Annexe de sous-traitance RGPD

1. Rôles, objet et durée

Pour les données métier confiées au futur ERP hébergé, le client est responsable de traitement et le fournisseur agit comme sous-traitant. L’objet est de fournir, héberger, maintenir, sauvegarder et restituer l’environnement prévu au contrat. Le traitement dure pendant la prestation et les périodes de restitution, d’effacement et de conservation obligatoires documentées.

Les traitements réalisés pour les finalités propres du fournisseur, notamment facturation et gestion commerciale, font l’objet d’une information séparée. Un prestataire de paiement peut agir selon un rôle propre distinct : son rôle doit être identifié au lieu d’être systématiquement qualifié de sous-traitant.

2. Description des traitements à finaliser

Opérations envisagées : collecte, enregistrement, organisation, consultation par les personnes habilitées, export, sauvegarde, restauration et effacement. Personnes concernées : interlocuteurs professionnels des clients, prospects, fournisseurs et utilisateurs de l’entreprise cliente. Données ordinaires envisagées : identité et contact professionnels, devis, références d’affaires, prestations, temps et informations de facturation.

Les catégories exactes, finalités, volumes, durées et personnes autorisées sont annexés au bon de commande avant toute donnée réelle. Les catégories sensibles et les données de santé ne sont pas autorisées dans le périmètre initial.

3. Instructions et confidentialité

Le fournisseur agit uniquement sur instruction documentée, y compris pour tout transfert hors Espace économique européen. Il informe le client s’il considère une instruction contraire au droit des données personnelles et suspend la seule opération concernée le temps de clarification. Une obligation légale contraire est signalée sauf interdiction légale.

Les personnes ayant accès sont soumises à confidentialité, formées et habilitées selon le besoin d’en connaître. Aucun usage de données à des fins de publicité, de revente ou d’entraînement d’IA n’est autorisé sans un cadre distinct juridiquement valable.

4. Mesures techniques et organisationnelles

L’annexe de sécurité doit décrire les mesures effectivement déployées : contrôle des accès et révocation, MFA des administrateurs, séparation des clients, chiffrement des communications, gestion des secrets, correctifs, journalisation pertinente, minimisation des logs, sauvegardes protégées, tests de restauration et procédure d’incident.

Ces mesures sont évaluées selon le risque, testées et maintenues. Une liste d’objectifs non mise en œuvre ne doit pas être présentée comme une certification. À ce stade, l’architecture de production client et ses mesures ne sont pas validées.

5. Sous-traitants ultérieurs et transferts

Avant le contrat, le registre doit indiquer les prestataires effectivement engagés, leur rôle, les données traitées, les lieux de traitement et les mécanismes de transfert applicables. Aucun registre fictif ni affirmation générale “100 % France” ne peut remplacer cette vérification.

Tout ajout ou remplacement de sous-traitant fait l’objet d’une information préalable, proposée à trente jours lorsque possible, et d’une faculté d’objection motivée liée à la protection des données. Les parties cherchent une alternative raisonnable ; si elle est impossible, une fin du seul service affecté avec restitution des sommes non consommées doit être possible. Des obligations au moins équivalentes sont imposées au sous-traitant ultérieur, dont le fournisseur reste responsable dans les conditions du RGPD.

6. Exercice des droits et assistance

Le fournisseur transmet sans retard les demandes reçues et n’y répond au fond que sur instruction, sauf obligation légale. Il apporte l’assistance raisonnablement nécessaire à la recherche, à l’accès, à la rectification, à la limitation, à l’effacement et à la portabilité.

Il assiste le client pour les analyses d’impact, consultations de l’autorité et obligations de sécurité compte tenu de la nature du traitement et des informations dont il dispose. Les coûts éventuels d’une assistance exceptionnelle doivent être transparents et ne pas empêcher le respect des droits.

7. Violations de données

Le fournisseur informe le client sans retard injustifié après avoir pris connaissance d’une violation de données concernant son traitement. Il communique progressivement la nature de l’incident, les catégories et volumes connus, les conséquences probables, les mesures engagées et un point de contact. Il préserve les éléments nécessaires et tient un registre.

Le délai de 72 heures concernant la notification par le responsable de traitement à l’autorité compétente ne constitue pas un délai d’attente accordé au sous-traitant. Le client reste maître des notifications qui lui incombent ; le fournisseur ne les effectue en son nom qu’avec un mandat explicite ou une obligation légale propre.

8. Audits et preuve de conformité

Le fournisseur met à disposition les informations nécessaires à la démonstration du respect de ses obligations et permet les audits, y compris inspections par le client ou un auditeur mandaté. Les modalités protègent la sécurité et les données d’autres clients sans rendre l’audit impraticable.

Un préavis raisonnable s’applique aux audits ordinaires ; il n’empêche pas un contrôle urgent justifié, une demande d’autorité ou la vérification d’une violation. La confidentialité de l’auditeur et le périmètre sont définis ; les constats et actions correctrices sont suivis.

9. Restitution, suppression et clôture

Au choix documenté du client, les données sont restituées ou supprimées à la fin de la prestation, sous réserve des obligations légales de conservation. Le calendrier respecte la phase de changement de fournisseur et la période de récupération. Les copies et sauvegardes résiduelles sont identifiées, isolées et purgées dans un délai fixé avant signature.

Un état de restitution et une attestation de suppression sont fournis sur demande. Une conservation obligatoire est limitée aux seules données et durées concernées ; elle ne permet aucune réutilisation commerciale.

10. Annexes obligatoires avant données réelles

Doivent être complétés : identité et contacts des parties ; instructions et finalités ; catégories de données et personnes ; durée ; mesures effectives ; registre des sous-traitants et localisation ; transfert éventuel et garanties ; sauvegardes et délais de purge ; points de contact incident et droits ; modalités d’audit. Ce projet ne suffit pas à autoriser une exploitation réelle.