Ce qu’est un DPA
Lorsqu’une organisation (le responsable du traitement) confie le traitement de données personnelles à un prestataire (le sous-traitant) – hébergement, e-mail, outil collaboratif –, l’article 28 du RGPD exige un contrat ou un autre acte juridique qui lie ce prestataire. C’est l’accord de traitement des données, en anglais data processing agreement (DPA).
Le responsable du traitement reste responsable. Le DPA garantit que le sous-traitant n’agit que sur instruction documentée et présente des garanties suffisantes pour la protection des données.
Ce qu’il doit contenir
L’article 28, paragraphe 3, du RGPD fixe le contenu minimal. Notamment :
- L’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées.
- Un traitement uniquement sur instruction documentée du responsable.
- La confidentialité des personnes autorisées à traiter les données.
- Les mesures de sécurité techniques et organisationnelles (article 32).
- Les règles de recours à des sous-traitants ultérieurs – uniquement avec autorisation préalable.
- L’aide pour les demandes des personnes concernées, les incidents de sécurité et les analyses d’impact.
- La suppression ou la restitution des données à la fin du service.
- Les informations et audits permettant de démontrer la conformité.
Le DPA avec Coviqo
Les organisations qui utilisent Coviqo pour leurs équipes sont responsables du traitement de leurs contenus ; Coviqo les traite pour leur compte. Avec les offres Business et Enterprise, les administrateurs peuvent lire, télécharger et conclure le DPA directement dans les paramètres de l’organisation. Les sous-traitants figurent sur Pourquoi une plateforme européenne.
Cette page est une information générale, pas un conseil juridique.
Questions fréquentes
Faut-il un DPA pour chaque outil ?
Dès qu’un prestataire traite des données personnelles pour votre compte en tant que sous-traitant. C’est le cas de la plupart des outils cloud avec lesquels votre organisation traite des données personnelles.
Le DPA est-il la même chose que la politique de confidentialité ?
Non. La politique de confidentialité informe les personnes dont les données sont traitées. Le DPA est un contrat entre le responsable du traitement et le sous-traitant.