Sous-traitant ultérieur

Un sous-traitant ultérieur est mandaté par un sous-traitant, et non directement par le responsable du traitement. L'hébergement dans le cloud, les services de base de données, les fournisseurs d'e-mails, les prestataires de paiement, les plateformes de messagerie et les services d'extraction par IA en sont des exemples typiques pour un produit logiciel. Selon le RGPD, le sous-traitant a besoin de l'autorisation préalable du responsable du traitement, généralement accordée en des termes généraux dans l'accord de traitement des données, avec un droit de s'opposer à tout changement.

Le sous-traitant doit imposer par contrat les mêmes obligations de protection des données à chaque sous-traitant ultérieur et reste pleinement responsable de leur exécution vis-à-vis du responsable du traitement. Lorsqu'un sous-traitant ultérieur est situé hors de l'EEE, un mécanisme de transfert tel que le cadre de protection des données UE-USA ou des clauses contractuelles types est requis. Publier une liste à jour des sous-traitants ultérieurs avec la finalité et la localisation de chaque prestataire, et notifier les changements à l'avance, est la façon reconnue de satisfaire à l'exigence de transparence. Kontevia publie une telle liste et informe les utilisateurs avant d'ajouter un nouveau prestataire.