Faut-il signer un contrat RGPD avec son agence web ?

Oui. Dès que votre prestataire de maintenance accède à la base de données, aux formulaires ou aux sauvegardes de votre site, il traite des données personnelles pour votre compte. L'article 28.3 du RGPD impose alors un contrat écrit. Ce contrat n'a pas à être un document séparé : une annexe au contrat de maintenance ou une clause des conditions générales du prestataire suffit, à condition qu'elle existe avant la première intervention.

Le texte liste huit obligations, des points a) à h). Quatre pèsent particulièrement sur une prestation de maintenance web.

• Instruction documentée (a) : le prestataire ne fait des données que ce que vous lui demandez. Recopier la base de production dans un environnement de test pour « vérifier quelque chose » sort de ce cadre.
• Sous-traitance ultérieure (d) : l'hébergeur, le service de sauvegarde externalisé et l'outil de supervision sont des sous-traitants ultérieurs. Ils supposent votre autorisation écrite.
• Sort des données (g) : en fin de contrat, les sauvegardes et les exports sont restitués ou détruits, à une date convenue.
• Preuve et audit (h) : le prestataire doit vous fournir de quoi démontrer sa conformité, et se prêter à un audit.

Le prestataire est exposé en son nom propre, pas seulement vous. Le 11 décembre 2025, la CNIL a sanctionné la société Mobius Solutions Ltd d'un million d'euros en sa seule qualité de sous-traitant : elle avait recopié des données d'utilisateurs de Deezer dans un environnement de test non sécurisé, hors de toute instruction du responsable de traitement. Un manquement à l'article 28 est passible de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83.4 du RGPD).

Vérifier la présence et le contenu de cette annexe fait partie des points que Pulsar Agency cadre à la mise en place d'un contrat de maintenance.