Accord de traitement des données — modèle de travail

Un modèle, pas un accord exécuté

Ce document est un modèle de négociation, pas un DPA, des clauses contractuelles types (SCC) ni un accord de transfert contraignant.

Les parties doivent être identifiées et l’accord signé ou valablement adopté avant le traitement concerné. HQL peut être sous-traitant pour certaines instructions et responsable pour ses propres sources ou décisions. Une étiquette contractuelle ne change pas les faits. Responsabilité conjointe, transmission indépendante ou statut américain de prestataire peuvent nécessiter un autre accord.

Périmètre par service

Prospection : stockage CRM et remise de listes ou prospects.

Demandes web : Tally et Zoho, cinq ans au maximum depuis la collecte. Projets CRM : développement et/ou hébergement au choix du client ; l’équipe HQL n’a actuellement pas accès aux données de production. Facturation médicale : clients américains, données de patients et assurances, accès au Maroc et en Inde, BAA intégré ou signé séparément. Documentez les fournisseurs, lieux et contrôles dans les annexes. Le BAA doit couvrir distinctement HIPAA. N’appliquez pas automatiquement aux patients la conservation web ou prospection.

Annexe A — détails du traitement

Complétez parties, contacts, rôles, objet, nature, finalité, durée, catégories de personnes et données, exclusions sensibles, pays de traitement et d’accès, instructions, destinataires, mode de remise et dates de conservation, suppression ou restitution. Précisez les limites d’usage secondaire, d’entraînement et d’enrichissement de bases sans rapport. Une annexe vide n’autorise aucun traitement.

Instructions, confidentialité et sécurité

Obligations proposées : suivre uniquement les instructions licites documentées, y compris pour les transferts ; signaler rapidement les instructions présumées illicites ; imposer la confidentialité aux personnes autorisées ; appliquer les garanties convenues ; limiter les accès ; conserver les preuves.

L’annexe B décrit les contrôles réels : sécurité des comptes, approbation des accès, chiffrement lorsqu’il existe, sauvegardes, tests, formation et incidents. Des promesses vagues ne remplacent pas cette annexe.

Sous-traitants ultérieurs et assistance

L’annexe C identifie les prestataires approuvés, fonctions, lieux et modalités d’information ou d’opposition aux changements.

Transmettez les obligations équivalentes et répartissez les responsabilités. Le sous-traitant proposé doit aider pour les droits, sécurité, violations, analyses d’impact et consultations du régulateur lorsque requis, informer sans retard injustifié d’une violation et coopérer aux demandes proportionnées d’audit et d’information. Les délais commerciaux et coûts d’assistance restent à convenir ; ce modèle ne fixe pas de délai d’incident inventé.

Restitution, suppression et usages limités

À la fin du contrat, restituez ou supprimez les données au choix du responsable, sauf conservation légale, en traitant copies et sauvegardes selon le calendrier convenu.

Définissez les archives légales ou exclusions résiduelles, restrictions d’accès et échéances. Les clauses de prestataire ou contractant CCPA doivent couvrir les restrictions et obligations pertinentes si le rôle convient. Une vente ou un partage indépendant ne peut être dissimulé sous l’étiquette de prestataire.

Annexe D — transferts internationaux

Listez exportateurs, importateurs, lieux et rôles. Déterminez un mécanisme légal adapté. Complétez si nécessaire le bon module SCC européen et ses annexes ; pour les transferts britanniques restreints, évaluez IDTA ou UK Addendum et l’analyse des risques. Vérifiez les transferts ultérieurs et mesures complémentaires. Ne revendiquez aucune adéquation ou certification sans vérification. Cette page ne reproduit ni n’exécute les clauses obligatoires.

Points commerciaux et juridiques à compléter

Définissez droit applicable, juridiction, ordre de priorité, responsabilité, prix, durée, signatures et clauses locales obligatoires. Le contrat ne peut écarter les obligations réglementaires impératives. Obtenez une revue adaptée aux juridictions avant la signature.