), session JWT HttpOnly Secure | Obligatoire |
| Contrôle d'accès | Row Level Security (RLS) PostgreSQL + RBAC 6 niveaux | Obligatoire |
| Journalisation | journal_activite — 5 ans de rétention | Obligatoire |
| Sauvegardes | Point-in-Time Recovery (PITR) — 7 jours | Obligatoire |
| Tests de sécurité | Pentest annuel externe + Dependabot | Obligatoire |
| Gestion des incidents | Protocole 72h CNDP + notification Responsable | Obligatoire |
| Formation du personnel | Formation sécurité onboarding + annuelle | Organisationnel |
| Isolation multi-tenant | tenant_id sur 18 tables + RLS par tenant | Obligatoire |
Annexe 2 — Liste des sous-traitants ultérieurs autorisés
La liste complète, à jour et opposable des sous-traitants ultérieurs autorisés est disponible à l'adresse permanente : menzil.ma/sous-traitants
Cette liste est mise à jour lors de chaque changement de périmètre, avec notification au Responsable 30 jours à l'avance conformément à l'Article 8 du présent DPA.
Annexe 3 — Contact DPO et réclamations
Délégué à la Protection des Données (DPO)
dpo@menzil.ma
Délai de réponse : 30 jours ouvrables
Contact juridique
legal@menzil.ma
Autorité de contrôle compétente
CNDP — Commission Nationale de contrôle de la Protection des Données à caractère Personnel
www.cndp.ma