Mise en conformité RGPD de votre site web
Le volet technique du RGPD : ce que votre site collecte vraiment, et les corrections à apporter dans son code
Une politique de confidentialité bien rédigée ne rend pas un site conforme si le code dépose des cookies avant le consentement, conserve des comptes inactifs depuis dix ans ou ne sait pas supprimer les données d'un utilisateur. La conformité au RGPD se joue en grande partie dans l'application elle-même.
N-SENS réalise l'audit RGPD technique de sites et d'applications web, puis développe les corrections. Nous travaillons aux côtés de votre DPO ou de votre conseil juridique, sur des applications PHP, des marketplaces et des applications métier.
Audit RGPD de site internet
Les six points que nous contrôlons
Cookies et traceurs
Aucun cookie de mesure d'audience ou de publicité avant le consentement, un bouton « Tout refuser » aussi visible que « Tout accepter », un choix mémorisé et modifiable. Nous vérifions ce que le site dépose réellement, pas seulement ce qu'annonce la bannière.
Formulaires
Seules les données nécessaires sont demandées, la finalité est indiquée au moment de la collecte, les cases d'abonnement ne sont pas précochées et les champs sensibles sont justifiés.
Durées de conservation
Comptes inactifs, prospects, journaux, sauvegardes : chaque donnée a une durée, et l'application purge ou anonymise automatiquement ce qui a dépassé la sienne.
Droits des personnes
Accès, rectification, effacement, portabilité, opposition : l'application doit permettre d'y répondre dans le délai d'un mois, idéalement sans requête SQL faite à la main.
Sous-traitants et transferts
Hébergeur, outil d'e-mailing, CRM, analytics, polices et scripts externes : chaque service qui reçoit des données est listé, encadré par un contrat et situé. Les transferts hors de l'Union européenne sont repérés.
Sécurité des données
Chiffrement des échanges et des mots de passe, droits d'accès au back-office, journalisation, sauvegardes. L'article 32 du RGPD impose une sécurité adaptée au risque : c'est le volet que notre audit de sécurité approfondit.
Notre démarche de mise en conformité
- 1
Inventaire technique
Nous parcourons le site et le code : cookies et scripts déposés, formulaires, tables de la base de données, services tiers appelés, journaux et sauvegardes. Vous obtenez la liste factuelle des données collectées et de leur circuit.
- 2
Rapport d'écarts
Chaque écart est décrit avec son niveau de risque et sa correction technique, dans un format que votre DPO ou votre avocat peut reprendre pour le registre des traitements et la politique de confidentialité.
- 3
Corrections
Gestion du consentement, minimisation des formulaires, purges automatiques, export et suppression des données d'un compte, chiffrement : nous développons les corrections dans votre application.
- 4
Privacy by design pour la suite
Les nouvelles fonctionnalités sont conçues avec la protection des données dès le départ (article 25 du RGPD) : c'est moins cher que de corriger après coup.
Ce que nous faisons, et ce qui revient à votre juriste
Le RGPD mêle obligations juridiques et mesures techniques. Nous prenons en charge les secondes : inventaire des données, consentement, purges, export et suppression, chiffrement, contrôle des accès, audit de sécurité. Le choix des bases légales, la tenue du registre des traitements, les analyses d'impact et la rédaction des mentions relèvent de votre DPO ou de votre avocat : notre rapport leur fournit les faits techniques dont ils ont besoin.
Pour une application en tierce maintenance chez nous, la conformité est suivie dans la durée : chaque nouvelle fonctionnalité qui touche des données personnelles est revue avant sa mise en production.
Questions fréquentes sur le RGPD et votre site
Qu'est-ce qu'un audit RGPD d'un site internet ?
C'est l'inventaire de ce que le site ou l'application collecte réellement (cookies, formulaires, comptes, journaux, services tiers) comparé à ce qu'exige le RGPD et aux recommandations de la CNIL. Il aboutit à une liste d'écarts priorisés et à leurs corrections.
Êtes-vous avocats ou DPO ?
Non. Nous sommes développeurs : nous traitons le volet technique de la conformité, là où se trouvent la plupart des écarts, et nous travaillons avec votre DPO, votre juriste ou votre avocat, qui gardent la main sur l'analyse juridique, le registre et les mentions.
Une bannière cookies suffit-elle à être conforme ?
Non. La bannière doit bloquer réellement les traceurs avant le choix, et le RGPD ne se limite pas aux cookies : formulaires, durées de conservation, droits des personnes, sous-traitants et sécurité comptent autant. Beaucoup de bannières affichent un choix mais déposent les cookies quoi qu'il arrive.
Que risque un site non conforme ?
Une mise en demeure ou une sanction de la CNIL, qui peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial, des plaintes d'utilisateurs, et en cas de fuite de données l'obligation de la notifier à la CNIL sous 72 heures. Le risque le plus fréquent reste commercial : un grand compte qui refuse de signer faute de garanties.
Combien coûte une mise en conformité RGPD technique ?
L'inventaire et le rapport d'écarts d'un site vitrine prennent un à deux jours ; ceux d'une application métier ou d'une marketplace, de trois à six jours. Les corrections sont chiffrées ensuite, écart par écart, au forfait.
Intervenez-vous sur un site que vous n'avez pas développé ?
Oui, pour les sites et applications PHP (Symfony, Laravel, CakePHP, Drupal, Magento ou sans framework). Pour un site sous un CMS du marché, l'inventaire reste valable et nous vous indiquons les réglages et extensions à corriger.
Votre site est-il vraiment conforme ?
Envoyez-nous son adresse, ou appelez-nous au +33 (0)1 84 80 48 01 : nous vous disons ce qu'il dépose et collecte réellement.
Demander un audit RGPD