RCMQu’est-ce que ce service ?
La revue des sous-traitants vérifie que chaque prestataire qui accède à vos données personnelles, qu’il s’agisse d’un logiciel SaaS, d’un hébergeur, d’un centre d’appels ou d’un cabinet de paie, est encadré par un contrat conforme et présente des garanties suffisantes.
Le RGPD rend le responsable du traitement responsable du choix de ses prestataires. L’article 28 fixe le contenu minimal du contrat : instructions, confidentialité, sécurité, recours à d’autres sous-traitants, assistance, suppression des données en fin de contrat et droit d’audit.
France
Maroc
ultérieur
À qui s’adresse-t-il ?
Ce service s’adresse aux PME qui utilisent plusieurs outils SaaS et prestataires, et aux prestataires eux-mêmes qui doivent proposer un contrat de sous-traitance solide à leurs clients européens.
Situations qui déclenchent la mission
- Vous ne savez pas exactement combien de prestataires ont accès à vos données, ni dans quels pays.
- Un client européen vous demande la liste de vos sous-traitants ultérieurs.
- Vous changez d’outil de CRM, de paie ou d’hébergement et devez valider le nouveau fournisseur.
- Vous êtes prestataire et vos clients vous envoient chacun leur propre contrat à signer.
Problèmes que nous rencontrons souvent
- Des conditions générales acceptées en ligne sans vérifier les clauses de protection des données.
- Des sous-traitants ultérieurs (hébergement, support, outils d’IA) jamais identifiés.
- Des transferts hors de l’Union européenne non encadrés dans les contrats.
- Aucune vérification des mesures de sécurité au moment du choix du prestataire.
Ce que la mission comprend
La revue porte sur une liste de prestataires définie ensemble, en commençant par ceux qui accèdent aux données les plus sensibles.
Livrables
- Inventaire des prestataires : rôle, données accessibles, pays de traitement et sous-traitants ultérieurs.
- Analyse des contrats : pour chaque prestataire, les clauses présentes, manquantes ou à renégocier.
- Questionnaire de sécurité : un modèle pour évaluer vos prestataires actuels et futurs.
- Modèle de contrat article 28 : un accord de sous-traitance (DPA) adaptable, en français et en anglais.
- Plan d’action : les avenants à demander, les prestataires à remplacer et les points à suivre.
Ce que le client doit fournir
La liste de vos prestataires, les contrats et conditions générales signés, et un contact dans chaque équipe qui utilise des outils externes.
Déroulé type
Inventorier
Prestataires et données accessibles.
Analyser
Contrats et garanties de sécurité.
Classer
Par niveau de risque.
Corriger
Avenants et plan d’action.
Prestataires au Maroc : préparer le contrat que vos clients attendent
Pour un centre d’appels, une ESN ou un prestataire de paie au Maroc, le contrat de sous-traitance est souvent le premier document examiné par un client européen. Un DPA clair, accompagné d’une liste à jour des sous-traitants ultérieurs et d’une description des mesures de sécurité, accélère les signatures et réduit les allers-retours.
Nous pouvons rédiger votre propre modèle de DPA, pour que ce soit vous qui proposiez le contrat, et préparer les réponses aux questionnaires de sécurité les plus fréquents.
Limites importantes
La revue porte sur les contrats et les garanties déclarées par les prestataires. Elle ne remplace pas un audit technique de sécurité sur site.
RCM fournit un accompagnement de conformité et de DPO. RCM n’est pas un cabinet d’avocats. Lorsqu’une consultation juridique spécialisée ou une représentation contentieuse est nécessaire, elle doit être confiée à un professionnel habilité.
Questions fréquentes
Qu’est-ce qu’un DPA ?−
Le DPA (Data Processing Agreement) est le contrat de sous-traitance exigé par l’article 28 du RGPD entre un responsable du traitement et son prestataire. Il peut prendre la forme d’un avenant au contrat principal.
Combien coûte une revue des sous-traitants ?+
À partir de 750 € HT pour un nombre limité de prestataires. Le prix dépend du nombre de contrats à analyser et de la rédaction éventuelle d’un modèle de DPA.
Faut-il un contrat avec un outil SaaS grand public ?+
Oui, dès qu’il traite des données personnelles pour votre compte. Les grands éditeurs proposent généralement leur propre DPA, qu’il faut vérifier et conserver.
Combien de prestataires faut-il revoir ?+
Tous ceux qui accèdent aux données personnelles, en commençant par ceux qui traitent des données sensibles ou en grand volume. La revue est priorisée par niveau de risque.
Parler de votre situation
Présentez le contexte, le calendrier et les acteurs. Nous vous dirons si ce service correspond réellement au besoin.
Demander un cadrage →