Procédure
Les engagements de LWS comme sous-traitant au sens du RGPD sont publiés dans deux documents en libre accès sur la page des CGV de LWS, rubrique « Conditions générales » : « Traitement de données à caractère personnel ou DPA » et « Accord de traitement des données (accord DPA) ». Cette aide vous indique où les trouver, ce qu'ils contiennent sur la confidentialité, la localisation et la sécurité des données, et qui contacter pour une question.
Cette aide résume des documents contractuels pour vous aider à vous y retrouver. Seuls les documents eux-mêmes font foi : lisez-les en entier, et faites-vous accompagner par un conseil juridique si votre projet le demande.
Sur la page des CGV de LWS, la rubrique « Conditions générales » propose en PDF :
La rubrique « Documents légaux » de la même page propose aussi la Politique de sécurité du système d'information, la Politique de confidentialité et les Informations légales RGPD.
D'après ces documents, le DPA fait partie intégrante du contrat conclu entre LWS et le client, et l'accord DPA précise que le bon de commande ou la création d'un compte vaut acceptation de cet accord. L'accord DPA comporte aussi une partie « Conditions particulières », avec les types de données traitées (dont les données sensibles) et une signature des deux parties.
Le DPA est établi conformément à l'article 28 du RGPD :
Le DPA rappelle aussi que vous restez responsable de la sécurité de ce que vous installez et exploitez vous-même sur vos services (sites, logiciels, applications).
Selon le DPA et l'accord DPA :
Le DPA indique que la localisation des données est en France et qu'aucun transfert de données personnelles n'est réalisé par LWS en dehors de l'Union européenne. L'annexe II de l'accord DPA liste les sous-traitants ultérieurs, tous situés en France : LWS SAS et Groupe LWS (entités affiliées), Equinix et Adista (entités tierces).
En cas de changement ou d'ajout d'un sous-traitant ultérieur, le DPA prévoit que LWS vous prévient dans votre interface de gestion ou par e-mail, et que vous disposez de 15 jours pour formuler une objection motivée.
L'annexe I de l'accord DPA cite notamment le chiffrement des données en transit et lors de leur stockage, le contrôle des accès physiques et logiques aux serveurs, une authentification renforcée, l'isolement des données des différents clients et l'application rapide des correctifs de sécurité publiés par le CERT-FR. Le détail renvoie à la Politique de sécurité du système d'information de LWS.
Le site lws.fr indique « Société et datacentres certifiés ISO 27001 ». Le DPA prévoit que, si un service est certifié, LWS met à disposition les certificats et rapports correspondants sur demande écrite du client.
Le DPA vous laisse le choix des services et la responsabilité de ce choix. Si vos traitements présentent un risque élevé, par exemple parce qu'ils portent sur des données sensibles ou de santé, le DPA vous demande de choisir vos services avec précaution et de vérifier qu'ils conviennent au type de données traitées. La Politique de sécurité du système d'information rappelle la même règle : c'est au client, responsable du traitement, de s'assurer que le niveau de service convient à la sensibilité de ses données.
Le DPA prévoit aussi que LWS vous apporte, sur demande écrite, une assistance raisonnable pour une analyse d'impact relative à la protection des données. Les informations non publiées sur le site de LWS sont considérées comme confidentielles, et LWS peut demander la signature d'un accord de confidentialité avant de vous les communiquer.
Le DPA prévoit plusieurs moyens de contact :
La page Mentions légales & Confidentialité de lws.fr indique aussi un contact RGPD / DPO : rgpd@lws.fr.