Logiciel de gestion de crèche : le contrat de sous-traitance RGPD

L'application de pointage, de transmissions et de facturation traite des données d'enfants, dont des données de santé. L'éditeur est votre sous-traitant au sens du RGPD, et c'est vous, responsable de traitement, qui répondez de ce qu'il en fait. Le contrat d'abonnement doit contenir les clauses de l'article 28.

• Les clauses obligatoires : objet, durée, nature et finalité du traitement ; traitement sur instruction documentée du gestionnaire uniquement ; confidentialité des personnels ; mesures de sécurité ; conditions de recours à des sous-traitants ultérieurs (hébergeur, outil d'envoi de courriels) ; assistance pour les droits des personnes ; notification des violations ; suppression ou restitution des données en fin de contrat ; droit d'audit.
• L'hébergement : localisation des serveurs et transferts hors Union européenne à identifier. Pour les données de santé (PAI, allergies, traitements), la CNIL recommande un hébergeur certifié données de santé ; vérifiez au minimum le chiffrement et la gestion des accès.
• Les violations : l'éditeur vous notifie sans délai ; c'est vous qui, le cas échéant, déclarez à la CNIL dans les 72 heures et informez les familles. Le contrat doit fixer le délai de notification et le contenu de l'information transmise.
• Vos propres obligations : inscrire le logiciel dans le registre des traitements (article 30), informer les familles de l'usage de l'outil, limiter les accès par profil, et envisager une analyse d'impact compte tenu du traitement de données de mineurs et de santé.
• La sortie : format d'export, délai de restitution, suppression certifiée. Un éditeur qui ne s'engage pas sur la réversibilité tient vos dossiers en otage le jour où vous changez d'outil.