[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:fr:transferts-internationaux-rgpd-pour-une-entreprise-de-logiciels-les-17-decisions-d-adequation-les-quatre-modules-des-cct-ce-qu-un-sous-traitant-americain-britannique-ou-indien-exige-et-une-page-qui-choisit-le-mecanisme":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"fr","transferts-internationaux-rgpd-pour-une-entreprise-de-logiciels-les-17-decisions-d-adequation-les-quatre-modules-des-cct-ce-qu-un-sous-traitant-americain-britannique-ou-indien-exige-et-une-page-qui-choisit-le-mecanisme","Transferts internationaux RGPD pour une entreprise de logiciels : les 17 décisions d'adéquation, les quatre modules des CCT, ce qu'un sous-traitant américain, britannique ou indien exige, et une page qui choisit le mécanisme","Chaque hébergeur, service de support, outil d'analyse et service de paie hors de l'EEE est un transfert au titre du chapitre V. La liste des décisions d'adéquation de la Commission, lue le 12 septembre 2026, compte 17 entrées : 16 pays et territoires, d'Andorre à l'Uruguay, et l'Organisation européenne des brevets, avec le Royaume-Uni renouvelé en décembre 2025, le Brésil ajouté en janvier 2026, et les États-Unis couverts seulement pour les entreprises certifiées au titre du Data Privacy Framework. Tout le reste exige les clauses contractuelles types de la décision (UE) 2021\u002F914, dont les quatre modules suivent les rôles de l'exportateur et de l'importateur, avec l'évaluation du droit local de la clause 14 avant le premier transfert ; les dérogations de l'article 49 sont pour l'occasion unique, jamais pour un produit en usage. Lu au regard du catalogue, avec une page gratuite qui choisit le mécanisme et le rédige.","2026-09-12",{"who":10,"when":11,"do":12},"Une entreprise de logiciels établie dans l'Union qui envoie des données à caractère personnel hors de l'EEE : ses propres données clients vers un CRM, les données de ses clients vers un hébergeur, un support ou un fournisseur d'IA, les données de son personnel vers un outil de paie ou de RH ; responsable du traitement pour les premières et sous-traitant pour les secondes, et les clients qui demandent, dans les clauses de sous-traitance, où vont les données.","Dès le premier transfert ; la liste d'adéquation est un instantané du 12 septembre 2026, et la Commission réexamine et renouvelle ses décisions, si bien que le mécanisme sur lequel repose un destinataire est relu quand la liste change ; les clauses de la décision (UE) 2021\u002F914 sont les seules clauses de la Commission depuis l'expiration des anciens jeux en décembre 2022.","Listez chaque destinataire hors de l'EEE au registre des traitements avec son pays ; pour chacun, la décision d'adéquation qui le porte ou le module des CCT signé avec ses annexes et l'évaluation de la clause 14 ; demandez à un importateur américain sa certification au Data Privacy Framework et à un importateur britannique ou japonais rien de plus ; la page gratuite choisit le mécanisme à partir de la destination et des deux rôles.","\nLe chapitre V du règlement est la partie qu'une entreprise de logiciels rencontre le jour où elle s'inscrit à une région d'hébergement, un service de support ou un outil d'analyse exploité hors de l'Espace économique européen. L'article 44 pose le principe : un transfert de données à caractère personnel vers un pays tiers ou une organisation internationale n'a lieu que si les conditions du chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs, et toutes ses dispositions sont appliquées de manière que le niveau de protection garanti par le règlement ne soit pas compromis. Cet article lit le chapitre au regard du [catalogue](\u002Fgdpr\u002Fduties) que StandardOS tient du règlement et de la propre liste des décisions d'adéquation de la Commission, avec la [page gratuite](\u002Fgdpr\u002Ftransfers) qui choisit le mécanisme à partir de la destination et des deux rôles.\n\n## Première question : est-ce un transfert\n\nUn destinataire dans l'un des 27 États membres, ou en Islande, au Liechtenstein ou en Norvège, n'est pas dans un pays tiers : le règlement s'y applique directement, par les traités et par l'accord EEE, et le chapitre V n'est pas engagé. Le registre des traitements nomme toujours le destinataire (article 30, paragraphe 1, point d)), mais aucun mécanisme n'est nécessaire. Tout ce qui est hors de ces 30 États est un pays tiers, que le destinataire soit ou non une entreprise connue, que les données soient ou non chiffrées en transit, et que le destinataire se dise ou non conforme au RGPD. La question est tranchée par le pays de l'établissement qui traite les données, pas par le drapeau sur le site de l'importateur.\n\n## Deuxième question : y a-t-il une décision d'adéquation\n\nL'article 45, paragraphe 1, permet qu'un transfert vers un pays dont la Commission a décidé qu'il assure un niveau de protection adéquat ait lieu sans autorisation spécifique. La page de la Commission sur l'adéquation des pays hors UE, lue le 12 septembre 2026, dit qu'elle en a reconnu jusqu'ici 17 : Andorre, l'Argentine, le Brésil, le Canada, les îles Féroé, Guernesey, Israël, l'île de Man, le Japon, Jersey, la Nouvelle-Zélande, la République de Corée, la Suisse, le Royaume-Uni, les États-Unis, l'Uruguay et l'Organisation européenne des brevets. Onze d'entre elles ont été adoptées au titre de la directive 95\u002F46\u002FCE et réexaminées par le rapport de la Commission du 15 janvier 2024 ; les autres au titre de l'article 45, les actes les plus récents que la page liste étant la décision pour le Brésil du 26 janvier 2026, le renouvellement de la décision pour le Royaume-Uni le 19 décembre 2025, la décision pour l'Organisation européenne des brevets du 15 juillet 2025 et le premier réexamen de la décision pour la République de Corée le 23 juillet 2026. Deux décisions ont un champ qu'une entreprise de logiciels doit vérifier : celle du Canada couvre les organisations commerciales, et celle des États-Unis ne couvre que les organisations commerciales participant au cadre de protection des données UE-États-Unis, si bien qu'un importateur américain est adéquat s'il est certifié et un importateur de pays tiers comme un autre s'il ne l'est pas. La page tient cette liste comme des données, avec la date de lecture, et l'[outil des transferts](\u002Fgdpr\u002Ftransfers) pose la question du champ là où une décision en a un.\n\n## Troisième question : quelle garantie, et quel module\n\nSans décision, l'article 46, paragraphe 1, exige des garanties appropriées qui donnent aux personnes concernées des droits opposables et des voies de droit effectives, et l'article 46, paragraphe 2, en énumère six qui n'exigent aucune autorisation spécifique : un instrument juridiquement contraignant entre autorités publiques, des règles d'entreprise contraignantes, des clauses types de protection des données adoptées par la Commission, des clauses adoptées par une autorité de contrôle et approuvées par la Commission, un code de conduite approuvé et une certification approuvée. Pour une entreprise de logiciels, la réponse est la troisième : les clauses contractuelles types de la décision d'exécution (UE) 2021\u002F914 de la Commission du 4 juin 2021, dont l'annexe comporte quatre modules selon les rôles des parties. Le module un est responsable vers responsable, l'entreprise qui envoie ses propres données clients à un partenaire qui décide de leur usage ; le module deux est responsable vers sous-traitant, l'entreprise qui envoie ses propres données à un CRM, une paie ou un fournisseur de messagerie ; le module trois est sous-traitant vers sous-traitant, l'entreprise qui envoie les données de ses clients à son sous-traitant ultérieur d'hébergement, de support ou d'IA ; le module quatre est sous-traitant vers responsable, le cas rare d'un sous-traitant qui renvoie des données à un responsable hors UE. Signer le module n'est pas toute la garantie : la clause 14 exige que les parties aient évalué, avant le transfert, si les lois et pratiques du pays de l'importateur l'empêchent de respecter les clauses, ce qui est l'évaluation que la Cour de justice a exigée dans Schrems II, et la clause 15 fixe les obligations de l'importateur quand une autorité publique demande les données. L'évaluation est documentée et conservée pour l'autorité de contrôle. Les règles d'entreprise contraignantes de l'article 47 sont pour un groupe d'entreprises et supposent l'approbation d'une autorité ; un code ou une certification n'aide que là où il en existe pour l'importateur.\n\n## Quatrième question : est-ce une situation particulière\n\nL'article 49, paragraphe 1, permet un transfert sans adéquation ni garanties à l'une de sept conditions : le consentement explicite après information des risques, l'exécution d'un contrat avec la personne concernée, un contrat dans l'intérêt de la personne concernée, des motifs importants d'intérêt public, des droits en justice, des intérêts vitaux, ou un registre public. Son deuxième alinéa ajoute le transfert nécessaire à des intérêts légitimes impérieux, qui ne doit pas être répétitif, ne toucher qu'un nombre limité de personnes concernées, être évalué et documenté, et être notifié à l'autorité de contrôle. Rien de cela ne décrit un produit en usage : un hébergeur traite les données de chaque client chaque jour, et un consentement qu'il faudrait obtenir de chaque utilisateur final de chaque client de l'entreprise n'est pas un mécanisme. Les dérogations sont pour l'occasion unique, le fichier envoyé une fois, et une entreprise qui fonde son architecture sur elles n'a pas de mécanisme.\n\n## Quoi en faire\n\nPrenez le registre des traitements et sa colonne des destinataires, et donnez à chaque destinataire hors de l'EEE un pays et un mécanisme : la décision d'adéquation qui le porte, avec le champ vérifié pour un importateur américain ou canadien, ou le module des CCT signé avec ses annexes et l'évaluation de la clause 14 datée. Demandez à un importateur américain sa certification au Data Privacy Framework et vérifiez-la sur la liste du Department of Commerce ; ne demandez à un importateur britannique ou japonais rien de plus que le contrat ; demandez à un importateur indien, australien ou singapourien les clauses signées et sa propre liste de sous-traitants ultérieurs, puisque les transferts ultérieurs restent sous le chapitre V. Mettez le mécanisme dans les [clauses de sous-traitance](\u002Fgdpr\u002Fprocessor-terms) qu'un client envoie, parce que l'article 28, paragraphe 4, soumet un sous-traitant ultérieur aux mêmes obligations que le sous-traitant, et dans le [registre](\u002Fgdpr\u002Frecord-of-processing), parce que l'article 30, paragraphe 1, point e), demande les transferts et leurs garanties. La [page des transferts](\u002Fgdpr\u002Ftransfers) fait la détermination à partir de la destination et des deux rôles et la rédige ; la [détermination des obligations](\u002Fgdpr\u002Fduties) dit si les transferts font partie des obligations de l'entreprise.\n",1789383972663]