Sous-traitants et prestataires techniques

Un SaaS peut reposer sur des prestataires spécialisés pour l’hébergement, le stockage, les sauvegardes, l’email, les SMS, la supervision ou le support. Cette page doit identifier les prestataires qui reçoivent ou peuvent recevoir des données personnelles.

Chaque entrée doit être remplie à partir d’un service réellement utilisé. Il faut distinguer le prestataire contractuel, la région technique, les catégories de données reçues et la finalité exacte du flux.

La liste doit être mise à jour lorsque l’architecture évolue. Les obligations relatives aux sous-traitants ultérieurs doivent être prévues dans l’accord de sous-traitance ou le contrat avec les cabinets lorsque le schéma juridique correspondant est confirmé.

Lors d’un changement d’architecture, il faut vérifier si le nouveau service modifie la localisation des données, les transferts, les conditions contractuelles ou les mesures de sécurité. La page publique et la documentation contractuelle doivent évoluer ensemble.

Avant d’indiquer « hébergé au Maroc » ou « aucune donnée ne sort du Maroc », il faut auditer l’application, la base de données, les fichiers, les sauvegardes, les logs, le monitoring, l’email, les SMS et le support. Un transfert éventuel doit être traité selon les formalités et garanties applicables.

Les références CNDP servent à encadrer la sous-traitance et les transferts éventuels. Cette liste publique ne remplace pas les clauses contractuelles précisant les obligations de chaque partie.

Pour chaque prestataire qui traite des données personnelles, il faut conserver les informations utiles au contrat : objet du service, catégories de données, confidentialité, sécurité, localisation, sous-traitance ultérieure et modalités de fin de service.

La liste publique doit rester cohérente avec l’annexe de sous-traitance remise aux cabinets.