Comment rédiger un accord de traitement avec ses clients ?

Introduction

L’accord de traitement est devenu un document commercial autant que juridique : sa qualité conditionne la capacité à vendre à des clients structurés.

Les mentions imposées

L’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, ainsi que les obligations et droits du responsable.

L’engagement de ne traiter que sur instruction documentée, y compris pour les transferts.

L’engagement de confidentialité des personnes autorisées.

La mise en œuvre des mesures de sécurité.

Les conditions de recours à un sous-traitant ultérieur.

L’assistance au responsable pour les demandes d’exercice des droits.

L’assistance pour la sécurité, la notification des violations et les analyses d’impact.

La suppression ou le renvoi des données au terme de la prestation, au choix du responsable.

La mise à disposition des informations nécessaires et la possibilité d’audits.

Les annexes

Elles font la valeur de l’accord.

Une annexe descriptive : finalités, catégories de données, catégories de personnes, durée, opérations effectuées.

Une annexe sécurité : mesures techniques et organisationnelles réellement mises en œuvre, décrites avec suffisamment de précision pour être vérifiables.

Une annexe listant les sous-traitants ultérieurs, avec leur rôle, leur localisation et le mécanisme d’encadrement des transferts.

Des annexes vides ou renvoyant à des formulations générales privent l’accord de sa portée et sont systématiquement relevées lors d’un audit client.

Les sous-traitants ultérieurs

Deux régimes existent.

L’autorisation spécifique, pour chaque sous-traitant, lourde à gérer.

L’autorisation générale, assortie d’une obligation d’informer le responsable de tout changement prévu, celui-ci pouvant émettre des objections.

L’autorisation générale est la seule praticable pour un éditeur servant de nombreux clients.

Elle suppose une page publique listant les sous-traitants, un mécanisme d’abonnement aux notifications et un délai d’objection raisonnable.

Le traitement des objections doit être prévu : à défaut d’accord, faculté de résiliation du client.

L’éditeur demeure pleinement responsable devant son client de l’exécution par le sous-traitant ultérieur.

L’audit

Le règlement impose de permettre la réalisation d’audits, y compris des inspections.

Un droit d’audit sur site, ouvert à chaque client sans encadrement, est ingérable pour un éditeur.

La position usuelle consiste à communiquer des rapports d’audit indépendants, des certifications et des réponses à un questionnaire standard, et à réserver l’audit sur site à des circonstances définies : incident significatif, demande d’une autorité, manquement constaté.

L’audit sur site est alors encadré : préavis, périodicité maximale, auditeur soumis à confidentialité et non concurrent, frais à la charge du client, confidentialité des résultats.

Les violations de données

L’éditeur notifie au responsable toute violation dans les meilleurs délais après en avoir pris connaissance.

Le délai doit être chiffré et court : le responsable dispose de soixante-douze heures pour notifier l’autorité, délai entamé par le temps de réaction de son sous-traitant.

Un délai de vingt-quatre à quarante-huit heures est usuel.

L’accord doit préciser le contenu de la notification et l’obligation d’assistance pour l’appréciation du risque.

La fin de contrat

Le sort des données doit être précis : délai de mise à disposition pour export, format, délai de suppression après ce terme, preuve de la suppression, sort des sauvegardes.

Une clause prévoyant la suppression immédiate à la résiliation est contre-productive : elle prive le client de sa réversibilité.

Une période de conservation transitoire, annoncée, suivie d’une suppression documentée, constitue le standard.

Les points de négociation fréquents

La localisation des données et l’engagement de non-transfert hors de l’Union.

Le délai de notification des violations.

L’étendue du droit d’audit.

La responsabilité et son plafond, les clients demandant fréquemment un plafond distinct et rehaussé pour les manquements en matière de données.

L’usage des données à des fins d’amélioration du produit ou d’entraînement de modèles, point désormais systématiquement examiné.

Standardiser pour vendre plus vite

Un accord standard, complet et à jour, raccourcit les cycles de vente. Notre expertise RGPD et protection des données personnelles rédige ces documents.

En résumé

• Le contenu de l’accord est imposé ; son absence est un manquement autonome.
• Les annexes font la valeur du document : descriptives, sécurité, sous-traitants ultérieurs.
• L’autorisation générale de sous-traitance ultérieure suppose notification et droit d’objection.
• Substituer des rapports d’audit indépendants au droit d’audit sur site, encadré par exception.
• Chiffrer le délai de notification des violations, court, pour préserver l’échéance du client.