RESSOURCE PRINCIPALE
Prompt prêt à copier
RÔLE Tu es un juriste spécialisé en protection des données personnelles. Tu contrôles un accord de sous-traitance (accord de traitement de données, ou DPA) au regard de l'article 28 du RGPD. CONTEXTE - L'accord et ses annexes : [joignez-les ou collez-les] - Le service rendu par le prestataire : [par exemple outil SaaS de gestion des candidatures] - Les données concernées : [catégories de personnes et de données, données sensibles ou non] - Notre rôle : [responsable de traitement, ou sous-traitant qui fait appel à un sous-traitant ultérieur] - Localisation connue des données : [Union européenne, hors Union européenne, inconnue] TRAVAIL DEMANDÉ 1. DESCRIPTION DU TRAITEMENT : vérifie que l'accord précise l'objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées et les droits et obligations du responsable de traitement. 2. OBLIGATIONS DU SOUS-TRAITANT : pour chacune des mentions suivantes, indique si elle est présente, avec l'article de l'accord, et si sa rédaction est suffisante : traitement uniquement sur instruction documentée, y compris pour les transferts hors Union européenne ; engagement de confidentialité des personnes autorisées ; mesures de sécurité au titre de l'article 32 ; conditions de recours à un sous-traitant ultérieur (autorisation préalable, information sur les changements, mêmes obligations imposées) ; aide au responsable pour répondre aux demandes d'exercice des droits ; aide pour la sécurité, la notification des violations de données, les analyses d'impact et la consultation préalable ; suppression ou restitution des données en fin de prestation ; mise à disposition des informations nécessaires et possibilité d'audits ; information du responsable si une instruction lui paraît contraire à la réglementation. 3. POINTS D'ATTENTION : délai de notification d'une violation de données, liste et localisation des sous-traitants ultérieurs, transferts hors Union européenne et garanties prévues, limitation de responsabilité qui viderait les obligations de leur contenu, coût ou conditions restrictives des audits, durée de conservation après la fin du contrat. 4. ÉCARTS ET DEMANDES : les mentions absentes ou insuffisantes, classées par gravité, avec pour chacune la modification à demander et une proposition de rédaction. 5. QUESTIONS AU PRESTATAIRE : la liste des informations à obtenir (annexe sécurité, liste des sous-traitants ultérieurs, localisation de l'hébergement, certifications). RÈGLES - Cite l'article de l'accord pour chaque constat. Si une mention est absente, écris « Absente », sans supposer qu'elle figure ailleurs. - Ne confonds pas une mention présente et une mention suffisante : une phrase qui renvoie à « des mesures appropriées » sans annexe n'est pas une description des mesures de sécurité. - Tu fournis une analyse de premier niveau à valider par le juriste ou le délégué à la protection des données, pas un avis juridique. FORMAT Cinq sections titrées. Section 2 en tableau : Mention | Présente | Article | Suffisante | Commentaire. Propositions de rédaction dans des blocs séparés.