Le contrat de sous-traitance — souvent appelé DPA, pour data processing agreement — est l'un des documents les plus signés sans être lus. Il est pourtant le seul qui dise ce qu'un prestataire peut faire de vos données.
Sept points méritent une lecture attentive, et ils se vérifient en vingt minutes.
L'essentiel
- Obligatoire au titre de l'article 28 du RGPD : son absence est un manquement à lui seul.
- Vous restez responsable de traitement : le contrat ne transfère pas votre responsabilité, il encadre celle du prestataire.
- Point le plus souvent manquant : la liste nominative des sous-traitants ultérieurs.
- Point le plus souvent vague : le sort des données à la fin du contrat — format, délai, suppression.
- Ce qui reste à votre charge : registre des traitements, bases légales, durées de conservation, information des personnes.
Les sept points à vérifier
| # | Point | Ce qui doit y figurer |
|---|---|---|
| 1 | Objet et durée du traitement | Ce que le prestataire traite, et pendant combien de temps |
| 2 | Nature et finalité | Hébergement, exploitation, support — nommément |
| 3 | Catégories de données et de personnes | Clients, salariés, prospects : avec leur nature |
| 4 | Sous-traitants ultérieurs | Une liste nominative, et un droit d'information préalable |
| 5 | Mesures de sécurité | Chiffrement, sauvegardes, contrôle des accès, localisation |
| 6 | Assistance en cas de demande | Comment le prestataire vous aide sur un droit d'accès ou d'effacement |
| 7 | Sort des données à la fin | Format de restitution, délai, et délai de suppression |
Les points 4 et 7 sont ceux qui manquent ou restent vagues. Le point 4 parce qu'il expose la chaîne réelle du service ; le point 7 parce qu'il engage le prestataire au moment où la relation s'arrête.
Le point 4 : la chaîne de sous-traitance
Un hébergeur français peut s'appuyer sur un service d'envoi de courriels, un stockage objet ou une supervision situés ailleurs. Chacun de ces maillons traite vos données.
Ce que vous devez obtenir : une liste nominative, consultable avant signature, et le droit d'être informé avant tout changement — avec la possibilité de vous y opposer.
Les endroits où regarder en priorité :
- L'envoi des courriels transactionnels : factures, relances, notifications.
- Le stockage des fichiers joints, parfois distinct de la base.
- Les sauvegardes, dont la localisation diffère parfois de celle des données vives.
- La supervision et les journaux techniques.
Une réponse du type « nos sous-traitants sont communiqués sur demande » n'est pas conforme à l'esprit de l'article 28 : la liste doit être disponible. Voir les quatre critères vérifiables d'un cloud souverain.
Le point 7 : la fin du contrat
Trois éléments doivent être chiffrés, et pas seulement évoqués.
- Le format de restitution : les données dans un format ouvert et documenté, avec les fichiers joints et la configuration.
- Le délai de restitution : un nombre de jours, pas « dans un délai raisonnable ».
- Le délai de suppression après restitution : un nombre de jours également, et la mention du sort des sauvegardes.
Le troisième point mérite une précision souvent mal comprise : un droit à l'effacement exercé par une personne n'impose pas d'effacer les sauvegardes antérieures, à condition que la durée de rétention des sauvegardes soit définie et documentée. Si elle ne l'est pas, elle le devient au premier contrôle.
Chez nous, l'export complet est gratuit et disponible à tout moment, et le délai de suppression figure au contrat. Voir notre DPA et la réversibilité en pratique.
Ce que le contrat ne couvre pas, et qui reste à vous
C'est la confusion la plus répandue : un prestataire conforme ne rend pas votre entreprise conforme. Il couvre sa part, qui est la plus technique et la moins exigeante en travail.
| Obligation | Qui la porte |
|---|---|
| Sécurité de l'hébergement, chiffrement, sauvegardes | Le prestataire |
| Localisation des données et des sauvegardes | Le prestataire, par contrat |
| Registre des traitements | Vous |
| Base légale de chaque traitement | Vous |
| Durées de conservation et purge | Vous (l'outil les applique) |
| Information des personnes, droits d'accès | Vous |
| Notification d'une violation | Partagée : il vous alerte, vous notifiez la CNIL |
La bonne nouvelle : pour une PME, le registre des traitements et les durées de conservation représentent une demi-journée de travail, une fois. La mauvaise : personne ne le fera à votre place, et c'est la première chose qu'un contrôle demande.
Un ERP porte plusieurs traitements, pas un seul
Dernière erreur fréquente : inscrire « ERP » comme une ligne unique du registre des traitements.
Un ERP porte des traitements distincts, avec des finalités, des bases légales et des durées différentes : gestion commerciale, comptabilité, gestion du personnel, support client, prospection.
Les séparer prend une heure, et c'est l'occasion de régler les durées de conservation, qui sont l'obligation la plus souvent ignorée et la plus simple à remplir. Voir les obligations RGPD d'une PME qui héberge un ERP.
Questions fréquentes
Qu'est-ce qu'un DPA, et est-il obligatoire ?
C'est le contrat de sous-traitance prévu par l'article 28 du RGPD, et il est obligatoire pour chaque sous-traitant qui traite des données personnelles pour votre compte. Son absence est un manquement en soi, indépendamment de la qualité technique du prestataire.
Le DPA transfère-t-il ma responsabilité au prestataire ?
Non. Vous restez responsable de traitement : le contrat encadre ce que le sous-traitant peut faire et ses obligations de sécurité. Le registre des traitements, les bases légales, les durées de conservation et l'information des personnes restent entièrement à votre charge.
Que faire si le prestataire refuse de communiquer ses sous-traitants ?
C'est un signal. L'article 28 prévoit que vous soyez informé des sous-traitants ultérieurs et des changements, avec la possibilité de vous y opposer. Une liste « communiquée sur demande » et jamais fournie n'est pas conforme à l'esprit du texte.
Mon ERP doit-il figurer dans le registre des traitements ?
Oui, et pas en une ligne : il porte plusieurs traitements distincts — gestion commerciale, comptabilité, personnel, support, prospection — avec des finalités, des bases légales et des durées différentes. Les séparer prend une heure et règle la plupart des questions d'un contrôle.
Faut-il effacer les sauvegardes en cas de droit à l'effacement ?
Pas nécessairement, à condition que la durée de rétention des sauvegardes soit définie et documentée. C'est cette documentation qui rend la situation défendable. Si la rétention n'est pas écrite quelque part, elle le deviendra au premier contrôle.
Pour aller plus loin
- Les obligations RGPD d'une PME qui héberge un ERP
- Les quatre critères vérifiables d'un cloud souverain
- La réversibilité en pratique
En résumé
Sept points, et deux qui manquent presque toujours : la liste nominative des sous-traitants ultérieurs, et le sort des données à la fin du contrat — format, délai de restitution, délai de suppression. Et souvenez-vous que le registre des traitements, les bases légales et les durées de conservation restent à vous. Lisez notre DPA.
