Votre contrat de prestation
cache-t-il une faille RGPD ?

Un contrat de prestation de services, un contrat SaaS, un contrat de partenariat commercial : dès qu'une partie traite des données à caractère personnel pour le compte d'une autre — hébergement, facturation, gestion de la relation client, envoi d'emails — le Règlement Général sur la Protection des Données s'applique, même si aucune des parties n'est un « acteur de la tech ». L'article 28 du RGPD impose alors qu'un contrat écrit encadre précisément ce traitement : l'absence ou l'insuffisance de cette clause constitue en elle-même un manquement, indépendamment de toute violation de données effective.

Le problème est rarement l'absence totale de mention RGPD — la plupart des contrats contiennent aujourd'hui un paragraphe générique du type « les parties s'engagent à respecter la réglementation applicable en matière de protection des données ». Ce type de formule est juridiquement insuffisant : elle ne précise ni l'objet, ni la nature, ni la finalité du traitement, ni les catégories de données et de personnes concernées — éléments pourtant expressément exigés par l'article 28.3 du RGPD.

Trois failles reviennent systématiquement dans les contrats analysés par les équipes juridiques :

1. L'absence de clause de sous-traitance ultérieure — le contrat ne prévoit aucune autorisation ni encadrement du recours à un sous-traitant de second rang.
2. Le silence sur les transferts hors Union européenne — aucune référence aux clauses contractuelles types de la Commission européenne ni aux garanties appropriées exigées par le chapitre V du RGPD.
3. L'absence de durée de conservation et de clause de sort des données — le contrat ne précise pas ce qu'il advient des données à l'expiration ou à la résiliation (suppression, restitution, délai).

Pour les entreprises opérant également au Maroc, la conformité ne s'arrête pas au RGPD : la loi 09-08, contrôlée par la CNDP, impose des obligations proches — consentement, finalité déterminée, sécurité des traitements — et encadre spécifiquement les transferts de données hors du territoire marocain. Un contrat de prestation entre une société française et un prestataire marocain doit donc, dans de nombreux cas, satisfaire simultanément le RGPD et la loi 09-08.

C'est précisément sur ce type de faille contractuelle qu'Omniscient by Westfield apporte une valeur différenciante. L'outil analyse le contrat clause par clause, identifie les manquements à l'article 28, les transferts non encadrés et les durées de conservation absentes, puis génère une contre-proposition rédigée — conforme au RGPD et, le cas échéant, à la loi 09-08 — prête à insérer directement en Track Changes. Comme pour l'analyse des contrats en droit civil, la juridiction applicable est détectée automatiquement, garantissant que la clause proposée cite les bons textes de référence.

Cette approche complète utilement une simple relecture manuelle : un juriste pressé par le temps peut facilement laisser passer une clause de sous-traitance incomplète noyée dans un contrat de vingt pages, alors que l'analyse automatisée signale systématiquement chaque manquement à l'article 28, quelle que soit la longueur du document.