Modèle de contrat de sous-traitance (art. 9 LPD, art. 28 RGPD)
- art. 9 LPD
- art. 28 RGPD
- Environ 40 minutes
- Italiano · Deutsch · Français · English
En bref
Le contrat que vous signez avec chaque fournisseur qui traite des données personnelles pour votre compte, par exemple pour l'hébergement ou les salaires. Il fixe ce que le fournisseur peut faire des données, comment il les protège et ce qui se passe à la fin.
- Pour qui
- Le fournisseur. Vous le signez tous les deux; il vaut avec le contrat de service.
- À décider avant
- Qui est le fournisseur et quel service il fournit; dans les trois annexes, vous décrivez les données confiées, les mesures de sécurité et les sous-traitants ultérieurs autorisés.
- Ensuite
- Faites-le signer par le fournisseur, chargez la copie signée et reliez-le à sa fiche dans la liste des fournisseurs.
Ce qu'il contient
- 1Préambule
- 2Objet et définitions
- 3Instructions du Responsable du traitement
- 4Confidentialité
- 5Sécurité des données
- 6Sous-traitants ultérieurs
- 7Lieu du traitement et transferts à l'étranger
- 8Assistance au Responsable du traitement
- 9Violations de la sécurité des données
- 10Contrôles et audits
- 11Restitution et effacement des données
- 12Responsabilité
- 13Durée et fin du contrat
- 14Dispositions finales
- 15Signatures
- 16Annexe 1 – Description du traitement
- 17Annexe 2 – Mesures techniques et organisationnelles
- 18Annexe 3 – Sous-traitants ultérieurs autorisés
Un extrait
Préambule
Le Sous-traitant fournit au Responsable du traitement le service suivant (ci-après le « Contrat principal ») : __________.
Pour fournir le service, le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement. Le Responsable du traitement détermine les finalités et les moyens du traitement ; le Sous-traitant n'agit que sur son mandat.
Le présent contrat règle la sous-traitance au sens de l'art. 9 de la loi fédérale sur la protection des données (LPD).
Le présent contrat contient les éléments exigés par l'art. 28 par. 3 du règlement (UE) 2016/679 (RGPD).
1. Objet et définitions
1.1 Le contrat fixe les obligations des Parties pour le traitement des données personnelles que le Sous-traitant effectue pour le compte du Responsable du traitement. L'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées sont décrits dans l'annexe 1.
Le texte complet se génère sur la plateforme, avec les données de votre organisation déjà insérées.
LPD et RGPD comparés
| LPD (Suisse) | RGPD (UE) | |
|---|---|---|
| Forme | Contrat ou loi ; la LPD ne prescrit pas de contenu minimal (art. 9, al. 1) | Contrat ou autre acte juridique, par écrit, y compris sous forme électronique (art. 28, par. 3 et 9) |
| Contenu | Le sous-traitant ne traite les données que comme le responsable du traitement pourrait le faire et en garantit la sécurité (art. 9, al. 1-2) | Liste obligatoire : objet, durée, nature, finalité, types de données, instructions, confidentialité, sécurité, assistance, effacement, audits (art. 28, par. 3) |
| Sous-traitants ultérieurs | Seulement avec l'autorisation préalable du responsable du traitement (art. 9, al. 3) | Autorisation écrite, spécifique ou générale avec droit de s'y opposer (art. 28, par. 2 et 4) |
Le modèle s'adapte : il choisit les paragraphes selon les lois qui s'appliquent à votre organisation.
Modèles liés
- Modèle d'engagement de confidentialité et d'instructions pour les collaborateurs
- Modèle de mesures techniques et organisationnelles de sécurité (TOM)
- Modèle de politique BYOD sur l'utilisation d'appareils privés au travail
Question liée: Faut-il un contrat avec les fournisseurs qui traitent des données pour nous ?
Un modèle est une information générale, pas un conseil sur votre cas : il doit être adapté à votre organisation. Pour une question sur votre cas, il y a le conseil d'Advisorn. Par Advisorn, mis à jour le 20 octobre 2026.