Un contrat de sous-traitance utile décrit ce que la permanence fait réellement avec les données : recevoir une demande, consulter un agenda, transmettre un message, puis supprimer ou restituer les informations concernées. Une formule générale sur la confidentialité ne permet pas de vérifier ces opérations.
Le point de départ est donc un inventaire des tâches et des outils. Il sert ensuite à examiner le contrat, ses annexes et les preuves disponibles avec la personne compétente dans votre organisation.
Relier chaque mission à un traitement précis
Prenez une demande ordinaire et suivez son parcours. Qui recueille les coordonnées ? Dans quel outil sont-elles saisies ? Qui peut lire le message ? Une copie apparaît-elle dans une notification, un export ou un outil de support ?
Décrivez aussi les exceptions : un agenda indisponible, une personne absente, un message transmis au mauvais destinataire. Le service réellement utilisé peut dépasser la présentation commerciale initiale.
L’article 28 du RGPD prévoit notamment un contrat précisant l’objet, la durée, la nature et la finalité du traitement, les catégories de personnes et les types de données concernés. Ces éléments doivent correspondre à votre organisation. Texte du RGPD, article 28.
Vérifier les instructions et les responsabilités
Demandez comment vos instructions sont communiquées, approuvées et mises à jour. Un changement de destinataire ou l’ouverture d’un nouvel accès doit avoir un responsable identifié. La dernière version ne devrait pas dépendre d’une conversation oubliée dans une messagerie.
Le contrat doit également traiter les engagements prévus par l’article 28 : confidentialité, sécurité, recours à d’autres sous-traitants, assistance, fin de prestation et éléments permettant de démontrer le respect des obligations. La signature d’un document ne démontre pas, à elle seule, leur exécution.
Une question pratique permet d’aller plus loin : « Si nous retirons demain une catégorie de demandes du périmètre, qui modifie les consignes, les droits et les données déjà présentes ? » Une réponse exploitable nomme les étapes, les interlocuteurs et les limites.
Examiner la chaîne des intervenants
Identifiez les services utilisés pour la téléphonie, les messages, l’agenda, le support et les sauvegardes. Demandez lesquels interviennent sur les données confiées et dans quelles conditions. Une liste de marques ne décrit pas les opérations.
La CNIL recommande de prévoir les exigences de sécurité dans la relation avec le sous-traitant et de vérifier les garanties apportées. Guide sur la gestion de la sous-traitance.
Pour chaque réponse importante, conservez une preuve datée et son périmètre : document contractuel, procédure, description des accès ou rapport pertinent. Un certificat portant sur une autre entité ou un autre service ne répond pas à la question posée.
Préparer les situations difficiles avant la signature
Prévoyez le contact à utiliser en cas d’incident, les informations attendues et les modalités d’assistance. L’article consacré au message envoyé au mauvais destinataire propose une trame de traitement d’incident, à adapter à votre organisation.
Examinez également la sortie : format de restitution, personnes habilitées à la demander, accès à retirer, copies à traiter et preuve de suppression possible. Les durées de conservation doivent être cohérentes avec ces dispositions.
Dans un exemple fictif, une entreprise récupère ses messages à la fin du contrat, mais découvre qu’un export de dépannage demeure accessible. La question contractuelle devient concrète : cet export figurait-il dans le périmètre de restitution et de suppression ?
Décider à partir des écarts identifiés
Vous pouvez classer les réponses en trois catégories de travail : renseigné et documenté, à compléter, incompatible avec le besoin. Ce classement est une méthode de préparation, pas un avis de conformité.
Avant d’ouvrir les accès, faites résoudre les écarts qui concernent les opérations prévues. Puis rattachez les engagements au contrôle de démarrage. Le bon résultat est un accord dont les clauses peuvent être reliées à des actions vérifiables, avec un interlocuteur pour chaque difficulté.
