RGPD et applicationmétier sur-mesure

La réponse courte

Le RGPD impose à toute application métier de définir une base légale pour chaque donnée collectée, de ne collecter que le strict nécessaire (minimisation), de permettre l'accès, la rectification et la suppression des données par les personnes concernées, et de tenir un registre des traitements. Côté technique, votre prestataire doit garantir un hébergement en France ou en UE, le chiffrement des données au repos et en transit, une gestion des rôles qui limite les accès, une journalisation des actions sensibles, et une suppression réellement effective (pas seulement un statut « désactivé » en base). Nous ne sommes pas juristes : cet article couvre le volet technique, pas le conseil juridique.

Ce que le RGPD impose concrètement à une application métier

Le RGPD n'est pas une case à cocher, c'est un ensemble d'obligations qui se traduisent en choix techniques dès la conception :

• Base légale : chaque donnée collectée (email, adresse, historique d'achat) doit se rattacher à une base légale claire (contrat, obligation légale, intérêt légitime ou consentement). Un formulaire qui demande une date de naissance « au cas où » n'a pas de base légale.
• Minimisation : on ne collecte que ce qui sert réellement l'usage métier. Un champ « pour plus tard » dans un formulaire est un risque, pas un service.
• Droits des personnes : accès, rectification, suppression, portabilité. Une personne doit pouvoir demander ce que l'application sait d'elle et obtenir une réponse dans un délai raisonnable (le RGPD prévoit environ un mois).
• Registre des traitements : un document qui liste quelles données sont collectées, pourquoi, par qui, et combien de temps elles sont conservées. Ce registre doit correspondre à ce que fait réellement l'application, pas à ce qu'elle faisait il y a deux ans.
• Sous-traitants : hébergeur, service d'emailing, outil de paiement, chacun doit présenter des garanties suffisantes et être encadré par un contrat. Le registre des sous-traitants fait partie du dossier de conformité.

Ce que votre prestataire doit garantir techniquement

La conformité RGPD ne s'arrête pas à un texte de politique de confidentialité. Elle se joue dans l'architecture de l'application :

• Hébergement en France ou en UE : le RGPD accepte l'Union européenne au sens large, mais héberger en France simplifie la conformité et évite les questions sur les transferts hors UE.
• Chiffrement au repos et en transit : les données stockées en base doivent être chiffrées, et toute communication entre le client et le serveur doit passer par HTTPS. C'est la base, pas une option premium.
• Gestion fine des rôles : un commercial ne doit pas voir les données RH, un stagiaire ne doit pas avoir un accès admin par défaut. Le principe est le même que la minimisation, appliqué aux accès internes.
• Journalisation : qui a consulté ou modifié quelle donnée, et quand. Indispensable pour répondre à un incident ou démontrer sa bonne foi en cas de contrôle.
• Suppression effective : quand une donnée doit disparaître, elle doit vraiment disparaître, y compris des sauvegardes à terme, pas seulement passer à un statut « archivé » qui reste consultable.
• Export des données : permettre à une personne de récupérer ses données dans un format exploitable (portabilité), et permettre à l'entreprise elle-même de changer de prestataire sans perdre son historique.

La checklist de questions à poser à votre prestataire

Avant de signer un devis pour une application métier, posez ces questions :

• Où seront hébergées les données, et chez quel hébergeur ?
• Les données sont-elles chiffrées au repos, pas seulement en transit ?
• Comment les rôles et permissions sont-ils gérés dans l'application ?
• Existe-t-il une journalisation des accès et des modifications sur les données sensibles ?
• Que se passe-t-il concrètement quand une donnée doit être supprimée (base, sauvegardes, logs) ?
• Est-il possible d'exporter l'ensemble des données d'un utilisateur dans un format lisible ?
• Quels sous-traitants techniques sont utilisés (emailing, paiement, analytics), et sont-ils listés quelque part ?
• Qui, chez le prestataire, a accès aux données de production, et pourquoi ?

Si l'une de ces questions reste sans réponse claire, c'est un signal à prendre au sérieux avant de démarrer le développement.

Notre approche sur les applications métier

Sur les applications métier sur-mesure que nous développons (gestion des rôles, intégrations, tableaux de bord), la gestion des accès et la traçabilité font partie du cadrage dès le départ, pas d'un correctif ajouté après coup. Nous ne remplaçons pas un avis juridique, mais nous nous assurons que l'architecture technique (hébergement, chiffrement, rôles, suppression) ne devienne pas le point faible de votre conformité. Un projet avec des données sensibles à traiter ? Contactez-nous pour en discuter dès le cadrage.