Qu'est-ce que la conformité RGPD ? Un guide pratique pour les équipes SaaS

Le Règlement Général sur la Protection des Données (RGPD) est la loi phare de l’Union européenne en matière de protection de la vie privée, entrée en vigueur le 25 mai 2018. Il régit la manière dont les organisations collectent, traitent et stockent les données personnelles des individus dans l’UE et l’Espace économique européen (EEE).

Si votre produit SaaS sert des clients de l’UE — ou même si vous avez des employés basés dans l’UE — le RGPD s’applique probablement à vous.

Qui doit se conformer au RGPD ?

Le RGPD s’applique à toute organisation qui :

• Est établie dans l’UE/l’EEE, quel que soit le lieu où le traitement des données a lieu
• Propose des biens ou services à des personnes dans l’UE/l’EEE (même si l’entreprise est basée ailleurs)
• Surveille le comportement de personnes dans l’UE/l’EEE (par exemple, suivi de sites web, analyses)

Cela signifie qu’une entreprise SaaS basée aux États-Unis avec des clients dans l’UE est toujours soumise au RGPD.

Les six bases juridiques du traitement

Selon le RGPD, vous avez besoin d’une base juridique pour traiter des données personnelles. Il en existe six :

1. Consentement — La personne a donné un consentement clair pour un objectif spécifique
2. Contrat — Le traitement est nécessaire à l’exécution d’un contrat
3. Obligation légale — Le traitement est requis par la loi
4. Intérêts vitaux — Le traitement est nécessaire pour protéger la vie d’une personne
5. Mission d’intérêt public — Le traitement est nécessaire pour une fonction officielle
6. Intérêts légitimes — Le traitement est nécessaire pour vos intérêts légitimes, en balance avec les droits de la personne

Pour la plupart des entreprises SaaS, le contrat et les intérêts légitimes sont les bases les plus couramment utilisées, le consentement étant utilisé pour les activités marketing.

Exigences clés du RGPD pour les équipes SaaS

1. Registre des activités de traitement (RAT)

L’article 30 exige que vous mainteniez un registre de toutes les activités de traitement. Celui-ci comprend :

• Quelles données personnelles vous collectez
• Pourquoi vous les collectez (finalité et base juridique)
• Avec qui vous les partagez
• Combien de temps vous les conservez
• Quelles mesures de sécurité vous avez mises en place

2. Avis de confidentialité

Vous devez fournir des informations claires et transparentes sur la manière dont vous traitez les données personnelles. Votre avis de confidentialité doit être rédigé dans un langage simple et couvrir toutes les divulgations requises par les articles 13 et 14.

3. Droits des personnes concernées

Les individus ont des droits spécifiques en vertu du RGPD, et vous devez avoir des processus pour traiter les demandes :

• Droit d’accès (DSAR) — Les personnes peuvent demander une copie de leurs données
• Droit de rectification — Corriger les données inexactes
• Droit à l’effacement — Supprimer les données quand il n’y a plus de base juridique pour les conserver
• Droit à la portabilité — Fournir les données dans un format lisible par machine
• Droit d’opposition — Arrêter le traitement basé sur les intérêts légitimes

Vous avez 30 jours pour répondre à la plupart des demandes.

4. Gestion des sous-traitants et DPA

Si vous utilisez des sous-traitants (d’autres outils SaaS qui traitent les données de vos utilisateurs), vous avez besoin d’Accords de Traitement de Données (DPA) avec chacun d’eux. Ces contrats garantissent que vos sous-traitants respectent également les exigences du RGPD.

5. Transferts internationaux de données

Le transfert de données personnelles en dehors de l’UE/l’EEE nécessite des garanties appropriées :

• Clauses contractuelles types (CCT) — Le mécanisme le plus courant
• Décisions d’adéquation — Certains pays sont jugés adéquats par la Commission européenne
• Règles d’entreprise contraignantes — Pour les transferts intra-groupe

6. Notification de violation de données

En cas de violation présentant un risque pour les droits des personnes :

• Notifiez l’autorité de contrôle dans les 72 heures
• Notifiez les personnes concernées s’il y a un risque élevé pour leurs droits

Pour commencer : une checklist pratique

Voici une approche pragmatique pour les équipes SaaS :

• Cartographiez vos flux de données — sachez quelles données personnelles vous collectez et où elles vont
• Créez votre RAT avec toutes les activités de traitement documentées
• Révisez et mettez à jour votre avis de confidentialité
• Mettez en place un processus de traitement des demandes des personnes concernées
• Inventoriez vos sous-traitants et assurez-vous que les DPA sont en place
• Documentez votre base juridique pour chaque activité de traitement
• Mettez en œuvre des mesures de sécurité appropriées
• Formez votre équipe aux bases du RGPD

Comment GRCTrail aide

GRCTrail est conçu pour aider les petites équipes SaaS à gérer la conformité RGPD sans les contraintes des outils d’entreprise. Il vous offre :

• Des tâches RGPD guidées qui vous accompagnent à travers chaque exigence
• Des modèles d’activités de traitement pour ne pas partir de zéro
• Le suivi des sous-traitants et DPA en un seul endroit
• La surveillance des avis de confidentialité pour détecter automatiquement les changements
• Des rappels de délais pour que rien ne passe entre les mailles du filet

Au lieu de tableurs et de documents éparpillés, vous disposez d’un espace de travail unique pour toutes vos opérations RGPD.

---

Des questions sur la conformité RGPD pour votre équipe SaaS ? Contactez-nous — nous sommes là pour vous aider.