Cette page décrit ce que doit contenir un contrat conforme à l'article 28 du RGPD, point par point. Elle ne remplace pas l'avis d'un juriste, mais elle vous évite de signer un document creux ou d'en produire un qui ne vous protège pas.
La finalité et la nature exacte des opérations. « Prestation informatique » ne suffit pas : il faut décrire ce qui est collecté, structuré, stocké, consulté et effacé.
Les catégories de données et de personnes concernées, listées et non résumées.
La durée de conservation, et ce qui se passe à la fin du contrat : restitution ou destruction, au choix du responsable de traitement.
La liste des sous-traitants ultérieurs, nominativement, avec leur localisation. C'est la ligne que vérifient en premier les cabinets d'avocats et les établissements de santé.
Le délai de notification d'une violation de données. Le RGPD impose 72 heures au responsable envers la CNIL : votre sous-traitant doit vous prévenir plus tôt.
Les mesures de sécurité concrètes : chiffrement en transit et au repos, journalisation des accès, sauvegardes testées.
Utiliser un modèle sans compléter les annexes. C'est l'erreur numéro un : le corps du texte est générique, ce sont les annexes qui rendent le document opposable.
Reprendre un modèle anglo-saxon traduit. Les notions ne se recouvrent pas, et certaines clauses sont sans effet en droit français.
Ne pas dater ni versionner. Un document non daté ne prouve rien sur ce qui était convenu à un moment donné.
Le signer sans le lire parce qu'il vient du prestataire. Vous restez responsable de son contenu.
Complétez d'abord les parties qui vous sont propres : identités, périmètre, durées, annexes. Ce travail prend une à deux heures et il ne peut pas être délégué au modèle.
Faites-le relire si l'enjeu le justifie. Pour un contrat de sous-traitance destiné à des cabinets d'avocats ou à des établissements de santé, la relecture se rentabilise au premier client.
Datez, versionnez, et conservez chaque version signée.
Mesurez avant d'acheter. Une semaine d'observation dans votre organisation vaut plus qu'une statistique de secteur.
Commencez petit. Une vingtaine de documents réellement consultés et cinq utilisateurs suffisent à savoir si l'outil s'installe dans les habitudes.
Choisissez ce dont vous pouvez sortir. Un délai de restitution chiffré et l'absence de frais de sortie rendent l'erreur peu coûteuse.
Un système d'IA ne remplace pas une organisation. Si l'information n'a jamais été écrite, il n'y a rien à indexer.
Il ne fait pas le travail à la place des équipes : il supprime le temps de recherche, pas le temps de traitement.
Et il ne sert à rien si une seule personne l'utilise. Nous mesurons l'usage et nous le disons si l'adoption ne prend pas.
Ce document, complété et signé, fait partie de ce que nous remettons au démarrage — sans qu'il faille le demander.
S'y ajoutent le registre des traitements, la liste nominative de nos sous-traitants avec leur localisation, la clause de réversibilité et la documentation de conformité AI Act.
C'est ce que réclament en premier les cabinets d'avocats, les laboratoires et les établissements de santé. Un prestataire qui ne l'a pas préparé n'a pas mesuré son marché.
Non. Un modèle non complété n'a aucune valeur : les annexes décrivant le traitement et les sous-traitants sont ce qui rend le contrat opposable.
Le sous-traitant le propose en général, mais le responsable de traitement reste comptable de son contenu. Faites-le relire.
Oui, dès qu'un tiers traite des données personnelles pour votre compte. L'absence de contrat est un manquement en soi, indépendamment de tout incident.