Ce que le délégué à la protection des données de votre client veut voir, ce sont des engagements signables sur les points de l'article 28 du RGPD : nature du traitement, sous-traitants ultérieurs, transferts hors UE, droits des personnes, notification d'incident. Le RGPD lui impose en effet de vérifier que ses sous-traitants offrent des garanties suffisantes ; côté fournisseur, cela se traduit par un questionnaire dédié. Voici comment le préparer.
Qui est sous-traitant au sens du RGPD.
Si votre service touche aux données personnelles de votre client final (utilisateurs, salariés, prospects), vous êtes sous-traitant au sens de l'article 4 du RGPD. Cas typiques :
- SaaS B2B qui stocke les utilisateurs de ses clients.
- ESN qui développe une application traitant des données clients.
- Cabinet cyber ou consultant avec accès aux logs et incidents.
- Hébergeur, infogérant, prestataire DevOps.
- Outil analytics, tracking, CRM ou marketing automation.
- Service de support qui voit passer des données clients.
Le client ne demande pas votre avis. Il demande des engagements signables.
Un questionnaire RGPD sous-traitant n'est pas un exercice de communication. Le délégué à la protection des données de votre client doit produire, pour son propre registre, la preuve que votre entreprise offre les garanties exigées par l'article 28 du RGPD.
Cela inclut des éléments précis : nature des données traitées, durées de conservation, sous-traitants ultérieurs, transferts hors UE, procédure d'assistance aux droits des personnes, procédure d'incident et de notification. Une réponse vague est inutilisable côté client ; pire, elle fait perdre des semaines pendant qu'on vous redemande la même chose autrement formulée.
L'objectif côté fournisseur : produire un dossier que le délégué à la protection des données pourra reprendre tel quel dans son propre dossier de conformité, sans compléter par mail.
Les points incontournables de l'article 28.
Le RGPD article 28 liste précisément ce qui doit figurer dans le contrat de sous-traitance. Le questionnaire est le moyen pour votre client de vérifier que ces points sont bien couverts.
- Objet, durée et nature du traitement clairement décrits.
- Type de données et catégories de personnes concernées.
- Liste à jour des sous-traitants ultérieurs (ex : votre CDN, votre hébergeur).
- Localisation des données et transferts hors UE (clauses contractuelles types).
- Mesures techniques et organisationnelles de sécurité documentées.
- Procédure d'assistance aux demandes d'exercice des droits.
- Procédure de notification de violation de données.
- Sort des données en fin de contrat : suppression ou restitution.
- Engagement de confidentialité du personnel ayant accès.
- Disponibilité pour audit du responsable de traitement.
Les erreurs qui font recaler un dossier RGPD.
- Ne pas avoir de registre à jour des sous-traitants ultérieurs.
- Ne pas citer explicitement les transferts hors UE (Google, AWS US…).
- Annoncer un délégué à la protection des données qui n'a pas été désigné officiellement.
- Présenter une PSSI générique sans périmètre RGPD spécifique.
- Promettre des délais de notification incompatibles avec vos process.
- Cocher « Oui » sur l'analyse d'impact (AIPD) sans l'avoir produite.
Le socle documentaire RGPD côté sous-traitant.
Une partie des éléments peut être commune avec votre dossier sécurité, une partie est spécifique RGPD.
- Registre des traitements (article 30) côté responsable et sous-traitant.
- Registre des sous-traitants ultérieurs et leur localisation.
- Cartographie des données : catégories, durées, finalités.
- Politique de protection des données et procédure interne.
- Procédure d'exercice des droits (accès, rectification, effacement…).
- Procédure de notification de violation (sous 72h vers le responsable de traitement).
- Clauses contractuelles types signées pour transferts hors UE.
- Désignation officielle du délégué à la protection des données ou justification d'absence.
- Analyse d'impact (AIPD) pour les traitements à risque élevé.
- Engagement individuel de confidentialité du personnel.
La même méthode, appliquée aux questions RGPD.
Les quatre gestes structurent chaque réponse, du sujet identifié à la validation finale.
- Identifier le sujet RGPD réel sous la formulation du client.
- Retrouver la preuve dans votre documentation RGPD existante.
- Prouver en attachant le document daté avec son périmètre.
- Valider : votre délégué à la protection des données ou un référent désigné relit avant envoi.
Prova prépare. Votre équipe garde la validation finale.
Prova ne remplace pas votre responsable sécurité, votre délégué à la protection des données ni votre équipe juridique. Le service prépare des réponses structurées avec les preuves disponibles et signale les points qui demandent un arbitrage interne. La décision finale, l'envoi à votre client et la certification éventuelle restent de votre côté.
Aucune réponse n'est transmise sans relecture de votre équipe. Aucune promesse de conformité garantie : Prova prépare le terrain, vous décidez ce qui sort.