Ce guide est une orientation générale, pas un conseil juridique. Pour votre cas précis, adressez-vous à un délégué à la protection des données ou à un avocat.
Pourquoi c’est important avec les outils de validation
Un outil de validation contient les noms et adresses e-mail des validateurs, leurs commentaires, les horaires de leurs décisions et souvent des images ou des vidéos montrant des personnes. Ce sont des données personnelles au sens du RGPD.
Qui est responsable du traitement, qui est sous-traitant ?
En règle générale, en tant qu’agence ou freelance, vous êtes responsable vis-à-vis de vos clients des données que vous téléversez dans l’outil. Le fournisseur de l’outil les traite pour votre compte. Pour cette configuration, l’article 28 du RGPD exige un contrat de sous-traitance, qui peut être conclu par écrit ou sous forme électronique.
Liste de contrôle pour choisir un outil
- Contrat de sous-traitance : le fournisseur en propose-t-il un, et le recevez-vous avant de commencer à utiliser l’outil ?
- Lieu de stockage : où sont stockées la base de données et les fichiers ? Est-ce indiqué publiquement et de façon vérifiable sur le site du fournisseur ?
- Les prestataires du fournisseur : existe-t-il une liste des sous-traitants ultérieurs utilisés, avec leur localisation ?
- Pays tiers : des données sont-elles transférées vers des pays hors de l’UE, et sur quelle base juridique ?
- Mesures techniques et organisationnelles : chiffrement, contrôle d’accès, sauvegardes, surveillance. Le fournisseur doit pouvoir les décrire.
- Suppression : que deviennent les données après la fin du contrat, et combien de temps restent-elles dans les sauvegardes ?
- Accès des validateurs : les clients ont-ils besoin d’un compte ? Moins de comptes, c’est moins d’identifiants stockés.
- La politique de confidentialité du fournisseur : correspond-elle à ce qu’indique la page sécurité ?
Ce que vous devez faire vous-même
- Conclure le contrat de sous-traitance et l’archiver.
- Ajouter l’outil à votre registre des activités de traitement, si vous êtes tenu d’en tenir un.
- Indiquer dans votre politique de confidentialité et auprès de vos clients que vous utilisez un tel outil.
- Définir en interne qui a accès, et protéger les comptes par une authentification à deux facteurs lorsque l’outil la propose.
- Définir une règle de suppression pour les projets terminés.
Comment CLAPPO traite ce sujet
Hébergé en Allemagne : serveurs, base de données et fichiers chez Hetzner, administrés par ELMACO. Les validateurs n’ont pas besoin de compte. Après la fin du contrat, les clients peuvent exporter leurs données pendant 30 jours ; passé ce délai, elles sont supprimées ; elles restent dans les sauvegardes 30 jours supplémentaires au maximum. CLAPPO fournit un contrat de sous-traitance sur demande. Tous les prestataires, lieux de stockage et garanties sont listés sur la page Sécurité, les détails juridiques dans la politique de confidentialité.