Sightadel
Essai gratuit

Solutions · Protection des données

Rendre compte, c’est prouver.
Pas chercher quand quelqu’un pose la question.

En tant que délégué à la protection des données (DPO) ou coordinateur, vous êtes censé conseiller et contrôler, et pourtant la documentation finit par atterrir chez vous. Sightadel organise le registre des activités de traitement, la sous-traitance, les mesures techniques, les analyses d’impact et les violations de données de sorte que les services métiers fournissent leurs éléments et que vous puissiez montrer l’état d’avancement à tout moment.

Essai gratuit de 14 joursDemander un conseil

Situation de départ

Ce que porte ce rôle.

Le RGPD n’exige pas seulement que les données soient traitées de manière licite. Selon l’article 5, paragraphe 2, le responsable du traitement doit aussi être en mesure de démontrer le respect du règlement. En pratique, cela signifie : un registre des activités de traitement à jour, des contrats avec tous les sous-traitants, des mesures techniques et organisationnelles étayées, des analyses d’impact documentées et un registre de toutes les violations de données, y compris celles qui n’ont pas été notifiées.

Le plus souvent, une grande partie existe déjà, mais pas au même endroit. Le registre est un tableur sur un lecteur réseau, les contrats sont aux achats, l’informatique décrit les mesures techniques dans son propre document, et il existe pour le SMSI une seconde version des mêmes mesures. Lorsque l’autorité de contrôle pose des questions ou qu’un client envoie un questionnaire, la recherche commence.

S’y ajoute votre position particulière. En tant que DPO, vous conseillez et contrôlez ; la responsabilité de la mise en œuvre incombe à la direction et aux services métiers. Sightadel reproduit exactement cela : les services métiers traitent eux-mêmes leur partie, vous vérifiez et voyez ce qui manque. En tant que DPO externe, vous travaillez avec votre propre rôle dans le compte de votre client.

Pourquoi maintenant

Les raisons typiques de s’y mettre.

01

Demande de l’autorité de contrôle

Après une plainte ou une violation de données, l’autorité de contrôle demande le registre, les mesures et les contrats. Le délai de réponse est court. Si l’état de la documentation est déjà organisé, vous répondez en quelques jours au lieu de plusieurs semaines.

02

Violation de données

Un envoi au mauvais destinataire, un ordinateur portable perdu, une attaque contre une boîte mail. Les violations soumises à l’obligation de notification doivent en principe être notifiées à l’autorité de contrôle dans les 72 heures. Pour cela, l’évaluation, les responsables et la procédure de notification doivent être définis à l’avance.

03

Nouveau logiciel ou nouveau prestataire

Un service métier veut introduire un outil cloud. Avant sa mise en service, il faut une entrée dans le registre, un accord de sous-traitance, une vérification des sous-traitants ultérieurs et, en cas de risque élevé, une analyse d’impact.

04

Utilisation d’outils d’IA

Des collaborateurs utilisent des outils d’intelligence artificielle, souvent sans autorisation. Se posent alors des questions de base juridique, de transfert vers des pays tiers et d’analyse d’impact. Une procédure d’autorisation structurée remplace la prolifération incontrôlée.

05

Des clients demandent vos mesures

En tant que sous-traitant, vous répondez en permanence à des questionnaires sur les mesures techniques et les sous-traitants ultérieurs. Un état tenu à jour et un Trust Center répondent une fois pour toutes aux questions habituelles.

06

La sécurité de l’information se renforce

L’entreprise met en place un SMSI selon ISO 27001 ou relève de NIS2. C’est le moment de gérer les mesures techniques en commun plutôt qu’en double.

Frameworks pertinents

Ce qui s’applique – et ce que cela exige concrètement ici.

Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.

RGPDObligatoire

S’applique à toute organisation qui traite des données à caractère personnel, complété en Allemagne par la loi fédérale allemande sur la protection des données (BDSG). Le cœur de la documentation se compose du registre selon l’art. 30, des contrats selon l’art. 28, des mesures selon l’art. 32, des analyses d’impact selon l’art. 35 et de la documentation des violations de données selon l’art. 33. Il n’existe pas de certificat RGPD général ; ce sont les autorités de contrôle qui vérifient.

Voir le framework →
ISO/IEC 27001Recommandé

Les mesures techniques et organisationnelles de l’art. 32 peuvent être étayées par les mêmes preuves que de nombreux contrôles de l’annexe A, par exemple sur la gestion des accès, le chiffrement, la sauvegarde des données ou les fournisseurs. L’annexe A contient en outre une mesure propre à la protection des données à caractère personnel. Les bases juridiques et les droits des personnes concernées n’ont pas d’équivalent dans la norme.

Voir le framework →
NIS2Selon la situation

Si votre entreprise relève de la loi allemande sur le BSI (BSIG), le processus de gestion des incidents, le contrôle des accès et le pilotage des fournisseurs servent aux deux référentiels. Un incident de sécurité peut déclencher à la fois une notification à l’Office fédéral de la sécurité des technologies de l’information (BSI) et à l’autorité de protection des données, avec des délais et des destinataires différents.

Voir le framework →
EU AI ActSelon la situation

Quiconque utilise des systèmes d’IA avec des données à caractère personnel doit examiner les exigences des deux référentiels. L’analyse d’impact, la transparence envers les personnes concernées et l’évaluation des fournisseurs peuvent être gérées ensemble.

Voir le framework →

Ordre recommandé

Par où commencer – et ce qui vient ensuite.

  1. 1

    Créer ou reprendre le registre

    Les registres existants sont importés dans Sightadel depuis Excel. Pour chaque traitement sont définis la finalité, la base juridique, les catégories de données et de personnes, les destinataires, les transferts et les délais d’effacement. Les services métiers complètent leurs entrées, vous vérifiez.

  2. 2

    Recenser les sous-traitants

    Tous les prestataires qui traitent des données pour votre compte figurent dans la liste des fournisseurs avec leur contrat, leurs sous-traitants ultérieurs et leurs preuves. Les contrats manquants ou obsolètes deviennent des mesures assorties d’une échéance.

  3. 3

    Étayer les mesures techniques

    Les mesures de l’art. 32 prennent la forme de questions auxquelles vous répondez en les reliant à des justificatifs, par exemple le concept de droits d’accès, le chiffrement, le test de sauvegarde ou la preuve de formation. Si un SMSI existe, vous reliez les preuves existantes au lieu d’en créer de nouvelles.

  4. 4

    Évaluer les traitements à risque

    Des questions guides indiquent où une analyse d’impact relative à la protection des données (AIPD) est nécessaire. Les autorités de contrôle ont publié des listes de traitements à cet effet. L’évaluation elle-même est menée par le responsable du traitement avec vos conseils ; Sightadel fournit la structure et consigne le résultat.

  5. 5

    Définir les procédures pour les violations et les demandes

    Qui évalue une violation de données, qui la notifie, qui informe les personnes concernées ? Qui répond aux demandes d’accès dans le délai imparti ? Les responsables, les suppléants et les modèles sont enregistrés et simulés une fois.

  6. 6

    Maintenir à jour

    Des rappels pour le registre, les contrats et les mesures. Les preuves portent une date d’expiration. Les nouveaux traitements et prestataires sont ajoutés avant leur mise en service, et non lors du prochain audit.

Votre rôle

Conseiller et contrôler, sans tout rédiger vous-même

Le RGPD confie au délégué à la protection des données une mission de conseil et de contrôle. Les obligations elles-mêmes incombent au responsable du traitement. Cette séparation devrait aussi se refléter dans la façon de travailler.

Les services métiers fournissent leurs éléments

Les RH, les ventes et l’informatique connaissent le mieux leurs traitements. Avec le rôle Contributor, ils tiennent à jour leurs entrées dans le registre et téléversent des justificatifs. Vous vérifiez et approuvez.

Vous voyez ce qui manque

Des traitements sans délai d’effacement, des prestataires sans contrat, des mesures sans justificatif. Les points ouverts apparaissent comme problèmes et plans d’action avec un responsable, et non comme une note dans votre agenda.

Vos recommandations restent documentées

Lorsque vous déconseillez un traitement ou recommandez une analyse d’impact, cela figure avec la date dans le journal d’activité. Si la direction décide autrement, cela reste également traçable.

DPO externes

Avec le rôle Consultant externe, vous travaillez dans le compte de chaque client. Chaque client dispose de son propre état, séparé des autres, et le journal indique que l’accès provenait de l’extérieur.

Comment Sightadel vous aide

Les fonctions qui font la différence ici.

Évaluations guidées

Les obligations du RGPD sont présentées sous forme de questions guidées, des principes aux droits des personnes concernées jusqu’à l’obligation de notification. Chaque question comporte une explication, une réponse et un justificatif. Vous voyez ainsi d’un coup d’œil où en est la documentation.

En savoir plus →

Risque fournisseurs

Les sous-traitants sont gérés avec leur pays, leur contrat, leurs sous-traitants ultérieurs et leurs preuves, date de validité comprise. Vous consignez les données qu’un fournisseur traite. Son évaluation des risques en découle, et les contrats manquants ressortent.

En savoir plus →

Bibliothèque de preuves

Contrats, concepts, preuves de formation et analyses d’impact sont stockés avec version et date d’expiration dans la bibliothèque de preuves. Un justificatif sur le contrôle des accès sert à la fois aux mesures de l’art. 32 et aux contrôles correspondants d’ISO 27001.

En savoir plus →

Modèles IA

Des modèles pour le registre des activités de traitement, les mentions d’information, la politique d’effacement et les réponses aux demandes des personnes concernées, adaptés à votre secteur. L’IA vous aide à rédiger. L’appréciation juridique au cas par cas vous revient.

En savoir plus →

Plans d’action

Les contrats manquants, les délais d’effacement non définis ou les mesures consécutives à une violation de données deviennent des tâches avec un responsable et une échéance. La direction voit les points en retard dans le tableau de bord, sans que vous ayez à les signaler un par un.

En savoir plus →

Trust Center

Les clients trouvent vos mesures techniques, la liste des sous-traitants ultérieurs et les documents approuvés au même endroit. En tant que sous-traitant, vous vous épargnez ainsi de nombreuses questions.

En savoir plus →

Effort et durée

Une estimation honnête.

Reprendre la documentation existante2–6 semaines
Importer le registre et la liste des prestataires, rattacher les contrats et les mesures, rendre les écarts visibles. La durée dépend du degré d’actualité des documents.
Constituer la documentation de base2–4 mois
Pour une entreprise de taille moyenne, lorsqu’une personne en interne pilote le sujet et que les services métiers fournissent leurs éléments. Les analyses d’impact pour certains traitements à risque viennent en plus.
Mise à jour continuequelques heures par mois
Ajouter les nouveaux traitements et prestataires, traiter les rappels, documenter les demandes et les violations. Davantage en cas de nombreux services métiers ou clients.

Ces fourchettes sont des valeurs d’expérience, pas un engagement. Le facteur le plus déterminant est la coopération des services métiers et l’existence éventuelle d’un SMSI dont les preuves peuvent être réutilisées.

Ce que vous souscrivez · généralement Basic

Pour la seule protection des données, l’édition Basic avec cinq utilisateurs et dix fournisseurs suffit généralement. Si vous mettez en place un SMSI en parallèle, ajoutez ISO 27001 et utilisez les preuves pour les deux. Si ISO 27001 fait partie de votre licence, vous bénéficiez d’une remise permanente sur le RGPD. Avec de nombreux sous-traitants, l’édition Professional avec 25 fournisseurs convient mieux.

Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.

Tarifs et simulateur de coûtsEssai gratuit

Questions et réponses

Questions sur protection des données

Plus de réponses dans la FAQ ou directement via notre formulaire de contact.

À partir de quand avons-nous besoin d’un délégué à la protection des données ?

En Allemagne, selon le § 38 de la BDSG, en règle générale lorsqu’au moins 20 personnes sont employées en permanence au traitement automatisé de données à caractère personnel. Indépendamment de ce nombre, l’obligation s’applique par exemple lorsque des traitements nécessitent une analyse d’impact, ou selon l’art. 37 du RGPD pour certaines activités de base comme le traitement à grande échelle de données de santé. Clarifiez la qualification au cas par cas avec votre conseil juridique.

Dans quel délai une violation de données doit-elle être notifiée ?

Les violations soumises à notification doivent être notifiées à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Aucune notification n’est nécessaire si la violation n’est pas susceptible d’engendrer un risque pour les personnes concernées. En cas de risque élevé, les personnes concernées sont également informées. Chaque violation est documentée, même sans notification.

Quel délai s’applique aux demandes d’accès ?

En principe un mois à compter de la réception. Pour des demandes complexes ou nombreuses, le délai peut être prolongé de deux mois, mais la personne concernée doit en être informée dans le premier mois. Dans Sightadel, vous consignez la réception, le traitement et la réponse comme preuve.

Quel est le lien entre les MTO et ISO 27001 ?

Les mesures de l’art. 32 du RGPD et de nombreux contrôles de l’annexe A traitent des mêmes sujets, par exemple les accès, le chiffrement, la sauvegarde des données et les fournisseurs. Dans Sightadel, vous reliez une preuve aux deux. Nous ne donnons volontairement pas de chiffre pour le recoupement, car il dépend du périmètre.

Les DPO externes peuvent-ils accompagner plusieurs clients ?

Oui. Chaque client dispose de son propre compte et vous invite avec le rôle Consultant externe. Les états restent séparés, et le journal d’activité indique que l’accès provenait de l’extérieur.

Sightadel remplace-t-il le conseil juridique ?

Non. Sightadel fournit une structure, des modèles et un état documenté. Les questions de base juridique, de mise en balance des intérêts ou de transferts vers des pays tiers, vous les évaluez vous-même ou avec votre conseil juridique. Pour les cas difficiles, un accompagnement peut être ajouté sous forme de forfait dans l’application.

Existe-t-il un certificat RGPD ?

Il n’existe pas de certificat général attestant le respect du RGPD. Ce que vous pouvez présenter, c’est une documentation organisée et étayée au sens du principe de responsabilité. Sightadel ne délivre pas de certificats.

Où sont stockées les données dans Sightadel ?

Sightadel est développé en Allemagne et hébergé en Allemagne. Nous concluons avec chaque client un accord de sous-traitance (art. 28 RGPD). Sightadel contient la documentation de vos mesures, pas les données à caractère personnel de vos clients ou de vos collaborateurs.

Contenu vérifié le 8 octobre 2026 · Pas de conseil juridique. Seuls la norme ou la loi dans leur version en vigueur font foi.

Commencez par une seule norme.

14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.

Essai gratuit de 14 joursNous contacter