L’article 28 du RGPD pose une règle simple : quand un prestataire traite des données personnelles pour votre compte, un contrat écrit doit encadrer ce traitement. Ce document porte plusieurs noms — accord de sous-traitance, contrat de traitement de données, ou DPA (Data Processing Agreement) — mais c’est le même objet. Et c’est au responsable du traitement, donc à vous, de s’assurer qu’il existe. Nous l’expliquons en détail dans l’article 28 du RGPD expliqué aux PME.
Un outil d’IA n’échappe pas à la règle : dès que vos équipes y saisissent des noms de clients, des CV ou des e-mails, le fournisseur devient votre sous-traitant au sens de l’article 28.
Sur quelles données porte le traitement, pour quelle finalité, combien de temps. Ce que le prestataire s’interdit de faire, notamment réutiliser vos données pour ses propres fins. Ses sous-traitants à lui. Ce qu’il fait en cas de violation de données. Ce qu’il advient de vos données quand vous partez.
La plupart des éditeurs sérieux publient ce document et permettent de l’accepter depuis les paramètres du compte. C’est souvent une case à cocher dans les réglages professionnels, jamais activée par défaut. C’est par exemple ce que fait VerificIA avec son propre accord de sous-traitance.
Le vrai travail n’est pas de le signer : c’est de savoir combien d’outils vous utilisez, et lesquels n’ont pas encore été couverts.
Ces contrats ont une durée. Un outil ajouté en cours d’année, un fournisseur qui change de conditions, une offre gratuite passée en payante : autant d’occasions de sortir du cadre sans s’en apercevoir.
VerificIA garde la liste de vos fournisseurs avec l’échéance de chaque contrat, et vous prévient dans le point mensuel quand l’un arrive à terme.
C’est un signal fort. Un prestataire qui traite des données personnelles et ne propose aucun contrat de sous-traitance vous met en difficulté — il vaut souvent mieux en changer.
Cet article est une aide à la compréhension et ne constitue pas un conseil juridique.