Questions fréquentes
Le DPA standard de mon fournisseur est-il suffisant ?
Souvent oui pour les éditeurs européens matures, rarement pour les éditeurs américains. Les clauses sensibles à toujours challenger : sub-processors (notification 30 j minimum), localisation des données, mécanisme de transfert hors UE, droit d'audit, suppression en fin de contrat.
Doit-on signer un DPA distinct ou des CGU suffisent ?
L'Article 28 exige un contrat écrit. Il peut être inclus dans les CGU, à condition que les 10 clauses obligatoires y figurent expressément. La pratique du marché : DPA distinct annexé aux CGU, signé séparément ou par acceptation explicite.
Que faire si le fournisseur refuse de modifier son DPA ?
Pour les grands éditeurs, le DPA est souvent non négociable. Vous pouvez documenter le refus, demander des engagements complémentaires (lettre, FAQ), et l'intégrer dans votre analyse de risque. Si la lacune est rédhibitoire, changer de fournisseur est parfois la seule option.
Quelle est la clause la plus souvent manquante dans un DPA ?
La notification des sous-traitants ultérieurs (sub-processors) avec un délai de préavis clair est la clause la plus fréquemment absente ou incomplète, suivie du droit d'audit effectif et des modalités précises de suppression des données en fin de contrat.