Accords de partage de données dans GDPRWise : envoyer, négocier, accepter

Chaque tiers avec qui vous partagez des données personnelles doit être couvert par un accord qui fixe les rôles, les données et la finalité. GDPRWise rédige cet accord à partir de votre dossier tiers et envoie un lien à l’autre partie. Celle-ci le lit, puis l’accepte, demande des modifications ou le refuse. Vous répondez aux demandes de modification par une nouvelle version, jusqu’à ce qu’une version soit acceptée et enregistrée.

Pourquoi un accord écrit est nécessaire

Lorsqu’un tiers traite des données personnelles pour votre compte, l’article 28, paragraphe 3, du RGPD exige un contrat qui définit l’objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées et les obligations du sous-traitant. L’article 28, paragraphe 9, ajoute que ce contrat doit être écrit, « y compris en format électronique ». Un accord accepté en ligne est donc valable, à condition de pouvoir montrer qui a accepté quel texte et quand.

Lorsque vous partagez des données avec un autre responsable du traitement, le RGPD n’impose pas un contrat de la même manière, mais vous devez pouvoir démontrer que le partage est licite (article 5, paragraphe 2, et article 24). Un accord écrit est le moyen le plus simple d’y parvenir. Le contexte complet se trouve dans Qu’est-ce qu’un accord de sous-traitance ?.

Étape 1 : envoyer la demande

Vous commencez sur l’écran Processus que nous partageons avec d’autres de votre dossier tiers :

1. Ajoutez le processus, vérifiez les données et choisissez ou saisissez le tiers.
2. GDPRWise vous demande si vous voulez d’abord voir un aperçu de la demande. L’aperçu comporte deux onglets, Aperçu de l’e-mail et Aperçu de l’accord : l’e-mail que reçoit le tiers et l’accord lui-même.
3. Cliquez sur Envoyer la demande. L’e-mail part vers le contact vie privée du tiers, avec un lien pour relire l’accord.

Pour les grands fournisseurs comme Microsoft ou Google, l’application affiche d’abord un conseil : ils signent rarement les accords de leurs clients et publient généralement le leur. Vous pouvez choisir Enregistrer plutôt leur DSA pour enregistrer leur accord publié, ou Envoyer quand même. Il en va de même chaque fois que la case J’ai déjà un accord de partage de données en place avec ce tiers s’applique : cochez-la et GDPRWise n’envoie rien.

Après l’envoi, la carte affiche En cours et Lien valable jusqu’au avec une date. Le lien est valable 30 jours. Si l’autre partie n’a pas répondu après 23 jours, GDPRWise lui envoie un e-mail de rappel avec le même lien. S’il expire avant la réponse de l’autre partie, renvoyez la demande ; elle part avec un nouveau lien.

Étape 2 : ce que voit l’autre partie

Le destinataire ouvre le lien et arrive sur une page de relecture. Aucun compte n’est nécessaire. En haut, il lit qui fait la demande et ce que signifient les trois choix, puis le statut, la date d’expiration du lien et la version actuelle de l’accord. Il peut la lire à l’écran ou la télécharger en PDF.

Sous l’accord, dans Votre réponse, le destinataire dispose de quatre options :

• Accepter l’accord (ou Accepter la version 2, Accepter la version 3 dès qu’il existe plusieurs versions). Il saisit son nom complet et sa fonction et coche Je suis autorisé à accepter cet accord pour son entreprise. L’acceptation est définitive.
• Demander des modifications : un message obligatoire qui décrit ce qui doit changer. Il n’est pas possible de joindre un fichier ; le destinataire explique la modification par écrit.
• Refuser : avec une raison, pour que vous sachiez quoi améliorer.
• Envoyer un message : une question ou une remarque sans décision.

Si l’entreprise du destinataire utilise aussi GDPRWise, la demande apparaît sur son écran Processus que d’autres partagent avec nous avec le bouton Ouvrir et répondre. Un destinataire connecté dont la demande n’a pas été liée automatiquement peut choisir Ajouter au dossier de son entreprise sur la page de relecture. La première réponse, via le lien ou dans l’application, l’emporte ; l’autre endroit affiche ensuite le résultat.

Étape 3 : répondre à une demande de modification par une nouvelle version

Lorsque le destinataire demande des modifications, votre carte affiche Modifications demandées et vous recevez un e-mail. Cliquez sur l’icône du document sur la carte pour ouvrir l’accord. À gauche, vous lisez la version actuelle ; à droite se trouvent l’historique et vos actions.

Vous répondez de l’une de trois façons :

• Modifier le texte : vous adaptez le texte dans le navigateur, à partir de la dernière version. Avant l’ouverture de l’éditeur, GDPRWise vous demande de confirmer avec J’en prends la responsabilité : le texte standard est rédigé par GDPRWise, mais dès que vous le modifiez, le texte modifié relève de la responsabilité de votre entreprise. Vous pouvez ajouter une note pour l’autre partie et vérifier vos changements avec Aperçu des modifications avant l’envoi.
• Régénérer à partir du dossier, sous Plus d’actions : GDPRWise construit une nouvelle version à partir de votre dossier actuel, par exemple après une correction des données.
• Envoyer un message, également sous Plus d’actions, lorsqu’une réponse écrite suffit.

Chaque nouvelle version reçoit un numéro et une étiquette : Accord standard pour la version 1, Modifié par votre entreprise, ou Régénéré à partir du dossier. Le destinataire reçoit un e-mail et voit les modifications par rapport à la version précédente. Le texte ajouté est souligné, le texte supprimé est barré. À partir de la version 3, il peut aussi comparer avec l’accord standard (version 1).

Si vous modifiez ensuite le dossier alors qu’une version modifiée est en cours, GDPRWise n’écrase jamais vos modifications en silence. L’application vous demande si vous voulez Conserver le texte modifié ou Régénérer et envoyer.

Étape 4 : le résultat

• Accepté : les deux parties reçoivent une confirmation. Le destinataire reçoit le PDF de la version acceptée. GDPRWise enregistre la version, le nom et la fonction de la personne qui a accepté, l’heure et une empreinte du document. Le fichier accepté reste exactement tel qu’il a été relu.
• Refusé : vous voyez la raison sur la carte. Adaptez le processus ou le texte et envoyez une version améliorée ; la carte indique alors Refusé le une date, version améliorée envoyée.
• Retiré : sous Plus d’actions, vous pouvez Retirer la demande, par exemple si vous ne travaillez plus avec cette partie. Le lien cesse de fonctionner, l’historique reste, et vous pouvez rouvrir l’accord plus tard en envoyant une nouvelle version.
• Expiré : le lien a expiré avant toute réponse. Renvoyez la demande.

Les accords acceptés sont rassemblés dans l’onglet Accords de partage de données sous Documents RGPD.

Conseils pratiques

1. Vérifiez l’adresse e-mail du destinataire avant l’envoi. La demande part vers son contact vie privée ; avec une mauvaise adresse, la carte signale que l’e-mail n’a pas pu être remis.
2. Préférez la régénération à la modification lorsque le changement porte sur des faits de votre dossier, comme les données ou leur lieu de stockage. Corrigez le dossier, puis régénérez ; votre registre et votre politique de confidentialité restent cohérents avec l’accord.
3. Limitez les modifications et expliquez-les dans la note. Le destinataire voit chaque changement, et une courte explication évite un tour supplémentaire.
4. L’autre partie a demandé d’utiliser son propre accord ? Enregistrez son accord au lieu d’envoyer le vôtre, et conservez-en une copie.