Accord de traitement des données (DPA)

Dès lors qu'une entreprise fait traiter des données personnelles par un prestataire pour son compte, le RGPD impose un contrat écrit. L'accord de traitement des données définit l'objet, la durée, la nature et la finalité du traitement, les types de données et catégories de personnes concernées, ainsi que les obligations du sous-traitant : n'agir que sur instructions documentées, garantir la confidentialité et la sécurité des données, prêter assistance en cas de demandes des personnes concernées ou de notifications de violation, supprimer ou restituer les données à la fin du contrat, et permettre des audits.

L'accord régit également les sous-traitants ultérieurs : le sous-traitant ne peut y recourir qu'avec l'autorisation générale ou spécifique du responsable du traitement, et doit leur imposer les mêmes obligations. Pour un logiciel de comptabilité, l'utilisateur est le responsable du traitement des données contenues dans ses documents, et l'éditeur du logiciel en est le sous-traitant. Le DPA de Kontevia fait partie de ses conditions générales et répertorie les sous-traitants ultérieurs impliqués dans la fourniture du service.