Mettre la conformité RGPD à portée d'une PME, sous forme de produit

Le contexte

Dans mes missions de conformité, le même constat revenait : le registre des traitements existe, il a été rempli une fois, et il est faux depuis. Non par négligence, mais parce qu’un tableur ne rappelle rien à personne et ne conserve aucune trace de qui a modifié quoi.

J’ai donc construit l’outil que j’utilisais moi-même en mission, puis j’en ai fait un produit.

Le problème

Le RGPD ne demande pas seulement d’être en règle, il demande de pouvoir le démontrer. C’est le principe de responsabilité, et c’est sur ce point que je vois le plus de difficultés en mission : les PME que j’accompagne font souvent l’essentiel de ce qu’il faut, mais ne peuvent rien prouver en cas de contrôle ou de violation de données.

Un tableur ne répond à aucune des questions que pose une autorité de contrôle : qui a validé ce traitement, quand, sur quelle base légale, et qu’est-ce qui a changé depuis.

Les contraintes

• Hébergement européen, cohérent avec ce que je conseille en mission. Il serait difficile de recommander la souveraineté des données à mes clients tout en hébergeant leur registre RGPD ailleurs.
• Traçabilité inaltérable : rien de ce qui est écrit ne doit pouvoir être réécrit après coup.
• Un produit vendu, donc facturé, donc soumis aux obligations qui vont avec : paiement, résiliation, information des clients.
• Aucune action irréversible déclenchée automatiquement.

Mon intervention

Conception du produit, architecture, développement du service applicatif et de l’interface, mise en production et exploitation courante.

L’architecture

Le produit sépare nettement le service applicatif, qui porte les règles et les données, de l’interface web, qui n’est qu’un consommateur parmi d’autres possibles. Cette séparation permet notamment au site public d’exposer certaines fonctions du produit sans lui donner accès aux données des clients.

La base de données est relationnelle et hébergée en région européenne, tout comme le service applicatif.

Le point structurant est le journal d’audit en ajout seul. Chaque action significative y est écrite, et rien ne peut y être modifié ni supprimé ensuite. C’est une contrainte technique volontaire, retenue pour pouvoir démontrer la chronologie d’une décision.

Les choix techniques

Un service applicatif en Python, choisi pour la clarté du code de validation des données, avec des tests automatisés orientés sécurité en priorité : ils vérifient que le journal d’audit est bien en ajout seul et que les étapes de validation ne peuvent pas être contournées, avant même de vérifier que les fonctionnalités rendent le bon résultat.

Une interface web moderne, hébergée séparément, ce qui permet de la faire évoluer sans toucher au service qui détient les données.

Le paiement passe par un prestataire spécialisé plutôt que par une implémentation maison. Manipuler des données de carte bancaire quand ce n’est pas son métier est une prise de risque sans contrepartie, et je l’écris ici parce que c’est exactement le conseil que je donne à mes clients.

La sécurité

Le journal d’audit en ajout seul est la fondation. Il est couvert par des tests dédiés.

Des étapes de validation humaine encadrent les actions engageantes. Le produit prépare, l’utilisateur valide.

L’hébergement européen est un choix assumé et vérifiable, pas une mention dans des conditions générales.

Les alertes remontent vers un canal supervisé. Si ce chemin principal est indisponible, un repli automatique réachemine l’alerte.

Le résultat

La plateforme est en production depuis 2026 et compte cinq clients à ce jour. Le produit est récent.

Ce que ce projet démontre

Deux choses, et la seconde compte davantage.

La première : je sais mener un logiciel jusqu’à la production, avec ce que cela suppose de moins spectaculaire que le développement, à savoir l’hébergement, les paiements, la résiliation, le suivi et les incidents.

La seconde : je ne me contente pas de conseiller la conformité, je l’ai implémentée. Traduire un texte réglementaire en fonctionnalités oblige à répondre précisément à des questions que le conseil peut laisser dans le flou. Quelle donnée exactement, conservée combien de temps, supprimée par quel mécanisme, et prouvée comment. Cette précision-là, je la ramène ensuite dans mes missions.