Modèle d'accord de sous-traitance ultérieure gratuit

Informations à personnaliser

• Nom ou raison sociale du sous-traitant initial

• Adresse du sous-traitant initial

• Nom ou raison sociale du sous-traitant ultérieur

• Adresse du sous-traitant ultérieur

• Nom ou raison sociale du responsable de traitement d'origine

• Référence du DPA initial (entre le responsable de traitement et le sous-traitant initial)

  Date et objet du contrat initial dont cet accord découle.

• Type d'autorisation du responsable de traitement

  Autorisation générale préalable, ou autorisation spécifique pour ce sous-traitant ultérieur.

• Date de l'autorisation du responsable de traitement

• Objet des opérations confiées au sous-traitant ultérieur

• Durée de la sous-traitance ultérieure

• Catégories de données personnelles concernées

• Mesures de sécurité imposées au sous-traitant ultérieur

• Transferts hors Union européenne

  Pays destinataire et garantie utilisée le cas échéant.

• Délai de notification d'une violation de données au sous-traitant initial

• Date de signature de l'accord

Questions fréquentes

Un sous-traitant peut-il librement recourir à un sous-traitant ultérieur ?

Non. L'article 28.2 du RGPD impose une autorisation écrite préalable du responsable de traitement, générale ou spécifique, avant tout recours à un sous-traitant ultérieur. Sans cette autorisation, le sous-traitant initial est en infraction, même si le sous-traitant ultérieur respecte lui-même toutes les règles de sécurité.

Que signifie une autorisation générale par opposition à une autorisation spécifique ?

Une autorisation spécifique porte sur un sous-traitant ultérieur nommément désigné. Une autorisation générale permet au sous-traitant de recourir librement à des sous-traitants ultérieurs, à condition d'informer systématiquement le responsable de traitement de tout changement (ajout ou remplacement), qui conserve un droit d'opposition avant que le changement ne prenne effet.

Le sous-traitant ultérieur doit-il respecter les mêmes obligations que le sous-traitant initial ?

Oui. L'article 28.4 du RGPD impose que les mêmes obligations de protection des données que celles fixées dans le contrat initial (le DPA) soient imposées, par contrat, au sous-traitant ultérieur — c'est précisément l'objet de ce modèle d'accord.

Qui est responsable en cas de manquement du sous-traitant ultérieur ?

Le sous-traitant initial reste pleinement responsable envers le responsable de traitement de l'exécution des obligations de son sous-traitant ultérieur. C'est pourquoi il a un intérêt direct à sécuriser cette relation par un contrat au moins aussi protecteur que celui qui le lie au responsable de traitement.

Cet accord remplace-t-il le DPA initial entre le responsable de traitement et le sous-traitant ?

Non, il vient s'y ajouter. Le DPA initial encadre la relation entre le responsable de traitement et le sous-traitant. L'accord de sous-traitance ultérieure encadre, lui, la relation entre ce sous-traitant et le sous-traitant de second rang auquel il délègue tout ou partie du traitement.

Faut-il prévoir une clause sur les transferts hors Union européenne ?

Oui, dès lors que le sous-traitant ultérieur est susceptible de traiter ou d'héberger des données hors de l'Union européenne. Le transfert doit alors être encadré par un mécanisme approprié prévu au chapitre V du RGPD (décision d'adéquation, clauses contractuelles types), et le responsable de traitement doit en être informé.

Personnalisez votre modèle

Modèles associés