Modèles et enregistrements · ISO 27701 · Chapitre A.1 y A.2
Modèle de contrat de sous-traitance des données ISO 27701
Chaque prestataire qui traite des données pour le compte de l’entreprise doit être lié par un contrat dont le contenu minimal est fixé par la loi. Le système de protection de la vie privée vérifie qu’il existe et qu’il est respecté.
En une phrase
Le contrat de sous-traitance fixe l’objet, la durée, la nature et la finalité du traitement, les types de données et de personnes concernées et les obligations du sous-traitant — instructions documentées, confidentialité, sécurité, sous-traitants ultérieurs, aide pour les droits et les violations, restitution ou suppression finale et audits —, parce que l’article 28.3 du RGPD l’exige ; l’ISO/IEC 27701 reprend ces accords dans les tableaux A.1 et A.2, du côté du responsable du traitement et du côté du sous-traitant.
- Où la norme l’exige
- ISO 27701 · Chapitre A.1 y A.2 L’édition de 2025 est citée : les numéros 4 à 10 sont des chapitres ; A.1, A.2 et A.3 sont les tableaux de l’Annexe A regroupant les mesures du responsable du traitement, du sous-traitant et celles communes aux deux.
- Type d’information
- Document obligatoire Document à tenir en vigueur (art. 28.3 du RGPD ; tableaux A.1 et A.2)
- Qui le renseigne
- Les achats ou le service contractant, avec le délégué Le responsable du PIMS vérifie qu’aucun sous-traitant ne traite de données sans contrat
- Quand
- Avant que le prestataire ne reçoive des données Il est revu au renouvellement, lors d’une modification du service ou à l’annonce de nouveaux sous-traitants ultérieurs
- Durée de conservation
- Pendant la durée du service et au-delà Fixée par l’organisme en fonction des délais de prescription d’éventuelles responsabilités
Ce que demande la norme
Ce qu’exige ISO 27701 et ce qui est laissé à votre appréciation
La norme demande au responsable du traitement de choisir des sous-traitants qui présentent des garanties suffisantes et de conclure avec eux un contrat couvrant les mesures nécessaires. Au sous-traitant, elle demande de ne traiter les données que sur instruction du client, de l’informer si une instruction lui paraît illicite et de maîtriser ses propres sous-traitants ultérieurs.
L’article 28.3 énumère le contenu minimal du contrat. L’article 28.2 interdit de recruter un autre sous-traitant sans autorisation écrite préalable, spécifique ou générale ; dans le cas d’une autorisation générale, le sous-traitant doit informer des changements pour que le responsable du traitement puisse s’y opposer.
Le contrat ne se range pas pour être oublié : le responsable du traitement doit pouvoir vérifier qu’il est respecté, et le contrat doit lui permettre des audits ou des inspections (art. 28.3.h).
Structure
Les champs que doit comporter le modèle
- Objet, durée, nature et finalité du traitement
- Types de données personnelles et catégories de personnes concernées
- Traitement uniquement sur instructions documentées
- Confidentialité du personnel du sous-traitant
- Mesures de sécurité de l’art. 32 du RGPD
- Régime des sous-traitants ultérieurs et autorisation
- Aide pour les droits, les violations et les analyses d’impact
- Restitution ou suppression des données en fin de contrat
- Informations et audits à la disposition du responsable du traitement
- Transferts internationaux, le cas échéant
Exemple
Exemple : cabinet de paie d’une entreprise fictive
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Contrat | EN-2026-03 · Ateliers Loire Nord SARL (responsable du traitement) et Cabinet Mont-Aigu (sous-traitant), tous deux fictifs |
| Objet | Établissement des bulletins de paie et gestion des déclarations d’embauche et de sortie auprès de la sécurité sociale · Durée d’un an renouvelable |
| Données et personnes | Données d’identification, bancaires et de rémunération de 86 salariés |
| Sous-traitants ultérieurs | Autorisation générale ; préavis de 30 jours pour s’opposer · Actuellement : éditeur du logiciel de paie, serveurs dans l’UE |
| Violations | Information du responsable du traitement dans les 24 heures suivant la prise de connaissance par le cabinet |
| Fin du contrat | Restitution dans un format standard et suppression certifiée sous 30 jours |
| Revue | Questionnaire de sécurité annuel · Dernier : février 2026, sans constat |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Des prestataires ont accès aux données sans contrat, parce qu’ils « ne font que du support ».
- Des contrats génériques ne décrivent ni les données ni les personnes concernées.
- Personne ne connaît les sous-traitants ultérieurs du fournisseur cloud.
- Le contrat prévoit des audits, mais le sous-traitant n’est jamais contrôlé.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Les sous-traitants sont gérés depuis le portail fournisseurs avec leur contrat et son échéance.
- 2Le système alerte avant l’expiration d’un contrat ou d’une revue.
- 3Le registre des activités relie chaque destinataire à son contrat.
- 4Les revues périodiques sont documentées comme des évaluations fournisseur.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Suffit-il d’accepter les conditions du prestataire ?
Cela peut suffire si elles reprennent tout le contenu de l’article 28.3 et sont formalisées par écrit. Il faut les lire : beaucoup omettent le régime des sous-traitants ultérieurs ou la suppression finale.
Qu’apporte un sous-traitant certifié ISO 27701 ?
La preuve que son système de protection de la vie privée a été audité, ce qui aide à démontrer les garanties suffisantes. Cela ne remplace ni le contrat ni le contrôle par le responsable du traitement.
Tenez les enregistrements ISO 27701 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Violations de données et sous-traitants
Le dernier bloc couvre deux obligations critiques : notifier à temps les violations de données et contrôler…
Mesures pour responsables du traitement et sous-traitants
L’Annexe A réunit les mesures de référence du PIMS pour les responsables du traitement et les sous-traitants…
Modèle de registre des activités de traitement ISO 27701
Ce que doit contenir le registre des activités de traitement d’un PIMS ISO 27701 et de l’art. 30 du RGPD…
Modèle d’inventaire des données personnelles ISO 27701
Bâtir l’inventaire des données personnelles d’un PIMS ISO 27701 : où sont les données, dans quels systèmes…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- Règlement (UE) 2016/679, règlement général sur la protection des données EUR-Lex · 27 avril 2016 ; applicable depuis le 25 mai 2018
- ISO/IEC 27701:2025 — Systèmes de management de la protection de la vie privée. Exigences et recommandations ISO/IEC · Deuxième édition, octobre 2025