Liste des sous-traitants et avis aux clients

RGPD, article 28, paragraphe 2 (texte officiel sur EUR-Lex ; le même sur le site de la CNIL, lu le 30 octobre 2026) : « Le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d'une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements. »

D'après les lignes directrices 07/2020 du CEPD (version 2.0 du 7 juillet 2021, § 152, page 48 du PDF, lues le 30 octobre 2026), la liste comprend, pour chacun, « la localisation, ce qu'ils feront et la preuve des garanties qui ont été mises en œuvre ».

Ce que vaut chaque texte : le RGPD s'applique tel quel. Les clauses types de la décision d'exécution (UE) 2021/915 (texte officiel, clause 7.7, point a), lu le 1^er novembre 2026) sont un modèle que votre contrat peut reprendre, en tout ou en partie (article 28, paragraphe 6, du RGPD). Les lignes directrices et les avis du CEPD disent comment les autorités de l'Union lisent le texte ; ils n'ont pas force de loi. Le guide du sous-traitant de la CNIL date de septembre 2017, avant les clauses types de 2021.

Il ne dit pas qui est sous-traitant au sens du RGPD : vous tranchez, prestataire par prestataire. Il ne garantit pas que votre liste est complète, ne rédige pas votre accord de sous-traitance, ne juge pas les objections de vos clients et ne donne pas de conseil juridique. La comparaison de l'extérieur ne voit qu'une partie de vos prestataires : sur les listes publiées de 19 éditeurs, l'aperçu en retrouve 46 sur 190, soit 24 % (mesuré le 1er novembre 2026 ; méthode et détail sous l'aperçu), surtout l'hébergement, l'envoi d'e-mails et la mesure d'audience, rarement le support, jamais le paiement. Un avis remis n'est pas un avis lu. Duely ne garde ni ouverture ni clic ; son prestataire d'envoi, Brevo, signale l'ouverture par une image invisible (données personnelles). Chaque jour où votre journal daté bouge, il est déposé hors de Duely auprès de services publics d'horodatage ; ce n'est pas un horodatage qualifié au sens du droit européen (détail dans les conditions générales). Notre responsabilité est limitée au montant que vous nous avez payé au cours des 12 mois précédant le fait en cause (conditions générales, article 6).

RGPD, article 28, paragraphe 2 (autorisation écrite générale)

• Ce qu’il dit : « le sous-traitant informe le responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d’émettre des objections ».
• Ce que fait Duely : un avis daté à chaque contact abonné, pour chaque version qui ajoute ou retire un prestataire, avec la date limite de son groupe, un lien qui enregistre son objection et vous la transmet, un rappel trois jours avant ; date d’effet refusée si elle tombe avant la fin d’un délai.
• Ce qui reste à vous : le délai que prévoient vos contrats ; les bons contacts chez chaque client ; la suite donnée aux objections.

RGPD, article 28, paragraphe 2 (autorisation spécifique)

• Ce qu’il dit : « Le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. ».
• Ce que fait Duely : pour un groupe de clients en autorisation spécifique : l’avis demande l’accord, l’accord ou le refus est enregistré et transmis, « pas d’accord reçu » est dit pour qui ne répond pas.
• Ce qui reste à vous : ce que le texte prévoit dans ce cas : une autorisation écrite préalable ; c’est à vous de voir si vous l’avez avant de confier des données au nouveau prestataire.

CEPD, lignes directrices 07/2020, § 128, note 54

• Ce qu’il dit : « il n’est en revanche pas suffisant […] que le sous-traitant se contente de donner au responsable du traitement un accès généralisé à une liste de sous-traitants ultérieurs […] sans indiquer chaque nouveau sous-traitant ultérieur envisagé ».
• Ce que fait Duely : un avis envoyé pour chaque nouveau prestataire, en plus de la page publique.
• Ce qui reste à vous : le moment où vous annoncez chaque changement, par rapport à sa date d’effet : le service refuse seulement une date d’effet antérieure à la fin d’un délai.

CEPD, lignes directrices 07/2020, § 152 ; avis 22/2024, § 22 (en anglais)

• Ce qu’il dit : pour chacun : « la localisation, ce qu’ils feront et la preuve des garanties qui ont été mises en œuvre » ; l’identité : « name, address, contact person ».
• Ce que fait Duely : un champ pour chacun, sur la page et dans l’avis ; « non indiqué » quand il manque ; avertissement avant l’envoi si la société, l’adresse ou le contact manque, ou si le pays est hors de l’Espace économique européen sans garantie indiquée.
• Ce qui reste à vous : des informations exactes, tirées de vos contrats avec chaque prestataire.

RGPD, article 28, paragraphe 4

• Ce qu’il dit : « le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l’exécution par l’autre sous-traitant de ses obligations ».
• Ce que fait Duely : rien : le service ne contrôle pas vos prestataires.
• Ce qui reste à vous : vos contrats avec vos prestataires.

RGPD, article 30, paragraphe 2

• Ce qu’il dit : le registre du sous-traitant comprend « le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit » (le paragraphe 5 l’écarte sous 250 employés, sauf si le traitement comporte un risque, n’est pas occasionnel ou porte sur des données sensibles ou des condamnations). La lettre vise le ou les sous-traitants qui tiennent le registre ; qu’il recense aussi vos sous-traitants ultérieurs est la lecture du guide du sous-traitant de la CNIL (septembre 2017, p. 9), pas la lettre de l’article.
• Ce que fait Duely : rien de plus que votre liste et son historique : le service ne tient pas ce registre.
• Ce qui reste à vous : votre registre, si vous y êtes tenu.

Pour un éditeur de logiciel en ligne établi dans l'Union européenne qui vend à des entreprises et traite des données pour elles : un logiciel, jusqu'à trois domaines, jusqu'à 500 contacts prévenus. Au-delà, l'abonnement depuis votre page et l'import sont refusés avec un message ; rien n'est facturé en plus.

Vos avis partent de l'adresse de Duely, sous le nom de votre logiciel suivi de « via Duely » ; les réponses de vos clients arrivent à votre adresse. L'envoi depuis une adresse de votre propre domaine n'est pas encore disponible.

Une page tenue à la main sur votre site et les e-mails envoyés vous-même, avec un modèle d'avis gratuit (modèle d'Orbiq, version 1.0 du 3 juillet 2026, lu le 30 octobre 2026) et l'exemple de clauses de la CNIL (Guide du sous-traitant, p. 14). Avec peu de clients et peu de changements dans l'année, cela fait le même travail ; Duely n'apporte alors que la preuve datée, la comparaison quotidienne et la relecture des listes de vos prestataires.

Pour être alerté quand une page change, celle de la liste d'un de vos prestataires par exemple, des outils de surveillance de pages ont une formule gratuite : Visualping (5 pages, 150 vérifications par mois), PageCrawl (6 pages), changedetection.io (8,99 $ par mois hébergé, ou son code publié sur GitHub) ; pages lues le 1er novembre 2026. Ils signalent qu'une page a changé ; ils ne publient pas de liste pour vos clients et ne tiennent ni délai ni objection.

Deux outils laissent aussi vos clients s'abonner à votre page : le bouton gratuit de Visualping (chaque client crée un compte Visualping, puis reçoit un e-mail quand la page change) et la liste de sous-traitants d'UpGuard Trust Exchange (changements regroupés en un e-mail, au plus une fois par semaine, chaque envoi journalisé ; prix de cette fonction non affiché) ; pages lues le 1er novembre 2026. Ni l'un ni l'autre ne donne de date d'effet, de délai par contrat ni de lien d'objection.

Depuis la page « Abonnement » de votre compte : seul module, il court jusqu'à la fin du mois payé ; parmi d'autres, il s'arrête le jour même et la part non utilisée de son mois est déduite de votre facture suivante. Le premier mois est remboursé sur simple demande dans les 14 jours qui suivent son premier paiement. L'adresse de la copie posée sur votre propre domaine reste la vôtre (conditions générales).