Nous utilisons des cookies pour améliorer votre expérience sur notre site. Les cookies strictement nécessaires au fonctionnement du service sont toujours actifs. En savoir plus sur notre politique cookies
Le DPA (Data Processing Agreement, ou accord de traitement des données) est le contrat rendu obligatoire par l'article 28 du Règlement général sur la protection des données (RGPD) entre un responsable de traitement et un sous-traitant qui traite des données personnelles pour son compte. Dès qu'un prestataire — hébergeur, éditeur SaaS, prestataire technique, agence marketing — a accès à des données personnelles pour exécuter une prestation confiée par un client, ce dernier reste responsable de traitement et doit encadrer cette relation par un DPA. Contenu obligatoire (article 28.3 du RGPD) : le DPA doit préciser l'objet, la durée, la nature et la finalité du traitement, ainsi que le type de données personnelles et les catégories de personnes concernées. Il doit imposer au sous-traitant de traiter les données uniquement sur instruction documentée du responsable de traitement, et jamais pour son propre compte. Il doit prévoir un engagement de confidentialité pour toute personne autorisée à traiter les données, ainsi que la mise en œuvre de mesures de sécurité appropriées au sens de l'article 32 du RGPD (chiffrement, contrôle d'accès, résilience, procédures de test). Le recours à un sous-traitant ultérieur (sous-traitant de second rang) doit être soumis à une autorisation écrite préalable, générale ou spécifique, du responsable de traitement, et le sous-traitant initial reste pleinement responsable envers lui du respect des obligations de ce sous-traitant ultérieur. Le DPA doit aussi organiser l'assistance du sous-traitant au responsable de traitement pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité), la notification sans délai injustifié de toute violation de données constatée par le sous-traitant, le sort des données à l'issue de la prestation (suppression ou restitution, au choix du responsable de traitement), et la mise à disposition de toutes les informations nécessaires pour démontrer le respect de ces obligations, y compris en permettant des audits et inspections. Quand l'utiliser : systématiquement dès qu'un sous-traitant technique ou opérationnel traite des données personnelles pour le compte d'un client — hébergement, infrastructure cloud, logiciel SaaS, maintenance applicative, envoi d'emails, support client externalisé, etc. Le DPA s'articule généralement avec le contrat principal de prestation, dont il constitue une annexe ou un avenant obligatoire. Erreurs à éviter : ne pas conclure de DPA alors qu'un sous-traitant traite effectivement des données personnelles — un manquement sanctionnable par la CNIL, y compris pour le responsable de traitement qui n'a pas exigé cet encadrement contractuel ; utiliser un DPA générique ou incomplet qui ne couvre pas l'ensemble des points obligatoires de l'article 28.3 (notamment l'audit, la notification de violation ou le sort des données en fin de contrat) ; omettre toute clause sur les transferts de données hors Union européenne, alors que ce point conditionne la légalité du traitement dès qu'un sous-traitant (ou l'un de ses propres sous-traitants) héberge ou traite des données en dehors de l'UE/EEE.
Nom ou raison sociale du responsable de traitement
Adresse du responsable de traitement
Nom ou raison sociale du sous-traitant
Adresse du sous-traitant
Objet du traitement
Ex. : hébergement de l'application, envoi d'emails transactionnels, support client.
Durée du traitement
Ex. : durée du contrat principal de prestation.
Nature des opérations de traitement
Ex. : collecte, stockage, consultation, transmission.
Finalité du traitement
Catégories de données personnelles concernées
Catégories de personnes concernées
Ex. : clients, salariés, prospects, utilisateurs finaux.
Résumé des mesures de sécurité mises en œuvre
Sous-traitants ultérieurs autorisés
Liste des sous-traitants de second rang déjà autorisés, le cas échéant.
Transferts de données hors Union européenne
Préciser les pays destinataires et la garantie utilisée (clauses contractuelles types, décision d'adéquation...) le cas échéant.
Délai de notification d'une violation de données
Ex. : sans délai injustifié et au plus tard dans les 48 heures.
Sort des données en fin de contrat
Suppression ou restitution des données au responsable de traitement.
Date de signature de l'accord
Ex. : hébergement de l'application, envoi d'emails transactionnels, support client.
Ex. : durée du contrat principal de prestation.
Ex. : collecte, stockage, consultation, transmission.
Ex. : clients, salariés, prospects, utilisateurs finaux.
Liste des sous-traitants de second rang déjà autorisés, le cas échéant.
Préciser les pays destinataires et la garantie utilisée (clauses contractuelles types, décision d'adéquation...) le cas échéant.
Ex. : sans délai injustifié et au plus tard dans les 48 heures.
Suppression ou restitution des données au responsable de traitement.