e-TafaknaCette clause répartit les rôles entre la partie qui décide du traitement (le responsable de traitement) et celle qui traite les données pour son compte (le sous-traitant). Elle fixe les obligations de sécurité, de confidentialité, de notification des violations et de restitution des données. Sans elle, l'entreprise qui externalise sa paie, son hébergement ou son marketing reste exposée aux sanctions pour les manquements de son prestataire.
Créer un compte gratuit1. Pour l'exécution du présent contrat, [CLIENT] agit en qualité de responsable de traitement et [PRESTATAIRE] en qualité de sous-traitant des données personnelles décrites en [ANNEXE]. 2. Le Prestataire ne traite les données que sur instruction documentée du Client et pour les seuls besoins du contrat. 3. Le Prestataire met en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité des données et soumet son personnel à une obligation de confidentialité. 4. Le Prestataire ne recourt à un autre sous-traitant et ne transfère de données hors de [PAYS] qu'avec l'autorisation écrite préalable du Client et dans le respect du droit applicable. 5. Le Prestataire notifie au Client toute violation de données personnelles dans un délai de [48] heures après en avoir pris connaissance et l'aide à répondre aux demandes des personnes concernées et des autorités. 6. À la fin du contrat, le Prestataire restitue ou supprime les données, au choix du Client, et en atteste par écrit. 7. Chaque partie respecte la législation sur la protection des données personnelles qui lui est applicable.
Remplacez les éléments entre crochets avant utilisation.
Chaque partie agit en qualité de responsable de traitement indépendant pour les données personnelles qu'elle collecte et traite dans le cadre du présent contrat. Chacune répond seule de sa conformité, notamment de l'information des personnes concernées, du fondement du traitement, de la sécurité et des formalités auprès de l'autorité compétente. Les parties ne s'échangent que les données strictement nécessaires à l'exécution du contrat.
TunisieLa loi organique n° 2004-63 soumet tout traitement à une déclaration préalable auprès de l'Instance nationale de protection des données personnelles (INPDP) et, en principe, au consentement exprès et écrit de la personne concernée. Tout transfert vers l'étranger requiert l'autorisation de l'Instance.
Source: Loi organique n° 2004-63 du 27 juillet 2004 portant sur la protection des données à caractère personnel
Émirats arabes unisLe décret-loi fédéral n° 45 de 2021 impose un contrat entre responsable de traitement et sous-traitant et encadre les transferts vers l'étranger, admis principalement vers des pays offrant un niveau de protection adéquat. Il ne s'applique pas aux zones franches dotées de leur propre loi, comme le DIFC et l'ADGM.
Source: Clyde & Co, UAE issues landmark personal data protection law
Arabie saouditeLa loi sur la protection des données personnelles, issue du décret royal M/19, est pleinement applicable depuis le 14 septembre 2024 sous le contrôle de la SDAIA. Les transferts hors du Royaume exigent un pays adéquat ou des garanties comme des clauses contractuelles types.
Source: Morgan Lewis, Saudi Arabia PDPL: transition period ends September 14
FranceSelon le RGPD, le contrat de sous-traitance doit prévoir des instructions documentées, la sécurité, l'assistance et la notification des violations, et le sous-traitant doit obtenir l'autorisation du responsable avant de recourir à un autre sous-traitant.
Source: CNIL, Travailler avec un sous-traitantLorsqu'un prestataire traite des données personnelles pour le compte de son client, plusieurs lois, dont le RGPD et la loi émiratie, exigent un contrat écrit fixant ses obligations. Même lorsqu'elle n'est pas obligatoire, la clause protège le client contre les erreurs de son prestataire.
Modèle indicatif, à adapter à votre situation. Il ne remplace pas un conseil juridique.
Générez le contrat adapté à votre pays, ajoutez vos clauses et signez en ligne, au même endroit.