DPA

DPA : Contrat de sous-traitance exigé par l’article 28 du RGPD, qui fixe l’objet, la durée, les instructions, la confidentialité, la sécurité et le sort des données en fin de relation.

Cette entrée du glossaire relève de la famille « Juridique et RGPD ». Elle donne la définition, sa traduction en exigences, et les erreurs vues le plus souvent sur des projets réels.

Ce que recouvre DPA, concrètement

DPA appartient au vocabulaire juridique du numérique. Le sens courant du mot et son sens légal ne coïncident pas toujours, ce qui suffit à créer un litige.

Le sujet se présente rarement seul. Il arrive au milieu d’une décision plus large, et c’est à ce moment qu’il faut savoir de quoi on parle.

Comment l’écrire dans un cahier des charges

Dans un cahier des charges, DPA figure au chapitre conformité, avec les traitements de données prévus, leur finalité et leur durée de conservation.

À écrire noir sur blanc, dans le chapitre qui correspond :

• Les sous-traitants utilisés, nommés, avec le pays où sont hébergées les données.
• Les documents publiés : mentions légales, politique de confidentialité, conditions d’utilisation.
• Le niveau d’accessibilité visé, et le texte qui l’impose à votre activité.
• Le sort des données et du code à la fin du contrat.

Le niveau de détail à viser est celui qui permet à deux prestataires différents de chiffrer la même chose. En dessous, les écarts de prix ne veulent rien dire.

Le modèle de cahier des charges du guide reprend ces rubriques dans l’ordre attendu par une agence, et la grille de lecture des devis montre à quoi ressemble un chiffrage comparable.

Comment le vérifier à la recette

Le contrôle de « DPA » intervient avant la mise en ligne. Une boutique peut refuser la publication, et l’autorité de contrôle, elle, intervient après.

• Dérouler le parcours d’exercice des droits, de la demande à la réponse.
• Demander le contrat de sous-traitance prévu par l’article 28, et le lire.
• Vérifier la présence et l’exactitude des mentions légales publiées.

Ces vérifications s’inscrivent au cahier de recette, avec un nom en face de chacune. Une case sans responsable reste vide.

Les pièges à éviter

Les mêmes causes reviennent d’un projet à l’autre, quel que soit le prestataire et quelle que soit la taille du budget.

• Copier la politique de confidentialité d’un autre service sans vérifier les traitements réels.
• Recueillir un consentement noyé dans les conditions d’utilisation, donc inopérant.
• Ignorer où sont hébergées les données chez les prestataires utilisés par l’application.
• Laisser la cession des droits sur le code hors du contrat de développement.
• Employer le mot sans le définir, et laisser chaque partie prenante y mettre son propre sens.

Termes liés

Les entrées du glossaire déjà publiées sur des sujets voisins :

• Recette fonctionnelle
• Consentement
• Suivi entre applications
• Registre des violations
• Vérification de l’âge

Questions fréquentes

Que signifie « DPA » ?

Contrat de sous-traitance exigé par l’article 28 du RGPD, qui fixe l’objet, la durée, les instructions, la confidentialité, la sécurité et le sort des données en fin de relation. Cette définition suffit pour une discussion de cadrage. Pour un contrat, il faut y ajouter ce que le terme recouvre exactement sur votre application.

Que risque-t-on concrètement ?

Un refus de publication par une boutique, une mise en demeure de l’autorité de contrôle, et la remise en cause des données déjà collectées. La régularisation coûte presque toujours plus que la conformité initiale.

Comment savoir si le budget annoncé est cohérent ?

En comparant le périmètre écrit aux fourchettes constatées en France, détaillées poste par poste sur le guide des prix. Un chiffre isolé ne veut rien dire sans le périmètre qui va avec.

Toutes les définitions publiées sont rassemblées dans l’index du glossaire, classées de A à Z et par famille.