Accord de sous-traitance (DPA)

Le sigle « DPA » vient de l’anglais data processing agreement : en français, un accord de sous-traitance. L’article 28 du RGPD impose qu’un tel écrit existe dès qu’une entreprise confie à une autre le traitement de données personnelles. Ce document est cet écrit.

Il ne s’ajoute pas au contrat : il en fait partie. Il se lit donc avec les Conditions Générales et la Politique de confidentialité, et non à leur place.

C’est l’article le plus important de la page, et le plus mal compris. Les mots ont ici un sens technique qui ne correspond pas à l’usage courant.

Le responsable de traitement, c’est celui qui décide : pourquoi ces données sont collectées et ce qu’on en fait. Quand vous relevez l’identité d’un vendeur au comptoir parce que l’article R. 321-3 du code pénal vous l’impose, c’est vous qui décidez, donc vous le responsable.

Le sous-traitant, c’est celui qui exécute pour le compte du premier, sans rien décider. L’éditeur héberge, conserve, restitue — il n’a aucun droit propre sur ces données.

Conséquence très concrète : si l’un de vos vendeurs veut exercer un droit sur ses données, c’est à vous qu’il doit s’adresser. Nous vous aiderons à lui répondre (article 8), nous ne répondrons pas à votre place.

Ce tableau est ce que le RGPD appelle la description du traitement : en cas de contrôle, c’est la fiche que l’autorité demandera à voir, et elle doit décrire la réalité — pas une intention.

Une précision sur la dernière ligne : les données sensibles, au sens de l’article 9 du RGPD, sont celles qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que les données génétiques, biométriques, de santé ou relatives à la vie sexuelle. Rien de tout cela n’a sa place dans un livre de police. En clair : la copie d’une pièce d’identité conservée « au cas où », ou une note personnelle sur un client, sont exactement le genre de contenu à ne pas mettre.

On imagine parfois qu’une « instruction documentée » suppose une lettre signée. Ce n’est pas le cas : vos instructions, ce sont le contrat, le présent accord et les fonctions que vous utilisez. Cliquer sur « enregistrer une écriture », c’est instruire l’éditeur de conserver cette écriture.

La contrepartie figure dans la même phrase : l’éditeur ne peut rien faire d’autre de ces données. Et s’il estimait qu’une instruction viole le RGPD, il doit vous le dire plutôt que de l’exécuter en silence.

Cet article a une qualité rare : il sépare ce qui est fait de ce qui reste à faire. Ce qui est déployé aujourd’hui : le chiffrement des échanges entre votre navigateur et le serveur, les mots de passe transformés en empreintes irréversibles, les contrôles d’accès, la journalisation, l’empreinte du registre.

Ce qui n’est pas encore acquis est nommé plutôt que passé sous silence : chiffrement au repos des données à haut risque, rotation des clés, industrialisation complète des sauvegardes et restaurations, test d’intrusion par un tiers. Un fournisseur qui annoncerait tout cela comme acquis sans preuve vous exposerait, vous, le jour d’un contrôle.

Le vocabulaire, en une ligne : un test d’intrusion est un audit où un spécialiste tente d’entrer comme le ferait un attaquant, avec autorisation, pour révéler les failles avant qu’un autre ne les trouve.

Un « sous-traitant ultérieur » est un prestataire auquel votre sous-traitant fait lui-même appel. Le RGPD demande qu’il soit identifié, et non désigné par une formule vague. Deux lignes du tableau restent volontairement génériques : elles ne concernent que les Abonnés qui activent un module de paiement ou une diffusion d’annonces, et le prestataire dépend alors de l’option choisie.

Retenez la mécanique du changement : information préalable, préavis raisonnable, possibilité d’objecter pour un motif légitime. Le silence vaut acceptation — c’est la règle usuelle, mais elle mérite d’être connue : si un changement vous gêne, il faut le dire, et le dire pendant le préavis.

Le cas est fréquent : une personne qui vous a vendu un objet demande à savoir ce que vous conservez d’elle, ou souhaite l’effacement. La réponse lui est due par vous, dans le délai d’un mois prévu par le RGPD.

Ce que nous apportons, ce sont les moyens : l’export pour rassembler ce qui la concerne, la rectification pour corriger, la suppression pour ce qui peut l’être. Et une limite qu’il vaut mieux connaître d’avance : une écriture régulièrement inscrite au livre de police ne s’efface pas sur demande. La conservation décennale de l’article R. 321-6-1 du code pénal est une obligation légale, qui prime le droit à l’effacement au sens de l’article 17.3 b) du RGPD. Le sujet est traité en détail dans le module RGPD du centre d’aide juridique.

Une « violation de données » n’est pas nécessairement un piratage : c’est toute perte de confidentialité, d’intégrité ou de disponibilité — un accès non autorisé, mais aussi une destruction accidentelle.

Le délai de 72 heures pèse sur le responsable de traitement, c’est-à-dire sur vous pour les données de votre registre. C’est pourquoi l’éditeur s’engage à vous alerter « dans les meilleurs délais » et à vous transmettre les éléments : sans eux, vous ne pourriez pas tenir votre propre délai.

Attention à ne pas lire cet article seul : il réserve expressément les obligations légales de conservation, et le registre en est une.

Le partage est le suivant. Les données du registre — écritures, journaux, preuves associées — sont conservées dix ans à compter de leur enregistrement, y compris après la fin du contrat, parce que l’article R. 321-6-1 du code pénal l’impose ; elles vous sont restituées sur simple demande (CGV, article 14). Les autres données — fiches, documents commerciaux, paramètres — sont supprimées ou anonymisées dans les trente jours.

Conserver ce qui a une base légale et supprimer le reste n’est pas une contradiction : c’est exactement ce que le RGPD appelle la minimisation.

Un « transfert hors Union européenne » désigne le fait que des données soient stockées ou consultées depuis un pays tiers. Le RGPD ne l’interdit pas : il exige qu’il soit encadré et documenté.

Pour ce qui vous concerne au premier chef — l’hébergement de votre registre —, la réponse est simple : l’infrastructure applicative est exploitée dans l’Union européenne, en Allemagne. Les autres prestataires figurent dans le tableau de l’article 7, avec leur localisation, et la Politique de confidentialité reprend le même état.

Ces cinq textes décrivent notre relation contractuelle. Ils ne disent rien de la loi qui encadre votre activité : la déclaration préalable, les mentions obligatoires du registre, l’intangibilité des écritures, le contrôle des autorités. Tout cela est expliqué module par module, avec ses sources officielles, dans le centre d’aide juridique — voir notamment Suis-je concerné ?, Les mentions obligatoires et la liste des textes cités.