Contrat de sous-traitance RGPD : que vérifier ?
Mis à jour le 20 octobre 2026 · Yahia Lhouaoui
Cet article est informatif et ne constitue pas un avis juridique.
Quand un cabinet confie ses fiches clients à un CRM, l’éditeur de ce CRM devient son sous-traitant au sens du RGPD. L’article 28.3 du règlement impose alors un contrat entre eux, avec un contenu minimal défini. Avant de choisir un outil, le cabinet a tout intérêt à lire ce contrat point par point.
Pourquoi un contrat est-il obligatoire ?
Le cabinet est responsable du traitement : il détermine les finalités et les moyens (article 4.7 du RGPD). L’éditeur du CRM traite les données pour son compte : il est sous-traitant (article 4.8). L’article 28.3 exige qu’un contrat encadre ce lien. Les rôles sont expliqués dans RGPD pour un courtier en assurance.
Ce que le contrat doit prévoir
L’article 28.3 du RGPD liste les engagements du sous-traitant. Grille de lecture :
| Engagement du sous-traitant (article 28.3) | Question à poser à l’éditeur |
|---|---|
| traiter les données sur instructions documentées du responsable | Où sont écrites mes instructions ? |
| garantir la confidentialité des personnes autorisées à traiter les données | Qui, chez vous, peut voir mes données ? |
| prendre les mesures de sécurité de l’article 32 | Quelles mesures sont décrites ? |
| respecter les conditions de recours à un autre sous-traitant | Où est la liste de vos sous-traitants ? |
| aider le responsable à répondre aux demandes d’exercice des droits | Comment m’aidez-vous si un client demande ses données ? |
| aider le responsable pour les obligations des articles 32 à 36 | Que faites-vous en cas de violation de données ? |
| supprimer ou restituer les données en fin de contrat | Sous quelle forme récupérer mes données ? |
| mettre à disposition des informations et permettre des audits | Comment vérifier vos engagements ? |
Un transfert de données hors UE n’est possible que dans le respect du chapitre V du RGPD (adéquation, garanties appropriées) : la question mérite d’être posée aussi.
Ce que prévoit l’annexe d’AssurX
AssurX encadre ces engagements dans une annexe de sous-traitance (article 28), acceptée avec les conditions générales et versionnée : lire l’annexe RGPD d’AssurX. La liste des sous-traitants y figure.
Points utiles au cabinet :
- Localisation : Données hébergées dans l’Union européenne ; IA européenne, aucun traitement d’IA hors de l’UE.
- Restitution : sur demande, en formats ouverts (CSV et JSON pour les données, Markdown pour les comptes rendus, fichiers d’origine pour les documents), dans une archive avec un descriptif des champs ; comprise dans l’abonnement, jamais refusée pour un impayé. Le détail est sur la page import et données.
- Suppression du compte : possible depuis l’application.
L’annexe aide le cabinet à documenter son choix ; elle ne remplace pas son propre examen, ni son registre des traitements.
Les erreurs fréquentes
- Utiliser un outil sans avoir lu ses conditions de sous-traitance.
- Ignorer où les données sont hébergées et traitées.
- Découvrir à la résiliation que les données ne sont restituées que dans un format fermé.
Pour d’autres questions, voir la FAQ ou le guide Conformité FSMA et RGPD.
Questions fréquentes
Le contrat de sous-traitance est-il obligatoire avec l’éditeur d’un CRM ?
Oui. L’éditeur d’un CRM traite les données pour le compte du cabinet : il est sous-traitant (article 4.8 du RGPD), et l’article 28.3 impose un contrat entre le responsable du traitement et son sous-traitant.
Que deviennent les données à la fin du contrat ?
L’article 28.3 du RGPD prévoit que le sous-traitant supprime ou restitue les données en fin de contrat. Chez AssurX, la restitution se fait sur demande, en formats ouverts, et elle est comprise dans l’abonnement.
Où trouver l’annexe RGPD d’AssurX ?
Elle est publiée sur le site, dans sa version en vigueur, et acceptée avec les conditions générales. Elle est versionnée : chaque version porte son propre numéro.