Questions fréquentes
Quelles sont les étapes pour rédiger un DPA ?
Cinq étapes : cartographier le traitement (finalité, données, hébergement, sous-traitants ultérieurs), choisir une structure type en 12 sections, articuler le DPA avec les CGU, rédiger les 3 annexes (traitement, TOMs, sous-traitants), puis vérifier les pièges fréquents avant signature.
Le DPA doit-il être annexé aux CGU ou signé séparément ?
Les deux patterns existent : DPA annexé aux CGU (le plus courant, rapide à mettre en place), ou DPA avenant signé séparément (préféré pour les grands comptes). Dans tous les cas, il faut prévoir explicitement que le DPA prévaut sur les CGU en matière de protection des données.
Quelles annexes sont indispensables dans un DPA ?
Trois annexes sont indispensables : l'annexe 1 décrit le traitement (finalités, données, personnes, durée), l'annexe 2 liste les mesures techniques et organisationnelles (TOMs), l'annexe 3 recense les sous-traitants ultérieurs avec leur pays et leur base de transfert.
Quelles sont les erreurs les plus fréquentes dans un DPA ?
Les erreurs les plus vues en audit : des TOMs génériques sans valeur opposable, une annexe 3 absente ou vide, une clause d'audit purement théorique, des transferts hors UE non documentés, et une clause de notification de violation sans délai chiffré.