Obligations du responsable de traitement

Fournit les données selon des modalités définies (facultatif) ;

Documente par écrit toute instruction qu’il donne à son sous-traitant concernant le traitement de données ;

Veille, au préalable et pendant toute la durée de la sous-traitance, au respect des obligations prévues par le RGPD ;

Supervise le traitement, réalise les audits et les inspections nécessaires auprès du sous-traitant.

Obligations du sous-traitant

Ne réalise d’opération sur les données que sur instruction documentée du responsable de traitement ;

Veille à ce que les personnes traitant les données s’engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité ;

Prend toutes les mesures de sécurité prévues par l’article 32 du RGPD ;

Donne au responsable de traitement toute information utile pour que ce dernier puisse prouver le respect du RGPD.

Permet la réalisation d’audits, d’inspections par le responsable de traitement ou par un auditeur mandaté par lui. Il est conseillé de prévoir les modalités de réalisation des audits dans le contrat ;

Informe le responsable de traitement si, selon lui, une instruction donnée constitue une violation du RGPD.

Dans la mesure du possible, donner suite aux demandes d’exercice des droits (le cas échéant, une mention contraire est présente) ;

Assurer la sécurité des données faisant l’objet de la sous-traitance ;

Réaliser les opérations qui s’imposent en cas de violation ;

Compléter la documentation appropriée (en particulier une AIPD le cas échéant).

Sous-traitance ultérieure et transferts hors Union Européenne

La faculté ou non pour le sous-traitant de recruter un sous-traitant ultérieur, et les modalités de recrutement (interdiction pure et simple, autorisation préalable générale après simple information du responsable ou autorisation spécifique).

Que le sous-traitant ultérieur est soumis aux mêmes obligations que le sous-traitant (le cas échéant).

La faculté ou non pour le sous-traitant de transférer les données en dehors de l’Union Européenne (interdiction pure et simple ou autorisation documentée et écrite), sauf obligation légale émanant du droit de l’UE ou du droit national à laquelle il serait soumise (auquel cas il doit informer le responsable de traitement, sauf exception).

Les mesures permettant d’encadrer le transfert hors de l’Union Européenne et de garantir sa conformité au RGPD (le cas échéant).

Je n’ai pas coché la case 2 ET/OU la case 4 car elles ne sont pas pertinentes dans ma situation.