FreelanXAccord de traitement des données (RGPD, art. 28)
Les clauses de traitement des données exigées par l’article 28, paragraphe 3, du RGPD, clause par clause, pour un prestataire ou un freelance qui traite des données personnelles pour toi, avec les équivalents du Royaume-Uni, de la Californie, de l’Inde et du Brésil.
Le présent avenant (« DPA ») fait partie du contrat daté du [date] (le « Contrat ») conclu entre [Client] (le « Responsable du traitement ») et [Prestataire] (le « Sous-traitant »).
| Élément | Détails |
|---|---|
| Objet et durée | Exécution des Services au titre du Contrat, pendant sa durée |
| Nature et finalité | [par ex. hébergement, développement et tests sur des données de production, support client] |
| Types de données à caractère personnel | [par ex. noms, adresses e-mail, données d’usage] |
| Catégories de personnes concernées | [par ex. clients, salariés du Responsable du traitement] |
| Catégories particulières | [Aucune / décrire et ajouter des garanties] |
| Sous-traitants ultérieurs approuvés à la signature | [Nom, pays, service] |
2.1 Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable du traitement, y compris pour les transferts vers des pays tiers, sauf obligation légale ; il informe alors le Responsable du traitement de cette obligation avant le traitement, sauf si la loi l’interdit.
2.2 Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation du droit de la protection des données.
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité.
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles exigées par l’article 32 du RGPD, énumérées en annexe, y compris, selon les besoins, le chiffrement, le contrôle d’accès, la capacité à rétablir la disponibilité et des tests réguliers.
5.1 Le Sous-traitant ne recrute pas d’autre sous-traitant sans l’autorisation [préalable et spécifique / générale] écrite du Responsable du traitement. En cas d’autorisation générale, il informe le Responsable du traitement de tout changement prévu au moins [30] jours à l’avance, en lui donnant la possibilité de s’y opposer.
5.2 Le Sous-traitant impose par contrat les mêmes obligations de protection des données à chaque sous-traitant ultérieur et reste pleinement responsable de leur exécution.
6.1 Compte tenu de la nature du traitement, le Sous-traitant aide le Responsable du traitement, par des mesures appropriées, à répondre aux demandes des personnes concernées qui exercent leurs droits.
6.2 Le Sous-traitant aide le Responsable du traitement en matière de sécurité, de notification des violations, d’analyses d’impact relatives à la protection des données et de consultation préalable (articles 32 à 36 du RGPD).
Le Sous-traitant notifie le Responsable du traitement sans retard injustifié, et en tout état de cause dans les [48] heures après avoir pris connaissance d’une violation de données à caractère personnel, avec les informations exigées par l’article 33, paragraphe 3, du RGPD à mesure qu’elles sont disponibles.
Au choix du Responsable du traitement, le Sous-traitant supprime ou restitue toutes les données à caractère personnel à la fin des Services et supprime les copies existantes, sauf obligation légale de conservation, et le certifie par écrit.
Le Sous-traitant met à disposition toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et permet la réalisation d’audits, y compris des inspections, par le Responsable du traitement ou un auditeur qu’il mandate, moyennant un préavis raisonnable, et y contribue.
Les données à caractère personnel ne sont transférées hors de l’EEE ou du Royaume-Uni qu’avec des garanties appropriées : une décision d’adéquation, les clauses contractuelles types de l’UE (décision d’exécution (UE) 2021/914 de la Commission, module [deux / trois]) ou, pour le Royaume-Uni, l’International Data Transfer Agreement ou l’Addendum, ainsi que toute mesure supplémentaire nécessaire.
En cas de contradiction entre ce DPA et le Contrat sur le traitement des données à caractère personnel, ce DPA prévaut.
Annexe – Mesures techniques et organisationnelles. [Contrôle d’accès et moindre privilège ; authentification multifacteur ; chiffrement en transit et au repos ; journalisation et surveillance ; sauvegardes et tests de restauration ; développement sécurisé ; gestion des vulnérabilités ; réponse aux incidents ; formation du personnel ; procédure de suppression.]
Signé pour le Responsable du traitement : ______________________ Signé pour le Sous-traitant : ______________________
Étape par étape
- 1Copie le document et complète chaque [crochet].
- 2Lis les notes pratiques des pays concernés et adapte les clauses qu’elles mentionnent.
- 3Fais-le lire aux signataires, puis fais-le signer électroniquement.
Points de vigilance
Ce qui change d’un pays à l’autre, avec la source juridique.
Un contrat de sous-traitance doit couvrir les huit points de l’article 28, paragraphe 3 ; les transferts hors de l’EEE exigent des garanties, comme les CCT de 2021.
RGPD, art. 28(3) et 44-46 ; décision (UE) 2021/914Même contenu qu’à l’article 28 ; les transferts internationaux utilisent l’IDTA ou l’UK Addendum.
UK GDPR, art. 28 ; lignes directrices de l’ICOLes contrats avec les service providers et contractors doivent inclure les clauses prévues par la loi.
Cal. Civil Code § 1798.100(d) ; 11 CCR § 7051Les data fiduciaries ne recourent à des sous-traitants que dans le cadre d’un contrat valable.
DPDP Act 2023, s 8(2)Les sous-traitants suivent les instructions du responsable du traitement.
LGPD (Lei 13.709/2018), art. 39Les sous-traitants doivent suivre les instructions du responsable du traitement et protéger les données selon la loi fédérale (hors DIFC et ADGM, qui ont leurs propres lois).
Décret-loi fédéral n° 45 de 2021, art. 8 ; DIFC Data Protection Law 2020Références juridiques vérifiées le 15 oct. 2026. Les règles changent : vérifie la source avant de t’y fier.
Questions fréquentes
Chaque freelance a-t-il besoin d’un DPA ?
Seulement s’il traite des données personnelles pour ton compte, par exemple en accédant à des données clients dans une base de données. Un designer qui travaille sur un logo, en général non.
C’est gratuit ?
Oui. Chaque modèle est gratuit, à consulter et à copier librement : sans inscription, sans e-mail, sans téléchargement.
Est-ce un conseil juridique ?
Ce modèle est fourni à titre d’information et ne constitue pas un conseil juridique ; adapte-le à ta situation et au droit local.