Un client exige notre « conformité RGPD » pour signer un contrat — que doit-on lui fournir ?

Première étape : récupérez le modèle de registre de base fourni par la CNIL. Indiquez-y les champs collectés par votre logiciel (nom, e-mail, téléphone...) et leurs durées de conservation. Les équipes de conformité des grands groupes ont l'habitude de ces modèles standards, ce format officiel les rassure tout de suite.

Le dossier à transmettre au client doit contenir ces 4 pièces : 1) L'annexe contractuelle DPA fixant les droits et devoirs de chacun. 2) La liste des mesures techniques expliquant l'architecture logicielle et les méthodes de chiffrement. 3) Une attestation d'hébergement garantissant que les données restent dans des data centers européens. 4) Une procédure de crise stipulant que vous préviendrez le client sous 48 heures en cas de fuite de données.

Une boîte de logistique à Paris nous avait demandé exactement la même chose. Sans passer par un cabinet externe, on leur a fourni une note de 5 pages détaillant nos mesures de sécurité internes et un DPA standard. Leur service juridique a validé en 4 jours et signé le contrat principal de 65 000 euros. Ils ne cherchent pas un label officiel, ils veulent juste voir que c'est carré et documenté.

Les grands comptes ont quasiment toujours leurs propres modèles de DPA et leurs questionnaires de sécurité. Ne perdez pas de temps à tout rédiger vous-mêmes : dites-leur « Transmettez-nous votre questionnaire de sécurité fournisseur et votre modèle de DPA, notre équipe technique va les remplir et les signer sans attendre ». La plupart du temps, ils vous envoient directement leurs trames.

un distributeur nous avait fait le coup aussi on avait flippé au dbut mais en fait ils veulent juste pouvoir se dédouaner si la cnil leur tombe dessus. dites que les serveurs sont en europe, que c'est chiffré, signez un dpa et basta.

Est-ce que les données de fidélité traitées concernent des mineurs ou des données dites sensibles ? S'il s'agit uniquement de coordonnées basiques et d'historiques d'achats, ça ira très vite. En revanche, si vous manipulez des cartes bancaires ou des données sensibles, l'audit du client sera nettement plus pointilleux.

Ne tombez pas dans le panneau des soi-disant consultants qui demandent des milliers d'euros aux PME pour leur délivrer un « certificat officiel de conformité RGPD ». Il n'existe à ce jour aucune certification RGPD globale d'entreprise accréditée dans l'UE. Ce qu'on vous demande, ce sont simplement des processus internes formalisés et des engagements contractuels.

Oui, la situation est exactement ainsi concernant conformité rgpd. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

Il faut y aller étape par étape. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

C'est confirmé par l'expérience.

Merci c'était exactement la réponse que je cherchais.

Merci, c'était exactement la réponse que je cherchais. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Corrigez-moi si je me trompe.

Enregistré.

Je vais expliquer comment c'est fait en pratique. La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Bien sûr, cela change si votre situation est différente.

Nous avons vécu presque la même chose l'année dernière. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Je suis aussi curieux de savoir si d'autres font autrement.

Je suis intéressé.

Ce sujet est archivé.

Je trouve difficile d'être aussi catégorique côté conformité rgpd. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

À votre place, j'irais par cette voie.

sujt très actuel.