Le contrat de sous-traitance, souvent appelé DPA (de l'anglais data processing agreement) ou accord de traitement des données, est le contrat qu'une organisation signe avec un prestataire qui traite des données personnelles pour son compte. Il est obligatoire selon l'article 28 du RGPD dès qu'un sous-traitant intervient, et fixe ce que ce prestataire peut faire des données, comment il les protège et ce qu'il doit faire à la fin de la relation.
Responsable du traitement et sous-traitant
Le RGPD distingue deux rôles :
- Le responsable du traitement décide des finalités et des moyens : pourquoi on traite des données et comment. Quand une PME installe un assistant IA sur son site pour répondre à ses visiteurs, c'est elle qui est responsable
- Le sous-traitant traite les données pour le compte du responsable et selon ses instructions. La plateforme qui fournit l'assistant est un sous-traitant
Le sous-traitant peut lui-même faire appel à d'autres prestataires, appelés sous-traitants ultérieurs : un hébergeur, un service d'envoi d'e-mails, un fournisseur de modèle de langage. Chacun doit être lié par des obligations équivalentes, et le responsable doit en être informé.
Ce que le contrat doit contenir
L'article 28 énumère les éléments obligatoires. Le contrat doit décrire l'objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées, et les obligations du responsable. Il doit surtout engager le sous-traitant à :
- Traiter les données uniquement sur instruction documentée du responsable, y compris pour les transferts hors de l'Union
- Garantir la confidentialité : les personnes autorisées à traiter les données sont tenues au secret
- Mettre en œuvre des mesures de sécurité appropriées, au sens de l'article 32
- Ne recourir à un autre sous-traitant qu'avec l'autorisation du responsable, et lui imposer les mêmes obligations
- Aider le responsable à répondre aux demandes d'exercice des droits des personnes
- Aider le responsable pour la sécurité, la notification des violations de données et les analyses d'impact
- Supprimer ou restituer les données à la fin de la prestation, au choix du responsable
- Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits
La Commission européenne a adopté en 2021 des clauses contractuelles types pour les contrats entre responsables et sous-traitants, que les organisations peuvent utiliser telles quelles.
Les points à vérifier pour un assistant IA
Un contrat de sous-traitance standard ne répond pas toujours aux questions propres à l'IA. Vérifiez en particulier :
- L'usage des données pour entraîner des modèles. Le contrat doit exclure que le prestataire utilise vos conversations ou vos documents pour ses propres finalités, dont l'entraînement ou l'amélioration de ses modèles
- La liste des sous-traitants ultérieurs, y compris le ou les fournisseurs de modèles, avec leur localisation
- Les transferts hors de l'Espace économique européen et le mécanisme qui les encadre : décision d'adéquation, clauses contractuelles types
- La durée de conservation des conversations chez le prestataire et chez le fournisseur de modèle, et la possibilité de la régler
- La suppression : délai de suppression à la fin du contrat, y compris dans les sauvegardes
- La notification des incidents : délai dans lequel le prestataire vous prévient d'une violation de données, pour que vous puissiez respecter le délai de 72 heures vis-à-vis de l'autorité de contrôle
Les erreurs fréquentes
- Accepter des conditions générales sans lire l'annexe sur la protection des données. Le DPA est souvent un document séparé, à demander explicitement
- Oublier les sous-traitants ultérieurs. Le contrat avec la plateforme ne suffit pas si le fournisseur du modèle traite les messages selon d'autres conditions
- Ne pas archiver le contrat. En cas de question de l'autorité de contrôle ou d'un client, vous devez pouvoir le produire
- Ne pas suivre les changements. Un prestataire peut ajouter un sous-traitant ultérieur ; le contrat doit prévoir que vous en êtes informé et pouvez vous y opposer
DPA et registre des traitements
Le contrat de sous-traitance et le registre des activités de traitement se répondent. Le registre décrit votre traitement, ses finalités, ses destinataires et ses durées ; le contrat garantit que chaque destinataire respecte ces règles. Pour un assistant IA, inscrivez au registre le traitement « assistant du site » et rangez à côté le DPA de la plateforme et la liste de ses sous-traitants ultérieurs.
Le contrat de sous-traitance avec KernChat
Pour KernChat, l'organisation cliente est responsable du traitement et KERN-IT agit comme sous-traitant. La plateforme est hébergée dans l'Union européenne. Les messages sont transmis au fournisseur du modèle de langage choisi (Google Gemini, Anthropic Claude ou OpenAI) uniquement pour générer la réponse, et KERN-IT ne les utilise pas pour entraîner un modèle. La politique de confidentialité décrit ce fonctionnement et les sous-traitants concernés.