Suivre les sous-traitants et les transferts hors de l'Union

Un sous-traitant traite des données personnelles pour votre compte : hébergeur, service d'envoi de courriels, éditeur de la paie, support externalisé… Le RGPD exige un contrat qui l'encadre (article 28) et un fondement pour tout transfert de données hors de l'Union (chapitre V). L'écran Protection des données › Sous-traitants tient tout cela au même endroit, pour chaque entité juridique.

Qui fait quoi

La fiche d'un sous-traitant

• Traitements confiés et données confiées (les mêmes catégories que le registre).
• Pays de traitement : les codes ISO à deux lettres des pays où les données sont traitées ou accessibles (FR, IE, US…).
• Sous-traitant ultérieur de : un prestataire de votre sous-traitant (son support, son hébergeur). Il apparaît sous son nom dans la liste.
• Activités du registre confiées : cochez les traitements du registre que ce sous-traitant réalise pour vous.
• Liens vers le contrat et le fournisseur : l'adresse de leur fiche dans l'application, pour ne pas recopier le contrat ni le fournisseur.

L'accord de traitement

Indiquez la référence, la date de signature et l'échéance, puis joignez l'accord signé. Cochez ensuite chaque clause obligatoire de l'article 28.3 que vous avez vérifiée dans l'accord : instructions documentées, confidentialité, sécurité, sous-traitants ultérieurs, aide à l'exercice des droits, assistance, suppression ou restitution des données en fin de contrat, audits.

Indiquez aussi la date du dernier audit et la fréquence de la revue. Après chaque revue, cliquez sur Revue faite : la prochaine échéance est recalculée.

Les transferts hors de l'Union

Pour chaque pays hors de l'Union où le sous-traitant transfère les données ou y donne accès, ajoutez un transfert :

1. Le pays et le destinataire (maison mère, centre de support…).
2. Le fondement : décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes, dérogation de l'article 49.1 (choisissez alors son point), ou autre garantie que vous décrivez.
3. Pour des clauses types ou des règles d'entreprise, la date et la conclusion de l'analyse d'impact du transfert, et les mesures complémentaires (chiffrement, pseudonymisation…).

Les alertes

La liste signale chaque sous-traitant à régulariser : accord absent ou échu, clauses non toutes vérifiées, revue en retard, transfert sans fondement, transfert sans analyse d'impact. Cochez Avec alerte pour ne voir qu'eux. Les délégués reçoivent chaque matin un message quand de nouvelles alertes apparaissent ; une même alerte n'est signalée qu'une fois.

Quand la relation prend fin, cliquez sur Mettre fin à la relation : la fiche reste consultable (cochez Relations terminées) mais ne lève plus d'alerte.

Avec les demandes de droits

Quand une personne fait rectifier, effacer ou limiter ses données, la tâche « prévenir les destinataires » de chaque activité concernée nomme les sous-traitants qui y sont rattachés : vous savez qui prévenir.

Quand vous êtes vous-même sous-traitant

Si votre organisation traite des données pour ses clients (logiciel en ligne, infogérance…), ouvrez Nos clients (accords de traitement) depuis la liste des sous-traitants :

1. Sur la fiche de chaque prestataire concerné, cochez Figure dans la liste des sous-traitants ultérieurs publiée à nos clients.
2. Publiez la liste avec un préavis (30 jours par exemple) et une phrase qui résume le changement : vos clients actifs reçoivent un courriel dans leur langue, et la nouvelle version ne s'applique qu'à la date annoncée. La page publique montre la version en vigueur et la version à venir.
3. Pour chaque client, générez l'accord de traitement en PDF dans sa langue, puis enregistrez son acceptation avec la copie signée : la date, le signataire et l'empreinte du fichier sont gardés.
4. Si un client s'oppose à un changement, enregistrez son opposition et son motif ; levez-la une fois la situation réglée.