Documentation RGPD

1. Informations générales sur l'organisme

2. Registre des Activités de Traitement

Conformément à l'article 30 du RGPD, voici la liste exhaustive de tous les traitements de données personnelles effectués par Oozia :

3. Liste des Sous-traitants et Partenaires

Conformément à l'article 28 du RGPD, voici la liste des sous-traitants traitant des données pour le compte d'Oozia :

4. Mesures de Sécurité Techniques et Organisationnelles

Conformément à l'article 32 du RGPD, Oozia met en œuvre les mesures techniques et organisationnelles appropriées :

4.1 Mesures Techniques

4.2 Mesures Organisationnelles

• Politique de sécurité : Document écrit définissant les règles de sécurité interne
• Sensibilisation du personnel : Formation annuelle RGPD et sécurité pour tous les employés
• Gestion des habilitations : Accès aux données limité selon le principe du "besoin d'en connaître"
• Clauses de confidentialité : Tous les employés signent une clause de confidentialité
• Procédure de gestion des incidents : Plan de réponse aux violations de données
• Audits réguliers : Revue annuelle des mesures de sécurité
• PCA/PRA : Plan de Continuité et de Reprise d'Activité en cas de sinistre
• Destruction sécurisée : Procédure de suppression définitive des données

4.3 Tests et Évaluations

5. Procédures d'Exercice des Droits des Personnes

Oozia garantit l'exercice effectif des droits suivants conformément aux articles 15 à 22 du RGPD :

5.1 Liste des Droits

5.2 Modalités d'Exercice

5.3 Procédure Interne de Traitement des Demandes

1. Réception de la demande : Enregistrement dans un registre dédié
2. Vérification d'identité : Demande de pièce justificative si nécessaire
3. Accusé de réception : Sous 48h maximum
4. Traitement de la demande : Analyse et traitement par le DPO ou service concerné
5. Réponse au demandeur : Dans un délai de 1 mois (prorogeable de 2 mois si complexité)
6. Archivage : Conservation de la demande et de la réponse pendant 5 ans

6. Procédure de Gestion des Violations de Données

Conformément aux articles 33 et 34 du RGPD, Oozia a mis en place une procédure de gestion des violations de données personnelles.

6.1 Définition d'une Violation

Exemples de violations :

• Cyberattaque avec vol de données
• Perte ou vol d'un ordinateur/disque dur contenant des données
• Erreur humaine entraînant une divulgation de données
• Piratage de compte email
• Ransomware chiffrant les données
• Destruction accidentelle de données

6.2 Procédure en 5 Étapes

6.3 Responsabilités

6.4 Sanctions Encourues

7. Analyse d'Impact relative à la Protection des Données (AIPD)

Conformément à l'article 35 du RGPD, une AIPD (ou PIA - Privacy Impact Assessment) doit être réalisée lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.

7.1 Quand une AIPD est-elle obligatoire ?

7.2 Évaluation pour Oozia

8. Formation et Sensibilisation du Personnel

La protection des données personnelles est l'affaire de tous. Oozia met en place un programme de sensibilisation et formation continue.

8.1 Programme de Formation

8.2 Sujets Clés Abordés

• Principes fondamentaux du RGPD
• Droits des personnes concernées
• Bases légales du traitement
• Sécurité et confidentialité des données
• Procédure de gestion des violations
• Bonnes pratiques au quotidien (mots de passe, phishing, etc.)
• Gestion des demandes d'exercice de droits
• Transferts internationaux de données

8.3 Outils de Sensibilisation

9. Checklist de Conformité RGPD

Cette checklist permet de vérifier le niveau de conformité d'Oozia au RGPD :

✅ Gouvernance et Organisation

• Responsable du traitement identifié et documenté
• DPO désigné (si obligatoire) et coordonnées publiées
• Registre des activités de traitement tenu à jour
• Registre des violations tenu à jour
• Politique de protection des données rédigée
• Procédures internes documentées

✅ Information et Transparence

• Politique de confidentialité accessible sur le site
• Mentions d'information présentes sur tous les formulaires
• Information claire et compréhensible
• Politique cookies conforme et bandeau de consentement
• CGV et CGU mentionnant le traitement des données

✅ Bases Légales et Finalités

• Base légale identifiée pour chaque traitement
• Consentement recueilli de manière claire et explicite (si applicable)
• Finalités déterminées, explicites et légitimes
• Pas de traitement de données sensibles sans autorisation
• Minimisation des données (collecte limitée au nécessaire)

✅ Droits des Personnes

• Procédure de gestion des demandes d'exercice de droits
• Délai de réponse de 1 mois respecté
• Formulaire d'exercice des droits disponible
• Vérification de l'identité du demandeur
• Traçabilité des demandes et réponses

✅ Sécurité et Confidentialité

• Mesures de sécurité techniques appropriées (chiffrement, authentification, etc.)
• Mesures organisationnelles (formation, clauses de confidentialité, etc.)
• Gestion des habilitations et accès restreints
• Sauvegardes régulières et testées
• Procédure de gestion des violations de données
• Tests et audits de sécurité réguliers

✅ Sous-traitants et Transferts

• Contrats de sous-traitance conformes (Art. 28 RGPD)
• Liste des sous-traitants à jour
• Garanties appropriées pour les transferts hors UE
• Clauses contractuelles types pour les transferts (si applicable)

✅ Conservation et Suppression

• Durées de conservation définies pour chaque traitement
• Procédure de suppression/anonymisation en fin de conservation
• Archivage intermédiaire sécurisé si nécessaire

✅ Documentation et Traçabilité

• Documentation de conformité complète et à jour
• AIPD réalisées si nécessaire
• Preuves de consentement conservées
• Journalisation des actions sensibles

10. Plan d'Action et Améliorations

Cette section identifie les actions à mener pour maintenir ou améliorer la conformité RGPD :

11. Contacts Utiles

🏢 Contacts Internes Oozia

🏛️ Autorités et Organismes

📚 Ressources Utiles

• Texte du RGPD: eur-lex.europa.eu
• Guide CNIL: www.cnil.fr/fr/rgpd-passer-a-laction
• Modèles de documents CNIL: www.cnil.fr/fr/modeles
• Logiciel PIA (AIPD) CNIL: Télécharger PIA

📋 Document Vivant - À Tenir à Jour

Ce registre RGPD est un document vivant qui doit être maintenu à jour en continu. Toute modification des traitements, tout nouveau sous-traitant, toute évolution organisationnelle doit être immédiatement répercutée dans ce document.

La conformité RGPD n'est pas une option, c'est une obligation légale.
Elle est aussi un avantage concurrentiel et une preuve de sérieux.