La conformité, préparée par la plateforme.

La plateforme prépare, une personne décide. Elle tient les registres, compte les délais et remplit les déclarations ; une personne qualifie un incident, valide chaque document et l’envoie, car les portails de la CNIL et de l’ENISA n’acceptent pas d’envoi automatique.

RGPD — règlement (UE) 2016/679

01
Art. 5 et 25 — Principes, protection dès la conception
Chaque application déclare ses données personnelles, pourquoi elle les garde et combien de temps ; la plateforme en tire tout le reste.
02
Art. 6 et 7 — Base légale
Chaque finalité est déclarée avec sa base légale.
03
Art. 9 — Données sensibles
Les données de santé sont refusées ; l’utilisateur est averti de ne pas confier de données sensibles aux agents ni aux fonctions d’IA.
04
Art. 12 à 14 — Information
La page de confidentialité de chaque application est écrite par la plateforme et mise à jour à chaque changement.
05
Art. 15 à 22 — Droits des personnes
Une personne exporte ses données (portabilité) et obtient leur effacement ; chaque demande est enregistrée et suivie dans le délai d’un mois, prolongeable de deux mois (art. 12(3)).
06
Art. 5(1)(e) — Conservation
À l’échéance, les données sont effacées ou anonymisées par une tâche planifiée, qui garde trace de ce qu’elle a fait.
07
Art. 28 — Sous-traitance
L’accord de traitement est préparé, avec ses annexes remplies pour chaque client ; les sous-traitants sont listés sur une page publique et leurs changements annoncés.
08
Art. 30 — Registre des traitements
Écrit par la plateforme et tenu à jour à chaque changement de l’application.
09
Art. 32 — Sécurité
En transit : toute connexion passe par le point d’entrée de la plateforme, en HTTPS, sur un certificat Let’s Encrypt propre à chaque adresse ; HTTPS est imposé au navigateur pendant un an (HSTS) ; les applications n’écoutent que sur leur serveur, derrière ce point d’entrée, qui n’accepte que les connexions des pays autorisés. Au repos : les mots de passe et les jetons d’accès ne sont gardés que sous forme d’empreinte, jamais en clair ; les secrets des applications (les clés et mots de passe de leurs services) sont chiffrés. Les droits d’accès de chaque application sont éprouvés par des tests d’intrusion à chaque livraison, et l’annexe de sécurité est écrite à partir des faits.
10
Art. 33 et 34 — Violations de données
Un incident ouvre un dossier, lance le délai de 72 heures et prépare la notification à la CNIL.
11
Art. 35 — Analyse d’impact
Un premier tri et un brouillon d’analyse sont préparés pour les applications qui en demandent une.

Traceurs — directive ePrivacy (art. 5(3)) et loi Informatique et Libertés (art. 82)

L’accord d’abord
Rien n’est déposé ni lu dans le navigateur d’un visiteur sans son accord, sauf le strict nécessaire ; la preuve de son choix est gardée. Les polices sont installées avec l’application, jamais chargées depuis un service tiers.

Data Act — règlement (UE) 2023/2854, chapitre VI : changer de fournisseur

01
Art. 23 et 25 — Partir avec tout
Le client part avec tout ce que la plateforme et notre hébergement gardent, ses données et le code de son application avec son historique, selon une sortie datée : préavis, transition, récupération, puis effacement complet attesté par un certificat. Une production que le client fait tourner lui-même n’est pas chez nous : elle reste entre ses mains.
02
Art. 26 — Formats
Un registre en ligne des formats et des structures de données.
03
Art. 28 — Juridiction
Une page sur la juridiction dont relève l’hébergement.
04
Art. 30(5) — Export ouvert
L’export est dans un format structuré, couramment utilisé et lisible par machine.

AI Act — règlement (UE) 2024/1689

01
Art. 50(1) — Transparence
Chaque personne est prévenue qu’elle échange avec une IA, dans le studio et dans les applications.
02
Haut risque (annexe III)
Pour une application qui évalue des personnes, par exemple dans un recrutement : chaque usage est journalisé et le journal gardé au moins six mois (art. 12, 19 et 26) ; la documentation et l’analyse d’impact relative à la protection des données du RGPD (art. 35) sont préparées ; les délais de l’art. 73 sont comptés dans le dossier d’incident.

Cyber Resilience Act — règlement (UE) 2024/2847

01
Liste des composants
La liste des composants (SBOM, au format CycloneDX) est écrite à chaque construction et remise avec le code.
02
Vulnérabilités
Une politique de signalement, une adresse de contact, et les dépendances vérifiées.
03
Art. 14 — Signalement
Une vulnérabilité activement exploitée, ou un incident grave ayant un impact sur la sécurité du produit, ouvre un dossier avec les délais de 24 heures, de 72 heures et du rapport final, et prépare chaque notification, à adresser en même temps au CSIRT désigné comme coordinateur et à l’ENISA, par la plateforme unique de signalement.
04
Documentation technique
La documentation technique et la déclaration UE de conformité sont préparées pour chaque version, à valider.

Ce que la plateforme fait d’elle-même

le registre des traitements
la page de confidentialité
la liste des sous-traitants
la purge des données à leur échéance
la copie de test anonymisée
le journal des usages de l’IA
la liste des composants
les dossiers d’incident, avec leurs délais et leurs déclarations préremplies
l’export de sortie
l’effacement, avec son certificat