81 questions fréquentes sur la mise en conformité RGPD des TPE

RGPDKit vous permet de constituer une conformité solide en autonomie pour une activité courante de TPE. Pour un contexte complexe, il vous donne une base claire à soumettre au professionnel de votre choix.

C'est le document qui recense les traitements de données personnelles que vous réalisez, leurs finalités et leurs durées de conservation. RGPDKit le construit avec vous à partir d'un questionnaire simple.

Oui. Elle est générée à partir de vos réponses et reflète réellement les données que vous collectez et l'usage que vous en faites, plutôt qu'un texte générique.

Oui. Elle recueille un consentement clair et respecte le choix du visiteur, y compris le refus, conformément aux attentes en matière de cookies et de traceurs.

Oui. Lorsque votre activité évolue, vous mettez à jour vos réponses et RGPDKit actualise vos documents pour qu'ils restent fidèles à vos pratiques.

Aucun. L'abonnement est mensuel, sans engagement, et résiliable à tout moment depuis votre espace.

Oui. Dès qu'elle traite des données personnelles de clients, prospects ou salariés, une TPE est concernée, indépendamment de sa taille ou de son chiffre d'affaires.

Toute information se rapportant à une personne identifiable : un nom, un email, un numéro de téléphone, parfois une simple adresse IP. Gérer des clients ou des salariés, c'est en traiter.

Pour une activité courante, non. En répondant à des questions concrètes sur ce que vous faites des données, on construit un registre solide sans vocabulaire d'expert.

Oui, c'est un document vivant. Un nouveau service ou un nouvel outil ajoute un traitement : le tenir à jour est aussi important que de le créer.

C'est risqué : une politique reprise ailleurs décrit les pratiques de ce site, pas les vôtres. En cas de contrôle ou de plainte, c'est le décalage qui pose problème.

Dans un endroit accessible depuis toutes les pages, généralement en pied de page, aux côtés des mentions légales, pour que le visiteur la trouve facilement.

Non. Si refuser est impossible ou laborieux, le consentement n'est pas valable. Accepter et refuser doivent être aussi simples et accessibles l'un que l'autre.

En utilisant le moins de traceurs possible. Un site sobre, sans cookies publicitaires, allège la bannière et rassure le visiteur sur le respect de sa vie privée.

Oui, avant de communiquer ou d'effacer des données, assurez-vous que le demandeur est bien la personne concernée. Répondre à un imposteur serait une faille de sécurité.

En sachant où sont les données. Un registre à jour et des fichiers ordonnés rendent chaque demande gérable, là où des données éparpillées la transforment en chasse au trésor.

Les mentions légales identifient l'éditeur et l'hébergeur du site. La politique de confidentialité informe sur le traitement des données personnelles. Les deux se complètent et se renvoient l'une à l'autre.

Oui. Un changement d'adresse, d'hébergeur ou de responsable de publication doit s'y refléter. Des mentions périmées valent presque une absence de mentions.

L'erreur humaine, bien plus que le piratage sophistiqué : une pièce jointe malheureuse, un mot de passe faible. Sensibiliser son équipe vaut tous les logiciels.

La conformité ne vaut rien sans sécurité concrète. Un registre parfait ne protège pas des fichiers clients laissés en clair sur un poste partagé.

Ce n'est pas interdit, mais cela suppose des garanties appropriées. Le savoir et le documenter fait partie de votre maîtrise de la chaîne de sous-traitance.

En privilégiant des prestataires qui prennent le sujet au sérieux : hébergement en Europe, sécurité documentée, pas de revente de données. C'est la meilleure protection.

Identifier ce qui a fuité et son ampleur, prendre des mesures pour limiter les dégâts, puis documenter l'incident et les actions menées. Informer les personnes si le risque le justifie.

Aucune sécurité n'est parfaite. Ce qui compte, c'est la capacité à réagir vite et correctement, à limiter les conséquences et à en tirer les leçons pour renforcer ses pratiques.

Elles se conservent le temps d'étudier la candidature, puis se suppriment, sauf si la personne accepte d'être recontactée plus tard pour un autre poste. Dans ce cas, informez-la de la durée retenue et tenez cette promesse.

Les sauvegardes obéissent à leur propre cycle : elles se remplacent au fil des rotations, ce qui fait disparaître la donnée sans intervention manuelle. L'important est de ne pas restaurer une donnée supprimée et de documenter cette logique.

Oui, le visiteur doit savoir combien de temps vous gardez ses données. Indiquez une durée par finalité, exprimée par un point de départ et un délai, plutôt qu'une formule vague comme la durée nécessaire, qui n'informe personne.

Une adresse nominative identifie une personne et relève pleinement du RGPD. Une adresse générique de service identifie moins directement quelqu'un, mais la prudence reste la même : information claire, message en rapport avec l'activité et possibilité de refuser les envois.

La relance d'un client sur des produits ou services analogues à ceux qu'il a déjà obtenus est généralement admise, à condition qu'il ait été informé lors de la vente et qu'il puisse s'y opposer à chaque message.

Fixez une durée d'inactivité au-delà de laquelle le contact sort de la base, par exemple à compter du dernier échange. Nettoyer sa liste réduit le volume de données conservées et rend les statistiques d'envoi plus lisibles.

Parce qu'une heure passée sur la conformité est une heure qui n'est pas passée à produire ou à vendre. La valoriser à votre taux horaire rend les trois démarches comparables ; vous pouvez aussi indiquer une valeur plus basse si ce temps se prend en dehors des heures facturables.

C'est un ordre de grandeur pour une activité courante : comprendre les notions, recenser les traitements, rédiger la politique de confidentialité et les mentions légales, puis vérifier ses outils. Une activité avec beaucoup de sous-traitants ou des données sensibles demande davantage.

Non, il vous dit seulement combien coûte chaque démarche. Un cabinet ou un délégué à la protection des données devient pertinent quand les traitements sont complexes ou risqués, quel que soit le coût. Pour une activité courante, une démarche guidée suffit souvent.

Oui, et c'est une pratique fréquente : les documents produits par un logiciel guidé servent de base à une relecture ponctuelle. Ajoutez le montant de cette relecture aux honoraires initiaux du cabinet pour simuler ce scénario mixte.

Parce que la relation avec une catégorie de personnes poursuit presque toujours deux finalités distinctes, par exemple gérer les commandes et tenir la comptabilité pour les clients. Les décrire séparément rend le registre plus clair et facilite les mises à jour. Ajustez le résultat si votre cas est plus simple.

Dès qu'une structure traite des données personnelles de façon régulière, ce qui est le cas de toute activité avec des clients ou des salariés, le registre est attendu. Sa taille reste proportionnée : pour une activité courante, une dizaine de traitements suffit souvent.

Augmentez le temps hebdomadaire consacré au chantier, ou réduisez le temps par traitement en vous appuyant sur un questionnaire guidé qui propose les réponses usuelles. Documenter d'abord les traitements principaux permet aussi d'avoir un registre présentable rapidement, puis de le compléter.

Oui, chaque traitement mentionne ses destinataires et les prestataires qui y participent, comme l'hébergeur ou le service d'emailing. C'est pour cela que l'estimateur ajoute un temps de vérification par outil : il faut savoir où sont les données et quelles garanties le prestataire propose.

Non, si vous ne déposez aucun traceur non nécessaire, une bannière n'a pas d'objet et risque même de gêner le visiteur pour rien. Une information claire dans la politique de confidentialité sur les cookies techniques éventuels suffit. Vérifiez tout de même ce que votre hébergeur ou votre thème charge.

Selon les recommandations des autorités de contrôle, non : le refus doit être aussi simple que l'acceptation, au même niveau et sans parcours supplémentaire, et le site doit respecter ce refus en ne déposant aucun traceur non nécessaire. Une bannière qui se contente d'informer ne recueille pas de consentement au sens de ces recommandations, à vérifier dans leur version en vigueur.

En choisissant un outil de mesure configuré pour produire des statistiques agrégées, sans suivi individuel ni recoupement, dans le cadre des conditions de dispense à vérifier. Vous perdez certaines analyses fines, mais vous mesurez toute votre audience plutôt qu'une fraction.

Souvent, oui : un lecteur vidéo ou une carte chargés depuis un service tiers déposent des traceurs dès l'affichage de la page, avant tout accord. La solution consiste à afficher une image cliquable et à ne charger le contenu tiers qu'après le clic ou le consentement, ou à utiliser le mode renforcé proposé par certains services.

Non, c'est un ordre de grandeur pour lancer la simulation. Le taux réel dépend de votre public, de la présentation de la bannière et de la confiance dans votre marque. Remplacez-le par la valeur observée dans votre outil de consentement dès que vous en disposez.

Oui, dès qu'elle traite des données personnelles : fichier clients, devis, paie, formulaire de contact. Les obligations sont proportionnées à l'activité et aux risques, mais le registre, l'information des personnes et la sécurité de base s'appliquent quelle que soit la taille de la structure.

Non. Pour une activité courante, une TPE peut constituer son registre et rédiger ses documents seule ou avec un logiciel guidé. Un cabinet devient utile pour des activités sensibles, des données de santé, des transferts internationaux ou des questions contractuelles complexes.

Par le registre des traitements. C'est le document que l'on vous demandera en premier, et tous les autres en découlent : la politique de confidentialité reprend ce qu'il décrit, les mentions sur les formulaires aussi, et il sert de base pour répondre aux demandes d'accès.

Pas nécessairement. Sans mesure d'audience individualisée, sans publicité ni contenu tiers, aucun consentement n'est requis. Dès qu'un outil de statistiques classique, une vidéo intégrée ou un bouton de partage est présent, la bannière devient nécessaire. Un simulateur permet de trancher selon vos outils.

Le règlement ne fixe pas de durée unique : c'est à vous de la définir selon la finalité, en tenant compte des obligations comptables, fiscales et sociales qui imposent parfois des conservations longues. L'important est de décider une durée, de l'écrire au registre et de l'appliquer réellement.

Accusez réception sans attendre, vérifiez l'identité du demandeur, puis parcourez chaque outil listé au registre pour retrouver ses données. Répondez par écrit dans le délai prévu par le règlement, et notez la demande et la réponse pour garder une trace. En cas de doute sérieux, faites-vous conseiller ponctuellement.

Le format n'est pas imposé : ce qui compte est que le registre décrive fidèlement les traitements, avec les informations attendues pour chacun. Un tableur complet et à jour vaut mieux qu'un logiciel rempli à moitié.

Oui. Les traitements déjà identifiés servent de base aux réponses du questionnaire, et les informations manquantes, durées de conservation ou sous-traitants par exemple, se complètent au fil des questions.

Cela dépend entièrement de l'activité : un indépendant sans salarié en compte souvent une poignée, un commerce avec un site, une newsletter et du personnel en compte davantage. L'estimateur de temps du site aide à se situer.

Souvent oui, puisque le cabinet apporte la relecture que le tableur ne fournit pas. La question devient alors celle du coût de cette relecture annuelle par rapport à un outil qui guide la saisie en continu.

Comme base de travail, oui, à condition de supprimer tout ce qui ne correspond pas à l'activité et d'ajouter ce qui manque. Publié tel quel, il décrit une entreprise qui n'est pas la vôtre.

Pas nécessairement : tout dépend des outils installés. Un site sans statistiques d'audience ni contenu tiers peut s'en passer. Le simulateur de bannière cookies du site aide à répondre selon votre configuration.

Oui, systématiquement. Ils reflètent les réponses données au questionnaire ; une réponse approximative produit un texte approximatif. La relecture prend peu de temps et reste de la responsabilité du dirigeant.

C'est fréquent : certains dirigeants génèrent la base avec un outil puis ajustent quelques formulations à la main, ou rédigent seuls les mentions légales et utilisent l'outil pour le registre et la politique.

Non. Rien n'impose de recourir à un conseil extérieur. Le dirigeant est responsable de sa conformité et peut la mener seul, avec un guide, un tableur ou un outil, à condition de documenter sa démarche.

Oui. Le registre et les documents s'exportent et servent de base à une relecture. C'est une façon de limiter les honoraires : le consultant vérifie et complète au lieu de partir de zéro.

Les données de santé, les données de mineurs, la surveillance des personnes ou le croisement de fichiers sont des signaux. En cas de doute, une consultation ponctuelle vaut mieux qu'une hypothèse hasardeuse.

Sans contrat de suivi, la mise à jour vous revient. C'est précisément le cas où un outil guidé, qui régénère les documents à partir des réponses modifiées, se révèle utile entre deux interventions du conseil.

Oui, dès qu'il traite des données de personnes identifiables : clients, prospects, contacts. La taille de la structure ne change rien au principe, seulement à l'ampleur du travail de documentation, qui reste modeste pour une activité simple.

Dans la plupart des situations courantes, oui, et c'est de toute façon la meilleure façon de démontrer sa démarche. Pour un indépendant, ce registre compte souvent peu de lignes et se constitue en une ou deux heures.

Il n'existe pas d'attestation officielle unique. Le client attend généralement un registre à jour, une politique de confidentialité publiée et une description des données traitées pour son compte, éventuellement complétée par une clause dans le contrat.

Uniquement si le site dépose des cookies qui nécessitent un consentement, par exemple via un outil de statistiques ou des contenus tiers. Un site purement informatif, sans ces outils, peut s'en dispenser.

Oui. Le RGPD s'applique aux données traitées, pas au canal : un fichier clients dans la caisse, un cahier de rendez-vous ou une carte de fidélité sont des traitements, même sans site web ni newsletter.

Oui, au moment de collecter leur adresse ou leur numéro : dire à quoi servira le contact et comment se désinscrire. Une simple mention en caisse ou sur le formulaire de fidélité, claire et visible, joue ce rôle.

Cela dépend de la nature des documents : un devis ou une facture répondent à des obligations comptables, un simple contact commercial n'a pas la même durée. Le registre fixe une durée par traitement, à vérifier selon les textes en vigueur.

Le questionnaire couvre les traitements liés au personnel : recrutement, contrats, paie, temps de travail. Il les documente dans le registre et dans les informations à fournir aux salariés, sans remplacer les conseils d'un expert en droit social.

Pas forcément : elle couvre les fonctions de base de la plateforme, pas toujours les extensions ajoutées ensuite. Il faut vérifier, depuis un navigateur vierge, qu'aucun traceur soumis à consentement ne se déclenche avant le choix du visiteur.

Non, pas celles qu'une obligation comptable ou légale impose de conserver, comme les factures. Vous supprimez le reste et expliquez au client ce qui est conservé, pour quelle raison et pour combien de temps.

Cela dépend de son rôle et de ses conditions : certains prestataires agissent pour leur propre compte, d'autres pour le vôtre. Dans tous les cas, il doit figurer dans votre politique de confidentialité comme destinataire des données de paiement.

RGPDKit génère les documents et le script de bannière ; leur installation se fait dans les réglages de la plateforme ou du thème, comme pour tout texte légal. Aucune connexion technique à la boutique n'est requise.

La question dépend de la nature des traitements réalisés et des exceptions prévues par les textes, à vérifier selon les textes en vigueur. Dans les faits, un registre même court reste le moyen le plus simple de prouver la démarche et de retrouver ce que l'entreprise fait des données.

L'inventaire vient toujours en premier, car les documents publiés et le registre découlent de ce que l'entreprise fait réellement. Le site web et la sécurité peuvent avancer en parallèle ensuite, et l'organisation des réponses aux demandes se met en place dès que le registre existe.

Cela varie selon le nombre d'outils et d'activités. Une TPE avec un site vitrine, une facturation et une messagerie boucle souvent l'inventaire et le registre en quelques heures réparties sur plusieurs jours ; l'estimateur de temps du site donne un ordre de grandeur adapté à votre situation.

Un passage complet chaque année est une bonne habitude, mais l'essentiel est de reprendre les points concernés à chaque changement : nouvel outil, nouveau formulaire, nouveau prestataire ou départ d'un collaborateur qui avait des accès.

Il n'y a pas de nombre imposé. Une petite entreprise compte souvent entre cinq et dix traitements : clients et facturation, prospection, fournisseurs, paie et personnel, recrutement, site web et cookies, éventuellement newsletter ou vidéosurveillance. L'important est de couvrir toutes les activités réelles.

On indique ce qui autorise l'entreprise à utiliser les données : l'exécution d'un contrat pour un client, une obligation légale pour la comptabilité ou la paie, l'intérêt légitime pour une prospection mesurée, ou le consentement pour une newsletter. Le choix est à vérifier selon les textes en vigueur.

Oui, c'est même une bonne façon de procéder. La version papier permet de faire l'inventaire avec l'équipe, puis la saisie dans un tableur ou un logiciel guidé comme RGPDKit facilite la mise à jour et la génération des documents qui en découlent.

On part de l'usage réel : tant que la relation existe, puis un archivage limité à ce qu'imposent les obligations comptables, fiscales ou sociales. Les durées précises sont à vérifier selon les textes en vigueur, et il vaut mieux noter une durée raisonnable et la réviser que laisser la case vide.