Envoyer vos documents RGPD

Un client demande vos documents RGPD. Voici exactement quoi envoyer.

Le mail fait quatre lignes et ne nomme rien. Derrière, il y a une liste de contrôle achats que vous ne voyez pas, et un contrat qui n'avance pas tant que vous n'avez pas répondu. Cette page montre comment reconnaître laquelle des quatre demandes vous avez reçue, quoi envoyer pour chacune, quoi laisser de côté, et comment rédiger le mail d'accompagnement pour ne pas traiter trois relances la semaine prochaine.

Créer votre dossier gratuitement Voir un dossier terminé

Lisez tout. Rien ici ne demande de compte.

D'abord, identifiez la demande

"Merci de nous transmettre votre documentation en matière de protection des données" veut dire quatre choses différentes selon qui l'a écrit, et envoyer la mauvaise déclenche les allers-retours.

La demande de référencement. Des achats, près de la signature, avec une liste sommaire ou aucune. Ils veulent un document à joindre à votre fiche fournisseur. C'est le cas le plus fréquent, et l'objet principal de cette page.

Le questionnaire. Un tableur avec des lignes. Autre travail : vous remplissez leur formulaire plutôt que d'envoyer votre document. Il a son propre guide. La plupart des fournisseurs y joignent de toute façon le dossier à la partie protection des données.

La demande de signature. "Merci de signer l'accord de traitement ci-joint." Un contrat, pas une communication. Lisez-le, négociez si besoin les clauses sur les sous-traitants ultérieurs et l'audit, et envoyez vos documents à côté pour que l'évaluateur voie que les deux concordent.

La demande d'appel d'offres. Un marché ou un accord-cadre avec une section protection des données notée et un nombre de caractères limité. Même contenu, autre emballage : on attend des réponses courtes et citables, pas une pièce jointe de quarante pages.

Si le mail ne le dit pas clairement, demandez. Une réponse, "je vous envoie cela volontiers, s'agit-il du référencement fournisseur ou avez-vous un formulaire à faire remplir ?", économise une semaine.

Quoi envoyer pour la demande de référencement

Un document, pas un dossier de pièces jointes

L'erreur la plus courante est de répondre avec six fichiers en laissant l'évaluateur assembler. Il ne le fera pas. Envoyez un document contenant les sections, et joignez-y les pièces séparées, certificats et accords signés.

Qui vous êtes, et qui est responsable

Entité juridique, numéro d'immatriculation, adresse, et une personne nommée avec un e-mail pour les questions de protection des données. Pas une boîte générique sans personne derrière. C'est vérifié en premier et c'est le plus facile à faire correctement.

Ce que vous faites précisément de leurs données

Pas tout ce que fait votre entreprise. Les traitements liés au service que vous leur vendez, avec finalité, base légale, catégories de données et durées de conservation. Délimitez correctement et la moitié des relances n'arrive jamais.

Vos sous-traitants ultérieurs, avec les pays

Chaque service qui touche les données, l'entité juridique, le pays de traitement, et l'existence d'un accord. Si vous publiez cette liste à une adresse fixe, dites-le et donnez l'URL : elle répond maintenant et à chaque changement futur sans nouvel e-mail.

Les transferts, et la base de chacun

Où les données quittent l'UE, vers qui, et sur quel mécanisme. Cette section et la liste des sous-traitants portent les mêmes faits, l'évaluateur les recoupera. Générez les deux depuis une source unique, sinon elles divergeront.

Les mesures de sécurité, honnêtement

Ce que vous faites réellement : authentification et MFA, chiffrement des postes, contrôle d'accès, correctifs, sauvegardes, et toute certification avec son échéance. Un en partie annoté se lit mieux qu'un oui démonté. N'insérez pas un référentiel que vous n'appliquez pas.

Procédures de violation et de réclamation

Votre engagement de notification en heures, et comment quelqu'un dépose une demande ou une réclamation. Si les deux vivent à une adresse publique que l'évaluateur peut ouvrir, c'est plus fort que de les décrire, car cela prouve qu'elles existent hors du document que vous venez d'écrire.

Une date de revue et une signature

Quand cela a été revu, quand la prochaine revue est due, et une personne nommée attestant l'exactitude à ce jour. C'est la ligne qui transforme une description en preuve d'un processus, et c'est pourquoi le même contenu signé se lit mieux que non signé.

Ce qu'on demande, et ce qui y répond vraiment

"Merci de transmettre votre documentation protection des données."

Le dossier : traitements, sous-traitants, transferts, mesures, procédures, signé et daté.

Votre registre, rendu

"Qui sont vos sous-traitants et où sont nos données ?"

Le tableau avec entité, finalité, pays et accord, plus l'URL publique si vous en publiez une.

Votre registre de prestataires

"Confirmez si les données sortent de l'UE."

Destinataire, pays et mécanisme pour chaque transfert, concordant avec la liste des sous-traitants.

Votre registre : transferts

"Quel est votre délai de notification en cas de violation ?"

Le nombre d'heures et ce qui déclenche le compte à rebours, depuis la procédure que vous appliquez.

Votre procédure de violation

"Avez-vous un DPO ?"

Si vous êtes tenu d'en désigner un, et sinon, la personne nommée responsable à la place.

Votre registre : responsabilité

"Envoyez-nous votre politique de confidentialité."

La version en vigueur avec sa date de publication, incluse dans le dossier plutôt qu'envoyée seule.

Votre politique publiée

"Joignez la synthèse de votre test d'intrusion."

Rien à envoyer pour l'instant. C'est un fait sur votre entreprise, pas un document.

Vous seul pouvez répondre

"Quelles sont vos durées de conservation ?"

La durée par traitement, avec ce qui la déclenche, plutôt qu'un chiffre unique pour toute l'entreprise.

Votre registre : conservation

"Confirmez votre couverture d'assurance cyber."

Rien à envoyer pour l'instant. C'est un fait sur votre entreprise, pas un document.

Vous seul pouvez répondre

À gauche, les formulations que reçoivent les petits fournisseurs. À droite, d'où vient la réponse une fois que vous tenez un registre, plutôt que de la réécrire à chaque fois.

Ce qu'il faut laisser de côté

Les données personnelles. Votre registre décrit comment vous traitez des données personnelles. Il n'en contient jamais. Pas de listes clients, pas de dossiers du personnel, pas d'exemples avec de vrais noms.
Vos notes de risque internes. Le registre que vous tenez pour vous contient des jugements, des relances, des choses que vous savez à corriger. C'est votre document de travail, pas le leur.
Tout ce qui concerne vos autres clients. Nommer ceux pour qui vous travaillez est un problème de confidentialité pour vous et n'apprend rien à l'évaluateur sur ce contrat.
Votre schéma réseau complet ou votre inventaire système. Si on le demande, proposez plutôt une synthèse ou une attestation et dites pourquoi. Les évaluateurs l'acceptent couramment.
Tout ce que vous ne pouvez pas prouver. Si une affirmation ne repose pas sur quelque chose que vous faites vraiment, retirez-la. Une phrase démontée fait relire tout le document avec méfiance.

Le mail d'accompagnement

Quatre phrases, et il fait plus de travail que le document.

Bonjour [nom], vous trouverez ci-joint notre dossier protection des données pour [le service], couvrant nos traitements, nos sous-traitants et transferts, nos mesures de sécurité, et nos procédures de violation et de réclamation. Notre liste de sous-traitants est publiée à [url] et tenue à jour, vous pouvez donc la consulter à tout moment plutôt que de nous écrire. Notre contact protection des données est [nom, e-mail]. Si votre référencement exige plutôt un formulaire précis, envoyez-le-moi et je vous le renvoie cette semaine.

La dernière phrase est la plus utile : elle devance le questionnaire qui arrive quinze jours plus tard, et elle dit à l'évaluateur que vous ne serez pas difficile.

Comment l'envoyer

Un lien vaut mieux qu'une pièce jointe, quand leur processus le permet, car un lien reste à jour et vous voyez qu'il a été ouvert. Mettez une expiration, et révoquez-le à la fin du contrat.
Un PDF quand le portail veut un fichier. Beaucoup de portails fournisseurs n'acceptent pas d'URL. Imprimez le même document plutôt que d'en écrire un second.
Jamais un dossier partagé. Les accès cassent, les permissions sont auditées, et dans un an vous ne saurez plus qui l'a encore.
Envoyez-le à la personne qui a demandé, avec le contact commercial en copie, pour que celui qui attend le contrat voie que cela avance.

Ce qui se passe ensuite

Trois issues, toutes normales. C'est accepté, le contrat avance, et vous n'entendez plus rien. Cela revient avec deux ou trois questions précises, ce qui veut dire que l'évaluateur fait son travail et que le document a été lu sérieusement ; répondez dans le même document et renvoyez-le plutôt que par mail, pour qu'il n'existe qu'une version courante. Ou cela revient avec un questionnaire, parce que leur processus exige leur formulaire quoi que vous ayez envoyé. Dans ce dernier cas le travail n'est pas perdu : le dossier traite la plupart des lignes protection des données, et vous le joignez.

Comment faire pour que le prochain coûte une heure

La plupart des fournisseurs sont sollicités plus d'une fois par an et refont le document à chaque fois, depuis une politique de confidentialité écrite il y a des années et ce que disait le dernier mail. L'alternative est de tenir le registre une fois, et de traiter le dossier comme un rendu de ce registre plutôt que comme un texte que vous rédigez. Alors un changement de prestataire met à jour tous les dossiers futurs, un nouveau client coûte une heure, et la réponse de mars ne peut pas contredire celle de janvier. C'est toute la raison pour laquelle Rowpa construit le dossier depuis un registre au lieu de vous donner un modèle.

Tarifs

Ce guide est gratuit et ne demande pas de compte. Si vous préférez ne pas l'assembler à la main : Rowpa lit votre site, rédige le registre, et en fait le dossier adressé au demandeur, avec vos sous-traitants, transferts, mesures, procédures et un signataire nommé, en lien révocable ou en PDF. Gratuit pour tout construire et lire, chaque section. 49 € une fois (un Pass Dossier) pour envoyer un dossier à un client, régénérations pendant un an incluses, sans carte enregistrée. Ou à partir de Starter 44 €/mois pour trois par mois. Prix HT.

Commencer gratuitement Tous les tarifs

Questions fréquentes

Ils ont demandé notre certificat RGPD. Nous n'en avons pas.

Le certificat RGPD n'existe pas, et l'évaluateur le sait généralement : c'est un raccourci pour "montrez-moi que vous prenez cela au sérieux". Envoyez le dossier, et si vous détenez ISO 27001 ou équivalent, joignez-le avec son échéance. Si vous ne détenez rien, dites ce que vous faites à la place. Personne n'est écarté pour l'absence d'un certificat qui n'existe pas.

Faut-il envoyer notre politique de confidentialité ?

Incluez-la, mais pas comme la réponse. Une politique de confidentialité s'adresse au public au sujet de ses données. La demande porte sur vos opérations et sur leurs données. N'envoyer que la politique est la raison la plus fréquente pour laquelle un dossier revient aussitôt avec des questions.

Quelle longueur pour le document ?

Assez long pour répondre, assez court pour être lu. Pour un petit fournisseur, quelques pages, surtout des tableaux. La longueur n'est pas le signal ; la précision l'est.

Faut-il une relecture juridique avant d'envoyer ?

Pour le dossier, généralement non : il décrit ce que vous faites, et vous en êtes la référence. Pour un accord de traitement qu'on vous demande de signer, qui engage votre responsabilité, une relecture vaut son prix si le contrat le vaut.

Le client est au Royaume-Uni et nous en France. Cela change-t-il quelque chose ?

Cela change la section transferts et peut amener des questions sur la décision d'adéquation britannique. Dites où résident les données et sur quelle base. La forme du dossier ne change pas.

Peut-on réutiliser le même dossier pour le client suivant ?

Le contenu oui, le document non. Un dossier est adressé à un client nommé et délimité à ce que vous faites pour lui, et envoyer le document du client A au client B est négligé et constitue une petite fuite de confidentialité. Régénérez-le depuis le même registre, cela prend quelques minutes.

Pour aller plus loin

Envoyez-le aujourd'hui, pas le week-end prochain.

Construisez tout votre registre gratuitement. Payez seulement quand vous envoyez. Sans carte bancaire.

Créer votre dossier gratuitement