Examiner un contrat de sous-traitance au regard du service réel

Un contrat de sous-traitance (DPA) devient utile lorsque sa description correspond au service réel. Un contrat d’apparence complète peut néanmoins décrire les mauvaises données, omettre un prestataire de support ou promettre une suppression que le produit est incapable d’effectuer.

Pour un CTO, l’examen relie les engagements juridiques à l’architecture, à la configuration et aux procédures d’exploitation. Les collègues juristes ou chargés de la protection des données interprètent les clauses ; l’ingénierie établit si ces clauses décrivent la réalité. Le résultat doit être une décision défendable sur le service, étayée par des preuves et par une liste claire des conditions non résolues, et pas simplement un PDF signé.

Établir le rôle du fournisseur avant d’examiner les clauses

Commencez par déterminer si le fournisseur agit en tant que sous-traitant pour le traitement concerné. Au sens du RGPD, un sous-traitant traite des données à caractère personnel pour le compte d’un responsable du traitement. Toutes les relations avec des fournisseurs ne relèvent pas de ce rôle, et un même fournisseur peut avoir des rôles différents selon les activités.

Une plateforme de support hébergée peut traiter les tickets clients selon vos instructions tout en agissant comme responsable du traitement distinct pour une partie de sa propre gestion des comptes. Si ses conditions l’autorisent aussi à utiliser le contenu des tickets à des fins qu’elle détermine elle-même, cette activité nécessite une analyse distincte. Tout qualifier d’« amélioration du service » ne règle pas la question du rôle.

Préparez un bref énoncé du périmètre avant d’annoter le contrat :

• Identifiez l’entité contractante, le produit, le niveau d’abonnement et les fonctionnalités activées.
• Décrivez pourquoi votre organisation utilise le service et à qui appartiennent les données personnelles qu’il traite.
• Distinguez le traitement effectué sur instruction des éventuelles finalités définies par le fournisseur.
• Nommez le responsable interne du service et la personne chargée de la revue juridique ou de la protection des données.

Un contrat de sous-traitance ne constitue pas une base légale au sens de l’article 6 et ne satisfait pas automatiquement aux exigences relatives aux transferts internationaux. Ces questions restent distinctes. Si votre organisation est elle-même sous-traitant, identifiez les instructions du responsable du traitement en amont et ses conditions d’autorisation avant de recourir au fournisseur en tant que sous-traitant ultérieur.

Construire une matrice d’examen au titre de l’article 28

L’article 28 du RGPD exige un contrat ou un autre acte juridique contraignant encadrant l’activité du sous-traitant. Celui-ci doit définir l’objet et la durée du traitement, sa nature et sa finalité, le type de données à caractère personnel, les catégories de personnes concernées, ainsi que les droits et obligations du responsable du traitement.

Ces éléments doivent permettre d’identifier le traitement réel. « Toutes les données nécessaires à la fourniture des services » peut empêcher les relecteurs de déterminer si les dossiers des salariés, les messages des clients ou des pièces jointes sensibles sont couverts. Comparez les annexes au produit tel qu’il est configuré, intégrations optionnelles comprises.

Utilisez la matrice suivante pour examiner les obligations imposées au sous-traitant. La colonne des preuves contient des recommandations pratiques de revue, et non une obligation légale d’obtenir chacun des documents cités.

Le sous-traitant doit également informer immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation du droit applicable en matière de protection des données. Vérifiez à qui cette notification est adressée et qui peut trancher.

Indiquez pour chaque exigence si elle est couverte, ambiguë ou absente, avec la référence de la clause. Ne classez pas une omission obligatoire comme une simple préférence commerciale. L’article 28, paragraphe 1, impose aussi au responsable du traitement de faire appel uniquement à des sous-traitants présentant des garanties suffisantes ; la seule rédaction du contrat ne peut pas l’établir.

Suivre un enregistrement représentatif à travers le service

Choisissez un enregistrement réaliste et suivez-le de son entrée jusqu’à sa suppression. Pour un service de support client, il peut s’agir d’un ticket contenant un nom, une adresse e-mail, un identifiant de compte et une pièce jointe. Privilégiez des données synthétiques pour les tests.

Cartographiez la collecte, l’ingestion par API, le stockage principal, l’indexation, l’analytique, l’accès du support, les exports, les intégrations, les sauvegardes et la suppression. Demandez quels composants reçoivent le contenu et lesquels ne reçoivent que des métadonnées. Les journaux et traces de diagnostic contiennent souvent des identifiants, même lorsque le périmètre de l’application principale est correctement défini.

Pour chaque étape, consignez l’entité responsable, la finalité du traitement, la localisation, le chemin d’accès et la durée de conservation. Comparez le résultat au contrat de sous-traitance, à l’annexe de sécurité, à la liste des sous-traitants ultérieurs et aux dispositifs de transfert.

Soyez particulièrement attentif aux fonctionnalités que les administrateurs peuvent activer sans passer par les achats : transcription, enrichissement, synthèse par IA, webhooks externes et enregistrement des sessions de support. Un contrat examiné pour le produit de base peut ne pas décrire correctement le service effectivement activé.

Le livrable peut être un simple diagramme de flux de données accompagné d’un registre des écarts. Chaque écart doit indiquer la stipulation contractuelle, le comportement observé, la conséquence, le responsable et la résolution. Par exemple, « Le contrat prévoit une conservation maîtrisée par le client ; les journaux de diagnostic sont conservés pendant une durée fixe » est exploitable. « Conservation peu claire » ne suffit pas pour clore le point.

Confronter les engagements de sécurité à la mise en œuvre

L’article 32 exige des mesures de sécurité adaptées au risque. Il n’impose pas une configuration technique universelle. Évaluez les mesures au regard de la sensibilité et du volume des données, de leur exposition et des conséquences probables d’une compromission.

Une annexe doit en dire assez pour permettre d’évaluer le service, sans exiger la divulgation de détails exploitables par un attaquant. Donnez la priorité à l’isolement des locataires, aux accès à privilèges, à l’authentification, au chiffrement, à la résilience, à la restauration, à la gestion des vulnérabilités et aux tests. Identifiez les mesures exploitées par le fournisseur et les paramètres que votre équipe doit configurer.

Si le contrat promet un accès restreint du support, demandez comment cet accès est demandé, approuvé, limité dans le temps et journalisé. S’il promet le chiffrement, distinguez la protection en transit de la protection au repos, puis établissez qui contrôle les clés et ce que les utilisateurs autorisés peuvent encore lire. Le chiffrement ne règle pas le problème de droits applicatifs excessifs.

Pour la disponibilité et la restauration, déterminez quelles sauvegardes existent, comment la restauration est testée et si les engagements contractuels de restauration couvrent le produit que vous achetez. Distinguez les objectifs commerciaux de disponibilité des obligations de sécurité et de protection des données.

Les certificats et rapports d’assurance peuvent étayer l’évaluation, mais leur périmètre compte. Vérifiez le service, l’entité juridique, la période d’évaluation, les exclusions et les responsabilités du client. Un rapport sur l’hébergeur ne prouve pas l’existence de chaque mesure dans l’application SaaS, et une certification n’établit pas la conformité au RGPD. Consultez l’évaluation de l’assurance sécurité pour l’examen plus large des preuves.

Lorsque l’annexe de sécurité est intégrée par un lien web, conservez la version applicable. Vérifiez si des modifications peuvent réduire la protection et comment les clients en sont informés. Traitez une page non datée et modifiable comme un problème de gestion des preuves à résoudre, plutôt que de la considérer automatiquement suffisante ou automatiquement invalide.

Suivre la chaîne de sous-traitance et évaluer les transferts séparément

L’article 28, paragraphe 2, exige une autorisation écrite préalable, spécifique ou générale, pour recruter un autre sous-traitant. En cas d’autorisation générale, le sous-traitant doit informer le responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants et lui donner la possibilité d’émettre des objections. L’article 28, paragraphe 4, impose de répercuter les obligations pertinentes en matière de protection des données ; le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l’exécution de ces obligations par le sous-traitant ultérieur.

Obtenez une liste exploitable indiquant pour chaque prestataire son identité juridique, sa fonction, les données concernées et les lieux de traitement. Toutes les dépendances d’un fournisseur ne sont pas des sous-traitants ultérieurs, mais les prestataires d’infrastructure, de support et d’analytique ne doivent pas disparaître de l’examen au seul motif qu’ils opèrent derrière l’interface du produit.

Évaluez le mécanisme de changement :

• La notification parvient-elle à une adresse surveillée ou à un responsable désigné ?
• Les informations et le délai sont-ils suffisants pour évaluer le changement proposé ?
• Comment une objection est-elle formulée et traitée ?
• Que se passe-t-il si aucune solution de remplacement acceptable n’existe ?

Un droit contractuel que personne ne peut exercer en pratique est un signal d’alerte. Abonnez l’équipe appropriée et consignez qui évalue les notifications.

Un hébergement dans l’UE est pertinent, mais il ne clôt pas l’analyse des transferts. Examinez les destinataires réels, les modalités d’accès à distance, les lieux d’où le support est assuré et les transferts ultérieurs. De même, la seule détention du capital par une société étrangère ne décrit pas complètement un transfert : documentez les entités et les chemins d’accès réels.

Lorsque le chapitre V s’applique, identifiez l’outil de transfert pertinent ainsi que toute évaluation ou mesure complémentaire nécessaire. Gardez cette analyse reliée à l’examen du fournisseur, mais distincte de la conformité à l’article 28. Un contrat de sous-traitance et un paramètre d’hébergement régional ne répondent pas à eux seuls à toutes les questions de transfert.

Rendre les obligations d’assistance opérationnelles

Notification des violations et transmission des incidents

En vertu de l’article 33, paragraphe 2, le sous-traitant doit notifier au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. Le responsable du traitement évalue séparément la notification à l’autorité de contrôle, requise dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques.

Ne donnez pas au sous-traitant le délai du responsable du traitement comme période d’attente par défaut. Un contrat pragmatique doit prévoir une notification initiale rapide, des canaux nommément désignés et des mises à jour progressives. Un délai de notification convenu est une recommandation opérationnelle ; il ne remplace pas la norme légale.

Demandez les informations nécessaires pour évaluer les données, les personnes et les systèmes concernés, les conséquences probables, le confinement et la restauration. La première notification peut être incomplète ; définissez donc comment les mises à jour et les preuves suivront. Le responsable du traitement doit aussi évaluer si un risque élevé impose une communication aux personnes concernées au titre de l’article 34, sous réserve de ses exceptions, et documenter l’évaluation de la violation, y compris les raisons d’une absence de notification. Examinez attentivement le déclencheur de la notification : un processus qui attend la fin de l’analyse des causes profondes peut retarder l’évaluation du responsable du traitement.

Testez la transmission au moyen d’un exercice sur table. Vérifiez que la notification parvient aux équipes de réponse aux incidents et aux personnes chargées de la protection des données en dehors des heures ouvrées, et pas seulement à un responsable de compte.

Demandes des personnes concernées

L’assistance du sous-traitant doit rendre réalisable votre propre processus de réponse aux demandes d’exercice des droits. Vérifiez que les enregistrements peuvent être retrouvés dans le contenu, les pièces jointes, les index et les exports, et que la suppression ou la rectification atteint les composants concernés.

Convenez du circuit de réponse et du délai de traitement attendu. Le responsable du traitement dispose normalement d’un mois pour répondre à une demande, sous réserve des conditions de prolongation prévues par le RGPD ; l’assistance du fournisseur doit laisser le temps nécessaire à la vérification de l’identité, à l’analyse juridique et à une transmission sécurisée. Le fournisseur doit en principe vous transmettre les demandes portant sur le traitement effectué sur vos instructions plutôt que d’en décider lui-même l’issue.

Les frais et les limites de service méritent un examen. Facturer une assistance supplémentaire n’est pas automatiquement interdit, mais cela ne doit pas rendre inopérante une assistance obligatoire. Reliez la procédure à votre processus de traitement des demandes d’accès.

Restitution, suppression et sauvegardes

En fin de service, l’article 28 impose, selon le choix du responsable du traitement, la suppression ou la restitution des données, ainsi que la destruction des copies existantes, à moins que le droit de l’Union ou du droit de l’État membre n’exige leur conservation. Établissez ce que cela signifie techniquement avant d’acheter.

Vérifiez l’exhaustivité de l’export, son format, la période pendant laquelle il est disponible et si les pièces jointes ou la configuration en sont exclues. Pour la suppression, distinguez les enregistrements actifs, les caches, les réplicas, les journaux et les sauvegardes. Si la suppression dans les sauvegardes suit un cycle planifié, documentez la durée, les restrictions d’accès et les mesures qui empêchent la réintroduction d’enregistrements supprimés lors d’une restauration.

Demandez comment l’achèvement est prouvé et comment les conservations légalement requises sont identifiées. Ne vous fiez pas à la mention « compte clôturé » comme preuve que les données personnelles ont été supprimées.

Examiner les droits d’audit, la responsabilité et les clauses non résolues

Les dispositions relatives aux audits doivent apporter une assurance réelle tout en protégeant les autres clients et les intérêts légitimes de sécurité. Une planification raisonnable, la confidentialité et le recours à des rapports indépendants peuvent rendre les audits réalisables. En revanche, une clause limitée aux certificats, sans moyen d’obtenir les informations nécessaires ni de traiter des préoccupations importantes, justifie un examen juridique au regard de l’article 28, paragraphe 3, point h).

Déterminez la voie d’escalade lorsque les preuves sont insuffisantes, qu’un incident survient ou qu’un régulateur exige des informations. Examinez ensemble les coûts d’audit, les délais de préavis et les restrictions ; leur effet combiné compte davantage que n’importe quelle formulation isolée.

Les clauses de responsabilité nécessitent une évaluation commerciale distincte. La réparation prévue à l’article 82 dépend des conditions de responsabilité fixées par le règlement ; les sous-traitants ne sont pas automatiquement responsables de chaque manquement du responsable du traitement. Lorsque plusieurs parties sont responsables au titre de l’article 82, les règles peuvent les exposer à la totalité du dommage afin de garantir une réparation effective. Un plafond contractuel ne restreint pas les droits légaux des personnes. Son effet sur la répartition et le recours entre les parties nécessite un examen juridique.

Si le fournisseur refuse les modifications, distinguez trois issues :

• Clarification : obtenir une formulation faisant foi ou des preuves qui lèvent l’ambiguïté.
• Acceptation conditionnelle : approuver un dispositif licite, avec un risque résiduel commercial ou opérationnel documenté et des garanties précisées.
• Ne pas poursuivre : arrêter ou repenser le traitement lorsque des obligations requises restent insatisfaites.

L’acceptation par la direction ne peut pas rendre licite un dispositif illicite. Le délégué à la protection des données (DPD), lorsqu’il a été désigné, conseille et contrôle en toute indépendance ; le responsable métier redevable prend les décisions relatives au service avec l’avis des juristes et des spécialistes de la protection des données. Ne confiez pas au DPD la détermination des finalités ou des moyens du traitement.

Examiner les fonctionnalités d’IA comme des chemins de traitement supplémentaires

Les fonctionnalités d’IA introduisent des entrées, des sorties et des artefacts intermédiaires que des annexes plus anciennes peuvent ne pas décrire. Examinez, le cas échéant, les prompts, les documents récupérés, les embeddings, les réponses générées, les retours des utilisateurs, les journaux de surveillance des abus et les accès pour revue humaine.

Établissez si les données des clients servent à entraîner ou à améliorer des modèles, au profit de quelles finalités, et quelle entité effectue le traitement. « Aucun entraînement » n’équivaut pas à « aucune conservation », et aucune de ces promesses ne prouve que les journaux de support ou de surveillance ne contiennent pas de données personnelles.

Vérifiez que les engagements s’appliquent au niveau d’abonnement acheté, aux points de terminaison activés et aux fournisseurs de modèles en aval. Confirmez les paramètres de conservation, les exceptions et le comportement de suppression. Si un fournisseur affirme anonymiser les données, demandez ce qui étaye cette affirmation plutôt que de supposer que les artefacts des modèles sont anonymes.

Consignez ensemble l’engagement contractuel et les preuves de configuration. Toute nouvelle finalité exige sa propre analyse du rôle et de la licéité ; le contrat de sous-traitance ne fournit pas cette base légale. L’applicabilité du règlement sur l’IA est également une question distincte, que la signature de clauses de sous-traitance ne règle pas.

Exemple concret : logiciel de support avec synthèse optionnelle

Supposons, à titre d’illustration, qu’une entreprise SaaS souhaite adopter une plateforme de support contenant des noms, des adresses e-mail professionnelles, le texte des tickets et des pièces jointes. Les tickets peuvent contenir accidentellement des informations sensibles. Une fonctionnalité d’IA optionnelle synthétise les conversations.

Le projet de contrat de sous-traitance décrit le traitement des tickets et un stockage dans l’UE. L’examen technique révèle un fournisseur de synthèse, un accès du support depuis une autre région et une conservation des diagnostics différente de celle des tickets.

L’examen débouche sur quatre actions concrètes :

1. Compléter le périmètre. Ajouter les pièces jointes, les identifiants de diagnostic et le traitement par IA à la description ; vérifier si le fournisseur utilise du contenu à ses propres fins.
2. Clarifier la chaîne de prestataires. Obtenir l’identité du fournisseur du modèle, les lieux de traitement, les engagements de conservation et la couverture de l’autorisation. Évaluer séparément les transferts concernés.
3. Valider le comportement sur tout le cycle de vie. Faire passer un ticket synthétique par l’export et la suppression. Obtenir l’explication relative à la conservation des sauvegardes et des diagnostics au lieu de supposer que la suppression d’un ticket efface toutes les copies.
4. Fixer une condition de mise en service. Laisser la synthèse désactivée jusqu’à l’examen de son contrat et de son flux de données. Mettre en place l’acheminement des notifications de violation et des changements de sous-traitants ultérieurs avant l’utilisation en production.

Le registre de décision distingue les preuves reçues des questions encore ouvertes. Si le service principal est acceptable, l’approbation peut exclure explicitement la fonctionnalité d’IA. Cette limite doit aussi exister dans la configuration et la gestion des changements ; une note dans le dossier d’examen n’empêchera personne de l’activer plus tard.

Conserver la décision et la rouvrir lorsque le service évolue

Conservez ensemble la version applicable du contrat, le périmètre du traitement, le diagramme de flux de données, les preuves d’assurance, l’analyse des transferts, le registre des écarts et l’approbation. Consignez les risques résiduels acceptés, les conditions, les responsables et les dates de suivi. Conservez la raison pour laquelle un dispositif a été accepté, et pas seulement son statut.

Procédez à un nouvel examen lorsque les finalités du traitement, les fonctionnalités activées, les sous-traitants ultérieurs, les lieux de traitement ou les conditions contractuelles changent de manière significative. Incluez parmi les déclencheurs les incidents importants et toute nouvelle preuve de faiblesses des mesures. Une revue planifiée complète ces déclencheurs sans les remplacer.

Secani peut soutenir ce processus en modélisant le service et les prestataires externes, en reliant les preuves aux exigences et aux décisions, et en attribuant les lacunes relevées à des responsables. Les conclusions revues par des humains, les liens vers les sources, les commentaires et les approbations préservent le raisonnement à l’origine de l’acceptation. L’examen du contrat est ainsi relié à la gestion des risques liés aux tiers, sans que le logiciel se substitue au jugement juridique ou technique.

Le contrat nécessite-t-il une signature manuscrite ?

L’article 28, paragraphe 9, exige la forme écrite, y compris la forme électronique. Une signature manuscrite n’est pas requise en soi. Conservez la preuve d’une acceptation contraignante et la version en vigueur ; demandez aux juristes de lever toute incertitude concernant l’intégration en ligne ou des conditions contradictoires.

Chaque sous-traitant ultérieur doit-il être nommé dans le contrat ?

L’article 28 n’impose pas de liste figée dans le document. Une liste tenue à jour peut fonder l’autorisation, à condition que le dispositif fournisse les informations requises, les notifications de changement et la possibilité d’émettre des objections. Conservez la liste pertinente pour votre examen.

Pour le prochain examen d’un fournisseur, commencez par un flux de données représentatif et la matrice de l’article 28. Résolvez l’écart entre les promesses contractuelles et le fonctionnement observable avant d’autoriser le traitement en production.