# Qu'est-ce qu'un DPA ? Sous-traitance et KVKK | Corex360

> Le contrat de sous-traitance fixe les règles de l'entreprise qui traite des données personnelles pour une autre. Il documente la sécurité partagée de la KVKK.

Source: https://www.corex360.com/fr/glossaire/contrat-de-sous-traitance-des-donnees
Dernière mise à jour: 2026-09-28

---

[Accueil](https://www.corex360.com/fr) [Glossaire](https://www.corex360.com/fr/glossaire) Contrat de sous-traitance des données (DPA)

Glossaire · Réglementation et données

# Qu'est-ce qu'un contrat de sous-traitance des données (DPA) ?

Le contrat de sous-traitance des données (DPA) est le contrat conclu entre l'entreprise qui traite des données personnelles pour le compte d'un autre et l'entreprise responsable du traitement ; il écrit dans quel but, où et avec quelles mesures les données sont traitées. Il se pose lors de l'achat d'un logiciel cloud, d'un service de paie ou d'un hébergement. Il met par écrit la responsabilité de sécurité partagée prévue par la KVKK.

[Demander une démo](https://www.corex360.com/fr/contact?konu=governance#form)

À quoi il sertComment ça marcheExempleIdées reçuesDans Corex360Souvent confondusQuestions

## Réponse courte

- Le contrat de sous-traitance des données (DPA) est le contrat conclu entre l'entreprise qui traite des données personnelles pour le compte d'un autre et l'entreprise responsable du traitement ; il écrit dans quel but, où et avec quelles mesures les données sont traitées.
- Quand une entreprise confie ses enregistrements clients à un CRM cloud, ses données de paie à un prestataire ou sa messagerie à un hébergeur, les données commencent à être traitées sur le système de quelqu'un d'autre.
- **Souvent confondu avec :** [Responsable du traitement](https://www.corex360.com/fr/glossaire#veri-sorumlusu), [Sous-traitant (données personnelles)](https://www.corex360.com/fr/glossaire#veri-isleyen)

## Pourquoi demander un contrat de sous-traitance des données ?

Quand une entreprise confie ses enregistrements clients à un CRM cloud, ses données de paie à un prestataire ou sa messagerie à un hébergeur, les données commencent à être traitées sur le système de quelqu'un d'autre. Selon la KVKK (loi turque sur la protection des données personnelles), le responsable du traitement dont les données sont traitées par un tiers pour son compte est solidairement responsable avec ce tiers des mesures de sécurité. Le contrat met cette responsabilité partagée par écrit.

Le contrat est le texte auquel on se réfère quand un problème survient. Qui prévient qui et quand en cas de violation, si les données sont restituées ou supprimées à la fin du contrat, et si un sous-traitant peut être utilisé : tout cela est écrit à l'avance.

## Que contient un contrat de sous-traitance des données ?

Le contrat de sous-traitance des données indique quelles données personnelles sont traitées, dans quel but et pour quelle durée, et précise que le sous-traitant n'agit que sur instruction du responsable du traitement. Le contrat couvre aussi les mesures comme le contrôle d'accès, le chiffrement, la sauvegarde et le journal des accès, le délai et la forme de la notification d'une violation, le pays où les données sont conservées, et la restitution ou la suppression des données à la fin du contrat.

- **Objet et finalité** Quelles données personnelles sont traitées, dans quel but et pour quelle durée.

- **Instruction** Que le sous-traitant n'agira que sur instruction du responsable du traitement.

- **Mesures de sécurité** Mesures techniques et organisationnelles comme le contrôle d'accès, le chiffrement, la sauvegarde et le journal des accès.

- **Notification de violation** Dans quel délai et de quelle manière le responsable du traitement est prévenu lorsqu'une violation est détectée.

- **Lieu et transfert** Dans quel pays les données sont conservées ; en cas de transfert à l'étranger, sur quel fondement.

- **Résiliation** La restitution ou la suppression des données à la fin du contrat, et la façon de le documenter.

## Un exemple

Une clinique privée décide de transférer les rendez-vous de ses patients vers un logiciel cloud. Lors de l'achat, elle demande à l'éditeur un contrat de sous-traitance des données et regarde en particulier dans quel pays se trouvent les données, si les sauvegardes sont chiffrées et comment les données seront remises à la fin du contrat. Comme les réponses sont écrites dans le contrat, la clinique peut montrer par quel document elle remplit ses obligations.

## Quelles idées reçues sur la KVKK et le traitement des données sont répandues ?

À l'achat d'un logiciel en nuage, deux croyances sur la KVKK reviennent souvent : les données devraient toujours rester en Turquie, et la signature du contrat transférerait toute la responsabilité au fournisseur. Chaque point donne la croyance courante, ce que dit la KVKK et le lien vers mevzuat.gov.tr ; pour les règles propres à votre secteur, interrogez votre conseil.

- **Idée reçue :** La KVKK impose dans tous les cas de conserver les données en Turquie.

**En réalité :** La KVKK soumet le transfert à l'étranger à des conditions : il est possible si l'une des conditions de traitement est remplie et qu'une décision d'adéquation existe pour le pays destinataire ; à défaut de décision, l'une des garanties appropriées énumérées par la Loi est requise (KVKK, art. 9). Certains secteurs soumis à une réglementation particulière peuvent en outre avoir une règle de conservation dans le pays. [KVKK, art. 9](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5)

- **Idée reçue :** Une fois le contrat de traitement des données signé, toute la responsabilité de la sécurité passe à l'éditeur du logiciel.

**En réalité :** Même si les données sont traitées par un tiers, le responsable du traitement est conjointement responsable avec lui de la prise des mesures de sécurité (KVKK, art. 12, al. 2). Le contrat écrit cette responsabilité commune ; il ne la supprime pas. [KVKK, art. 12](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5)

Cette page est une information générale, pas un avis juridique ; la réglementation a été vérifiée pour la dernière fois le 25 septembre 2026. **Texte officiel :** [Loi sur la protection des données personnelles (mevzuat.gov.tr)](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5), [Autorité turque de protection des données personnelles (kvkk.gov.tr)](https://www.kvkk.gov.tr)

## À quoi cela ressemble dans Corex360

Corex360 fonctionne de deux façons : dans un espace réservé à votre entreprise sur Corex360 Cloud, ou sur [votre propre serveur](https://www.corex360.com/fr/solutions/sur-votre-serveur) ; le choix est inscrit au contrat. Chaque connexion, chaque appareil et chaque accès sont journalisés. Les données personnelles sont traitées dans le cadre de la KVKK (loi turque sur la protection des données personnelles).

[Sécurité et hébergement](https://www.corex360.com/fr/securite)[KVKK : cloud ou serveur propre](https://www.corex360.com/fr/blog/kvkk-cloud-ou-serveur-interne)

## Termes souvent confondus

| [Responsable du traitement](https://www.corex360.com/fr/glossaire#veri-sorumlusu) | Le responsable du traitement est la partie qui décide pourquoi et comment les données sont traitées ; c'est le plus souvent l'entreprise qui achète le logiciel. Le contrat écrit ses instructions. |

| [Sous-traitant (données personnelles)](https://www.corex360.com/fr/glossaire#veri-isleyen) | Le sous-traitant est la partie qui traite les données pour le compte du responsable du traitement et sur ses instructions ; l'éditeur d'un logiciel cloud en est l'exemple type. La plupart des obligations du contrat pèsent sur lui. |

**Termes associés :** [Sous-traitant (données personnelles)](https://www.corex360.com/fr/glossaire#veri-isleyen), [Responsable du traitement](https://www.corex360.com/fr/glossaire#veri-sorumlusu), [VERBİS (registre des responsables du traitement)](https://www.corex360.com/fr/glossaire/verbis-registre-des-responsables-de-traitement)

## Questions fréquentes

### La KVKK rend-elle obligatoire le contrat de sous-traitance des données ?

La KVKK n'impose pas de contrat sous ce nom. Mais comme le responsable du traitement est responsable des mesures de sécurité avec celui qui traite les données pour son compte, fixer ces mesures dans un contrat écrit est la voie la plus courante en pratique. Dans l'Union européenne, le RGPD exige explicitement ce contrat.

### Dans un contrat de sous-traitance des données, l'éditeur du logiciel cloud est-il responsable du traitement ?

Le plus souvent, non. Comme il traite les données pour le compte de son client, il est sous-traitant. Pour les données qu'il traite pour ses propres besoins, par exemple les informations de facturation de ses clients, il est en revanche responsable du traitement.

### Que deviennent les données à la fin du contrat de sous-traitance ?

Selon ce que prévoit le contrat, les données sont restituées au responsable du traitement, supprimées, ou les deux. La façon de documenter la suppression doit aussi figurer dans le contrat.

[Glossaire des logiciels de gestion](https://www.corex360.com/fr/glossaire)

## Questions liées

**[Saisit-on dans VERBİS les données des personnes elles-mêmes ?](https://www.corex360.com/fr/glossaire/verbis-registre-des-responsables-de-traitement#sss)**
Non. Le registre reçoit les finalités, les catégories de personnes, les catégories de données, les catégories de destinataires, les transferts à l'étranger, les mesures de sécurité et la durée maximale de conservation (KVKK, art. 16, al. 3). Le nom ou le téléphone d'un client n'y est pas inscrit.

Cette page vous a-t-elle été utile ?