1 • Un fournisseur justiciable d’un Etat européen tu choisiras
Le co-contractant doit être une entité juridique de droit européen, c’est l’assurance de disposer d’un recours juridique plus efficace en cas de promesses non tenues ou de difficultés dans l’exécution
2• La vie du contrat tu contrôleras
Le contrat doit comporter une clause qui interdit la cession du contrat par le fournisseur. Si non, à quoi a-t-il servi d’avoir pris le temps de le sélectionner ?
3• La chaîne d’intervenants, tu sauras
La sous-traitance doit être préalablement connue et acceptée par le client
4 • La vie du fournisseur, tu suivras
Une clause par laquelle en changement de majorité ou de contrôle du fournisseur, le client est informé et dispose d’un droit de sortie du contrat sans pénalités.
5 • La localisation physique des données, tu imposeras
Les données à caractère personnel doivent rester dans l’Union européenne ou dans un des 10 Etats qualifiés d’adéquats, notamment la Suisse. Si non, il faut une autorisation de la CNIL.
6 • La sécurité et confidentialité des données personnelles, tu demanderas des mesures
Le client, responsable de traitement dans la réglementation CNIL, a la responsabilité que soient prévues au contrat avec son fournisseur les mesures techniques et organisationnelles spécifiques pour protéger les données personnelles confiées
7 • Les SLA et la clause d’audit, un plus pour toi
Le niveau de services proposé par le fournisseur figure habituellement dans un document à part intitulé le Service Level Agreement. Pour contrôler ce niveau de services promis, le client doit disposer d’un droit d’audit
8 • La fin de contrat, tu prévoiras le sort des données confiées
Il faut prévoir à la fin du contrat que le fournisseur s’engage sans délai à restituer les données ou les détruise
9 • La réversibilité des données, tu auras
En complément de l’obligation précédente, prévoir la procédure de restitution des données (délai, format de restitution, coût etc. ).
10 • Je ne suis qu’un contrat, ces mesures tu exigeras
Tout ce qui précède doit être plus ou moins exigé, en fonction de la criticité des données confiées par le client, de son environnement concurrentiel. Plus les données confiées dans le cadre de la prestation cloud sont critiques, plus le client devra exiger ces mesures.
