Contrat de sous-traitance RGPD

(Monsieur ou Madame X), né(e) le (date) à (lieu de naissance), demeurant au (indiquer l'adresse), de nationalité (à préciser).

OU

La société (nom de la société), au capital de (montant du capital) Euros dont le siège social est à (Ville), immatriculée au Registre du commerce et des sociétés de (à préciser), sous le numéro (préciser le numéro) Le représentant légal est (Monsieur ou Madame) (Nom et Prénom) demeurant à (adresse).

Désigné(e) ci-après « Le Responsable de traitement »,



Et,

(Monsieur ou Madame X), né(e) le (date) à (lieu de naissance), demeurant au (indiquer l'adresse), de nationalité (à préciser).

OU

La société (nom de la société), au capital de (montant du capital) Euros dont le siège social est à (Ville), immatriculée au Registre du commerce et des sociétés de (à préciser), sous le numéro (préciser le numéro) Le représentant légal est (Monsieur ou Madame) (Nom et Prénom) demeurant à (adresse).

Désigné(e) ci-après « le Sous-traitant ».

Les parties ont convenu et arrêté les dispositions suivantes :

Préambule

Le Responsable de traitement ainsi que le Sous-traitant s’engagent pendant toute la durée de leur relation contractuelle, à respecter la réglementation en vigueur et notamment le Règlement européen (UE) 2016/679 du 27 avril 2016 désigné ci-après le « RGPD » ou « le règlement européen sur la protection des données ».

Les parties s’engagent à exécuter leurs missions conformément aux dispositions prévues au présent contrat.

Article 1 – Objet du contrat

Le présent contrat prévoit les modalités selon lesquelles le Sous-traitant s’engage à effectuer une mission de traitement des données à caractère personnel pour le compte du Responsable de traitement et pour le ou les services suivants : (préciser).

Article 2 – Description du traitement

2.1 Nature du traitement

Le Sous-traitant s’engage à traiter les données à caractère personnel ayant les caractéristiques suivantes : (préciser et détailler au mieux les données traitées)

Le traitement des données à caractère personnel s’effectue dans le cadre de la collecte, de l’utilisation et de la gestion des informations relatives aux personnes concernées. Ce traitement englobe diverses opérations telles que (préciser : le stockage, la diffusion...).

2.2 Finalité du traitement

Le Sous-traitant devra respecter la finalité ou les finalités de traitement des données précisées ci-dessous, et plus précisément :

(préciser, par exemple, gestion des recrutements, enquête de satisfaction, surveillance des locaux... 

2.3 Catégories de personnes concernées

Le Sous-traitant limitera le traitement des données personnelles aux personnes concernées ci-dessous :

(préciser : hommes, femmes âgées de 18-35 ans, personnes âgées...)

2.4 Informations sur le traitement

Le Responsable de traitement s’engage à transmettre au Sous-traitant l’ensemble des informations nécessaires à l’exécution de la prestation, objet du présent contrat, à savoir :

(préciser).

Article 3 – Obligations des parties

3.1 Obligations du Responsable de traitement

3.1.1 Fournir les données

Le Responsable de traitement s’engage à fournir au Sous-traitant toutes les données prévues à l’article 2 du présent contrat, et ce, afin de lui permettre l’exécution de sa mission de traitement de ces données.

3.1.2 Instructions et vérifications

Le Responsable de traitement s’engage à indiquer au Sous-traitant toutes les spécifications et instructions qui sont précisées en Annexe 1 du présent contrat. Il s’engage également à vérifier que ce traitement par le Sous-traitant respecte toutes les dispositions légales, européennes en vigueur ainsi que les dispositions conventionnelles.

Le Responsable de traitement s’engage notamment à réaliser toutes les mesures de vérifications, audits et inspections concernant la bonne application de ses obligations par le Sous-traitant.

3.2 Obligations du Sous-traitant

3.2.1 Garanties

Conformément aux dispositions légales et notamment le RGPD, le Sous-traitant se doit de présenter les garanties suffisantes correspondant à la mise en œuvre des mesures techniques et organisationnelles adaptées au traitement des données.

3.2.2 Mesures de sécurité et confidentialité

Le Sous-traitant s’engage à prendre toutes les mesures permettant la sécurité du traitement des données précisées à l’article 2 du présent contrat.

Notamment, il s’engage à mettre en œuvre toutes les mesures techniques et organisationnelles nécessaires afin de garantir un niveau de sécurité adéquat pour ces données. L’article 32 du RGPD prévoit notamment les mesures suivantes :

« a) la pseudonymisation et le chiffrement des données à caractère personnel ;

b) des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résiliation constantes des systèmes et services de traitement ;

c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ;

d) une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. »

Ces mesures devront être proportionnées et appropriées aux données qui seront traitées par le Sous-traitant.

3.2.3 Formation et confidentialité

Le Sous-traitant s’engage également à maintenir la confidentialité de l’ensemble des données à caractère personnel qu’il détient et à assurer en permanence la sécurité de ses services de traitement.

Cette obligation s’étend à toute personne qui traite les données ainsi qu’au personnel dont il a la charge.

Le Sous-traitant promet de dispenser une formation au personnel sous sa responsabilité, portant sur le traitement et la protection des données à caractère personnel.

De plus, il s’engage à vérifier lors du transfert de ses données avec un tiers, que ce dernier a été au préalable autorisé à traiter les données à caractère personnel conformément aux dispositions conventionnelles et légales. Ce transfert devra notamment faire l’objet d’une autorisation exprès et préalable du Responsable de traitement.

3.2.4 Assistance, alerte et conseil

Le Sous-traitant s’engage à assister et conseiller le Responsable de traitement dans le traitement des données. Le Sous-traitant s’engage également à aider le Responsable de traitement dans son obligation de sécurité du traitement des données.

Le Sous-traitant se doit d’informer et alerter, et ce, dans un délai maximum de (préciser), toute violation qui serait intervenue dans le cadre du traitement des données et plus précisément celles ayant un caractère personnel. Ce signalement devra être accompagné de la documentation nécessaire à la notification de la violation à l’autorité de contrôle compétente, en l’occurrence, la Commission nationale de l’informatique et des libertés (CNIL). 

Commentaire : Le Sous-traitant peut signaler toute violation auprès de la CNIL sur accord du responsable de traitement, tout dépend du choix des parties. Dans ce cas, la notification devra contenir un certain nombre d’informations comme la description de la violation, des conséquences éventuelles, des mesures prises...

Le Sous-traitant communiquera au nom et pour le compte du Responsable de traitement, ladite violation de données à caractère personnel aux personnes concernées dans les plus brefs délais, lorsque cette violation représente un risque élevé pour les droits et libertés des personnes physiques.

Cette notification devra être rédigée en des termes clairs et simples et devra fournir une description détaillée de la violation des données.

3.2.5 Droit d’information – Exercice du droit des personnes

Dès lors qu’une collecte de données a lieu, le Sous-traitant s’engage à fournir aux personnes concernées, toute information relative au traitement qui est réalisé. Cette information se fera selon les spécifications données par le Responsable de traitement détaillées en Annexe 1 du présent contrat.

Commentaire : Le Responsable de traitement peut également fournir ces informations.

Le Sous-traitant s’engage à apporter son soutien au Responsable de traitement concernant l’obligation de donner suite aux demandes d’exercice des droits des personnes concernées. Cette obligation concerne spécifiquement le droit de rectification des données, le droit d’accès, le droit à l’effacement, le droit d’opposition ou à la portabilité des données. Cette aide du Sous-traitant se caractérise par le fait de (préciser par exemple : traiter au nom et pour le compte du Responsable de traitement toute demande OU d’informer directement le Responsable de traitement par (moyen de communication) toute demande qui lui serait directement adressée).

3.2.6 Registre

Le Sous-traitant s’engage à tenir un registre des catégories d’activités et de toutes les données traitées au cours du présent contrat.

Article 4 – Sous-traitance

Le Sous-traitant a la possibilité de faire appel à un autre sous-traitant dans le cadre de sa mission, à condition d’en informer préalablement par écrit le Responsable de traitement et d’obtenir ultérieurement son autorisation.

Dans le cas où un nouveau sous-traitant entre dans la présente relation contractuelle, ce dernier devra se conformer à toutes les dispositions prévues au sein du présent contrat, et ce, sous la responsabilité du Sous-traitant.

Article 5 – Délégué à la protection des données

Le Sous-traitant devra désigner un délégué à la protection des données conformément à l’article 37 du RGPD. Suite à cela, le Sous-traitant communiquera au Responsable de traitement, son nom et ses coordonnées afin de faciliter la collaboration et d’assurer une communication efficace.

Article 6 – Durée et renouvellement

Le présent contrat est conclu pour une durée de (indiquer le nombre d'années) à compter de sa signature en date du (date).

Le contrat pourra être tacitement renouvelable dans les mêmes conditions pour une durée de (à préciser), sauf si l'une des parties notifie par lettre recommandée avec accusé de réception la résiliation du présent contrat.

Cette notification devra se faire au moins (préciser le délai : (nombre) jours/mois) avant l'échéance du présent contrat.

Article 7 – Expiration

Le contrat cessera de plein droit à l'arrivée de son terme, fixé d'un commun accord entre les parties à la date du (date de fin du contrat), comme il en est convenu à l'article 6 des présentes, sauf renouvellement de la convention.

Article 8 – Résiliation

En cas d'inexécution par l'une des parties d'une seule de ses obligations contractuelles, la résiliation du contrat serait encourue de plein droit, (nombre) jours après une mise en demeure restée sans effet.

La résiliation a lieu de plein droit notamment dans les cas suivants : (préciser les cas).

Cette résiliation se fera aux torts de la partie ayant la charge de la ou des obligations contractuelles non exécutées, sauf cas de force majeure.

Le présent contrat prendra fin également à tout moment sur accord des parties avant l’expiration dudit contrat.

Article 9 – Effets de l’expiration ou de la résiliation

Au terme du présent contrat, le Sous-traitant s’engage à procéder à la destruction de l’ensemble des données à caractère personnel qu’il détient.

OU

Au terme ou à la date d’effet de la résiliation, le Sous-traitant a l’obligation de renvoyer l’ensemble des données à caractère personnel qu’il a en sa possession au Responsable de traitement.

Article 10 – Confidentialité

Les parties s’engagent, et ce, pendant toute la durée du contrat et au-delà, à garder confidentielles toutes les informations indiquées comme telles.

Les parties s’engagent à ne pas divulguer ces informations confidentielles, sauf toute personne autorisée au préalable.

Article 11 – Cession du contrat

Le présent contrat est conclu intuitu personae et ne saurait, à titre principal ou accessoire, faire l’objet d’aucune cession ou transmission à titre gratuit ou onéreux.

Article 12 – Litiges

La loi applicable au présent contrat est la loi française.

Lorsqu’un litige survient, les parties chercheront en premier lieu un accord amiable.

À défaut d’accord et pour toute contestation des parties au contrat, les parties donnent compétence au Tribunal (préciser la juridiction) de (indiquer la ville).

Article 13 – Élection du domicile

Pour l'exécution du présent contrat, les parties font respectivement élection de leur domicile en leurs sièges sociaux ou adresses indiqués à la première page.

Toute modification de domicile devra être signifiée par les parties par lettre recommandée avec accusé de réception afin que cela lui soit opposable.

Fait à (ville), le (date), en (nombre) exemplaires originaux

Le Responsable de traitement Le Sous-traitant

Annexe 1 – Instructions et spécifications

À préciser ici toutes les instructions du Responsable de traitement concernant le traitement des données par le Sous-traitant.