Sous-traitance et lieu de traitement : que vérifier ?

Le prestataire qui signe n'est pas toujours celui qui exécute. Recourir à un sous-traitant est légitime et courant ; ce qui pose problème, c'est de l'ignorer. Deux questions méritent d'être posées avant de signer : qui travaille réellement, et où se trouvent les données.

Savoir qui intervient

• La liste des sous-traitants, avec le rôle de chacun : développement, hébergement, sauvegarde, support, envoi d'e-mails.
• Le pays depuis lequel chacun intervient.
• L'obligation de vous informer avant tout ajout ou remplacement.
• La possibilité de vous opposer à un changement, avec ses conséquences.
• L'engagement du prestataire principal à répondre du travail de ses sous-traitants, sans vous renvoyer vers eux.

Ce dernier point est décisif : sur le plan contractuel, vous vous adressez à celui qui a signé, même quand la panne vient d'un tiers.

Où sont hébergées les données

Le lieu d'hébergement détermine le droit applicable et les recours possibles. Un service peut afficher des serveurs dans un pays tout en étant opéré par une société soumise à des lois étrangères, ce qui n'a pas les mêmes effets. La distinction est expliquée dans l'article Cloud Act : vos données hébergées sont-elles concernées.

Ce que recouvre un hébergement maîtrisé en France est précisé dans l'article ce que change l'hébergement de ses données en France.

Les clauses à faire figurer

• La liste des sous-traitants est annexée au contrat et tenue à jour.
• Chaque sous-traitant est soumis à des obligations équivalentes, notamment de confidentialité et de sécurité.
• Le lieu de traitement et de stockage est indiqué, et tout transfert vers un autre pays est soumis à votre accord préalable.
• Le prestataire signale sans délai tout incident survenu chez un sous-traitant.
• La réversibilité s'applique aussi aux données détenues par les sous-traitants.

Les cas de sous-traitance qu'on oublie

Certains intervenants n'apparaissent pas comme des sous-traitants, alors qu'ils accèdent à vos données :

• le service d'envoi des e-mails transactionnels, qui voit les adresses de vos clients ;
• l'outil de suivi des demandes de support, qui conserve vos échanges ;
• l'espace de stockage utilisé pour les sauvegardes ;
• l'outil de prise en main à distance des postes ;
• les prestataires de traduction ou de rédaction qui reçoivent des documents internes.

Faites-les entrer dans la liste : ce sont souvent eux qui font sortir des données hors du périmètre annoncé.

Comment vérifier

1. Demandez la liste avant la signature, pas après.
2. Vérifiez la cohérence avec les mentions publiées par le prestataire et par son hébergeur.
3. Demandez comment vous serez prévenu d'un changement, et sous quelle forme.
4. Réexaminez la liste à chaque renouvellement du contrat.

La notion d'infrastructure dont la maîtrise reste soumise au droit français est précisée dans le glossaire, à l'entrée hébergement souverain.

NexSecure indique le lieu d'hébergement et la liste des intervenants dans chaque proposition d'hébergement web.