Data processing agreement (DPA)

Le contrat de sous-traitance se distingue de la politique de confidentialité que tu présentes à tes clients finaux. Alors que celle-ci informe les personnes concernées du traitement, le contrat de sous-traitance définit le pouvoir d'instruction : tu restes responsable du traitement, et le prestataire ne peut agir que sur tes instructions. Dans l'automatisation marketing avec des outils américains comme HubSpot ou Mailchimp, cette différence a des conséquences concrètes. Le fournisseur traite tes données de contacts, mais ne prend aucune décision propre sur la finalité ou les modalités du traitement. C'est ce lien avec tes instructions qui fait de lui un sous-traitant, et non un responsable conjoint du traitement.

Dans le quotidien B2B, tu as besoin d'un contrat de sous-traitance avec pratiquement chaque fournisseur SaaS qui traite des données personnelles : systèmes CRM, outils d'e-mailing, plateformes d'analytics, fournisseurs de chatbots. La plupart des fournisseurs américains proposent des DPA standardisés que tu peux accepter en ligne. Avec les plateformes de données clients ou les agents IA, les choses se compliquent, car les flux de données vers des pays tiers sans décision d'adéquation exigent des mesures de protection supplémentaires. Depuis Schrems II, les clauses contractuelles types ne suffisent plus automatiquement : tu dois vérifier au cas par cas si le droit du pays de destination vide de leur substance les garanties contractuelles, et c'est seulement si cette analyse révèle des lacunes que tu as besoin de mesures supplémentaires, comme le chiffrement ou la pseudonymisation, qui empêchent de fait l'accès des autorités.

Le plus grand piège, c'est l'illusion de la conformité. Un contrat de sous-traitance signé ne te protège pas automatiquement des amendes. Les autorités de contrôle vérifient de plus en plus si tu surveilles réellement le respect des obligations contractuelles. Concrètement : audits réguliers, documentation des incidents de protection des données, preuve du respect des délais d'effacement. Pour les systèmes d'IA s'ajoute le fait que de nombreux fournisseurs ne parviennent pas à isoler complètement les données d'entraînement. Si les données de tes clients alimentent un modèle utilisé par d'autres clients, cela viole l'obligation d'agir uniquement sur instruction. Les coûts viennent moins du contrat lui-même que du travail de conformité continu : conseil juridique, délégués à la protection des données, contrôles techniques.

Lors du choix de prestataires, veille à ce que le contrat de sous-traitance précise des mesures techniques et organisationnelles concrètes, et pas seulement des déclarations d'intention générales. Vérifie si le fournisseur fait appel à des sous-traitants ultérieurs et comment leur contrôle est encadré. En matière de confidentialité des données dans le marketing, une règle s'applique : plus les données sont sensibles, plus le cadre des instructions doit être strict. Pour l'envoi de newsletters, un DPA standard suffit. Pour de l'analyse prédictive portant sur des données de santé, il te faut des accords individuels qui définissent précisément la limitation des finalités et les délais d'effacement. Le contrat de sous-traitance n'est pas un formulaire, mais un outil de pilotage des flux de données que tu dois gérer activement.