Définition du DPA
Le DPA, ou accord de traitement des données, est un document légal requis lorsqu'une entreprise engage des fournisseurs pour traiter des données personnelles (telles que celles de clients, de prospects ou d'employés) dans le cadre de ses services.
A l'occasion de la sortie de la version 1.5.2 de Dastra et d'une refonte du générateur de contrat de sous-traitance (DPA), nous avons décidé de vous rédiger un petit guide pas à pas pour vous expliquer comment générer un DPA facilement et en un clin d'œil avec Dastra.
Guide DPA RGPD
Dans un premier temps, voici les changements majeurs que vous retrouvez au programme de cette nouvelle version du générateur de DPA :
- beaucoup d'auto-complétion pour vous faire gagner un maximum de temps (tout en vous laissant la main pour éditer les données si besoin);
- la gestion des sous-traitants ultérieurs;
- la mise à jour du modèle de clauses basé sur les nouveaux modèles proposés par la commission Européenne;
- la possibilité de générer le contrat en Anglais (en passant votre langue d'utilisation en Anglais);
- la gestion de vos DPA en tant que RT ou en tant que ST
La fonctionnalité, initialement localisée au niveau d'une fiche acteur a été relocalisée directement au niveau de l'édition de vos traitements de données (ce qui est plus logique à la lecture du RGPD, car la nécessité de mettre en place un contrat de sous-traitance est propre à une activité de traitement).
Sans plus attendre, le pas à pas accompagné de captures d'écrans pour vous présenter en détails les nouveautés et la marche à suivre pour générer vos contrats en quelques clics.
1- Générer un DPA entre vous et un sous-traitant dans le cadre d'un traitement en tant que responsable de traitement (RT) :
Dans un traitement RT, vous pouvez **générer un DPA **entre l'entité légale effectuant le traitement de données et un destinataire de type sous-traitant. Vous retrouvez l'option "générer un DPA" dans le menu déroulant d'un destinataire de type sous-traitant. A noter qu'il n'est pas possible de générer de DPA avec des destinataires d'un type différent que sous-traitant.
Une fois l'option sélectionnée, la fenêtre d'édition des parties prenantes du DPA s'affiche:
Sur cette fenêtre vous retrouvez les informations sur le responsable de traitement et le sous-traitant. Ces informations sont préremplies avec les informations de votre espace de travail et de votre référentiel.
Dans cet exemple, nous sommes dans un traitement RT effectué par "Entité légale démo". Le responsable de traitement est donc "Entité légale démo". Nous préremplissons pour vous l'adresse complète de l'entité si elle a été renseignée ainsi que la personne à contacter (le DPO de l'entité si il a été renseigné). Si vous n'avez pas renseigné ces champs dans les réglages de votre espace de travail (ou si vous souhaitez modifier les champs), vous pouvez renseigner les informations directement sur cette page (à noter que les changements effectués sur cette page à la volée seront uniquement pris en compte dans le cadre de la génération du DPA, et ne modifieront pas votre référentiel ou les réglages de votre espace de travail de façon permanente).
Dans le cadre de notre exemple (un traitement en tant que RT), le sous traitant (ici un acteur du nom de "mon sous traitant") est le destinataire de type sous-traitant renseigné dans le traitement. De la même manière que pour le responsable de traitement, nous préremplissons les coordonnées du sous-traitant avec les informations renseignées dans la fiche de l'acteur. A noter que tous ces champs sont également modifiables (les changements effectués à la volée n'impacteront pas la fiche de l'acteur).
Dans cet exemple, nous avons utilisé un destinataire de type acteur issu de notre référentiel, mais vous pouvez également sélectionner une unité organisationnelle en tant que destinataire. Le générateur de DPA fonctionnera de la même manière, à la différence que les informations préremplies correspondront aux informations de l'entité sélectionnée et, s'il a été renseigné, de son DPO.
Information importante : si vous sélectionnez une entité organisationnelle de type département, nous préremplirons les informations avec les informations de l'entité juridique parente du département (un département ne pouvant pas lui même être responsable de traitement / sous-traitant).
La gestion des sous-traitants ultérieurs:
Si le destinataire de type sous-traitant sélectionné est un acteur de votre référentiel, et que vous avez renseigné des sous-traitant ultérieurs pour cet acteur, ils vous seront suggérés et vous aurez la possibilité (ou non) de les ajouter à ce contrat de sous-traitance. Voici en image un sous traitant ultérieur renseigné sur la fiche de mon acteur 'sous-traitant':
Et la suggestion de ce sous-traitant ultérieur lorsque vous générez un DPA entre mon unité organisationnelle "Entité légale démo" et le sous-traitant "sous-traitant"
Veuillez noter que les sous-traitants ultérieurs suggérés sont sélectionnés par défaut et que vous pouvez les désélectionner en cliquant sur "Afficher les sous-traitants ultérieurs".
Choisir le format d'export :
Une fois que toutes les informations sur cette page sont correctes, vous n'avez plus qu'à cliquer sur suivant, sélectionner le type de fichier à exporter (.pdf, .html ou .word) et cliquer sur "Générer un dpa".
Quelques secondes plus tard, vous pouvez accéder à votre modèle de contrat de sous-traitance complété avec les parties prenantes, les sous-traitants ultérieurs et toutes les informations relatives au traitement qui doivent figurer dans un DPA en annexe (les personnes concernées par le traitement, les catégories de données à caractère personnel traitées, les données sensibles traitées, la nature et les finalités du traitement).
2- Générer un DPA entre vous et un client dans le cadre d'un traitement en tant que sous-traitant (ST):
Dans un traitement ST, le responsable de traitement est le client, et le sous-traitant est l'entité légale effectuant le traitement. Dans cette configuration, l'option pour générer un DPA RGPD se situe donc dans l'étape clients du traitement (étape 8).
Une fois l'option sélectionnée, en dehors du fait que le RT est le client et le ST est l'entité légale effectuant le traitement, le comportement est le même que celui décris dans le premier cas de figure.
Pour la gestion des sous-traitants ultérieurs, dans le cadre d'un traitement ST, nous prenons en compte les destinataires de type "sous-traitant" renseignés dans le traitement (et non les sous-traitants ultérieurs de l'acteur comme en étape 1).
Générer un DPA RGPD avec Dastra
Voilà, les DPA avec Dastra n'ont plus de secret pour vous et deviennent un jeu d'enfant.
Nous espérons que cette nouvelle fonctionnalité va vous permettre de couvrir toutes les situations dans lesquelles vous avez besoin de rédiger un DPA (et si ce n'est pas le cas, faites nous signe, vos retours sont toujours très précieux pour améliorer nos fonctionnalités).
A très vite pour de nouveaux cas d'usages sur Dastra !