Questions fréquentes
Qu'est-ce qu'un DPA RGPD ?
Le DPA (Data Processing Agreement) est le contrat de sous-traitance imposé par l'Article 28 du RGPD. Il encadre la relation entre un responsable de traitement et son sous-traitant : objet, durée, finalités, instructions, sécurité, sous-traitance ultérieure, transferts hors UE, droits des personnes, audit et fin du contrat.
Le DPA est-il obligatoire pour tous les fournisseurs SaaS ?
Oui. Dès qu'une entreprise traite des données personnelles pour le compte d'une autre, l'Article 28.3 impose un contrat écrit (ou autre acte juridique) couvrant 8 mentions minimales. Sans DPA, le responsable de traitement et le sous-traitant sont tous deux en infraction au RGPD.
DPA et CGU, est-ce la même chose ?
Non. Les CGU régissent la relation commerciale (prix, support, SLA, propriété intellectuelle). Le DPA régit uniquement la protection des données personnelles. La pratique standard est de signer un DPA en annexe ou en avenant aux CGU.
Comment vérifier qu'un fournisseur respecte réellement son DPA ?
Un DPA signé ne garantit pas son exécution. Il faut croiser ses engagements avec les preuves publiques du fournisseur (politique de confidentialité, page sécurité, certifications, liste des sous-traitants ultérieurs). Un score RGPD basé sur ces preuves, comme un scan RGPD documentaire, permet de qualifier rapidement la cohérence entre le DPA et la réalité.
Qui doit fournir le DPA : le client ou le fournisseur ?
C'est le responsable de traitement (le client) qui est juridiquement responsable de l'existence d'un DPA conforme. En pratique, les fournisseurs SaaS proposent leur propre DPA standardisé, qu'il faut analyser et négocier au besoin.