RCM
Privacy by design
CHECKLIST · SAAS ET STARTUPSChecklist RGPD pour SaaS.
Checklist RGPD pour SaaS.
Préparer le produit et les ventes.
Un client européen n’attend pas seulement une politique de confidentialité. Il veut comprendre les rôles, les données, l’hébergement, les accès, les fournisseurs, les transferts et les mesures qui protègent son environnement.
La préparation RGPD d’un SaaS relie l’architecture du produit aux obligations contractuelles et opérationnelles : cartographie, qualification responsable ou sous-traitant, DPA, sécurité, transferts, droits, conservation, incidents et processus de revue des nouveaux changements.
DPA et questionnaire
Checklist téléchargeable
Architecture et rôles
Flux de données
Cartographier collecte, import, support, logs, sauvegarde, analytics, IA et suppression.
Rôles
Qualifier les situations où l’éditeur agit comme sous-traitant, responsable ou responsable conjoint.
Environnements
Séparer production, test, démonstration et support, et limiter l’usage de données réelles hors production.
Contrats et fournisseurs
DPA
Préparer les clauses de l’article 28, les instructions, l’assistance, l’audit et la fin du service.
Sous-traitants ultérieurs
Maintenir une liste exacte, un mécanisme d’information et les conditions d’opposition applicables.
Questionnaires clients
Conserver des réponses validées et cohérentes avec l’architecture, les contrats et les pratiques réelles.
Transferts, sécurité et exploitation
Localisations
Documenter les pays d’hébergement, de support et d’accès administrateur.
Mesures
Décrire accès, chiffrement, journalisation, sauvegardes, isolation, vulnérabilités et continuité sans surpromettre.
Opérations
Organiser droits, incidents, conservation, suppression et preuve des décisions.
MISE EN PRATIQUE
Passer de la checklist à une décision documentée
Relier l’architecture du produit à la documentation
Commencez par un schéma qui suit les données depuis la collecte jusqu’à la suppression : API, imports, support, journaux, sauvegardes, analytics, fonctionnalités IA et sous-traitants. Pour chaque étape, indiquez la finalité, le rôle, la localisation, les accès et la durée. Ce schéma devient la base du registre, du DPA, de la notice et des réponses aux questionnaires clients.
La documentation doit suivre les versions du produit. Une nouvelle intégration, un changement d’hébergeur ou une fonctionnalité d’analyse peut modifier les rôles, les finalités ou les transferts. Ajoutez une revue vie privée au processus de conception et de mise en production afin que les contrats et preuves commerciales ne décrivent pas une architecture dépassée.
Préparer le dossier de confiance demandé par les ventes
Les prospects européens demandent souvent un DPA, une liste de sous-traitants, les lieux d’hébergement et de support, les mesures de sécurité, les durées de conservation et la procédure d’incident. Préparez des réponses validées et un propriétaire pour chaque pièce. Le langage commercial doit rester cohérent avec les contrats et avec les contrôles réellement exploités.
Évitez les promesses telles que « entièrement conforme » ou « données toujours en Europe » si elles ne peuvent pas être démontrées. Une certification peut soutenir une réponse, mais ne remplace pas l’analyse du service. Lorsqu’une information est confidentielle, prévoyez un niveau de détail public et un niveau complémentaire accessible sous NDA.
Organiser les opérations après la signature
La conformité ne s’arrête pas au questionnaire. Il faut exécuter les demandes de droits, les suppressions de fin de contrat, les notifications de sous-traitants, les revues d’accès et la gestion des incidents. Les délais, canaux et responsabilités entre le client et l’éditeur doivent être testés, pas seulement écrits dans le DPA.
Un tableau de bord léger peut suivre les nouveaux fournisseurs, changements de localisation, demandes reçues, incidents, délais de suppression et actions de sécurité. Pour les fonctions IA, l’analyse présentée ici reste limitée aux données personnelles; elle ne vaut pas évaluation générale de conformité à l’AI Act ni audit du modèle.
PDF · RESSOURCE PRATIQUE
Recevoir la version PDF
Recevez la version PDF pour vos équipes produit, sécurité et ventes.
FAQ
Questions fréquentes
Un SaaS est-il toujours sous-traitant ?+
Non. Le rôle dépend de la finalité et des moyens déterminés pour chaque traitement.
Faut-il un DPA avec chaque client ?+
Lorsqu’un SaaS traite des données personnelles pour le compte du client, un contrat répondant à l’article 28 est généralement nécessaire.
Les données de test sont-elles concernées ?+
Oui lorsqu’elles permettent d’identifier une personne. L’anonymisation ou des données synthétiques doivent être privilégiées.
Un hébergeur américain interdit-il le service ?+
Non automatiquement. Il faut qualifier le transfert, le mécanisme applicable et les mesures nécessaires.
Quand réaliser une AIPD ?+
Lorsqu’un traitement est susceptible d’engendrer un risque élevé, une analyse spécifique est nécessaire.
Ce guide fournit un cadre général et ne remplace pas l’analyse de votre situation ni un conseil juridique réservé.
RCM
Voir l’accompagnement SaaS →Préparer votre SaaS pour des clients européens
Cadrez les preuves attendues avant le prochain questionnaire fournisseur.