Questions fréquentes
Un DPA standard envoyé par un fournisseur SaaS est-il négociable ?
Oui, presque toujours, à condition de cibler les bons points avec des arguments concrets. Les 7 points qui valent la négociation sont : le délai de notification de violation, le droit d'audit, la liste des sous-traitants ultérieurs, les transferts hors UE, la réutilisation des données pour l'IA, la durée de conservation et l'indemnisation.
Quel délai de notification de violation faut-il exiger d'un fournisseur ?
Exigez une notification sans retard injustifié avec un délai chiffré de 24 à 48 heures maximum après détection. Une formulation du type « délai raisonnable » ne permet pas de tenir le délai de 72 heures imposé au responsable de traitement envers la CNIL.
Comment négocier le droit d'audit d'un DPA ?
Négociez un préavis de 30 à 60 jours, une prise en charge partagée des coûts, la possibilité de mandater un tiers, et surtout l'acceptation de rapports d'audit existants (SOC 2, ISO 27001) comme preuves alternatives à un audit sur site.
Comment traiter la clause sur l'utilisation des données pour l'IA dans un DPA ?
De nombreux fournisseurs ajoutent des clauses permettant d'utiliser les données clients pour entraîner leurs modèles d'IA, souvent incompatibles avec le RGPD en B2B. Il faut exiger une clause d'opt-out explicite ou la suppression pure et simple de cette clause.
Sur quels points est-il inutile de négocier avec un fournisseur SaaS américain ?
La juridiction et le droit applicable (les fournisseurs américains ne cèdent presque jamais sur le droit français), les SLA techniques détaillés (hors périmètre du DPA) et la réécriture intégrale du DPA, qu'un amendement ciblé suffit généralement à corriger.