RGPD : où trouver l'accord de sous-traitance (DPA) et les engagements de confidentialité de LWS ?

Procédure

Les engagements de LWS comme sous-traitant au sens du RGPD sont publiés dans deux documents en libre accès sur la page des CGV de LWS, rubrique « Conditions générales » : « Traitement de données à caractère personnel ou DPA » et « Accord de traitement des données (accord DPA) ». Cette aide vous indique où les trouver, ce qu'ils contiennent sur la confidentialité, la localisation et la sécurité des données, et qui contacter pour une question.

Cette aide résume des documents contractuels pour vous aider à vous y retrouver. Seuls les documents eux-mêmes font foi : lisez-les en entier, et faites-vous accompagner par un conseil juridique si votre projet le demande.

Où trouver l'accord de sous-traitance (DPA) de LWS ?

Sur la page des CGV de LWS, la rubrique « Conditions générales » propose en PDF :

• Traitement de données à caractère personnel ou DPA (version du 16 avril 2024) ;
• Accord de traitement des données (accord DPA) (version du 19 avril 2024).

La rubrique « Documents légaux » de la même page propose aussi la Politique de sécurité du système d'information, la Politique de confidentialité et les Informations légales RGPD.

D'après ces documents, le DPA fait partie intégrante du contrat conclu entre LWS et le client, et l'accord DPA précise que le bon de commande ou la création d'un compte vaut acceptation de cet accord. L'accord DPA comporte aussi une partie « Conditions particulières », avec les types de données traitées (dont les données sensibles) et une signature des deux parties.

Qui est responsable de quoi ?

Le DPA est établi conformément à l'article 28 du RGPD :

• pour les données que vous hébergez chez LWS, vous êtes présumé responsable du traitement : c'est vous qui choisissez les données et les personnes concernées ;
• LWS agit comme sous-traitant et traite ces données uniquement sur vos instructions, dans la mesure nécessaire à la fourniture des services.

Le DPA rappelle aussi que vous restez responsable de la sécurité de ce que vous installez et exploitez vous-même sur vos services (sites, logiciels, applications).

Confidentialité des données

Selon le DPA et l'accord DPA :

• les employés de LWS autorisés à traiter les données sont soumis à une obligation de confidentialité et reçoivent une formation à la protection des données personnelles ;
• LWS s'engage à n'accéder à vos données et à ne les utiliser que pour les besoins de l'exécution des services ;
• des engagements de confidentialité sont exigés de tous les collaborateurs et prestataires agissant pour LWS.

Localisation des données et sous-traitants

Le DPA indique que la localisation des données est en France et qu'aucun transfert de données personnelles n'est réalisé par LWS en dehors de l'Union européenne. L'annexe II de l'accord DPA liste les sous-traitants ultérieurs, tous situés en France : LWS SAS et Groupe LWS (entités affiliées), Equinix et Adista (entités tierces).

En cas de changement ou d'ajout d'un sous-traitant ultérieur, le DPA prévoit que LWS vous prévient dans votre interface de gestion ou par e-mail, et que vous disposez de 15 jours pour formuler une objection motivée.

Mesures de sécurité et certification

L'annexe I de l'accord DPA cite notamment le chiffrement des données en transit et lors de leur stockage, le contrôle des accès physiques et logiques aux serveurs, une authentification renforcée, l'isolement des données des différents clients et l'application rapide des correctifs de sécurité publiés par le CERT-FR. Le détail renvoie à la Politique de sécurité du système d'information de LWS.

Le site lws.fr indique « Société et datacentres certifiés ISO 27001 ». Le DPA prévoit que, si un service est certifié, LWS met à disposition les certificats et rapports correspondants sur demande écrite du client.

Héberger des données sensibles

Le DPA vous laisse le choix des services et la responsabilité de ce choix. Si vos traitements présentent un risque élevé, par exemple parce qu'ils portent sur des données sensibles ou de santé, le DPA vous demande de choisir vos services avec précaution et de vérifier qu'ils conviennent au type de données traitées. La Politique de sécurité du système d'information rappelle la même règle : c'est au client, responsable du traitement, de s'assurer que le niveau de service convient à la sensibilité de ses données.

Le DPA prévoit aussi que LWS vous apporte, sur demande écrite, une assistance raisonnable pour une analyse d'impact relative à la protection des données. Les informations non publiées sur le site de LWS sont considérées comme confidentielles, et LWS peut demander la signature d'un accord de confidentialité avant de vous les communiquer.

Contacter LWS pour une question sur vos données

Le DPA prévoit plusieurs moyens de contact :

• un ticket depuis votre espace client (voir comment contacter l'assistance technique de LWS) ;
• le formulaire de contact du site de LWS ;
• un courrier postal à : LWS, DPA - Traitement des données, 10 rue Penthièvre, 75008 Paris (France).

La page Mentions légales & Confidentialité de lws.fr indique aussi un contact RGPD / DPO : rgpd@lws.fr.

Articles associés

• Comment contacter l'assistance technique de LWS ?