Questions fréquentes
Quelles informations doit contenir l'annexe 1 d'un DPA SaaS ?
L'annexe 1 décrit la finalité du traitement, la nature des opérations (hébergement, indexation, restitution via API), les catégories de personnes et de données concernées, la durée de conservation et la localisation de l'hébergement.
Quelles mesures de sécurité concrètes figurent dans un DPA SaaS type ?
Un DPA SaaS solide détaille le chiffrement (en transit et au repos), le contrôle d'accès (SSO, MFA pour les administrateurs), la journalisation des accès, la fréquence des sauvegardes et des tests de restauration, ainsi que les certifications obtenues (SOC 2, ISO 27001).
Comment traiter les transferts hors UE dans un DPA SaaS américain ?
Pour un éditeur américain, il faut vérifier l'adhésion au Data Privacy Framework et doubler cette base avec des clauses contractuelles types (SCC, décision 2021/914) en redondance, tant que le DPF reste contesté devant la justice européenne.
Quel délai de notification de violation exiger dans un DPA SaaS ?
Un délai chiffré de 48 heures maximum après détection est une pratique courante et recommandée, avec un contenu minimum : nature de la violation, catégories de personnes et de données, volumétrie estimée, conséquences probables et mesures prises.