Le registre des traitements et la liste des prestataires
Le registre de l'article 30 pré-rempli à partir de votre configuration, son export au modèle CNIL, le référent à nommer, et la liste des sous-traitants avec ceux qui n'interviennent qu'à votre initiative.
Deux onglets du cockpit Données & RGPD répondent aux deux documents qu'un contrôle réclame en premier : votre registre et la liste de vos prestataires.
Le registre des traitements
L'article 30 du règlement demande à chaque structure de tenir la liste de ses traitements : à quoi ils servent, sur quel fondement, qui est concerné, quelles données, pour combien de temps.
Ainsi, la fiche « Rapprochement bancaire » n'apparaît que si vous avez relié un compte ; « Comptes rendus de réunion assistés par une intelligence artificielle » n'apparaît qu'à partir de votre première réunion transcrite ; « Ressources humaines » qu'à partir du premier salarié.
Les trois champs qui vous appartiennent
L'outil ne peut pas les deviner, et il vous les demande :
- Le référent données de votre structure, avec un contact. La CNIL attend un nom : sans lui, votre registre est anonyme et incomplet.
- Les co-responsables, s'il y a lieu.
- Vos notes — les précisions propres à votre organisation.
Ces trois champs sont les seuls que vous saisissez ; ils comptent dans le score de conformité de la vue d'ensemble.
L'export au modèle de la CNIL
Le bouton « Exporter » de l'onglet produit un classeur qui reprend les colonnes officielles du modèle CNIL, dans leur ordre officiel. Un auditeur reconnaît le tableau sans avoir à le traduire — c'est ce qui le rend directement opposable. Une seconde feuille, « Organisation », porte le référent, son contact, les co-responsables et vos notes.
Les sous-traitants
L'onglet « Sous-traitants » liste les prestataires qui interviennent réellement sur les données de votre structure — pas un catalogue théorique. Si vous n'avez relié aucun compte bancaire, l'agrégateur bancaire n'y figure pas.
Pour chacun : son rôle, la finalité, les catégories de données concernées, sa localisation et le cadre contractuel.
| Prestataire | Rôle | Toujours mobilisé ? |
|---|---|---|
| Google Cloud / Firebase | Hébergement, base de données, stockage, exécution et intelligence artificielle générative | Oui |
| Brevo | E-mails transactionnels | Oui |
| Modèles d'intelligence artificielle hébergés en France ou dans l'Union européenne | Traitements automatisés de texte | Oui |
| Bridge | Agrégation bancaire réglementée | Seulement si vous reliez un compte |
| Google Maps Platform | Module « Fiche Google » | Seulement si vous activez ce module |
| Google (agenda et connexion) | Agenda et connexion au compte | Seulement à l'initiative d'un membre |
| Microsoft (agenda Outlook et connexion) | Agenda et connexion au compte | Seulement à l'initiative d'un membre |
L'onglet Consentements & acceptations vous montre qui, dans votre équipe, a relié un agenda et depuis quand — en lecture seule : une connexion appartient au membre qui l'a faite, elle se retire depuis son profil et nulle part ailleurs.
Rétention : combien de temps vos données sont conservées
L'onglet « Rétention & purges » publie la durée de conservation de chaque famille de données, son fondement juridique, et par quel mécanisme elle est appliquée : purge automatique programmée, suppression au moment prévu par le serveur, conservation imposée par la loi, ou geste manuel.
Quelques repères tirés de cette table :
- Enregistrement audio d'une réunion : supprimé dès sa transcription ;
- Pièces comptables et justificatifs : dix ans, obligation légale ;
- Journaux de sécurité : un an.
Questions fréquentes
Nos données sont-elles hébergées en France ?
L'hébergement et le stockage sont en France, sur une infrastructure certifiée hébergeur de données de santé. Les traitements par intelligence artificielle sont réalisés dans l'Union européenne. Aucun transfert hors de l'Espace économique européen n'est prévu au contrat.
Le registre de SisaFlow remplace-t-il le nôtre ?
Non : il est le vôtre. Vous en êtes responsable ; l'outil le pré-remplit, le tient à jour et vous permet de l'exporter. C'est exactement l'assistance qu'un sous-traitant doit à son responsable de traitement.
Comment savoir si la liste des prestataires a changé ?
Tout changement de sous-traitant est notifié avec un préavis de 30 jours, qui vous laisse la possibilité de vous y opposer. La liste à jour est également publiée dans le contrat de sous-traitance et la politique de confidentialité.