Questionnaire de sécurité envoyé par un client entreprise : la liste de contrôle du fournisseur arménien

L'Arménie ne figure pas sur la liste des pays ayant fait l'objet d'une décision d'adéquation de la Commission européenne, et ce seul fait détermine la plupart des informations demandées à votre entreprise dans le cadre d'un questionnaire de sécurité. Votre client ne peut pas transférer des données personnelles à un fournisseur situé dans un pays non adéquat en se fiant uniquement à sa confiance. Il doit disposer d'un mécanisme de transfert conforme au chapitre V du RGPD, c'est-à-dire, en pratique, aux clauses contractuelles types de la Commission adoptées en vertu de l'article 46, paragraphe 2, point c), et d'un dossier attestant que la signature de ces clauses avec vous est justifiée.

Le questionnaire constitue ce document. Chaque élément qu'il contient correspond à une obligation du client ; par conséquent, une réponse perçue comme évasive bloque la transaction au niveau des achats, avant même que le service juridique n'en prenne connaissance.

Pourquoi les entreprises clientes envoient-elles ces questionnaires ?

L’article 28 du RGPD autorise le responsable du traitement à faire appel uniquement à des sous-traitants qui apportent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le responsable du traitement doit être en mesure de démontrer qu’il a évalué ces garanties ; le questionnaire dûment rempli, accompagné des pièces justificatives, constitue cette démonstration. Les auditeurs demandent à le consulter, et il arrive également qu’une autorité de contrôle le fasse.

Un fournisseur situé hors de l'EEE ajoute un deuxième fichier. Le client doit documenter ce transfert, identifier son mécanisme de protection au titre du Chapitre V et évaluer si la législation du pays de destination compromet la protection promise par ces clauses. Vos réponses constituent la matière première de cette évaluation ; c'est pourquoi les questions relatives aux demandes d'accès des autorités et aux personnes autorisées à accéder aux données sont posées au même titre que les questions de sécurité habituelles.

L'accès à distance est pris en compte. Selon le test en trois étapes du Comité européen de la protection des données (CEPD), et conformément à son avis 22/2024, la mise à disposition de données personnelles à une entité située dans un pays tiers constitue un transfert, même en l'absence de copie et si les données restent sur les serveurs du client. Un ingénieur arménien disposant d'un accès support au système de production d'un client de l'UE déclenche la même analyse qu'une exportation de base de données.

Qu'est-ce qui différencie un fournisseur arménien ?

La liste d'adéquation de la Commission comprend Andorre, l'Argentine, le Brésil, le Canada (pour les organisations commerciales), les îles Féroé, Guernesey, Israël, l'île de Man, le Japon, Jersey, la Nouvelle-Zélande, la Corée du Sud, la Suisse, le Royaume-Uni, l'Uruguay et les participants au cadre de protection des données UE-États-Unis. L'Arménie n'y figure pas. Pour plus d'informations sur les différences entre les deux régimes, consultez notre guide sur le RGPD et le droit arménien de la protection des données.

Les clauses contractuelles types constituent la solution la plus pratique. Les règles d'entreprise contraignantes prévues à l'article 47 sont destinées aux transferts intragroupes et ne sont pas applicables à un fournisseur indépendant. L'article 46, paragraphe 2, point d), couvre les clauses adoptées par une autorité de surveillance et approuvées par la Commission ; il s'agit d'un instrument distinct des clauses propres à la Commission, visées à l'article 46, paragraphe 2, point c). Les équipes d'achat font parfois référence aux deux conjointement ; le document qui vous sera transmis est celui de la Commission.

La terminologie s'inverse

La loi arménienne sur la protection des données personnelles du 18 mai 2015, modifiée jusqu'au 4 décembre 2025, désigne le « sous-traitant » comme la partie qui détermine la finalité du traitement et la « personne autorisée » comme celle qui traite les données sur instruction du sous-traitant. Le RGPD utilise ces termes de manière inverse, ce qui peut engendrer des confusions lors de la transposition des termes arméniens dans les questionnaires. L'article 14 exige une instruction écrite entre les deux parties, et la partie donnant l'instruction demeure responsable du traitement des données par l'autre. Un contrat de traitement des données bien rédigé peut satisfaire à la fois à l'exigence de l'article 28 du RGPD et à l'exigence d'instruction écrite prévue par la loi arménienne, à condition d'être rédigé à cet effet.

Transferts ultérieurs hors d'Arménie

L'article 27 de cette même loi régit le transfert de données personnelles hors d'Arménie, c'est-à-dire dès que vous transférez des données client à un sous-traitant situé dans un pays tiers. Le transfert entrant, lorsque votre client de l'UE vous envoie des données, est régi par le RGPD côté client. Les fournisseurs d'hébergement, de surveillance des erreurs ou d'outils de support situés à l'étranger sont souvent concernés par l'article 27 sans même s'en rendre compte.

Les transferts vers un État figurant sur la liste officielle arménienne de protection adéquate, ou effectués en vertu d'un traité international, sont réalisés sans autorisation supplémentaire. L'Arménie tient à jour cette liste, actualisée par décision du 18 juin 2026, qui couvre environ 53 pays et catégories, dont les États membres de l'UE et de l'EEE, l'Argentine, le Canada, Israël, le Japon, la Nouvelle-Zélande, Singapour, la Corée du Sud, l'Uruguay et la Russie. Une catégorie est également réservée aux organisations des États-Unis, dont les limites n'ont pas été précisées dans les directives publiées. Pour une destination ne figurant pas sur la liste, le transfert requiert l'autorisation préalable de l'autorité compétente, ainsi que des garanties contractuelles approuvées par celle-ci. Le délai légal de réexamen est de 30 jours et la liste est republiée annuellement.

La liste de contrôle des documents

Six documents permettent de répondre à la plupart des questions. Une fois rassemblés, le questionnaire suivant se résume à un travail de correction.

1. Accord de traitement des données. Le client envoie son propre document. Veuillez le vérifier au regard des instructions écrites arméniennes avant de le signer et assurez-vous que ses conditions de conservation et de suppression correspondent à celles de vos systèmes.
2. Registre du sous-processeur. Une ligne par sous-traitant : entité juridique et pays, finalité, catégories de données personnelles concernées, niveau d’accès, lieu physique du traitement et de l’accès, base juridique du transfert pour ce sous-traitant et confirmation de l’autorisation du client. Joignez votre procédure de vérification et de départ.
3. Documents de transfert. Les clauses contractuelles standard exécutées avec le module approprié à la relation, ainsi que votre contribution écrite à l'évaluation de l'impact du transfert du client, couvrant les demandes d'accès que vous pourriez recevoir et votre capacité à les contester.
4. Résumé de la politique de sécurité. Deux à quatre pages consacrées au contrôle d'accès, au chiffrement des données en transit et au repos, à la journalisation, à la gestion des modifications et au développement sécurisé. Les clients acceptent rarement un refus catégorique de partager quoi que ce soit, et ils ont rarement besoin de l'intégralité de votre politique interne.
5. Résumé de la réponse à l'incident. Qui est informé en interne, le déclencheur de l'information du client, le canal utilisé et le délai de notification contractuel que vous êtes prêt à respecter.
6. Certifications et preuves de tests. Un certificat ISO 27001 accompagné de sa déclaration d'applicabilité, un rapport SOC 2 Type II (le cas échéant) et un résumé de votre test d'intrusion le plus récent, précisant l'état des corrections apportées. Aucun certificat RGPD n'est requis ; en fournir un témoignerait d'un manque d'expérience.

Sections courantes des questionnaires et comment y répondre

Informations sur l'entité et la propriété

Les questionnaires commencent par la dénomination sociale, le numéro d'immatriculation, l'adresse légale et la chaîne de propriété. Ces informations doivent figurer dans les documents d'immatriculation de votre entreprise afin qu'elles correspondent exactement à celles du registre du commerce. Toute incohérence à ce niveau entraînera le renvoi du formulaire avant même que les informations de sécurité ne soient consultées.

Flux de données et hébergement

Indiquez les pays. Une réponse affirmant que les données sont hébergées en toute sécurité dans le cloud suscite systématiquement des questions. Précisez le fournisseur d'hébergement, la région, si des répliques ou des sauvegardes sont stockées ailleurs, et si le personnel hors de cette région peut accéder à la production. Si vos ingénieurs en Arménie accèdent à un environnement hébergé dans l'UE, mentionnez-le ici ; l'analyse des transferts du client en dépend, et le découvrir ultérieurement nuira à la crédibilité de toutes vos autres réponses.

Sous-processeurs

Identifiez toutes les entités, même celles qui semblent invisibles : systèmes de billetterie, de surveillance des erreurs, d’e-mails transactionnels, d’analyse et plateformes de paie qui accèdent aux données de contact client. L’article 28, paragraphe 2, du RGPD exige l’autorisation préalable du client pour le recours à un nouveau sous-traitant ; le registre doit donc comporter un engagement de notification de changement, assorti d’un délai de préavis et d’un droit d’opposition que le client peut exercer.

Notification de violation et d'incident

Votre contrat prévoit une période de notification au client. Ne vous engagez que sur une période compatible avec votre système d'astreinte, même le samedi soir, car le délai de 72 heures imposé par le client, conformément à l'article 33 du RGPD, commence dès qu'il en a connaissance et vous sera répercuté.

La notification réglementaire arménienne est une question distincte, et il convient tout d'abord de déterminer la taille de votre entreprise. La loi arménienne sur la cybersécurité, HO-442-N, ne se limite pas aux opérateurs d'infrastructures critiques. L'article 1(3)(1) vise toute personne morale ou tout entrepreneur individuel qui exerce une activité dans l'un des secteurs énumérés à l'article 16(4) et exploite un système d'information ou une infrastructure d'information critique. Il s'agit de deux éléments distincts. Les technologies de l'information, incluant expressément les infrastructures numériques, relèvent de l'article 16(4)(9) ; la gestion et l'exploitation des bases de données relèvent de l'article 16(4)(12). Aucun de ces points ne se limite aux opérateurs d'infrastructures, et aucune exemption n'est prévue pour un fournisseur dont tous les clients sont étrangers. Par conséquent, l'affirmation courante selon laquelle l'entreprise n'exploite pas d'infrastructure critique ne permet pas de trancher la question.

L'exclusion qui permet à de nombreux fournisseurs de s'en prémunir est l'article 1(4). Une entité répondant aux critères de micro-entreprise ou de petite entreprise est totalement exclue du champ d'application de la loi, sauf si elle exploite une infrastructure d'information critique. Aux termes de l'article 2(1) de la loi relative au soutien de l'État aux petites et moyennes entreprises, les critères de petite entreprise sont un effectif moyen déclaré de 50 personnes maximum et un chiffre d'affaires ou un actif au bilan de fin d'exercice précédent n'excédant pas 500 000 000 AMD . Un grand nombre d'entreprises arméniennes de développement et d'externalisation de processus métier (BPO) relèvent de cette exclusion. Cela dépend de vos effectifs et de votre comptabilité ; assurez-vous donc de les régler avant de répondre au questionnaire.

Si l'exclusion ne vous concerne pas, vos obligations sont définies à l'article 11. Vous devez informer immédiatement l'autorité de régulation, la Commission de régulation des systèmes d'information, dès que vous en avez connaissance et, en tout état de cause, dans les 24 heures , si l'incident a un impact significatif ou si un tel impact peut raisonnablement être présumé. L'article 11(2) définit la notion d'impact significatif ; par conséquent, tout incident mineur ne donne pas lieu à un rapport. Des informations actualisées sur la gravité et les conséquences sont fournies dans les 72 heures suivant la prise de connaissance de l'incident . Ce délai court à compter de la prise de connaissance de l'incident, et non de la première notification ; il est important que cette distinction soit clairement énoncée dans le contrat. Les personnes potentiellement concernées sont informées immédiatement, ou dans un délai de deux jours si une notification immédiate est impossible, et un rapport final doit être remis dans un délai d'un mois à compter de la notification initiale effectuée dans les 72 heures.

L'applicabilité de ces obligations dès aujourd'hui est contestée. La loi est entrée en vigueur le 4 janvier 2026, mais l'article 25(1)(2) reporte l'obligation générale de notification prévue à l'article 9(3)(5) jusqu'à l'entrée en vigueur des actes secondaires correspondants, lesquels n'ont pas encore été publiés. L'article 11 n'est pas expressément reporté et aucune publication ne permet de lever cette ambiguïté. Le gouvernement doit également encore adopter les classifications de services prévues à l'article 16(5), qui permettraient à un fournisseur donné de savoir s'il est concerné. La décision n° 117-A du Premier ministre, en date du 13 février 2026, prévoit l'adoption de ces classifications entre le 21 et le 30 novembre 2026 , la liste des opérateurs d'infrastructures critiques identifiés devant être publiée en décembre. Il s'agit de dates prévisionnelles, et non de textes adoptés.

Trois points importants sont à retenir. Ne rédigez pas de clause de notification contractuelle en partant du principe qu'aucune obligation réglementaire arménienne n'existe. Ne considérez pas l'absence d'inscription au registre de la Commission comme une garantie, car, selon une interprétation plus juste des articles 1 et 3, le registre tenu en vertu de l'article 7, paragraphe 4, constate l'existence d'un statut plutôt que de la créer. Enfin, notez attentivement les classifications de novembre, car elles détermineront votre position.

Rétention et suppression

Fournissez un calendrier par catégorie de données, en précisant l'événement déclencheur de chaque cycle. Indiquez ensuite ce qui se passe à la fin du cycle : retour des données dans un format spécifié, suppression définitive après un nombre de jours donné, et conservation des données résiduelles dans les sauvegardes jusqu'à leur écrasement par le cycle de sauvegarde. La question des données résiduelles est souvent mal comprise par les fournisseurs qui promettent une suppression immédiate que leur architecture ne peut garantir.

Contrôle d'accès et personnel

Couvrez le contrôle d'accès basé sur les rôles avec des approbateurs désignés, l'authentification multifacteurs sur les systèmes de production et chez le fournisseur d'identité, les délais d'arrivée et de départ en jours ouvrés, et les clauses de confidentialité de vos contrats de travail . Si une étape de vérification supposée par le questionnaire n'est pas possible pour vous, indiquez-le clairement. Un client peut se contenter d'une contrainte documentée, mais pas d'une réponse vague.

Foire aux questions

Par où commencer

1. Demandez au client quelle entité juridique est responsable du traitement des données et quelles catégories de données personnelles vous seront effectivement transmises. Le champ d'application du questionnaire permet de le circonscrire avant même que vous ne répondiez à une seule question.
2. Commencez par établir le registre du sous-traitant. L'accord de traitement des données, les documents de transfert et les réponses relatives aux flux de données en dépendent tous.
3. Confirmez avec le client quel module de clause contractuelle standard correspond à la relation, selon que le client agit en tant que responsable du traitement ou en tant que sous-traitant pour son propre client.
4. Avant signature, faites vérifier l'accord de traitement des données au regard des exigences écrites arméniennes, afin qu'un seul document porte sur les deux obligations.
5. Définissez votre position concernant la notification de cybersécurité arménienne pour vos propres opérations avant de convenir d'un délai de notification contractuel.

Dernière mise à jour: 21 Septembre 2026