Faut-il l'accord du client final pour changer d'hébergeur ?

Oui. Un sous-traitant ne recrute pas d'autre sous-traitant sans autorisation écrite préalable, spécifique ou générale. Si elle est générale, le client doit être informé du changement prévu et pouvoir s'y opposer.

Le client doit-il lire tous les contrats de la chaîne ?

Pas systématiquement, selon l'avis 22/2024 du CEPD : il décide au cas par cas s'il en a besoin pour démontrer sa conformité. En revanche, il doit connaître à tout moment l'identité de tous les sous-traitants.

Sous-traitant ultérieur RGPD : la chaîne d'un assistant IA

Un sous-traitant ultérieur est le prestataire qu'un sous-traitant engage pour traiter une partie des données de son client. Dans une revente d'assistant IA, si vous êtes sous-traitant de votre client, l'éditeur de la plateforme est votre sous-traitant ultérieur ; l'hébergeur de l'éditeur ou le fournisseur du modèle de langage peuvent l'être à leur tour. Le RGPD (règlement général sur la protection des données) pose trois règles : chaque ajout demande l'autorisation écrite du client final, les mêmes obligations descendent à chaque étage, et chacun répond de ceux qu'il engage.

À quoi ressemble la chaîne

Un schéma fréquent, à vérifier pour votre plateforme :

Le client du partenaire : responsable de traitement.
Le partenaire : sous-traitant.
L'éditeur de la plateforme : sous-traitant ultérieur.
Les prestataires de l'éditeur : hébergeur, fournisseur du modèle de langage qui génère les réponses, outil d'envoi de courriels, outil de supervision… Ce sont aussi des sous-traitants ultérieurs, d'un rang plus éloigné.

Le Comité européen de la protection des données (CEPD) définit le sous-traitant ultérieur comme celui qui agit sous les instructions du sous-traitant. Il ne peut être désigné que si le responsable l'autorise par écrit, avec un contrat qui offre la même protection que celui passé entre le responsable et le premier sous-traitant.

Ce que dit l'article 28

Paragraphe 2 : le sous-traitant ne recrute pas un autre sous-traitant « sans l'autorisation écrite préalable, spécifique ou générale » du responsable. Si l'autorisation est générale, il l'informe de tout ajout ou remplacement prévu, pour qu'il puisse s'y opposer.
Paragraphe 4 : le sous-traitant ultérieur reçoit les mêmes obligations de protection des données. Si celui-ci ne les remplit pas, le premier sous-traitant reste « pleinement responsable » devant le responsable.

Le guide du sous-traitant de la CNIL (Commission nationale de l'informatique et des libertés) le formule ainsi pour vous : si le sous-traitant que vous recrutez manque à ses obligations, vous en répondez devant votre client.

Autorisation spécifique ou générale

Forme	Fonctionnement	Conséquence dans une revente
Spécifique	Le client approuve nommément chaque sous-traitant	Chaque changement chez l'éditeur demande un nouvel accord de chacun de vos clients
Générale	Le client accepte le principe ; il est informé de chaque changement et peut s'opposer	L'information doit descendre de l'éditeur à vous, puis de vous à chaque client, à temps pour qu'il puisse réagir

Avec plusieurs dizaines de clients, la forme générale est plus praticable, à une condition : un circuit d'information qui marche. Si l'éditeur vous prévient la veille d'un changement d'hébergeur, vos clients n'ont aucun moyen réel de s'y opposer.

Ce que le CEPD a précisé en 2024

Dans son avis 22/2024, adopté le 09/10/2024, le CEPD a répondu à plusieurs questions sur les chaînes de sous-traitance :

le responsable doit avoir à tout moment l'identité (nom, adresse, personne de contact) de tous les sous-traitants et sous-traitants ultérieurs, quel que soit le risque du traitement ;
le sous-traitant doit lui fournir ces informations de lui-même et les tenir à jour ;
le responsable doit vérifier que les sous-traitants présentent des garanties suffisantes, quel que soit le risque ; l'étendue de cette vérification, elle, varie avec le risque ;
la décision d'engager un sous-traitant ultérieur, et la responsabilité qui va avec, reste au responsable ; il peut s'appuyer sur les informations que lui transmet le sous-traitant ;
le responsable n'a pas l'obligation de demander systématiquement les contrats de sous-traitance ultérieure : il apprécie au cas par cas.

Pour un partenaire, la conséquence est concrète : vous devez pouvoir remettre à chaque client la liste complète de la chaîne, et donc l'obtenir de l'éditeur avant de vendre.

Le tableau à tenir

Sous-traitant	Rang	Ce qu'il fait	Lieu de traitement	Encadrement si hors Union	Date d'information du client
Éditeur de la plateforme	1 (votre sous-traitant)	Exécute l'assistant, conserve les conversations	À demander	À demander	À la signature
Hébergeur de l'éditeur	2	Héberge les serveurs	À demander	À demander	À la signature
Fournisseur du modèle de langage	2	Génère les réponses	À demander	À demander	À la signature

Ce tableau est un modèle à remplir avec les informations de votre éditeur. Il nourrit aussi votre registre de sous-traitant et la cartographie des transferts.

Quand un maillon change

L'éditeur vous annonce l'ajout ou le remplacement d'un prestataire.
Vous vérifiez ce que cela change : lieu de traitement, transfert hors de l'Union européenne, type de données.
Vous informez chaque client concerné, dans le délai prévu au contrat.
Le client peut s'opposer ; le contrat doit dire ce qui se passe alors.
Vous mettez à jour le tableau, le registre et, si besoin, la mention d'information de vos clients.

Le détail des clauses relève de votre contrat de sous-traitance ; cette page se limite à la logique de la chaîne. Pour votre montage, faites valider les clauses et le circuit d'information par un avocat ou un délégué à la protection des données (DPO).