Les questions, dans l’ordre où elles arrivent généralement
Rôles. Que vous agissiez comme sous-traitant ou responsable de traitement pour les données du client, et que vous disposiez d’un délégué à la protection des données ou d’un contact confidentialité désigné.
L’accord de traitement des données. Indiquez si vous en avez un, s’il respecte l’Article 28, et si le client peut utiliser le sien. Joignez le vôtre. Les relecteurs le comparent à leur modèle, alors sachez où le vôtre diffère et pourquoi.
Sous-traitants ultérieurs. Qui ils sont, où ils se trouvent, ce qu’ils font, et comment le client est informé avant que vous les changiez. Une liste publiée avec un délai de préavis répond à cette ligne pour tous les clients à la fois.
Transferts internationaux. Indiquez si des données personnelles quittent l’UE ou l’EEE, vers quels pays, et selon quel mécanisme : décision d’adéquation, clauses contractuelles types ou cadre UE-États-Unis. Nommez le mécanisme pour chaque sous-traitant ultérieur situé hors de l’UE, ou indiquez qu’il n’y en a aucun.
Sécurité du traitement. Les mesures techniques et organisationnelles : chiffrement, contrôle d’accès, journalisation, sauvegardes, formation. C’est le recoupement avec le questionnaire de sécurité, et les mêmes réponses servent.
Conservation et suppression. Pendant combien de temps vous conservez les données durant le contrat, ce qui se passe à la fin, comment la suppression est confirmée et comment les sauvegardes sont gérées. Indiquez les durées.
Notification de violation. Le délai dans lequel vous informez le client d’une violation de données à caractère personnel et les informations que vous fournissez ; le client dispose de 72 heures pour informer son autorité, il veut donc que votre engagement soit nettement inférieur à ce délai.
Droits des personnes concernées. Comment vous aidez le client à répondre aux demandes d’accès, de rectification, de suppression et de portabilité : le mécanisme et le délai.
Registres et audits. Si vous tenez des registres des traitements, si vous avez réalisé une analyse d’impact relative à la protection des données pour le service, et si le client peut vous auditer.
Répondre en tant que sous-traitant
Rédigez les réponses sur la confidentialité une seule fois, avec votre conseiller juridique si vous en avez un, et conservez-les comme un ensemble : elles changent rarement et elles ne doivent pas diverger d’un client à l’autre. Les lignes qui nécessitent une décision sont le délai de notification, le calendrier de suppression et les conditions d’audit ; décidez-en avec la personne qui signe votre DPA afin que le questionnaire et le contrat disent la même chose.
Dans Responsemate
Les réponses de confidentialité se trouvent dans la base de connaissances comme toute autre réponse approuvée, avec le DPA et la liste des sous-traitants joints comme preuves avec des dates de relecture, et les lignes du questionnaire sont rédigées à partir de ces éléments dans les mots du client. Les propres réponses de confidentialité de Responsemate se trouvent sur la page sécurité, qui est aussi un exemple de la forme attendue par un relecteur.
Questions fréquentes
Sommes-nous un sous-traitant ou un responsable du traitement ?
Si vous traitez des données à caractère personnel pour le compte de votre client et selon ses instructions, vous êtes sous-traitant pour ces données. Pour vos propres employés, vos contacts marketing et vos propres dossiers client, vous êtes responsable du traitement. La plupart des fournisseurs SaaS sont les deux, selon les données concernées, et le questionnaire porte sur le rôle de sous-traitant.
Avons-nous besoin d’un délégué à la protection des données ?
Seulement si la loi en exige un pour votre type de traitement. Les questionnaires posent la question ; « non, non requis, le contact désigné pour la confidentialité est X » constitue une réponse complète.