Contrat de sous-traitance de données : modèle (Luxembourg)
Mis à jour le 24 août 2026
Ce modèle luxembourgeois de contrat de sous-traitance de données est une équivalence locale, pas une traduction du document américain de Jotform.
Il combine un document remplissable avec les points à vérifier en Luxembourg: rôle des parties, prix, TVA, documents, données personnelles, paiement, signature et limites de la validation interne.
Touchez un champ surligné dans le document ci-dessous et saisissez votre texte directement dedans.Gratuit — sans inscription, sans filigrane
Contrat de sous-traitance de données
- Date:
- Responsable:
- Sous-traitant:
- Rôle:
- Droit applicable:
1. Détails du traitement
Services: . Données: . Personnes concernées: .
2. Instructions
traite les données uniquement selon les instructions documentées: .
3. Sécurité et sous-traitants
Mesures de sécurité: . Incident à notifier dans heures. Sous-traitants ultérieurs: .
4. Transferts et fin
Transferts: . Fin du traitement: .
Responsable
Date:
Sous-traitant
Date:
Contrat de sous-traitance de données: pas un BAA HIPAA
La page américaine de cette famille est un Business Associate Agreement HIPAA. En Luxembourg, ce serait un mauvais document. La version locale est un contrat de sous-traitance de données construit autour du RGPD.
La CNPD précise que le responsable ne peut choisir que des sous-traitants présentant des garanties suffisantes et qu'un contrat doit préciser sécurité, confidentialité et obligations du sous-traitant; les clauses contractuelles types européennes peuvent servir de modèle si les exigences RGPD sont respectées.
Qualification des rôles
Le titre du contrat ne suffit pas. Si le prestataire décide lui-même des finalités et moyens essentiels, il peut être responsable distinct ou conjoint, pas sous-traitant.
Le modèle contient donc un champ de qualification des rôles avant les instructions. Cette étape évite de masquer un partage de responsabilité sous une annexe technique.
Instructions, sécurité et sous-traitants ultérieurs
Les instructions documentées, les mesures techniques et organisationnelles, les accès, journaux, sauvegardes, suppression, chiffrement et notifications d'incident doivent être concrets.
Les sous-traitants ultérieurs, cloud, support, hébergement et analytics doivent être autorisés et soumis à des obligations équivalentes.
Transferts et fin du traitement
Les transferts hors EEE demandent une base distincte: décision d'adéquation, clauses contractuelles types, analyse de transfert ou autre garantie pertinente.
À la fin, le contrat doit prévoir restitution, suppression, conservation légale éventuelle et preuve. L'audit ne peut pas disparaître au moment où la prestation s'arrête.
Les clauses en détail
- Rôles RGPD
- Responsable, sous-traitant ou responsabilité conjointe.
- Traitement
- Objet, durée, nature, finalité, données et personnes concernées.
- Instructions
- Traitement uniquement selon instructions documentées.
- Sécurité
- Mesures techniques et organisationnelles concrètes.
- Sous-traitants ultérieurs
- Autorisation et obligations équivalentes.
- Transferts
- Garanties pour les transferts hors EEE.
- Fin du traitement
- Restitution, suppression, conservation et preuve.
Checklist Luxembourg
Vérifiez ces points avant d'utiliser le modèle en Luxembourg.
Ne pas utiliser HIPAA hors États-Unis
En Luxembourg, le document local est un contrat de sous-traitance de données, pas un Business Associate Agreement.
Qualifier les rôles
La CNPD précise que le responsable ne peut choisir que des sous-traitants présentant des garanties suffisantes et qu'un contrat doit préciser sécurité, confidentialité et obligations du sous-traitant; les clauses contractuelles types européennes peuvent servir de modèle si les exigences RGPD sont respectées.
CNPD sous-traitantsLister instructions et données
Objet, durée, finalité, données et personnes concernées doivent être visibles.
Décrire les mesures de sécurité
Les TOMs doivent être vérifiables: accès, chiffrement, sauvegarde, journalisation, suppression.
Encadrer sous-traitants ultérieurs
Autorisation et obligations équivalentes sont nécessaires.
Vérifier transferts
Les transferts hors EEE demandent une base distincte.
Signer et conserver la preuve
Guichet.lu précise qu'une signature électronique qualifiée équivaut juridiquement à une signature manuscrite; pour certaines démarches administratives luxembourgeoises, les produits LuxTrust ou l'eID luxembourgeoise sont le cadre pratique.
Guichet.lu signature électronique qualifiée
Comment utiliser ce modèle
- Qualifier les rôles. Responsable, sous-traitant ou responsabilité conjointe.
- Décrire le traitement. Services, données, personnes, finalité et durée.
- Ajouter instructions et TOMs. Instructions, sécurité et accès.
- Valider sous-traitants et transferts. Sous-traitants, pays et garanties.
- Régler la fin. Restitution, suppression et preuve.
Questions fréquentes
Est-ce une traduction du modèle américain ?
Non. Le document est réécrit pour Luxembourg; le modèle américain sert seulement de point de départ concurrentiel.
Puis-je le signer tel quel ?
Utilisez-le comme base. Vérifiez prix, rôle, TVA, données, forme, secteur réglementé et éventuel consommateur avant signature.
Pourquoi autant de champs ?
Parce que les litiges naissent souvent de la portée, du prix, des documents, des délais, des données et des preuves, pas du titre du modèle.
Quelle devise utiliser ?
Le modèle utilise EUR. En cas de relation transfrontalière, ajoutez taux de change, banque, taxes et lieu de paiement.
La signature électronique suffit-elle ?
Guichet.lu précise qu'une signature électronique qualifiée équivaut juridiquement à une signature manuscrite; pour certaines démarches administratives luxembourgeoises, les produits LuxTrust ou l'eID luxembourgeoise sont le cadre pratique.
Est-ce un Business Associate Agreement ?
Non. En Luxembourg, c’est un contrat de sous-traitance de données fondé sur le RGPD.
Un prestataire peut-il être responsable du traitement ?
Oui, s’il décide lui-même des finalités et moyens essentiels.
Faut-il des clauses de transfert ?
Oui si des données sortent de l’EEE ou si la chaîne cloud le justifie.
Modèles similaires
Avertissement
Ce modèle pour Luxembourg est une information générale et une aide à la rédaction. Il ne constitue pas un conseil juridique, fiscal, douanier, transport, construction, protection des données, marchés publics ou sectoriel.
