DJC_PQ_4 — Conformité RGPD et protection des données
Objet
Décrire comment VESICA respecte le RGPD : recensement des traitements, bases légales, minimisation, sécurité, droits des personnes, conservation/purge, sous-traitance et gestion des violations. Application VESICA des obligations RGPD pour une TPE de diagnostic immobilier dont l'architecture mobilise des agents LLM et plusieurs sous-traitants cloud. [STANDARD]
Domaine d'application
- Périmètre : toute donnée à caractère personnel traitée par VESICA — clients (particuliers/pros), prospects, et données des biens (une adresse + un occupant = donnée personnelle). Tous les supports : Postgres (
dossiers,telemetrie), Drive, Mattermost, e-mails, appels LLM. [CORPUS] - Hors périmètre : les données purement techniques sans lien à une personne (catalogues normatifs, config). La frontière est posée au Recueil §E (corpus de connaissance ≠ donnée opérationnelle). [CORPUS]
Références
Voir front-matter. Renvoi léger : les articles du RGPD ne sont pas recopiés ; la procédure pointe les articles structurants et s'appuie sur les référentiels CNIL TPE/PME. [STANDARD]
Définitions
- Donnée à caractère personnel — toute information se rapportant à une personne physique identifiée ou identifiable (nom, adresse du bien + occupant, e-mail, téléphone). [STANDARD]
- Traitement — toute opération sur ces données (collecte, stockage, envoi à un LLM, archivage, purge). [STANDARD]
- Responsable de traitement — VESICA (le dirigeant). Sous-traitant — prestataire qui traite pour le compte de VESICA (OpenRouter, Mistral, Google, Hostinger…). [STANDARD]
- Base légale — fondement du traitement : ici principalement exécution du contrat (la prestation de diagnostic) et obligation légale (conservation des rapports). [STANDARD]
- Rétention chaud/froid — axe de cycle de vie de la donnée (M2) :
chaud → facturé → froid → purge. [CORPUS] - DPA — accord de traitement des données (clauses art. 28 RGPD) avec chaque sous-traitant. [STANDARD]
Responsabilités (RACI)
| Activité | Dirigeant | Agent RGPD (DJC) | SYS/DAF/ADV | Sous-traitant |
|---|---|---|---|---|
| Tenir le registre des traitements (art. 30) | A | R | C | — |
| Définir base légale & minimisation | A | R | C | — |
| Sécuriser les données (art. 32) | A | C | R | C |
| Instruire une demande de droit | A | R | C | I |
| Conserver / purger selon échéances | A | C(audit) | R | I |
| Auditer l'exécution des purges | I | R | I | — |
| Signer/maintenir les DPA | R/A | R | I | C |
| Notifier une violation à la CNIL | R/A | R | C | I |
Déroulement (qui/quoi/quand/où)
| # | Quand | Qui | Quoi | Où |
|---|---|---|---|---|
| 1 | À chaque nouveau flux | Agent RGPD | inscrire le traitement au registre (DJC_FQ_4) : finalité, base, données, durée, destinataires, sous-traitants | registre |
| 2 | À la conception d'un flux | Dirigeant + DJC | appliquer minimisation (ne pas envoyer au LLM plus que nécessaire) + sécurité | spec workflow |
| 3 | Demande de droit reçue | Agent RGPD | instruire selon DJC_IQ_4_1, répondre ≤ 1 mois | journal des demandes |
| 4 | Échéance de conservation | Workflow purge (P11) | purger ; agent RGPD audite l'exécution réelle | Postgres/Drive |
| 5 | Nouveau sous-traitant | Dirigeant + DJC | signer le DPA, inscrire au registre des sous-traitants | contrats |
| 6 | Incident | Dirigeant + DJC | évaluer le risque, notifier CNIL ≤ 72 h si requis, tracer | registre violations |
| 7 | Périodique | Agent RGPD | audit RGPD (registre à jour ? purges effectives ? DPA complets ?) | rapport d'audit |
Point d'attention IA : minimiser les données personnelles transmises aux modèles ; documenter quel sous-traitant LLM traite quoi et où (UE/hors-UE → clauses contractuelles types le cas échéant). [STANDARD]
Enregistrements associés
DJC_FQ_4— registre des activités de traitement.- Journal des demandes de droits ; registre des violations ; rapports d'audit des purges ; DPA signés.
Annexes
- Annexe A — Tableau des durées de conservation (à formaliser) : par type de donnée (coordonnées client, .wav, transcription, rapports, données structurées). Le .wav est purgé à la facturation (M2) ; les rapports suivent l'obligation légale de conservation du diagnostiqueur. [À COMPLÉTER]
- Annexe B — Renvoi P11 : la politique de conservation ci-dessus est la spec du workflow de purge automatisée (backlog P11) ; l'agent RGPD en audite l'exécution. [CORPUS]
- Annexe C — Sous-traitants identifiés : OpenRouter (LLM), Mistral (OCR/transcription), Google (Drive), Hostinger (VPS), Mattermost (auto-hébergé). DPA à vérifier/signer pour chacun. [À CONFIRMER]