Accord de sous-traitance des données (DPA)

Dernière mise à jour : 28 septembre 2026

Modèle d'accord de sous-traitance (art. 28 du règlement (UE) 2016/679). À compléter et signer entre l'atelier (« le Responsable de traitement ») et Elefante Solutions S. de R.L. de C.V. (« le Sous-traitant »).

Télécharger ce modèle (.doc)

Parties

Responsable de traitement : [À COMPLÉTER : raison sociale, adresse, SIREN de l'atelier]
Sous-traitant : Elefante Solutions S. de R.L. de C.V., [À COMPLÉTER : adresse]

1. Objet et durée

Le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement dans le cadre de la fourniture du logiciel de gestion d'atelier décrit dans les CGV, pour la durée du contrat.

2. Nature, finalité, données et personnes concernées

• Nature : hébergement, stockage, consultation, sauvegarde, restitution.
• Finalité : gestion des réparations, ventes, facturation et relation client de l'atelier.
• Catégories de données : identité, coordonnées, historique de réparations et d'achats, identifiants d'appareils, données de facturation [À COMPLÉTER : compléter si autres catégories].
• Personnes concernées : clients et prospects de l'atelier, ses salariés utilisateurs.

3. Obligations du Sous-traitant

1. Traiter les données uniquement sur instruction documentée du Responsable de traitement, y compris pour les transferts hors UE, sauf obligation légale (auquel cas il l'en informe).
2. Garantir la confidentialité : les personnes autorisées sont tenues à une obligation de confidentialité.
3. Mettre en œuvre les mesures de sécurité de l'article 32 (chiffrement en transit, contrôle d'accès, sauvegardes, journalisation) [À COMPLÉTER : annexe technique].
4. Ne recruter un sous-traitant ultérieur qu'avec l'autorisation [À COMPLÉTER : générale ou spécifique] du Responsable de traitement, en lui imposant les mêmes obligations, avec information préalable de [À COMPLÉTER : délai] en cas de changement. Liste actuelle : [À COMPLÉTER : compléter].
5. Aider le Responsable de traitement à répondre aux demandes d'exercice des droits des personnes.
6. Notifier toute violation de données dans un délai de [À COMPLÉTER : ex. 48 heures] après en avoir pris connaissance, avec les informations utiles.
7. L'aider pour les analyses d'impact et consultations préalables, si nécessaire.
8. Au terme du contrat, restituer puis supprimer les données selon les modalités de réversibilité des CGV, sauf obligation légale de conservation.
9. Mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations et permettre des audits, dans un cadre raisonnable [À COMPLÉTER : modalités].

4. Transferts hors Union européenne

Tout transfert vers le Mexique ou les États-Unis est encadré par les clauses contractuelles types (décision (UE) 2021/914) [À COMPLÉTER : module 2 ou 3 à annexer] et, si applicable, le Data Privacy Framework.

5. Responsabilité, droit applicable

Le présent accord est soumis au droit français. Juridiction compétente : [À COMPLÉTER : juridiction]

Signatures