Contrats et organisation de la protection des données

Avant la conclusion, le système distingue client professionnel et consommateur. Les profils pays structurent les contrôles et informations mais ne remplacent pas une analyse au cas par cas. Les consommateurs hors profils configurés passent par un contrôle manuel avant mise en service.

Commande, état du forfait, prix, durée, région de données, clauses et annexes incorporées sont figés dans un snapshot avec empreinte. Une modification ultérieure du catalogue ne réécrit pas rétroactivement le contrat accepté.

L’accord de traitement des données est séparé du contrat client. Sa nécessité dépend des rôles et traitements. Il n’est pas créé automatiquement au seul motif qu’un particulier commande; le besoin est contrôlé dans le parcours prévu pour les clients professionnels.

Les mesures techniques et organisationnelles utilisent des statuts tels que planifiée, partielle, mise en œuvre ou retirée. Le statut « mise en œuvre » ne doit être choisi qu’après vérification de la mesure réelle et d’une preuve appropriée. Le registre n’est pas une certification de sécurité automatique.

Les prestataires susceptibles de traiter des données en sous-traitance sont suivis avec catégorie de service, pays de traitement, garantie, lien confidentialité, statut d’approbation et prochaine revue. Un changement important peut faire l’objet d’un avis séparé avec date d’effet et délai d’objection.

Chaque transfert international peut être enregistré avec région source, destination, mécanisme, risque et validation. Au Maroc, des formalités CNDP peuvent être nécessaires; pour les données UE/EEE ou UK, les instruments et évaluations prévus par ces cadres peuvent s’ajouter.

Les délais de rétractation et le commencement anticipé sont examinés selon le pays du client, le type de prestation et les informations documentées. Le parcours technique ne prouve pas, à lui seul, la validité du consentement. Une information manquante ou une situation juridique incertaine entraîne un examen manuel, sans mise en service automatique.

L’export des données, le changement de prestataire et la fin du contrat sont traités séparément. Les droits légaux de changement de prestataire et les limitations applicables aux frais restent préservés. Leur application au service concerné est vérifiée avant toute facturation. Les transferts de domaines suivent également les procédures du registre et du bureau d’enregistrement.

Un profil juridique incertain, un transfert non résolu ou un cas consommateur à vérifier peut bloquer techniquement la mise en service. Les changements contractuels sont suivis par un Change Request avec empreintes avant/après et décision du client. Les traces d’audit documentent la décision, la date et le rôle responsable sans journaliser inutilement les secrets.