Modèle de clauses RGPD sous-traitant gratuit

Présentation

Les clauses RGPD sous-traitant sont un jeu de clauses contractuelles conçu pour être inséré directement dans un contrat existant — contrat de prestation de services, contrat SaaS, contrat de maintenance — plutôt que de constituer un document autonome. Elles répondent à la même exigence légale que l'accord de traitement des données (DPA) : l'article 28.3 du Règlement général sur la protection des données (RGPD) impose que le traitement par un sous-traitant soit régi par un contrat, ou un autre acte juridique, contenant un socle minimal de garanties. La différence n'est donc pas juridique mais formelle : ce modèle est pensé pour être intégré comme un article ou une annexe d'un contrat déjà rédigé, plutôt que signé séparément. Quand privilégier des clauses intégrées plutôt qu'un DPA autonome : lorsque le contrat principal est déjà en cours de rédaction ou de négociation et que les parties souhaitent éviter la multiplication de documents séparés ; lorsque le volume ou la sensibilité du traitement de données personnelles est limité et ne justifie pas un document contractuel dédié ; ou lorsque le contrat principal a vocation à rester le document de référence unique entre les parties, pour des raisons de gestion contractuelle interne. À l'inverse, un DPA autonome reste préférable lorsque le traitement de données personnelles est le cœur de la prestation (hébergement, SaaS spécialisé dans le traitement de données), ou lorsque les parties souhaitent pouvoir faire évoluer les clauses de protection des données indépendamment du contrat principal. Contenu obligatoire (identique à celui du DPA, article 28.3 du RGPD) : objet, durée, nature et finalité du traitement, catégories de données et de personnes concernées ; obligation pour le sous-traitant de n'agir que sur instruction documentée du responsable de traitement ; confidentialité du personnel autorisé ; mesures de sécurité appropriées (article 32 du RGPD) ; encadrement du recours à un sous-traitant ultérieur, soumis à autorisation écrite préalable (article 28.2) ; assistance au responsable de traitement pour répondre aux demandes d'exercice des droits et pour la notification des violations de données ; sort des données en fin de contrat ; et mise à disposition des informations nécessaires pour permettre des audits. Quand l'utiliser : à chaque fois qu'un contrat de prestation, un contrat SaaS ou un contrat de maintenance implique un accès à des données personnelles par le prestataire, et que les parties préfèrent intégrer ces clauses au corps du contrat plutôt que de conclure un DPA distinct. Erreurs à éviter : insérer des clauses RGPD incomplètes qui ne couvrent pas l'ensemble des points obligatoires de l'article 28.3, en pensant à tort qu'un jeu de clauses allégé suffit parce qu'il est intégré à un contrat plus large ; ne pas identifier clairement, au sein du contrat, les articles ou l'annexe correspondant aux clauses RGPD, ce qui complique leur lecture en cas de contrôle ; oublier d'articuler ces clauses avec les autres dispositions du contrat principal (responsabilité, résiliation, confidentialité générale) pour éviter toute contradiction.

Informations à personnaliser

• Nom ou raison sociale du responsable de traitement

• Nom ou raison sociale du sous-traitant

• Référence du contrat principal auquel ces clauses s'intègrent

  Ex. : Contrat de prestation de services du [date], article/annexe concerné.

• Objet du traitement

• Durée du traitement

  Ex. : durée du contrat principal.

• Nature et finalité du traitement

• Catégories de données personnelles concernées

• Catégories de personnes concernées

• Mesures de sécurité mises en œuvre

• Sous-traitants ultérieurs déjà autorisés

• Délai de notification d'une violation de données

• Sort des données en fin de contrat

  Suppression ou restitution des données.

• Date d'intégration de ces clauses au contrat principal

Personnalisez votre modèle

Questions fréquentes

Quelle différence entre ces clauses RGPD et un DPA autonome ?

Aucune différence de contenu obligatoire : les deux répondent à l'article 28.3 du RGPD. La différence est purement formelle — ces clauses sont conçues pour être insérées directement dans un contrat existant (article ou annexe), tandis qu'un DPA est un document séparé signé indépendamment.

Quand choisir des clauses intégrées plutôt qu'un DPA séparé ?

Quand le contrat principal est déjà en cours de négociation, quand le volume de données personnelles en jeu est limité, ou quand les parties souhaitent limiter le nombre de documents contractuels à gérer. Un DPA autonome reste préférable lorsque le traitement de données personnelles constitue le cœur de la prestation.

Ces clauses suffisent-elles à couvrir toutes les obligations de l'article 28 du RGPD ?

Oui, à condition qu'elles reprennent l'ensemble des points obligatoires : objet, durée, nature et finalité du traitement, catégories de données et de personnes, instructions documentées, confidentialité, sécurité, sous-traitance ultérieure, assistance, notification des violations, sort des données en fin de contrat et audits. Une version allégée qui omet l'un de ces points expose les deux parties à un manquement.

Ces clauses doivent-elles être signées séparément du contrat principal ?

Non, c'est justement leur intérêt : elles sont pensées pour faire partie intégrante du contrat principal (comme un article dédié ou une annexe), et sont donc couvertes par la signature unique de ce contrat.

Que se passe-t-il en cas de contradiction avec une autre clause du contrat principal ?

Il est recommandé de prévoir une clause de préséance précisant que les clauses de protection des données personnelles prévalent sur toute autre disposition contraire du contrat principal, afin d'éviter toute ambiguïté en cas de contrôle ou de litige.

Modèles associés