Questions fréquentes
Quelle est la structure type d'un modèle DPA conforme au RGPD ?
Un modèle DPA complet suit généralement 12 sections : préambule, définitions, objet et durée, obligations du sous-traitant, instructions, sécurité, sous-traitance ultérieure, transferts hors UE, droits des personnes, notification de violation, audit, et sort des données en fin de contrat, complétées par 3 annexes.
Quelles sont les 3 annexes indispensables d'un modèle DPA ?
L'annexe 1 décrit le traitement (finalité, données, personnes, durée, localisation), l'annexe 2 liste les mesures techniques et organisationnelles (TOMs) de façon vérifiable, et l'annexe 3 recense les sous-traitants ultérieurs autorisés avec leur pays et leur base de transfert.
Un modèle DPA générique est-il suffisant pour tous les fournisseurs ?
Non, un modèle sert de base mais doit être complété avec les données réelles du traitement concerné : finalité précise, catégories de données, localisation effective de l'hébergement et liste réelle des sous-traitants ultérieurs. Un DPA non personnalisé reste incomplet.
Faut-il prévoir une clause sur l'utilisation des données pour l'IA dans un modèle DPA ?
Oui, c'est devenu une clause sensible depuis 2025-2026 : le modèle doit explicitement interdire ou encadrer par opt-in l'utilisation des données clients pour entraîner des modèles d'intelligence artificielle.