Contrats et données

Projet confidentiel : que demander sur les sous-traitants ?

Pour qui : Un portefeuille sensible contient noms, disponibilités et initiatives qui ne doivent pas circuler librement.

Sources officielles relues le 6 novembre 2026 ; analyse éditoriale, aucun contrat fournisseur ni dossier salarié examiné.

Notre avis

Demandez les responsabilités, instructions et accès effectifs avant de confier le portefeuille. Nous préférons un périmètre vérifiable à une affirmation générale de conformité. Un badge ou une certification peut éclairer la décision ; son intitulé ne prouve pas la couverture de votre édition, de vos prestataires et de vos données.

Dans l’ordre

  1. Décrire les données et traitements
  2. Identifier les prestataires et instructions
  3. Vérifier les garanties du périmètre retenu

Pourquoi

  • La chaîne de sous-traitance peut dépasser le fournisseur direct.
  • Une garantie hors du périmètre acheté ne résout pas le risque.

Ce qui change le choix

Si le scénario n’utilise que des données fictives et aucune donnée personnelle, le cadre du traitement réel reste à examiner avant la mise en service ; ne confondez pas les deux étapes.

Le responsable doit pouvoir comprendre qui fait quoi

La CNIL recommande de considérer toute la chaîne de sous-traitance et de vérifier le périmètre des certifications invoquées. L’article 28 prévoit des instructions documentées, des obligations de confidentialité et des règles sur le recours à d’autres sous-traitants. Nous ne déduisons pas qu’un fournisseur est conforme parce qu’il publie une page dédiée.

Pour votre planning, décrivez les noms, rôles, absences et titres de projets que vous comptez transmettre. Évitez d’ajouter des informations sensibles si elles n’aident pas la décision de capacité. Un alias ou un rôle peut suffire dans certains scénarios, sans être présenté automatiquement comme une anonymisation juridique.

Une demande courte, adaptée à la décision

Faites identifier l’entité contractante, les sous-traitants pertinents, leur rôle, les accès et les documents qui encadrent le traitement. Demandez comment les changements et incidents sont portés à votre connaissance. Cette liste sert à recevoir une réponse, pas à certifier vous-même toute une chaîne technique.

Nous retiendrions l’offre dont le périmètre est compréhensible et contrôlable par le responsable des données. Si les réponses restent vagues, faites qualifier le manque avant d’importer le vrai portefeuille. La démonstration peut continuer avec des données fictives pendant cette clarification.

Limites

Aucun audit fournisseur, certification vérifiée ou contrat réel examiné. Les garanties doivent être vérifiées sur le service, l’édition et les traitements retenus.

Prochaine action

Demandez une réponse sur la chaîne et les accès de l’édition proposée avant de transmettre un portefeuille nominatif réel.

Preuves et sources

Ce qui relève d’un fait lu, d’une déclaration, de notre calcul, de notre méthode ou de notre avis. Notre méthode