Un prestataire tech qui traite les données d’une startup ne se limite pas à exécuter une mission : il devient souvent sous-traitant au sens du RGPD. Ce guide 2026 montre aux fondateurs quelles clauses inscrire dans le contrat avant de donner accès aux données.
- Un contrat de sous-traitance RGPD doit documenter l’article 28, la sécurité, les sous-traitants ultérieurs et la fin du traitement.
- Un prestataire tech qui choisit ses propres finalités peut devenir responsable de traitement, pas simple sous-traitant.
- Les transferts hors UE exigent un mécanisme juridique et une analyse du risque, pas une phrase générale dans le contrat.
- Le contrat de licence SaaS et le DPA doivent raconter la même réalité technique en 2026.
Pourquoi ce contrat compte pour une startup tech
Une startup confie ses données à plusieurs acteurs : développeur, hébergeur, outil d’analytics ou solution d’IA. Chaque accès doit avoir une finalité et un responsable identifiés.
Le contrat de sous-traitance RGPD formalise cette relation. Il précise ce que le prestataire peut faire, sur quelles instructions, avec quelles mesures de sécurité et pendant combien de temps. En 2026, un contrat générique qui ignore les sous-traitants ultérieurs ou les transferts hors UE ne décrit plus correctement la chaîne technique.
La CNIL rappelle que les transferts de données hors de l’Union européenne doivent être encadrés par un niveau de protection approprié et par un outil juridique adapté. Le DPA RGPD pour éditeurs de logiciels SaaS permet de comparer cette logique avec celle d’un éditeur qui traite les données de ses clients.
À qui s’adresse ce guide
Ce guide vise les fondateurs, CTO et responsables juridiques travaillant avec un développeur, une agence, un hébergeur, un fournisseur cloud ou un prestataire d’IA. Il couvre les traitements réalisés pour le compte de la startup.
Il s’applique aussi au prestataire tech qui reçoit un DPA client et doit vérifier si les obligations demandées correspondent à ses moyens réels. Le document ne remplace pas une analyse de qualification : certaines activités font du prestataire un responsable de traitement pour ses propres données, même s’il reste sous-traitant pour les données du client.
Ce qu’il faut vérifier dans le contrat de sous-traitance RGPD
1. Décrire l’objet, la durée et la finalité
Commencez par une fiche de traitement lisible : service fourni, durée du traitement, catégories de personnes, catégories de données, opérations autorisées et finalité. « Les données nécessaires au service » ne suffit pas si le prestataire reçoit des données de contact, des données RH ou des contenus confidentiels.
Précisez le produit ou le périmètre concerné, l’environnement de production et l’environnement de test. Une copie de production dans un outil de test n’est pas un détail technique : elle change le risque et les mesures à prévoir. En 2026, le contrat doit suivre la configuration réelle, pas seulement le devis commercial.
2. Distinguer instructions et finalités propres
Le sous-traitant agit sur instructions documentées du responsable de traitement. Le contrat doit indiquer comment ces instructions sont données, qui peut les modifier et que faire si une instruction paraît contraire au RGPD. Le prestataire ne doit pas transformer les données client en actif commercial propre sans base juridique distincte.
La distinction devient essentielle pour la facturation, la sécurité et les statistiques d’usage. Le prestataire peut être responsable de traitement pour ses propres factures ou la gestion de ses comptes, tout en restant sous-traitant pour la base utilisateur du client. Une clause unique qui mélange ces deux rôles crée une zone grise.
3. Inscrire les obligations de confidentialité
Les personnes autorisées à accéder aux données doivent être liées par une obligation de confidentialité. La clause doit couvrir les salariés, les freelances, les administrateurs système et toute personne intervenant pour le compte du prestataire.
Ajoutez les règles d’habilitation : comptes individuels, authentification forte, retrait des accès au départ et revue périodique des permissions. Un NDA protège l’information échangée avant le contrat, mais il ne remplace pas les obligations opérationnelles du DPA pendant l’exécution. Le NDA pour partenariats commerciaux entre startups illustre la différence entre confidentialité précontractuelle et traitement continu.
4. Détailler les mesures de sécurité
Évitez une annexe qui promet simplement des « mesures conformes aux standards du marché ». Listez les contrôles pertinents : chiffrement en transit et au repos, gestion des clés, journalisation, sauvegardes, segmentation des environnements, gestion des vulnérabilités et procédure de restauration.
La sécurité doit être proportionnée au traitement. Une application de santé n’a pas le même profil qu’un outil de prospects. Une annexe technique peut être mise à jour sans réécrire le DPA.
5. Organiser les violations de données
Le prestataire doit alerter le responsable de traitement sans retard injustifié dès qu’il constate une violation. Le contrat doit préciser le canal d’alerte, les informations initiales, les mises à jour, la personne de contact et la coopération attendue pour documenter l’incident.
Écrivez aussi ce qui se passe pendant les 24 premières heures : conservation des journaux, isolation du compte concerné, interdiction de supprimer les éléments utiles à l’analyse et coordination des communications. Une formule vague sur la notification ne dit pas qui agit lorsqu’un accès est compromis un vendredi soir.
6. Encadrer les sous-traitants ultérieurs
Le prestataire doit obtenir une autorisation générale ou spécifique avant de faire intervenir un autre sous-traitant. La liste doit identifier l’hébergeur, le fournisseur de support, l’outil de monitoring, le prestataire d’IA et les autres acteurs ayant un accès aux données.
Prévoyez une procédure de notification et d’opposition. Le délai de préavis doit permettre au client d’évaluer le changement, sans donner au client un droit de veto inutilisable sur chaque mise à jour d’infrastructure. Un fournisseur ajouté en 2026 doit apparaître dans la liste ou dans le mécanisme prévu par le contrat avant le début du traitement.
7. Traiter les transferts hors UE
Identifiez le pays où les données sont accessibles, stockées ou administrées. Un serveur situé dans l’Union n’élimine pas automatiquement le sujet si une équipe ou un fournisseur situé hors UE peut accéder aux données à distance.
Le contrat doit indiquer le mécanisme applicable : décision d’adéquation, clauses contractuelles types de la Commission européenne ou autre outil pertinent selon le flux. Le responsable et le sous-traitant doivent aussi documenter les mesures supplémentaires nécessaires. En 2026, une référence au Privacy Shield sans analyse actuelle signale un DPA qui n’a pas été révisé.
8. Prévoir l’assistance au responsable
Le prestataire doit aider la startup à répondre aux demandes de droits, analyses d’impact, consultations de la CNIL et audits de sécurité. La clause distingue l’assistance incluse des interventions exceptionnelles.
Fixez délais, formats et responsabilités. Sans export ni identification des traitements, la startup ne peut pas répondre proprement à un utilisateur ou à un client entreprise. Définissez aussi le canal d’urgence.
9. Organiser la fin du contrat
À la résiliation, le prestataire restitue ou supprime les données selon les instructions du responsable, sauf obligation légale de conservation. Le contrat doit préciser le format d’export, la fenêtre de récupération, les copies de sauvegarde et la preuve de suppression.
Un délai de 30 à 90 jours peut convenir, mais il doit correspondre au produit. La startup doit vérifier la suppression des sauvegardes et tester l’export avant la fin du contrat.
Les formats de contrat à comparer
Le DPA intégré au contrat de service — le format compact
Le DPA est annexé ou intégré au contrat principal, avec une description technique et une liste des sous-traitants. Cette structure fonctionne pour un prestataire unique et un périmètre stable. Verdict : Adopter si les obligations RGPD restent visibles et si la procédure de mise à jour est claire.
Le risque est de noyer l’article 28 dans des conditions commerciales. Séparez les responsabilités, les mesures de sécurité et les instructions dans une annexe identifiable. Le prix, la propriété intellectuelle et la réversibilité peuvent être liés, mais ils ne doivent pas masquer la qualification RGPD.
Le DPA cadre avec bons de commande — le format multi-projets
Une startup qui confie plusieurs missions à la même agence peut utiliser un DPA cadre complété par une fiche par projet. Chaque fiche précise les données, les finalités, les environnements et les sous-traitants concernés.
Verdict : Adopter pour une relation récurrente, à condition de ne pas utiliser la même fiche pour une base marketing et une base de salariés. La souplesse ne doit pas devenir une absence de précision.
Le DPA fournisseur cloud — le complément d’infrastructure
Le DPA cloud documente l’infrastructure, mais pas la relation entre la startup et ses clients ni les traitements ajoutés par l’application. Verdict : Envisager en complément, jamais comme seul DPA.
Le DPA générique téléchargé — le faux raccourci
Un modèle générique peut contenir les mots attendus et manquer les informations utiles : catégories de données, sous-traitants réels, accès administrateur, procédure d’incident et règles de suppression. Il ne connaît pas votre stack ni vos flux.
Verdict : Écarter pour un prestataire qui accède à des données de production ou à une data room. Le gain de temps initial disparaît au premier audit client.
Le contrat de service sans DPA — le risque silencieux
Un contrat de développement peut régler les livrables, la propriété intellectuelle et le prix sans encadrer les données personnelles. Cette absence ne signifie pas que le RGPD ne s’applique pas. Elle signifie que les parties ont oublié de traduire le traitement en obligations.
Verdict : Écarter dès qu’un prestataire accède à des données personnelles pour le compte de la startup.
Ce qu’il faut éviter
- Une liste de sous-traitants incomplète. Un outil de support ou une API d’IA oublié reste un acteur de la chaîne.
- Une sécurité promise sans annexe. Sans contrôle mesurable, le client ne sait pas ce qui est réellement protégé.
- Une suppression sans preuve. Demandez un certificat ou un rapport de suppression adapté au système.
- Un transfert hors UE traité par une phrase. Identifiez le pays, le mécanisme et les mesures supplémentaires.
- Une assistance illimitée non définie. Fixez les délais et séparez les demandes ordinaires des incidents urgents.
Tableau de contrôle 2026
| Sujet | Ce que le contrat doit dire | Verdict 2026 |
|---|---|---|
| Finalités | Données, personnes, opérations et durée | Indispensable |
| Sécurité | Contrôles techniques et organisationnels | Indispensable |
| Sous-traitants | Liste et procédure de changement | Indispensable |
| Transferts | Pays, outil juridique et mesures | Indispensable |
| Fin du service | Restitution, suppression et preuve | Indispensable |
FAQ
Quand faut-il un contrat de sous-traitance RGPD avec un prestataire tech ?
Il faut un contrat de sous-traitance RGPD dès qu’un prestataire traite des données personnelles pour le compte de la startup, par exemple en développant sur une base de production, en hébergeant un service ou en fournissant du support. Le contrat doit respecter les exigences de l’article 28.
Un contrat de développement logiciel suffit-il pour le RGPD ?
Non, un contrat de développement ne suffit pas s’il ne décrit pas les traitements de données et les obligations de l’article 28. Il peut rester le contrat commercial principal, mais un DPA ou une annexe de sous-traitance doit compléter le dispositif.
Que doit contenir un DPA avec un prestataire tech en 2026 ?
Le DPA doit décrire l’objet, la durée, les finalités, les catégories de données, la confidentialité, la sécurité, les sous-traitants ultérieurs, l’assistance, les audits et la restitution ou suppression des données. Il doit correspondre à la stack réellement utilisée en 2026.
Un prestataire tech peut-il utiliser les données client pour améliorer son service ?
Il ne peut pas réutiliser les données pour une finalité propre sans base juridique et qualification distincte. Le contrat doit dire si l’usage est réalisé sur instruction de la startup ou pour une finalité indépendante du prestataire.
Comment encadrer un sous-traitant situé hors UE ?
Identifiez le pays d’accès ou de stockage, choisissez le mécanisme juridique approprié et documentez les mesures supplémentaires lorsque le risque le justifie. Une clause générale sur la conformité internationale ne suffit pas.
Qui notifie une violation de données personnelles ?
Le prestataire doit alerter la startup sans retard injustifié lorsqu’il constate une violation, puis fournir les informations utiles à l’analyse et aux notifications. La startup reste responsable de décider des démarches envers les personnes et l’autorité, selon son rôle.
Combien de temps conserver les données après la fin d’un contrat tech ?
La durée dépend de la finalité, des sauvegardes et d’une éventuelle obligation légale. Le DPA doit fixer une fenêtre de restitution ou de suppression et préciser comment les copies résiduelles sont traitées.
Une dernière règle à retenir
Le meilleur test d’un contrat de sous-traitance RGPD est la question suivante : une personne extérieure pourrait-elle dessiner le trajet d’une donnée depuis l’utilisateur jusqu’à la suppression, avec les pays, les fournisseurs et les accès administrateur ? Si la réponse est non en 2026, le contrat est trop générique pour une startup tech.
Guides associés
Lina accompagne les fondateurs et entreprises européennes via un réseau de cabinets d’avocats licenciés et propose des prestations juridiques corporate, M&A et venture à forfait fixe.