Accord de traitement des données — modèle article 28

Ce texte est un modèle d’accord de sous-traitance, et non la preuve d’un accord signé ou d’un traitement client activé. Il doit être complété, accepté par les parties et rattaché à un contrat identifié avant le premier transfert de données. Le professionnel responsable de traitement et l’entité juridique exploitant Loocas devront être désignés avec leurs représentants et contacts habilités.

Le modèle s’applique uniquement aux opérations effectuées par Loocas sur instructions du professionnel. Les traitements déterminés pour les finalités propres de Loocas et les éventuelles responsabilités conjointes devront être qualifiés séparément d’après les faits. L’hébergement, la modération et la diffusion en réseau ne deviennent pas automatiquement une seule relation de sous-traitance par le choix d’un intitulé contractuel.

Dans l’accord signé, Loocas ne traitera les données que sur instructions documentées du responsable, y compris pour les transferts internationaux, sauf obligation légale applicable ; dans ce dernier cas, le responsable sera informé avant traitement, sauf interdiction légale. Une instruction estimée contraire aux règles de protection des données sera signalée immédiatement au responsable.

Le responsable déterminera les finalités, la base juridique, les destinataires autorisés et les durées. Il assurera l’information des personnes et les autorisations nécessaires à la collecte, à la publication et au réseau. Une licence de contenu ne remplacera pas une base juridique RGPD. Aucune réutilisation propre, prospection ou entraînement de modèle IA sur les données confiées ne sera autorisé par défaut.

L’analyse IA de réclamations devra faire l’objet d’instructions et d’une qualification de responsabilités propres. Les décisions de modération prises pour les finalités propres de Loocas ne seront pas artificiellement présentées comme de simples instructions du client. Aucune instruction ne pourra supprimer les recours gratuits ou une intervention humaine requise, ni imposer l’effacement d’un avis pour son seul caractère négatif.

L’annexe signée décrira les opérations effectivement souscrites. Les éléments suivants sont des champs obligatoires de cadrage, pas une liste de traitements déjà réalisés.

• Contrat, parties, représentants, contacts de protection des données et date de prise d’effet : à compléter.
• Objet et finalités : préciser les seules fonctions retenues, par exemple invitations après commande, gestion d’avis et publication autorisée.
• Nature des opérations : préciser réception, rapprochement, envoi, stockage, modération, agrégation, restitution, export et suppression réellement autorisés.
• Catégories de personnes : préciser clients, auteurs d’avis et personnes habilitées chez le professionnel.
• Types de données : sélectionner les identifiants de commande et produit, coordonnées strictement nécessaires, pseudonymes, avis, notes, dates et éléments de preuve proportionnés.
• Données sensibles ou pénales : aucun traitement intentionnel par défaut ; procédure spécifique à définir si leur présence est nécessaire ou détectée.
• Durée, fréquence, volume, périmètre du réseau et catégories de destinataires : à compléter ; aucune conservation illimitée par défaut.
• Lieux de traitement, accès de support, éventuels transferts et sous-traitants ultérieurs : à compléter et recouper avec l’annexe C.
• Pour les réclamations IA : préciser les motifs, références, textes, preuves proportionnées, coordonnées de suivi, décisions et traces de versions nécessaires ; exclure les données étrangères au dossier et les identifiants secrets. Décrire les rôles, bases juridiques, effets possibles et modalités de recours.

Loocas devra limiter l’accès aux personnes qui en ont besoin pour les opérations autorisées et s’assurer qu’elles sont soumises à une obligation de confidentialité appropriée. Les habilitations devront être documentées, revues et retirées lorsque leur justification cesse.

Les commandes, coordonnées privées et justificatifs ne seront pas exposés aux autres boutiques du seul fait de leur participation au réseau. La partie publiable d’un avis devra être séparée des données de gestion et des pièces de contrôle.

Le niveau de sécurité sera adapté aux risques, conformément à l’article 32 du RGPD. Les mesures effectivement mises en œuvre, leur responsable et leurs preuves devront être décrits dans l’annexe avant activation. La liste ci-dessous exprime les domaines à couvrir, sans déclarer une certification ou une garantie technique déjà acquise.

• Séparation des organisations et des environnements ; permissions minimales et authentification adaptée aux accès sensibles.
• Protection des transmissions, des sauvegardes, des pièces et des secrets ; gestion des clés et chiffrement selon le risque documenté.
• Prévention des exports non autorisés, minimisation des données et contrôle des médias reçus.
• Journalisation proportionnée sans mots de passe, codes d’authentification ni contenu sensible inutile.
• Mises à jour, gestion des vulnérabilités, contrôles d’intégrité et revue des accès.
• Sauvegardes, tests de restauration, continuité, reprise et objectifs mesurables à convenir.
• Détection, gestion et traçabilité des incidents ; tests réguliers de l’efficacité des mesures.
• Suppression et révocation propagées aux copies autorisées, avec règles explicites pour les sauvegardes et supports hors ligne.

Aucun prestataire ni pays n’est réputé approuvé par la publication de ce modèle. L’accord devra choisir une autorisation écrite spécifique ou générale. En cas d’autorisation générale, Loocas informera le responsable de tout ajout ou remplacement prévu, assez tôt pour lui permettre une objection effective selon le délai convenu.

Chaque sous-traitant ultérieur sera lié par des obligations de protection équivalentes pour sa prestation. Loocas restera responsable envers le responsable de traitement de l’exécution de ces obligations par ce sous-traitant.

Aucun fournisseur de modération IA n’est désigné ou réputé autorisé à ce jour. Avant l’envoi d’un dossier, il faudra arrêter son identité, ses lieux et accès de traitement, les éventuels transferts, la confidentialité, les durées, les sous-traitants ultérieurs et l’absence de réutilisation non autorisée, notamment pour l’entraînement.

• Pour chaque prestataire : raison sociale, service, données accessibles, pays d’hébergement et d’accès, garanties et contact.
• Pour chaque changement : date d’information, délai d’objection convenu, réponse et solution en cas d’objection non résolue.
• Tout fournisseur de modèles IA ou service d’analyse recevant des données personnelles devra être inclus dans le périmètre approprié ; aucune liste d’entraînement ou conservation fournisseur ne sera supposée acceptable.

Les lieux de stockage et les accès distants devront être inventoriés. Un hébergement annoncé dans l’Union européenne ne suffira pas à exclure tout transfert lié à un support ou à un sous-traitant situé ailleurs.

Tout transfert soumis au chapitre V du RGPD devra disposer du mécanisme applicable et de ses vérifications : décision d’adéquation, garanties appropriées ou autre fondement réellement pertinent. Les analyses et mesures complémentaires nécessaires seront documentées. Aucun transfert ne sera justifié par une mention générique de conformité ou par le seul présent modèle.

Compte tenu de la nature du traitement, Loocas aidera le responsable, par des mesures techniques et organisationnelles appropriées dans la mesure du possible, à répondre aux demandes des personnes. Les canaux, destinataires internes et modalités de vérification proportionnée seront convenus dans l’annexe D.

Une demande reçue directement par Loocas pour les données sous-traitées sera transmise au contact habilité sans retard indu, sauf instruction autorisant Loocas à y répondre. Les opérations d’accès, rectification, effacement, limitation, opposition ou portabilité respecteront leur champ légal et les droits des tiers. La réponse ne sera pas rendue impossible par une multiplication des boutiques destinataires.

Loocas devra notifier au responsable toute violation de données confiées dans les meilleurs délais après en avoir pris connaissance, puis compléter les informations disponibles. La notification décrira la nature de l’incident, les catégories et volumes approximatifs concernés lorsqu’ils sont connus, les conséquences probables, les mesures prises ou proposées et le contact de suivi.

L’annexe D fixera le canal d’urgence et l’organisation des mises à jour. Aucun délai contractuel chiffré n’est fixé ici. Le délai de notification à l’autorité susceptible de s’imposer au responsable ne devra pas être confondu avec l’obligation du sous-traitant de l’alerter sans retard indu. Les communications externes seront coordonnées, sans empêcher une obligation légale propre.

Compte tenu des informations dont il dispose et de la nature du traitement, Loocas aidera le responsable pour ses obligations de sécurité, de gestion des violations, d’analyse d’impact et de consultation préalable. Les éléments utiles devront être fournis assez tôt pour permettre l’exercice réel de ces obligations.

Les registres nécessaires seront tenus et les demandes légalement fondées d’une autorité compétente traitées. Une nouvelle finalité, un profilage sensible ou un changement substantiel de sous-traitant ne sera pas activé comme une simple modification technique sans réexamen du cadre applicable.

Le dispositif de réclamations devra intégrer l’évaluation de l’article 22 du RGPD, les informations utiles aux personnes, les contrôles de biais et, si nécessaire, une analyse d’impact. L’intervention humaine doit permettre une appréciation et une révision réelles ; l’IA ne doit pas transformer les pièces reçues en instructions de traitement. Ces exigences ne sont pas déclarées déjà mises en œuvre par le présent modèle.

Loocas mettra à disposition du responsable les informations nécessaires pour démontrer le respect des obligations de l’accord et permettra les audits, y compris les inspections, réalisés par le responsable ou son auditeur mandaté, et y contribuera.

Les modalités pratiques devront protéger la confidentialité, les autres clients et la sécurité du service, sans neutraliser le droit d’audit ni l’intervention d’une autorité. Une attestation générale ne remplacera pas les éléments nécessaires pour évaluer le traitement réellement confié.

À la fin de la prestation, selon le choix du responsable, Loocas devra restituer ou supprimer les données confiées et supprimer les copies, sauf conservation imposée par une règle applicable. Les données légalement conservées seront isolées, limitées à cette finalité et supprimées à l’issue de la durée requise. Le calendrier des sauvegardes et la preuve de fin d’opération seront précisés.

Avant signature, les parties complèteront les éléments suivants. Ce modèle n’autorise aucune importation ou transmission de données client tant que le périmètre, les moyens et les responsabilités ne sont pas effectivement arrêtés.

• Contacts habilités, canal d’instruction et procédure de validation des modifications.
• Canaux de demandes de droits et d’incidents ; disponibilité opérationnelle et délai de mise à jour convenus.
• Format d’export, destinataire, choix restitution/suppression, calendrier des copies et sauvegardes, contrôle d’achèvement.
• Liste des annexes approuvées, versions, date d’effet, durée, contrats associés et signatures des représentants habilités.
• Hiérarchie documentaire : les obligations de protection des données applicables priment sur une instruction ou stipulation incompatible ; les droits des personnes et pouvoirs des autorités sont préservés.