Ceci n'est pas un conseil juridique. C'est la check-list pratique que nous avons construite pour nous-mêmes en travaillant avec des clients en Allemagne, en Italie et au Royaume-Uni, et que nous reprenons à chaque nouveau projet. Elle ne remplace pas votre avocat, mais elle rend l'entretien avec lui bien plus court.
Le cadre de base : votre client est le responsable du traitement, vous êtes presque certainement le sous-traitant, et chaque service cloud que vous utilisez est un sous-traitant ultérieur. Une fois ces trois mots correctement positionnés, le reste de la liste se met en ordre tout seul.
Le RGPD n'est pas de la paperasse ; c'est une décision d'architecture. Les documents décrivent l'architecture — ils ne la remplacent pas.
01La couche contractuelle : un DPA et des clauses contractuelles types
Vous avez besoin d'un accord de traitement des données (DPA) signé avec chaque client européen. La Türkiye n'ayant pas de décision d'adéquation, si des données sont traitées en Türkiye, ce DPA s'accompagne de clauses contractuelles types et d'une brève analyse d'impact sur le transfert. En pratique, ces trois documents voyagent ensemble, et une fois bien préparés, ils sont réutilisés sur chaque projet.
La deuxième étape est la liste des sous-traitants ultérieurs. Chaque service que vous utilisez — hébergement, e-mail transactionnel, suivi d'erreurs, analytique, sauvegardes — y figure avec son nom, sa finalité et sa région, et cette liste est partagée avec le client. Y ajouter une ligne constitue un événement à notifier selon le contrat, ce qui explique pourquoi la tenir sous forme de page et y renvoyer par un lien est l'approche la plus pratique.
02La couche architecture : région, conservation, suppression
Pour les clients européens, notre choix par défaut est sans ambiguïté : base de données et stockage d'objets dans une région de l'UE (Vienne ou Irlande), avec des sauvegardes restant dans la même région. Cette seule décision simplifie les réponses aux cent questions qui suivent. Si l'équipe de développement y accède depuis la Türkiye, il s'agit d'un accès à distance, décrit comme tel dans le DPA.
Les durées de conservation sont définies par type de donnée : documents de contrat et de facturation pour les années exigées par la loi, consentements marketing jusqu'à leur retrait, journaux d'accès serveur quatre-vingt-dix jours, CV de candidats six mois. Encoder ces durées dans le logiciel — un champ de suppression programmée et une tâche nocturne — est plus fiable que de les écrire dans un document.
Traitez les demandes de suppression et d'export comme une fonctionnalité dès le premier jour. Si vous pouvez exporter et effacer les données d'un utilisateur en une seule opération, le délai légal de trente jours cesse d'être une source de stress. L'ajouter plus tard est toujours difficile, car les données se sont alors répandues dans cinq tables.
03La pratique quotidienne : cookies, formulaires, plan de violation
La bannière de cookies n'est pas un élément de design mais une promesse technique : les scripts d'analytique et de marketing ne doivent pas se charger avant le consentement, et « refuser » doit être aussi visible qu'« accepter ». Un site qui réussit ces deux points a déjà validé les deux premiers éléments de tout audit.
Sur les formulaires, séparez les finalités : une demande de projet et une inscription à une newsletter sont deux consentements distincts, et aucune case n'arrive pré-cochée. Chaque formulaire renvoie vers une politique de confidentialité, et cette politique décrit réellement les champs de ce formulaire.
Le dernier point est celui que personne ne veut préparer : le plan en cas de violation. Une page indiquant qui est notifié, où sont lus les journaux, ce qui est écrit au client, et qui porte la responsabilité du délai de soixante-douze heures. Rédiger cette page un jour calme coûte bien moins cher que de la rédiger un mauvais jour.
Écrit par
L'équipe Paradigma7
Produit, ingénierie et opérations
Nous sommes une équipe basée à Ankara construisant des logiciels pour l'Europe. Rien ici n'est théorie : ce sont les processus que nous exécutons réellement sur les projets clients.
À propos