Tout traitement des informations par le destinataire ou par un prestataire de services établi dans un pays de la Communauté européenne ou dans un Etat partie à l'Accord sur l'Espace économique européen doit être effectué sur le territoire français.

Lorsque les traitements sont réalisés par un prestataire de services, une convention doit définir précisément leur objet. Le prestataire doit prendre les mesures prévues à l'article R135 B-3 et s'engager à ce que les informations communiquées ne soient conservées, utilisées ou dupliquées à d'autres fins que celles indiquées par la convention.

Cet intervenant, dont le nom ou la raison sociale ainsi que l'adresse seront déclarés préalablement à la direction générale des finances publiques, doit être informé par la collectivité ou l'établissement public des dispositions législatives et réglementaires qui s'appliquent.

Le prestataire de services devra procéder à la destruction de tous les fichiers manuels ou informatisés stockant les informations saisies dès l'achèvement de son contrat.