Modèle de traitement de données RGPDGestion des sous-traitants et des contrats de sous-traitance (article 28)

Par: bc4946f8-1de1-4b70-bb67-62a0ce536160

Organisme : PrivéOrganisme : PublicFonction : Juridique et conformité

Ce modèle de traitement est relatif à la sélection des sous-traitants, à la conclusion et au suivi des contrats de sous-traitance contenant les clauses de l'article 28 du RGPD, à la réalisation d'audits et à la gestion de la fin de la relation (restitution ou suppression des données).

Finalités (4)

La finalité d'un traitement est l'objectif principal de l'utilisation des données personnelles. Ces données doivent être collectées pour un but bien déterminé et légitime et ne doivent pas être traitées ultérieurement de façon incompatible avec cet objectif initial

Sélection et évaluation des sous-traitants

Vérifier avant tout recrutement que le sous-traitant présente des garanties suffisantes pour la mise en œuvre de mesures techniques et organisationnelles appropriées (art. 28.1 du RGPD). Base retenue : obligation légale.

Obligation légale

Contractualisation et tenue du registre des sous-traitants

Encadrer chaque sous-traitance par un contrat écrit comprenant les mentions de l'article 28.3 du RGPD (objet, durée, nature, finalité, types de données, catégories de personnes, instructions, confidentialité, sécurité, aide aux droits, sous-traitance ultérieure) et en conserver la trace.

Obligation légale

Suivi et audit des sous-traitants

Suivre l'exécution du contrat, les sous-traitants ultérieurs autorisés et les incidents, et organiser les audits que le contrat doit permettre (art. 28.3.h du RGPD). Choix du responsable de traitement quant à la fréquence et aux modalités, fondé sur son intérêt légitime à maîtriser ses prestataires.

Intérêts légitimes du responsable du traitement ou d'un tiers

Gestion de la fin de contrat

Obtenir, selon le choix du responsable de traitement, la suppression ou la restitution des données puis la destruction des copies, sauf obligation légale de conservation (art. 28.3.g du RGPD).

Obligation légale

Données (3)

L’article 30 du RGPD exige l’inscription des catégories de données traitées. Il s’agit ici de définir les catégories de données traitées. Celles-ci peuvent être dites courantes ou sensibles.

Dossier de sélection et d'évaluation du sous-traitant

Détails des données

Nom et fonction des interlocuteurs du sous-traitantoptionel

Coordonnées professionnelles des interlocuteursoptionel

Réponses au questionnaire d'évaluation (sécurité, certifications)optionel

Pays d'hébergement et de traitementoptionel

Règles de conservation

Sort final

Contrat de sous-traitance et registre des sous-traitants

Détails des données

Identité et signataires du sous-traitantoptionel

Objet, durée, nature et finalité du traitement confiéoptionel

Types de données et catégories de personnes concernéesoptionel

Liste des sous-traitants ultérieurs autorisésoptionel

Règles de conservation

Base active:

Obligation de contrat écrit (art. 28.3 et 28.9 du RGPD), sans durée de conservation fixée par le texte.

Sort final

Suivi, audits et incidents

Détails des données

Rapports d'audit et plans d'actionoptionel

Incidents et violations signalés par le sous-traitantoptionel

Preuve de suppression ou de restitution des donnéesoptionel

Règles de conservation

Sort final

Personnes concernées (4)

Une personne concernée est toute personne dont les données sont collectées, retenues ou traitées par le traitement de données en question. Ex : Dans le cadre d'un traitement de gestion du recrutement, n'importe quel candidat pour le poste concerné constitue une personne concernée

Fournisseurs externes
Partenaires
Parties prenantes aux traitements de données à caractère personnel
Employés

Auteur:

bc4946f8-1de1-4b70-bb67-62a0ce536160

Créé le:03/10/2026

Mis à jour le:03/10/2026

Nombre d'utilisations:0