Fiche de suivi des sous-traitants RGPD : contrôles et justificatifs
Préparez la revue d’un prestataire qui traite des données pour votre compte. Cette fiche organise les questions, preuves et actions à suivre ; elle ne tient pas lieu de contrat de sous-traitance.
Votre modèle à personnaliser
Remplacez les champs entre crochets et supprimez les options inutiles. Le fichier .txt s’ouvre dans un traitement de texte ; vous pourrez ensuite le mettre en page et l’exporter en PDF.
Personnaliser le texte sur cette page
Le texte saisi reste dans cette page et disparaît lorsque vous la quittez ou l’actualisez. Copiez-le ou téléchargez-le pour le conserver.
SUIVI D’UN PRESTATAIRE — DONNÉES PERSONNELLES Organisme client : [nom] Prestataire et contact opérationnel : [nom, coordonnées] Service examiné : [prestation précise] Pilote interne : [fonction] Date / version : [à compléter] 1. QUALIFICATION DU RÔLE Qui décide de la finalité et des moyens essentiels ? [faits observés] Rôle retenu pour cette prestation : [sous-traitant / responsable distinct / responsabilité conjointe / à préciser] Justification et auteur de l’analyse : [à compléter] Traitement(s) concerné(s) dans notre registre : [références] 2. PÉRIMÈTRE Opérations réalisées : [hébergement, assistance…] Personnes et catégories de données concernées : [à préciser] Durée de la prestation : [dates ou critères] Lieux d’hébergement et d’accès : [pays, y compris support à distance] Transferts éventuels et encadrement : [preuves à consulter] 3. CONTRAT ET GARANTIES Contrat / annexe de protection des données : [version, date, emplacement] Instructions documentées : [référence] Engagements de confidentialité et sécurité : [preuve] Sous-traitants ultérieurs : [liste, information et autorisations applicables] Aide pour les droits des personnes : [contact, circuit] Signalement des incidents : [contact, modalités contractuelles] Restitution ou suppression en fin de prestation : [modalités vérifiées] Informations et audits permettant le contrôle : [modalités] 4. DÉCISION ET ACTIONS Point examiné | preuve reçue | écart / question | action | responsable | échéance [répéter] Décision documentée : [retenu / retenu sous conditions / non retenu / analyse en cours] Conditions restant à lever : [à compléter] Revue lors du renouvellement ou d’un changement : [déclencheurs]
Utilisez les instructions et l’exemple ci-dessous pour adapter la trame. Vérifiez son périmètre avant de la réutiliser.
Préparez la revue d’un prestataire qui traite des données pour votre compte. Cette fiche organise les questions, preuves et actions à suivre ; elle ne tient pas lieu de contrat de sous-traitance.
Vérifier le rôle avant le contrat
Un fournisseur n’est pas nécessairement votre sous-traitant pour toutes ses activités. Examinez la prestation précise : traite-t-il les données pour votre compte, ou poursuit-il une finalité qu’il détermine lui-même ? La qualification dépend des faits, pas uniquement du titre d’une clause commerciale.
La CNIL rappelle que la relation avec un sous-traitant doit être encadrée et accompagnée de garanties suffisantes. La fiche aide à vérifier les éléments disponibles ; elle ne transforme pas un questionnaire commercial en preuve de sécurité.
Mode d’emploi en trois passages
Commencez par le périmètre : applications, catégories d’informations et opérations confiées. Rassemblez ensuite les documents effectivement reçus et notez leurs versions. Enfin, inscrivez chaque question ouverte dans le tableau d’actions. Un lien vers une page marketing ne vaut pas, à lui seul, réponse à une question sur l’hébergement ou les accès du support.
Conservez les références des justificatifs dans un espace maîtrisé. Ne recopiez pas dans cette fiche des clés d’accès, des détails permettant une intrusion ou une liste complète de clients.
Exemple : une solution de prise de rendez-vous
Exemple fictif : une entreprise envisage un logiciel de rendez-vous. Le commercial affirme que le service est « hébergé en Europe ». Le pilote demande quels prestataires interviennent, d’où le support peut accéder aux informations et quelles modalités de suppression sont prévues à la résiliation. Il inscrit les réponses documentées, puis sépare les points vérifiés des engagements encore à préciser.
Limites et suivi
La liste n’est pas un contrat prêt à signer. Selon les faits, des analyses supplémentaires peuvent être nécessaires, notamment sur les transferts, les responsabilités conjointes ou des données sensibles. En cas d’incident, utilisez le suivi des violations. Reliez cette fiche au registre du responsable, sans confondre les deux documents.
Sources et mise à jour
Sources consultées le 11 octobre 2026. Modèle original Le Bon Papier, à compléter selon votre traitement ; ce document n’est ni un formulaire officiel de la CNIL ni une certification de conformité.
Préparez la revue d’un prestataire qui traite des données pour votre compte. Cette fiche organise les questions, preuves et actions à suivre ; elle ne tient pa…
Choisissez et documentez le fondement d’un usage précis de données avant de le mettre en place. Cette fiche organise le raisonnement : elle ne permet pas de sélectionner arbitrairement une base pour justifier un fichier déjà constitué.
Suivez l’attribution, l’entretien et les vérifications d’un équipement de protection individuelle. Cette fiche complète les notices et l’organisation de prévention ; elle n’atteste pas à elle seule la conformité de l’équipement ni l’aptitude de la personne à une tâche.
Clarifiez qui décide des usages des données et qui agit sur instructions dans une relation entre entreprises. Cette matrice prépare la qualification des rôles ; elle ne remplace ni l’analyse des faits ni les clauses contractuelles nécessaires.
Cadrer une sous-traitance exige de décrire la mission confiée, ses interfaces et les validations attendues. Cette fiche rassemble les éléments opérationnels avant la rédaction du contrat. Elle ne remplace pas les vérifications légales du donneur d'ordre ni les formalités propres au bâtiment ou aux marchés publics.
Définissez ce qui doit rester confidentiel avant de transmettre des informations à un partenaire. Cette fiche prépare la négociation d'un accord, unilatéral ou réciproque. Elle ne constitue pas un NDA signé et n'accorde aucun droit d'exploitation sur les documents ou inventions partagés.
Rassemblez les véhicules, conducteurs et usages de votre entreprise avant de consulter un assureur flotte. La fiche permet de signaler les différences entre véhicules et les évolutions du parc. Elle ne prouve pas qu'un véhicule est assuré et ne remplace pas les documents contractuels délivrés par l'assureur.