Un prestataire peut intervenir sur des équipements, des applications ou des données essentielles. La confiance commerciale doit s’accompagner d’un cadre opérationnel précis : ce qu’il peut faire, avec quels moyens et sous quelle supervision.
Décrire le périmètre utile
Identifiez les systèmes accessibles, les personnes autorisées et les tâches prévues. Lorsque des données personnelles sont traitées pour votre compte, les garanties de sécurité et les engagements de sous-traitance doivent être examinés avec les responsables compétents.
Évaluer les garanties concrètes
La CNIL invite notamment à examiner la protection des données, les habilitations, l’authentification et la traçabilité. Une certification éventuelle ne répond pas à toutes les questions sur votre propre usage du service. Demandez des éléments adaptés au périmètre confié.
Préparer le début et la fin
Exemple fictif : une société de maintenance a besoin d’un accès pendant deux semaines. Précisez l’approbation, le mode de connexion et la date de retrait. Prévoyez aussi le traitement d’une intervention urgente et le signalement d’un incident.
Le regard Aztechnix
Avant la signature, discutez de la restitution des données, du transfert de connaissance et de la révocation des accès. Un contrat qui décrit la prestation mais oublie sa fin peut créer une dépendance difficile à gérer. Une fiche de suivi par prestataire aide à conserver une vision claire des accès encore ouverts et de leur justification.
Source et méthode
CNIL — Gérer la sous-traitance. Source consultée le 1er novembre 2026. Synthèse et recommandations pratiques : Aztechnix. Les mises en situation sont fictives ; elles ne constituent pas des références clients.