Questions fréquentes

Toute organisation qui collecte ou traite des données personnelles de résidents européens : entreprises (TPE, PME, grands groupes), associations, collectivités, professions libérales. La taille ne compte pas : dès que vous gérez un fichier clients, le RGPD s’applique.

Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. La CNIL dispose aussi de mesures progressives : rappel à l’ordre, mise en demeure, injonction et amende.

Le DPO (Délégué à la Protection des Données) veille à la conformité RGPD. Il peut être interne ou externe (DPO externalisé). Sa désignation est obligatoire pour les organismes publics et les entreprises traitant des données sensibles à grande échelle.

Le registre des traitements (Article 30 du RGPD) recense toutes vos activités de traitement de données personnelles : finalités, catégories de données, destinataires, durées de conservation et mesures de sécurité. C’est le premier document demandé lors d’un contrôle CNIL.

Toute information permettant d’identifier une personne physique, directement ou indirectement : nom, e-mail, téléphone, adresse IP, cookies, numéro de sécurité sociale. Certaines données sont sensibles (santé, biométrie, opinions politiques) et font l’objet de protections renforcées.

L’Article 6 définit six bases légales : consentement, contrat, obligation légale, intérêt vital, mission d’intérêt public et intérêts légitimes. Chaque traitement doit s’appuyer sur l’une d’elles, identifiée avant le début du traitement.

Vous devez notifier la CNIL dans les 72 heures (Article 33) si la violation présente un risque pour les personnes. Si le risque est élevé, vous devez aussi informer les personnes concernées (Article 34). L’incident doit être documenté dans votre registre des violations.

Le RGPD confère 6 droits principaux : accès (Art. 15), rectification (Art. 16), effacement (Art. 17), limitation (Art. 18), portabilité (Art. 20) et opposition (Art. 21). L’organisation doit répondre sous 1 mois.

L’Analyse d’Impact relative à la Protection des Données (Article 35) est obligatoire pour les traitements à risque élevé (surveillance, données sensibles, décisions automatisées). Elle comprend la description du traitement, l’évaluation des risques et les mesures d’atténuation.

Oui. L’Article 28 impose un contrat de sous-traitance (DPA) détaillant les obligations du sous-traitant : sécurité, confidentialité, notification des violations, suppression des données en fin de contrat. Le responsable de traitement reste garant de la conformité.

Le consentement doit être libre, spécifique, éclairé et univoque (Article 7). Les cases pré-cochées sont interdites. La personne doit pouvoir retirer son consentement aussi facilement qu’elle l’a donné.

Le Privacy by Design (Article 25) impose de protéger les données dès la conception d’un produit ou service : minimisation des données, pseudonymisation, paramètres de confidentialité par défaut.

Oui, sous conditions strictes (Chapitre V) : décision d’adéquation de la Commission, clauses contractuelles types (CCT), règles d’entreprise contraignantes (BCR) ou consentement explicite. Depuis l’arrêt Schrems II, les transferts vers les États-Unis nécessitent le Data Privacy Framework.

Le responsable de traitement détermine les finalités et les moyens du traitement. Le sous-traitant traite les données pour le compte du responsable, selon ses instructions. Un même acteur peut être les deux selon le contexte.

Le DPO peut être un salarié (mutualisé ou dédié) ou un prestataire externe. Il doit disposer de compétences en droit et en protection des données, d’une indépendance fonctionnelle et de moyens suffisants. Sa désignation se fait auprès de la CNIL via un formulaire en ligne.

Le RGPD impose le principe de limitation de conservation (Article 5). Les données ne doivent pas être conservées au-delà de la durée nécessaire à la finalité du traitement. Des référentiels CNIL précisent les durées par secteur.

Principe fondamental (Article 5) : ne collecter que les données strictement nécessaires à la finalité du traitement. Exemple : un formulaire de contact n’a pas besoin de la date de naissance.

Les cookies non essentiels nécessitent un consentement préalable (directive ePrivacy + RGPD). Vous devez : informer sur chaque finalité, permettre un refus aussi simple que l’acceptation, ne déposer aucun cookie avant consentement, et conserver la preuve du choix. La CNIL recommande un renouvellement tous les 6 mois.

Oui, dès lors que les données sont organisées dans un fichier structuré (classeur, répertoire, dossier). Un carnet de contacts rangé par ordre alphabétique, un registre du personnel papier ou un dossier client physique relèvent du RGPD.

Absolument. RGPD Facile a été conçu spécifiquement pour les TPE, PME et associations. L’interface est simple, les modèles sont pré-remplis et aucune compétence juridique n’est requise.

Un abonnement couvre une entité juridique (un SIREN). Si vous suivez plusieurs entités, chacune a son propre abonnement et sa propre base de données.

RGPD Facile propose des modèles sectoriels pré-remplis (RH, marketing, comptabilité, vidéosurveillance, santé, éducation…). 80 % du travail est déjà fait. Vous sélectionnez les traitements, personnalisez les détails et votre registre est prêt en 2 heures au lieu de 2-3 semaines.

Oui. Hébergement en France (OVHcloud), données sensibles chiffrées en AES-256 avec une clé propre à chaque client, HTTPS/TLS en transit, hachage Argon2ID pour les mots de passe, sauvegardes quotidiennes des bases de données. L'assistant IA est désactivé par défaut : vous décidez de l'activer. S'il est activé, le contenu que vous lui soumettez est traité par Anthropic, aux États-Unis.

Oui, vos données vous appartiennent. Export disponible aux formats PDF, CSV et ZIP avec certificat d’export. À la fin du contrat, vos données restent disponibles 60 jours pour leur restitution. À l’issue de ce délai, notre équipe lance leur suppression : la clé de chiffrement de votre organisation est désactivée, puis détruite sept jours plus tard, ce qui rend vos données sensibles définitivement illisibles, y compris dans les sauvegardes.

Les deux offres incluent les mêmes modules : AIPD, Violations, Contrats, Documents, IA Act, Privacy by Design, Rapports, Exercice des droits, Sous-traitants, Registre des traitements. La seule différence entre les deux offres est l’assistant IA.

Le module centralise toutes les demandes (accès, rectification, effacement, portabilité). Il gère le suivi des délais légaux (30 jours), propose des modèles de réponse conformes CNIL et classe automatiquement les demandes par type et priorité.

Oui. Le module AIPD suit la méthodologie CNIL : questionnaire guidé, évaluation des risques assistée, scoring automatique et rapport structuré prêt à présenter. Vous pouvez pré-remplir depuis vos analyses précédentes.

Oui. Le tableau de bord affiche en temps réel votre score de conformité, les indicateurs clés, les tâches en retard et les alertes.

Stockez et organisez tous vos documents RGPD : politiques, procédures, contrats, preuves de conformité. Versionnage et contrôle d’accès par rôle.

Oui, dans l'offre Intégrale. 1 200 crédits par mois sont inclus. Boosters complémentaires disponibles. L'assistant IA est désactivé par défaut : vous décidez de l'activer. S'il est activé, le contenu que vous lui soumettez est traité par Anthropic, aux États-Unis.

Oui. Chaque organisation que vous accompagnez dispose de son propre abonnement, par SIREN, et d’un espace strictement cloisonné.

Oui. Les modèles pré-remplis servent de point de départ. Vous pouvez modifier chaque champ, ajouter vos propres traitements, créer des modèles personnalisés et les réutiliser.

Plus de 30 secteurs : RH, marketing, comptabilité, vidéosurveillance, santé, éducation, immobilier, BTP, commerce, artisanat, transport, hôtellerie, restauration, collectivités, associations… Les modèles sont régulièrement mis à jour.

Oui. L’interface est responsive et s’adapte à tous les écrans (ordinateur, tablette, smartphone). Aucune application à installer.

Les deux offres incluent le support, par le formulaire de contact ou depuis votre espace : nous visons une réponse sous 2 jours ouvrés. Un centre d’aide avec documentation et tutoriels guidés est également disponible.

Oui. Un module dédié permet de documenter chaque incident : nature, données impactées, mesures prises, notification CNIL et information des personnes. Le suivi des délais légaux (72 h) est automatisé.

Un tableur ne gère ni les délais légaux, ni les alertes, ni les droits d’accès, ni l’audit trail. RGPD Facile automatise 80 % du travail, centralise la documentation et génère des rapports prêts pour la CNIL. Un fichier Excel® n’a jamais convaincu un contrôleur.

Oui. Les deux offres incluent des utilisateurs illimités. Chaque utilisateur dispose de droits paramétrables (administrateur, utilisateur).

Hébergement OVH France, analytics Matomo (recommandé CNIL), paiements Stripe. L'assistant IA est désactivé par défaut : vous décidez de l'activer. S'il est activé, le contenu que vous lui soumettez est traité par Anthropic, aux États-Unis. Aucun outil américain n’est utilisé pour le stockage de vos données.

RGPD Facile a été créé par un DPO de terrain qui a vécu les problèmes de terrain. Ce n’est pas un logiciel conçu par des développeurs qui ont lu le RGPD. Chaque fonctionnalité répond à un besoin réel. En savoir plus.

Non. RGPD Facile est un outil d’aide à la conformité. Il facilite le travail du DPO ou du référent RGPD mais ne remplace pas l’expertise humaine. Si vous n’avez pas de DPO, RGPD Facile vous guide pas à pas dans les fondamentaux.

Une seule : l’assistant IA. Les deux offres incluent les mêmes modules, des utilisateurs illimités et aucun quota disque. L'offre Intégrale inclut 1 200 crédits par mois. Boosters complémentaires disponibles.

Un abonnement couvre une entité juridique (un SIREN), avec tous les modules, des utilisateurs illimités et aucun quota disque.

Sans engagement, l'abonnement se résilie chaque mois. Avec l'engagement de 12 mois, vous payez l'année en une fois ou chaque mois, à prix réduit : 2 mois offerts sur la durée de l'engagement. À la fin des 12 mois, l'engagement est reconduit pour 12 mois. Nous vous prévenons par courriel 3 mois puis 1 mois avant le terme, et vous pouvez refuser la reconduction jusqu'au terme, son dernier jour, inclus. Mensualité avec engagement : Essentielle à 95,00 € HT/mois, Intégrale à 165,00 € HT/mois.

Sans engagement, l’abonnement se résilie chaque mois. Avec un engagement, celui-ci est reconduit à son terme pour la même durée : nous vous prévenons par courriel 3 mois puis 1 mois avant le terme, et vous pouvez refuser la reconduction jusqu’au terme, son dernier jour, inclus.

Oui. Passer à l'offre Intégrale prend effet tout de suite ; le nouveau prix s'applique à partir de votre prochaine échéance. Revenir à l'offre Essentielle prend effet à votre prochaine date anniversaire, ou à la fin de votre engagement si vous en avez pris un.

Deux modes de paiement, ouverts à tous : la carte bancaire, ou le bon de commande, avec une facture réglée par virement. Pour les personnes publiques, la facture est déposée sur Chorus Pro.

Le prix est le même pour tous. Deux modes de paiement, ouverts à tous : la carte bancaire, ou le bon de commande, avec une facture réglée par virement. Pour les personnes publiques, la facture est déposée sur Chorus Pro.

Les prix affichés sont hors taxes (HT). La TVA de 20 % s’ajoute. Les offres sont vendues en France.

Rien n’est débité : l’Offre découverte ne demande pas de carte bancaire. Pour continuer, vous souscrivez l’une des deux offres.

Oui. Les mises à jour fonctionnelles et réglementaires sont incluses dans l’abonnement.

Oui. Une facture est émise à chaque échéance.

Oui, à 3 niveaux : en transit (HTTPS/TLS), au repos (données sensibles chiffrées en AES-256 avec une clé propre à chaque client, gardée chez OVHcloud, et fichiers de la base de données chiffrés) et mots de passe (Argon2ID).

Oui. Les bases de données font l’objet de sauvegardes automatiques quotidiennes, chiffrées et conservées sur un autre serveur que celui de production. Les documents que vous déposez sont chiffrés avec la clé de votre organisation et sauvegardés chaque nuit. La restauration est testée régulièrement.

Seuls les membres autorisés de l’équipe technique. L’accès est tracé, limité au strict nécessaire et soumis à des règles de confidentialité. Aucun accès commercial n’est possible.

Bien sûr. Registre des traitements tenu à jour, politique de confidentialité publiée, mesures de sécurité techniques et organisationnelles, gestion des droits et DPO désigné.

Procédure documentée : identification et confinement, évaluation d’impact, notification CNIL sous 72 h si nécessaire, information des clients, documentation et mesures correctives.

Hébergement en France chez OVHcloud, sauvegardes quotidiennes des bases de données, chiffrées et conservées sur un autre serveur que celui de production, avec une restauration testée régulièrement.

Oui. Un DPA conforme à l’Article 28 est disponible pour chaque client. Il détaille nos obligations en tant que sous-traitant : sécurité, confidentialité, notification, suppression.

Non pour le stockage de vos données. Hébergement OVH (France), analytics Matomo (recommandé CNIL). Stripe (paiement), par son entité irlandaise, ne traite que les données de paiement. L'assistant IA est désactivé par défaut : vous décidez de l'activer. S'il est activé, le contenu que vous lui soumettez est traité par Anthropic, aux États-Unis.

Pas encore : la double authentification n’est pas proposée à ce jour. Les accès sont protégés par une politique de mot de passe robuste et la limitation des tentatives de connexion, et chaque utilisateur suit ses sessions ouvertes et son journal de connexions dans Mon compte, d’où il ferme une session à distance.

Un logiciel malveillant qui chiffre vos données et exige une rançon pour les débloquer. C’est la menace n°1 en France. Les TPE/PME sont des cibles privilégiées car moins protégées. Ne payez jamais la rançon.

Une technique d’escroquerie par e-mail, SMS ou appel se faisant passer pour un organisme légitime (banque, impôts, fournisseur). L’objectif est de voler vos identifiants ou données bancaires. Vérifiez toujours l’expéditeur et ne cliquez jamais sur un lien suspect.

Un bon mot de passe est long (12+ caractères), unique par service, et mélange majuscules, minuscules, chiffres et caractères spéciaux. Utilisez un gestionnaire de mots de passe (Bitwarden, KeePass). Activez la double authentification (2FA) partout où c’est possible.

Un deuxième facteur de vérification en plus du mot de passe : code SMS, application TOTP (Google Authenticator) ou clé physique (YubiKey). Même si votre mot de passe est volé, le pirate ne peut pas accéder à votre compte.

L’exposition non autorisée de données personnelles : piratage, erreur humaine, mauvaise configuration. Vérifiez si vos emails ont été compromis sur Have I Been Pwned. En cas de fuite, changez vos mots de passe immédiatement.

La manipulation psychologique pour obtenir des informations confidentielles : se faire passer pour un supérieur (arnaque au président), un technicien, un fournisseur. La meilleure défense est la sensibilisation des équipes et la vérification systématique des demandes inhabituelles.

Activez la 2FA, utilisez un mot de passe unique et fort, ne cliquez jamais sur les liens suspects, méfiez-vous des pièces jointes inattendues. Configurez le SPF, DKIM et DMARC sur votre domaine pour éviter l’usurpation.

Un réseau privé virtuel chiffre votre connexion internet. Indispensable en télétravail et sur les Wi-Fi publics (hôtels, cafés, gares). Il empêche l’interception de vos données en transit.

VPN obligatoire, 2FA sur tous les accès, chiffrement du disque dur, verrouillage automatique de session, séparation pro/perso, mises à jour système et antivirus à jour. Formez vos collaborateurs aux risques.

Oui. Selon l’ANSSI, 43 % des cyberattaques visent les petites entreprises. Elles sont perçues comme des cibles faciles car moins protégées. Le coût moyen d’une cyberattaque pour une PME est estimé à 50 000 €.

La directive européenne NIS2 (2023) élargit les obligations de cybersécurité à de nombreux secteurs (santé, transports, énergie, administrations). Elle impose des mesures de gestion des risques, de notification d’incidents et de gouvernance.

1) Déconnectez les machines infectées du réseau. 2) Ne payez pas la rançon. 3) Portez plainte (police/gendarmerie). 4) Contactez cybermalveillance.gouv.fr. 5) Notifiez la CNIL si des données personnelles sont concernées.

Le Bring Your Own Device (utiliser son appareil personnel au travail) pose des risques : mélange données pro/perso, absence de chiffrement, applications non contrôlées. Si vous l’autorisez, encadrez-le par une charte informatique.

Formations régulières (au moins annuelles), simulations de phishing, charte informatique signée, affichage des bonnes pratiques. L’ANSSI propose des guides gratuits.

Le message est chiffré sur l’appareil de l’expéditeur et déchiffré uniquement sur celui du destinataire. Personne d’autre (même le fournisseur du service) ne peut lire le contenu. Utilisé par Signal, ProtonMail, WhatsApp.

Un afflux massif de requêtes pour saturer un serveur et le rendre inaccessible. Protection : pare-feu applicatif (WAF), CDN (Cloudflare), surveillance du trafic. Les hébergeurs comme OVH intègrent des protections anti-DDoS.

L’utilisation de logiciels, services cloud ou appareils non approuvés par la DSI (Google Drive perso, WeTransfer, Dropbox). Risque majeur pour le RGPD : données personnelles sur des serveurs non maîtrisés. Identifiez et encadrez ces usages.

Vérifiez : localisation des serveurs (UE/France), certification (ISO 27001, HDS si santé), DPA disponible, chiffrement, politique de sauvegarde, garanties en cas d’incident. Privilégiez les hébergeurs souverains.

Un examen systématique de vos systèmes pour identifier les vulnérabilités : tests d’intrusion (pentest), analyse de configuration, revue des accès. L’Article 32 du RGPD impose de tester régulièrement l’efficacité de vos mesures de sécurité.

VPN d’entreprise, 2FA obligatoire, gestion centralisée des accès (IAM), segmentation réseau, journalisation des connexions. Appliquez le principe du moindre privilège : chaque utilisateur n’accède qu’à ce dont il a besoin.

Un modèle de sécurité qui ne fait confiance à personne par défaut, même à l’intérieur du réseau. Chaque accès est vérifié, chaque appareil authentifié, chaque session contrôlée. C’est l’approche recommandée par l’ANSSI.

Appliquez la règle 3-2-1 : 3 copies de vos données, sur 2 supports différents, dont 1 hors site (cloud, coffre). Testez régulièrement la restauration. Les sauvegardes non testées ne valent rien.

Le phishing par SMS : faux messages d’Améli, de la Poste, de votre banque. Ils contiennent un lien vers un faux site qui vole vos identifiants. Ne cliquez jamais sur un lien reçu par SMS d’un expéditeur inconnu.

Indices : adresse expéditeur suspecte, fautes d’orthographe, urgence exagérée, lien vers un domaine inconnu. Survolez le lien sans cliquer pour vérifier l’URL. En cas de doute, contactez directement l’organisme par un autre canal.

Un escroc se fait passer pour le dirigeant (ou un avocat, un fournisseur) et demande un virement urgent et confidentiel. Prévention : procédure de double validation pour les virements, sensibilisation des équipes comptables, vérification systématique par téléphone.

Dans l’ordre : système d’exploitation, navigateur, antivirus, puis les logiciels métier. Les correctifs de sécurité doivent être appliqués sous 48 heures maximum. Activez les mises à jour automatiques quand c’est possible.

Une assurance couvrant les conséquences financières d’une cyberattaque : frais de gestion de crise, restauration des données, perte d’exploitation, responsabilité civile, frais juridiques. De plus en plus indispensable pour les PME.

Oui et non. L’IA permet aux attaquants de créer des phishing plus crédibles, des deepfakes et des malwares adaptés. Mais elle aide aussi les défenseurs : détection d’anomalies, analyse de logs, réponse automatisée. Formez vos équipes aux risques liés à l’IA.

Plusieurs canaux :

• cybermalveillance.gouv.fr - plateforme nationale d’assistance
• Pré-plainte en ligne - dépôt de plainte simplifié
• 17Cyber - le « 17 » du numérique (urgence)
• ANSSI - pour les incidents majeurs sur les systèmes critiques

Le 17Cyber (17cyber.gouv.fr) est le numéro d’urgence cyber lancé en 2024. Il permet de diagnostiquer la menace, d’obtenir des conseils adaptés et d’être mis en relation avec des prestataires de proximité. Accessible 24h/24.

Oui, si des données personnelles sont concernées et que la violation présente un risque pour les personnes. Vous avez 72 heures pour notifier via le téléservice CNIL. Si le risque est élevé, vous devez aussi informer les personnes concernées.

Rendez-vous au commissariat ou à la gendarmerie avec : captures d’écran, logs, e-mails de rançon, preuves de l’attaque. Vous pouvez aussi utiliser la pré-plainte en ligne. Pour les cas complexes, saisissez le Pôle Cyber de la police/gendarmerie.

1) Changez votre mot de passe immédiatement (sur ce compte et tous ceux utilisant le même). 2) Activez la 2FA. 3) Vérifiez les connexions récentes et les règles de transfert. 4) Prévenez vos contacts. 5) Vérifiez sur Have I Been Pwned.

1) Ne saisissez aucune information (fermez la page). 2) Si vous avez saisi un mot de passe, changez-le immédiatement. 3) Lancez un scan antivirus. 4) Surveillez vos comptes bancaires. 5) Signalez sur Phishing Initiative et PHAROS.

Ressources clés :

• Cybermalveillance.gouv.fr - assistance et prévention
• ANSSI - autorité nationale (guides, alertes)
• CNIL - protection des données
• 17Cyber - urgence cyber
• Signal Spam - signalement de spam

1) Mettez le site hors ligne (page de maintenance). 2) Changez tous les accès (FTP, CMS, BDD, hébergeur). 3) Analysez les logs pour identifier la faille. 4) Restaurez depuis une sauvegarde saine. 5) Corrigez la vulnérabilité. 6) Notifiez la CNIL si des données personnelles sont concernées.

Les 5 règles d’or :

• Mots de passe forts et uniques + gestionnaire
• 2FA partout
• Mises à jour immédiates
• Sauvegardes régulières (règle 3-2-1)
• Méfiance face aux e-mails et liens inattendus

Le Guide d’hygiène informatique de l’ANSSI est une lecture incontournable.