Modèle d’accord de traitement des données (DPA)

Qu’est-ce qu’un accord de traitement des données ?

Un accord de traitement des données, souvent appelé DPA ou avenant relatif au traitement des données, est signé lorsqu’un prestataire traite des données personnelles pour le compte d’une entreprise. Parmi les exemples courants figurent un gestionnaire de paie, un hébergeur cloud, une plateforme d’e-mails ou une société d’assistance informatique. L’entreprise décide pourquoi les données sont utilisées. Le prestataire ne peut les utiliser que pour fournir le service. Les lois sur la protection de la vie privée, comme le RGPD de l’UE et du Royaume-Uni (EU and UK GDPR), exigent un contrat écrit de ce type avec un sous-traitant, et plusieurs lois américaines sur la protection de la vie privée exigent des dispositions similaires avec les prestataires de services.

Ce modèle accompagne votre contrat principal de services. Il prévoit que le prestataire agit uniquement selon vos instructions documentées, sans vendre, partager ni utiliser les données à ses propres fins. Il couvre également la confidentialité du personnel, un socle de mesures de sécurité ainsi que celles que vous ajoutez, les sous-traitants ultérieurs avec un droit de notification et d’opposition, les transferts entre pays, l’assistance concernant les demandes des personnes, la notification d’une violation dans le délai que vous choisissez (24 à 72 heures), les audits, ainsi que la restitution ou la suppression à la fin. Vous décrivez les services, les personnes concernées et les types de données, et pouvez indiquer les sous-traitants ultérieurs approuvés et les lieux de stockage convenus.

Quand utiliser un accord de traitement des données

• Recruter un prestataire de paie ou de logiciels RH qui détient les dossiers des employés
• Transférer votre base de données clients à un hébergeur ou à un fournisseur cloud
• Utiliser une plateforme d’e-mail marketing, de CRM ou d’assistance client
• Donner à une agence d’assistance informatique ou de développement accès à des systèmes contenant des données personnelles
• Répondre à un questionnaire de sécurité d’un fournisseur ou à la demande d’un client qui souhaite savoir si vous avez mis en place des DPA

Ce que vous remplissez

19 champs à remplir, puis le nom et l’adresse e-mail de chaque signataire : entreprise, prestataire de services.

Ce que couvre le accord de traitement des données

1. Définitions
2. Rôles et champ d'application
3. Instructions
4. Confidentialité
5. Sécurité
6. Sous-traitants ultérieurs
7. Lieu et transferts
8. Assistance à l'Entreprise
9. Incidents de sécurité
10. Registres et audits
11. Restitution et suppression
12. Dispositions générales

Utiliser le accord de traitement des données, étape par étape

1 Rattachez-le au contrat principal

Indiquez le contrat de services que le DPA complète, par exemple « l’Accord de services de paie daté du 1 mars 2026 », et décrivez ce que le prestataire fait avec les données. En cas de contradiction entre les deux documents concernant les données personnelles, le DPA prévaut.

2 Décrivez les données

Indiquez à qui appartiennent les données (clients, employés, utilisateurs du site web) et quels sont leurs types (noms, coordonnées, historique des commandes). Ajoutez toute donnée sensible, comme des informations de santé ou de compte financier, afin que le prestataire sache que des mesures de protection supplémentaires s’appliquent.

3 Définissez la sécurité, les sous-traitants ultérieurs et les lieux

L’accord répertorie déjà les mesures de sécurité de base. Ajoutez tout élément spécifique dont vous avez convenu. Indiquez les sous-traitants ultérieurs que vous approuvez aujourd’hui et fixez le délai de notification pour les nouveaux sous-traitants. Si les données doivent rester dans certains pays, nommez-les.

4 Choisissez les modalités relatives aux violations, aux audits et à la fin du contrat, puis envoyez-le

Choisissez le délai de notification d’une violation, le préavis avant un audit et indiquez si les données sont restituées et supprimées, ou simplement supprimées, à la fin des services. Ajoutez le signataire du prestataire et envoyez le document pour signature.

Conseils avant l’envoi

• Certaines lois accordent à l’entreprise elle-même un délai court pour signaler une violation aux autorités de contrôle ou aux personnes concernées. Choisissez un délai de notification du prestataire qui vous laisse le temps d’agir.
• Si des données personnelles doivent être transférées entre des pays (par exemple hors de l’UE ou du Royaume-Uni), vous pouvez également avoir besoin de clauses contractuelles types relatives aux transferts ou d’une autre garantie. Ce modèle les exige, mais ne les inclut pas.
• De nombreux grands prestataires imposent leur propre DPA. Comparez-le au présent modèle : les instructions, la notification concernant les sous-traitants ultérieurs, le délai de notification des violations et la suppression sont les points essentiels.
• Tenez à jour la liste des sous-traitants ultérieurs. C’est souvent la première chose qu’un client ou un auditeur demande.

Accord de traitement des données : questions fréquentes

Plus de modèles de contrats

Tous les modèles Entreprises et contrats · Tous les modèles eSignature

Ce modèle est un point de départ général, et non un conseil juridique. Les lois varient selon les pays et les États — faites vérifier le contrat par un avocat selon votre situation avant de vous y fier. Page révisée le 2026-09-29.