L'affaire cale sur un questionnaire, pas sur votre produit.
Les clients de l'UE, surtout dans le milieu de gamme et les grandes entreprises, posent toujours les mêmes questions avant de signer : qui sont vos sous-traitants ultérieurs, où les données sont-elles hébergées, avez-vous un DPA, pouvez-vous montrer vos registres ? Une petite équipe qui répond en quelques minutes paraît être un fournisseur sûr.
Les modèles génériques passent à côté du SaaS
Une politique de confidentialité générale ne couvre ni la télémétrie du produit, ni les fichiers clients téléversés, ni l'hébergement et les sous-traitants ultérieurs d'e-mail, ni les fonctions d'IA. Ces clauses le font, un bloc par sujet.
Vous portez deux casquettes
Pour vos propres comptes et votre facturation, vous êtes responsable du traitement. Pour le contenu de vos clients, vous êtes généralement leur sous-traitant. Le pack garde les deux séparés pour que chaque document dise la bonne chose.
Une base prête, vite
Arrêtez de fixer un ROPA vide. Partez d'activités SaaS préremplies, modifiez ce qui diffère et suivez un plan de quatre semaines pour tout mettre en place.
Sept parties. Une base de conformité cohérente.
Chaque partie se suffit à elle-même et renvoie aussi à la suivante : les clauses nomment les sous-traitants ultérieurs, la liste de contrôle aide à relancer leurs DPA, et la page de confiance publie le résultat.
Clauses de politique de confidentialité propres au SaaS Prêt à copier
Des formulations prêtes à l'emploi avec des champs à remplir, un bloc par sujet.
- Données du compte client
- Analyses d'usage et télémétrie du produit
- Sous-traitants ultérieurs (hébergement, e-mail, paiements, outils de support)
- Transferts internationaux (UE → outils américains sous CCT)
- Contenu des clients et fichiers téléversés
- Fonctions d'IA Si vous utilisez l'IA
- Règles de conservation et de suppression pour les comptes inactifs
Modèle de ROPA simple pour un SaaS type
Un registre des activités de traitement prérempli. Modifiez, n'inventez pas.
- Inscription des utilisateurs et gestion des comptes
- Analyses d'usage du produit
- Tickets de support client
- Facturation et paiements
- E-mails marketing Le cas échéant
- Gestion des sous-traitants ultérieurs
- Bases juridiques, catégories de données, durées de conservation et listes de destinataires suggérées pour chacune
Liste de contrôle sous-traitants ultérieurs & DPA
Connaissez vos fournisseurs, et prouvez-le.
- Les sous-traitants ultérieurs SaaS les plus courants, listés
- Questions à poser à chaque fournisseur
- Liste de contrôle DPA simple : ce qui doit exister selon l'article 28
- Modèle d'e-mail pour demander un DPA à un fournisseur
Modèle de page de confiance pour les clients
Une courte page à publier sur votre propre site.
- Où les données sont hébergées
- Principaux sous-traitants ultérieurs
- Comment les clients peuvent demander la suppression ou l'export
- Contact pour les questions de confidentialité
- Lien vers votre politique de confidentialité
Liste de contrôle d'intégration des clients de l'UE
Ce qu'il faut avoir prêt quand un client européen dit oui.
- Ce qu'il faut inclure dans les conditions ou le bon de commande
- Comment gérer les accords de traitement des données avec les clients
- Notes sur le consentement et l'intérêt légitime pour les analyses de produit
- Réponses rapides aux questionnaires de sécurité courants
Liste de contrôle IA à haut risque Si vous utilisez l'IA
Court et pratique. À ignorer si votre produit n'a pas de fonctions d'IA.
- Si la fonction d'IA pourrait relever du règlement européen sur l'IA
- Mentions de transparence pour les utilisateurs
- Minimisation des données pour l'entraînement ou le fine-tuning
- Options de supervision humaine
Plan d'action de 30 jours pour une équipe SaaS
Une courte liste priorisée pour que le travail soit vraiment fait. Voir le plan ci-dessous.
- Semaine par semaine, dans l'ordre qui compte pour les acheteurs
- Chaque semaine se termine par quelque chose que vous pouvez montrer à un client
De vraies formulations, pas une simple table des matières.
Deux courts extraits du pack. Les champs en surbrillance sont ceux que vous remplissez pour votre propre entreprise.
Transferts hors EEE
Certains des prestataires que nous utilisons sont établis aux États-Unis ou peuvent accéder à des données depuis ce pays. Lorsque des données personnelles quittent l'Espace économique européen, nous ne les transférons que sur une base juridique reconnue : le prestataire est certifié au titre du cadre de protection des données UE–États-Unis, ou nous avons signé avec lui les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), complétées si nécessaire par une évaluation du transfert.
Vous pouvez demander une copie des garanties pour tout prestataire listé sur notre page des sous-traitants ultérieurs en écrivant à [privacy@yourcompany.eu].
Le pack complet ajoute des conseils sur l'option à indiquer pour chaque fournisseur.
Inscription des utilisateurs et gestion des comptes
| Finalité | Créer et sécuriser des comptes, authentifier les utilisateurs, fournir le service |
|---|---|
| Base juridique | Art. 6, par. 1, point b), exécution d'un contrat |
| Personnes concernées | Administrateurs clients et utilisateurs finaux |
| Catégories | Nom, e-mail professionnel, rôle, hash du mot de passe, horodatages de connexion |
| Destinataires | Hébergeur, fournisseur d'e-mails transactionnels |
| Conservation | Durée de vie du compte plus [30] jours |
Chacune des six activités indique aussi les transferts et les mesures de sécurité.
Ce sont des points de départ raccourcis. Votre politique et vos registres doivent refléter ce que votre produit fait réellement, et le pack vous montre où vérifier.
D'une page blanche à quelque chose à montrer à un client.
Priorisé pour une petite équipe sans responsable conformité dédié.
Publier et lister
- Publier la politique de confidentialité mise à jour
- Lister vos sous-traitants ultérieurs
Consigner et demander
- Créer ou mettre à jour votre ROPA
- Demander aux fournisseurs les DPA manquants
Appliquer et prouver
- Ajouter un processus simple de demandes d'accès (DSAR)
- Publier la page de confiance
Passer en revue les points à risque
- Passer en revue la configuration des analyses
- Passer en revue les fonctions d'IA
À qui il s'adresse, et à qui il ne s'adresse pas.
Convient bien si vous
- Exploitez un produit SaaS B2B ou B2C avec des clients ou utilisateurs de l'UE
- N'avez pas de juriste confidentialité en interne
- Recevez sans cesse des questionnaires de sécurité ou de confidentialité de prospects
- Utilisez des outils courants : hébergement cloud, Stripe, un service d'assistance, des e-mails transactionnels
Ne suffit pas à lui seul si vous
- Traitez des catégories particulières de données à grande échelle (santé, biométrie)
- Exploitez un système d'IA manifestement à haut risque, pour lequel un avis spécialisé est nécessaire
- Avez besoin d'un contrat signé et relu par un juriste ; le pack n'est pas un conseil juridique
- N'êtes pas du tout soumis au droit de la protection des données de l'UE ou de l'EEE
Sept parties. Un seul paiement.
Tout ce qui figure sur cette page, livré ensemble. Adaptez-le à votre produit, publiez-le et répondez au prochain questionnaire avec les mêmes documents.
- Clauses de politique de confidentialité pour SaaS
- Modèle de ROPA avec six activités préremplies
- Liste de contrôle des sous-traitants ultérieurs & DPA de l'article 28
- Modèle de page de confiance
- Liste de contrôle d'intégration des clients de l'UE
- Liste de contrôle IA à haut risque
- Plan d'action sur 30 jours
Avant de demander :
À qui s'adresse le pack de conformité SaaS ?
Les startups SaaS et petites équipes européennes qui traitent des données clients et doivent paraître crédibles auprès des clients de l'UE : fondateurs, premiers recrutements conformité et CTO qui reçoivent sans cesse des questionnaires de sécurité et de confidentialité de prospects.
Que vais-je recevoir ?
Sept parties : des clauses de politique de confidentialité propres au SaaS, un modèle de ROPA prérempli, une liste de contrôle des sous-traitants ultérieurs et DPA, un modèle de page de confiance, une liste de contrôle d'intégration des clients de l'UE, une liste de contrôle IA à haut risque et un plan d'action de 30 jours. Vous obtenez votre page de téléchargement dès la fin du paiement, sans compte à créer.
S'agit-il de conseils juridiques ?
Non. Le pack est un point de départ pratique écrit pour les petites équipes SaaS. Les clauses et registres sont des projets que vous adaptez à ce que votre produit fait réellement. Si votre traitement est complexe ou à haut risque, faites relire le résultat par un juriste qualifié.
Ai-je besoin de la section IA si mon produit n'a pas de fonctions d'IA ?
Non. La clause IA et la liste de contrôle IA à haut risque sont signalées comme facultatives. Ignorez-les et le reste du pack se suffit à lui-même.
Remplace-t-il un DPA avec mes clients ?
Non. La liste de contrôle d'intégration explique comment gérer les DPA des clients et quoi inclure dans vos conditions ou bon de commande, mais le pack ne remplace pas vos propres accords signés. Notre Pack de modèles de DPA RGPD couvre le document lui-même.
Et si ce n'est pas ce que j'attendais ?
Écrivez à hello@gdprgard.eu dans les 14 jours pour un remboursement intégral. Aucun formulaire à remplir.
Répondez au prochain questionnaire en quelques minutes.
Obtenez les clauses, registres et listes de contrôle dans un seul pack et soyez prêt pour le client qui pose la question.
Obtenir le pack : 39 €