Privacy by design · éditeurs SaaS, startups et équipes produit
Privacy by design : livrez des produits conformes au RGPD sans ralentir vos sprints
Consentement, durées de conservation, droits des personnes, sécurité, analyse d’impact : quand ces sujets arrivent après la mise en production, ils coûtent des sprints entiers. Nous travaillons avec vos product owners et vos développeurs pour les traiter au stade des spécifications, avec des user stories et des exemples d’écrans plutôt que des pages de droit.
Accompagnement sur devis · Programme en ligne pour avancer en autonomie · France et Suisse
Il existe une meilleure façon de faire
Nous avons conçu cet accompagnement pour répondre à trois problèmes principaux :
1) La peur de franchir la ligne rouge : vous voulez innover, mais vous craignez de franchir la ligne rouge.
2) La complexité : vous vous noyez dans le jargon et les détails juridiques, ou vous reportez le sujet à l’infini.
3) Le manque de guidance concrète : vous cherchez des exemples concrets, des captures d’écran et des user stories, pas de la théorie.
Le problème
Les règles pleuvent sur des équipes qui ont déjà un backlog
RGPD depuis 2018, loi Informatique et Libertés révisée, nLPD suisse depuis 2023, directive NIS 2, règlement sur l’IA : chaque texte ajoute des exigences qui touchent directement vos modèles de données, vos flux de consentement et vos choix d’hébergement. Trois situations reviennent dans les équipes que nous accompagnons.
La peur de franchir la ligne rouge
Vous voulez lancer une fonctionnalité qui exploite les données, un scoring, un tracking, une IA, et personne dans l’équipe ne sait dire si c’est autorisé, sous quelles conditions, ni ce qu’il faut documenter. La décision est reportée, la fonctionnalité aussi.
La complexité
Les textes, la doctrine de la CNIL, les lignes directrices européennes et les référentiels sécurité s’empilent. Sans quelqu’un pour les traduire en exigences produit, l’équipe se noie dans le jargon ou applique des recettes trouvées en ligne qui ne correspondent pas à son cas.
Le manque d’exemples concrets
Vos développeurs cherchent des captures d’écran, des user stories et des schémas de flux, pas des théories. C’est exactement le format de nos livrables.
Ne rien faire coûte plus cher que de s’y mettre : l’autorité de contrôle peut exiger la modification ou l’arrêt d’un traitement, les amendes atteignent 4 % du chiffre d’affaires, et la CNIL a déjà contraint des entreprises à supprimer des algorithmes construits sans base légale. Surtout, corriger un modèle de données ou un flux de consentement en production coûte dix fois plus cher que de les prévoir au cahier des charges.
Trois formats
Selon l’avancement de votre produit
1 · Revue de conception
Un atelier avec vos product owners et vos développeurs, dimensionné selon votre produit : cartographie des données, qualification de chaque traitement (base légale, finalité, durée), et liste des exigences à intégrer au backlog, rédigées en user stories. Idéal avant un nouveau produit ou une refonte.
2 · Accompagnement d’une release
Nous suivons un projet de bout en bout : spécifications, analyse d’impact, choix des sous-traitants et des hébergeurs, clauses contractuelles, documentation, puis une recette privacy avant la mise en production. Vous repartez avec un dossier que vous pouvez montrer à un client ou à un acheteur public.
3 · Programme en autonomie
Vingt-cinq fiches pratiques avec captures d’écran et user stories, plus de trois heures de vidéos, les référentiels CNIL, EDPB et ANSSI décryptés, et des questions-réponses illimitées. Pour les équipes qui veulent avancer seules, à leur rythme. Le programme ouvre par sessions, sur liste d’attente.
Ce que nous traitons
Les sujets qui reviennent dans chaque produit
Modèle de données et conservation
Quelles données collecter, où les stocker, combien de temps, comment les purger automatiquement. La minimisation se décide dans le schéma de base, pas dans la politique de confidentialité.
Consentement et information
Cookies, traceurs, inscriptions, préférences marketing : des écrans conformes aux recommandations de la CNIL, et la preuve du consentement conservée côté serveur.
Droits des personnes
Export, rectification, effacement, opposition : des fonctionnalités à prévoir dans le produit plutôt qu’à traiter à la main dans un délai d’un mois.
Sous-traitants et hébergement
Choix des prestataires, localisation des données, transferts hors Union européenne, contrats de sous-traitance et clauses types.
Sécurité et journalisation
Authentification, gestion des accès, chiffrement, journaux d’accès et de modification, alignés sur les référentiels de l’ANSSI et de l’ISO 27001.
IA et décisions automatisées
Scoring, recommandation, modèles de langage : base légale, information des personnes, intervention humaine, et exigences du règlement européen sur l’IA selon le niveau de risque.
Votre interlocuteur
Un DPO qui parle aux développeurs
Thomas Blanc, fondateur de donnees.net, exerce comme délégué à la protection des données depuis 2018 et accompagne plus de 200 structures en France et en Suisse, dont des éditeurs SaaS et des startups. Dix ans en cabinet comptable comme responsable de la transformation digitale l’ont habitué à travailler avec des équipes techniques, et sa double compétence RGPD et ISO (9001, 27001) lui permet d’articuler conformité et sécurité dans les mêmes spécifications.
Il connaît les contraintes d’un sprint : les livrables arrivent dans le format que votre équipe utilise déjà, et les arbitrages sont expliqués en termes de risque, pas de dogme.
Le programme en ligne
Recevez un extrait gratuit et rejoignez la liste d’attente
Laissez votre adresse e-mail pour recevoir un extrait du programme (fiches et vidéo) et être prévenu à l’ouverture de la prochaine session.
Questions fréquentes
Ce que les équipes produit nous demandent
Qu’est-ce que le privacy by design, concrètement ?
C’est l’obligation, posée par l’article 25 du RGPD, de prendre en compte la protection des données au moment où l’on conçoit un produit ou un traitement, puis de n’activer par défaut que ce qui est nécessaire. Pour une équipe produit, cela se traduit par des choix de modèle de données, de durées de conservation, de consentement, de droits d’accès et de sécurité pris au stade des spécifications plutôt qu’après la mise en production.
À quel moment de la vie de mon logiciel faut-il s’y mettre ?
Le plus tôt possible : intégrer le privacy by design dès la conception initiale est la situation idéale. Si votre application existe déjà, il n’est jamais trop tard pour reprendre les points essentiels ; nous commençons alors par une revue de l’existant et nous priorisons les corrections selon le risque.
Faut-il une analyse d’impact (AIPD) pour mon produit ?
Elle est obligatoire lorsque le traitement présente un risque élevé pour les personnes : profilage, données sensibles ou de santé, surveillance, croisement de données à grande échelle, nouvelles technologies. La CNIL publie une liste des traitements concernés. Nous qualifions votre cas et menons l’AIPD avec votre équipe lorsqu’elle s’impose.
Travaillez-vous avec les développeurs ou seulement avec la direction ?
Avec les deux, et surtout avec les product owners et les développeurs. Les livrables sont pensés pour le backlog : user stories, critères d’acceptation, exemples d’écrans et de flux, choix d’architecture documentés. La direction reçoit la synthèse des risques et des décisions à prendre.
Mon produit s’adresse à des clients suisses ou à des grands comptes : qu’est-ce que ça change ?
La nLPD suisse reprend le principe de protection dès la conception, et les grands comptes comme les acheteurs publics exigent un questionnaire RGPD, parfois une AIPD et un DPO avant de signer. Un produit conçu privacy by design répond à ces demandes avec une documentation existante plutôt qu’en urgence.
Que contient le programme en ligne ?
Vingt-cinq fiches pratiques avec captures d’écran et user stories, plus de trois heures de vidéos, les référentiels CNIL, EDPB et ANSSI décryptés, et des questions-réponses illimitées. Il s’adresse aux équipes qui veulent avancer en autonomie ; il ouvre par sessions, sur liste d’attente.
Parlons de votre produit
Un échange de 30 minutes avec un DPO habitué aux sprints
Vous présentez votre produit et votre roadmap ; nous vous disons où se situent les risques et par quoi commencer. Pour un suivi continu de vos releases, la mission de DPO externalisé prend le relais, et notre guide privacy by design est en accès libre.
