Baumier
/
GUIDE · 06 / 8

Addenda de traitement (DPA)

Sous-traitants · transferts · incidents · audit · sécurité · suppression
CE QUE C'EST

L'addenda qui encadre le traitement des renseignements personnels que vous effectuez pour le compte d'un client.

QUAND IL ENTRE EN JEU

Dès que votre service touche des renseignements personnels, c'est-à-dire de plus en plus à chaque vente.

POURQUOI C'EST IMPORTANT

Le DPA est devenu incontournable : vos clients le demandent dès que vous traitez des renseignements personnels pour eux, et leurs services de conformité le lisent attentivement. Il répartit les obligations en matière de sécurité, d'incidents et de sous-traitance.

CE QU'IL CONTIENT SOUVENT
01
Rôles des parties et finalités
Qui décide des finalités du traitement et qui agit pour le compte de l'autre.
02
Mesures de sécurité
Les mesures techniques et organisationnelles, souvent décrites en annexe.
03
Sous-traitants ultérieurs
La liste des sous-traitants autorisés et la procédure pour en ajouter.
04
Transferts hors du pays
Les conditions qui encadrent la communication de renseignements hors du pays.
05
Avis d'incident
Le délai et le contenu de l'avis au client en cas d'incident de confidentialité.
06
Retour et suppression des données
Ce qui arrive aux données à la fin du contrat : restitution, suppression et attestation.
CE QUI SE NÉGOCIE SOUVENT
Délai d'avis d'incident
CE QUE DEMANDE SOUVENT L'ACHETEUR
Un avis d'incident en 24 heures, voire immédiatement.
CÔTÉ VENDEUR
Un avis sans délai indu, avec un délai cible réaliste et des mises à jour au fil de l'enquête.
Droit d'audit
CE QUE DEMANDE SOUVENT L'ACHETEUR
Des audits sur place à tout moment.
CÔTÉ VENDEUR
Des rapports de tiers et questionnaires en premier lieu ; un audit sur place seulement après un incident, avec préavis.
Approbation des sous-traitants
CE QUE DEMANDE SOUVENT L'ACHETEUR
Une approbation préalable de chaque nouveau sous-traitant.
CÔTÉ VENDEUR
Un avis préalable avec droit d'objection motivée.
Responsabilité illimitée en cas d'atteinte
CE QUE DEMANDE SOUVENT L'ACHETEUR
Une responsabilité illimitée pour toute atteinte aux données.
CÔTÉ VENDEUR
Un super-plafond dédié, plus élevé que le plafond général, mais défini.
EXEMPLE DE CLAUSE
AVIS D'INCIDENT

« Le Fournisseur avise le Client sans délai indu, et au plus tard soixante-douze (72) heures après avoir pris connaissance d'un incident de confidentialité touchant les renseignements personnels du Client. »

EN CLAIREn cas de fuite, vous prévenez le client rapidement, avec une limite claire, pour qu'il puisse remplir ses propres obligations.
AVANT DE SIGNER
Les rôles des parties sont-ils bien identifiés ?
Les mesures de sécurité reflètent-elles la réalité ?
La liste des sous-traitants est-elle à jour ?
Le délai d'avis d'incident est-il réaliste ?
La responsabilité est-elle plafonnée ?
GRATUIT

Playbook de négociation personnalisé

Partagez le lien vers votre propre contrat : nous en tirons un playbook de base, avec nos positions de départ et de repli sur les points clés. Envoyé par courriel.

Besoin qu'on le négocie pour vous ?
Signez vos contrats commerciaux 5x plus vite.