Article 28, contrat de sous-traitance, désigne la disposition du RGPD qui encadre le recours à un prestataire.
Elle impose un contrat écrit décrivant précisément le traitement confié.
Un modèle non complété n'a aucune valeur : ce sont les annexes qui rendent le contrat opposable.
Ce terme revient dans presque toutes les discussions avec un prestataire, et il sert souvent à impressionner plus qu'à informer.
Le comprendre permet de poser la bonne question au bon moment, et de repérer un interlocuteur qui l'emploie sans le maîtriser.
Dans la pratique, l'enjeu se ramène presque toujours à trois choses : ce que vous pouvez vérifier, ce que vous pouvez récupérer, et ce dont vous restez responsable.
Comment cela se traduit-il concrètement dans votre solution ? Une réponse théorique est un signal.
Qu'est-ce que je peux vérifier moi-même, sans vous croire sur parole ?
Qu'est-ce qui figure au contrat, et qu'est-ce qui relève de l'engagement oral ? Seul le premier est opposable.
Mesurez avant d'acheter. Une semaine d'observation dans votre organisation vaut plus qu'une statistique de secteur.
Commencez petit. Une vingtaine de documents réellement consultés et cinq utilisateurs suffisent à savoir si l'outil s'installe dans les habitudes.
Choisissez ce dont vous pouvez sortir. Un délai de restitution chiffré et l'absence de frais de sortie rendent l'erreur peu coûteuse.
Un système d'IA ne remplace pas une organisation. Si l'information n'a jamais été écrite, il n'y a rien à indexer.
Il ne fait pas le travail à la place des équipes : il supprime le temps de recherche, pas le temps de traitement.
Et il ne sert à rien si une seule personne l'utilise. Nous mesurons l'usage et nous le disons si l'adoption ne prend pas.
Nos réponses sont restreintes aux documents de nos clients et citent systématiquement leur source. Quand l'information n'existe pas, le système le dit.
Le contrat de sous-traitance, le registre, la liste des sous-traitants et la clause de réversibilité sont remis au démarrage, sans qu'il faille les demander.
Non, mais savoir ce qu'il recouvre évite d'accepter une réponse creuse. Un prestataire qui ne peut pas l'expliquer simplement ne le maîtrise probablement pas non plus.
Les textes européens et les publications de la CNIL font foi. Vérifiez toujours à la source, y compris ce qui est écrit ici.
Rapidement. Cette page est révisée à chaque évolution des textes ou des pratiques.