Mandat de conciergerie : cartographier les responsabilités

Pour chaque opération, identifiez le propriétaire de la décision, l'exécutant, le contrôleur, le destinataire de l'information et la preuve. Appliquez cette matrice à l'annonce, au prix, à l'acceptation, aux remboursements, aux travaux, aux accès, aux données voyageurs et aux sinistres. Le vocabulaire du mandat doit correspondre aux actes réellement possibles.

Une formule générale telle que « gestion complète » ne suffit pas à autoriser une dépense, une sous-traitance ou l'accès à une donnée. Le gestionnaire doit connaître les plafonds, les urgences, les exclusions et le canal d'escalade. Le propriétaire doit savoir quelles décisions restent expressément soumises à sa validation.

L'Urssaf indique que, pour un contrat de prestation atteignant 5 000 euros hors taxes au montant global, le donneur d'ordre demande une attestation de vigilance à la conclusion puis tous les six mois jusqu'à la fin du contrat, et en vérifie l'authenticité avec le code de sécurité. Le dossier doit donc calculer le montant global du contrat et ne pas raisonner facture par facture pour contourner le seuil.

Une attestation présente et authentique répond à un contrôle précis ; elle ne certifie ni la qualité du ménage, ni l'assurance adaptée, ni le respect de toutes les autres obligations. Si le seuil ou la qualité de donneur d'ordre est incertain, consignez la question et faites-la examiner avant la commande. N'inventez pas une dispense parce que le prestataire travaille seul.

1. Qualifier le contrat et son montant global hors taxes.
2. Demander l'attestation lorsque le contrôle s'applique.
3. Vérifier son code sur le service Urssaf.
4. Enregistrer résultat, date et prochaine échéance.
5. Bloquer ou escalader un document absent ou invalide.
6. Recontrôler tous les six mois jusqu'à la fin du contrat.

Le mandat précise si la conciergerie peut sous-traiter, pour quelles tâches, avec quelle information du propriétaire et qui contrôle le résultat. La chaîne doit rester lisible : un prestataire de ménage, une société d'accès connecté et un support logiciel n'ont ni la même mission ni les mêmes données nécessaires.

Lorsque le prestataire traite des données pour le compte d'un responsable, la CNIL demande un contrat reprenant les exigences de l'article 28 du RGPD : objet, durée, finalité, instructions, sécurité, assistance, sort des données et encadrement d'un sous-traitant ultérieur. Le titre « prestataire » ne détermine pas à lui seul le rôle RGPD ; les décisions réellement prises doivent être analysées.

Les rôles, notifications, plafonds de validation et accès doivent suivre la responsabilité contractuelle. Un droit logiciel plus large ne crée pas une autorisation juridique. Les comptes partagés empêchent d'identifier qui a commandé, validé ou consulté ; préférez des habilitations nominatives et revues.

Le mode dégradé prévoit comment joindre le décideur, conserver la preuve et arrêter une action lorsque le système ou un prestataire est indisponible. Une automatisation peut alerter sur une attestation ou un plafond ; elle ne qualifie pas seule le contrat et ne valide pas automatiquement une dépense.

1. Reporter les responsabilités dans les rôles.
2. Configurer plafonds et doubles validations.
3. Limiter les accès aux données utiles.
4. Tester une urgence et une absence.
5. Comparer les journaux au mandat.

Les premiers incidents révèlent les zones grises : dépense urgente sans contact, prestataire remplacé, donnée trop largement visible ou remboursement sans décideur. Consignez l'écart, protégez d'abord les personnes et le logement, puis faites arbitrer la règle. Une pratique répétée ne modifie pas tacitement le mandat.

La revue trimestrielle contrôle les délégations, attestations dues, sous-traitants ultérieurs, accès, incidents et échéances. Une modification passe par le canal contractuel approprié et conserve l'ancienne version lorsqu'elle explique une décision passée.

• Pouvoirs et plafonds encore adaptés.
• Attestations requises présentes et authentifiées.
• Prestataires et sous-traitants identifiés.
• Clauses de données et de sécurité vérifiées.
• Accès retirés à la fin des missions.