Questions fréquentes
Quels sont les points les plus souvent absents dans un DPA reçu d'un fournisseur ?
En pratique, les points les plus souvent manquants ou flous sont : l'interdiction explicite d'utiliser les données pour entraîner des modèles d'IA, la liste nominative des sous-traitants ultérieurs, les mesures de sécurité détaillées (plutôt que génériques) et le délai chiffré de notification de violation.
Combien de points KO justifient de refuser un DPA ?
À titre indicatif : 0 à 3 points KO, le DPA est acceptable et les points faibles se négocient ; 4 à 7, une révision doit être demandée avant signature ; 8 ou plus, le DPA est non conforme et il faut refuser ou changer de fournisseur.
Faut-il vérifier les certifications citées dans un DPA ?
Oui. Un DPA qui mentionne une certification ISO 27001 ou SOC 2 doit permettre de la vérifier auprès de l'organisme certificateur ou via les preuves publiques du fournisseur. Une certification citée mais introuvable constitue un signal d'alerte fort.
Comment vérifier rapidement si un fournisseur applique vraiment ce que dit son DPA ?
Un score RGPD calculé à partir des preuves publiques du fournisseur (politique de confidentialité, page sécurité, DPA, sous-traitants déclarés) permet de confronter les engagements écrits à la réalité documentée, sans attendre un audit complet.