Registre des traitements
Quelles données vous détenez, pourquoi, où elles vivent, combien de temps vous les gardez et qui y accède. Obligatoire au-delà de 250 collaborateurs, et de toute façon indispensable pour raisonner.
Conformité
Le classeur que vous devez pouvoir ouvrir.
La conformité ne se prouve pas par des intentions, mais par des pièces datées. Nous constituons le dossier, et nous le tenons à jour.
Un contrôle, un client qui vous audite, un assureur après un sinistre : dans les trois cas, la question est la même. Que pouvez-vous produire, et à quelle date cela a-t-il été établi ? Un dispositif technique excellent mais non documenté ne vaut rien dans cette conversation.
Contrats de sous-traitance
Un contrat écrit avec chaque tiers qui touche vos données, avec la liste de ses propres sous-traitants et la localisation réelle des données.
Politique de sauvegarde
Ce qui est sauvegardé, à quelle fréquence, où, combien de temps, et la trace des tests de restauration.
Procédure d'annonce
Qui décide, qui prévient, dans quel ordre et sous quel délai, avec des personnes nommées et leurs suppléants.
Preuves de mise en œuvre
Journaux, relevés mensuels, comptes rendus de tests. C'est cette matière qui transforme une politique en fait établi.
Revue annuelle
Une relecture datée du dispositif. Sans elle, votre documentation devient fausse en silence, ce qui est pire que de ne pas en avoir.
Commençons par regarder où vous en êtes.
Un bilan de trente minutes. Vous en repartez avec un document daté qui liste vos écarts par ordre de gravité. Sans engagement, et il vous appartient.