Entité essentielle

Entité essentielle : Catégorie d’organisme soumise aux obligations les plus étendues de la directive NIS2, avec une supervision exercée de manière proactive par l’autorité nationale.

Classé dans la famille « Juridique et RGPD », ce terme revient dans les échanges entre un client et son agence. Voici ce qu’il faut en comprendre avant d’en discuter le prix.

Où intervient Entité essentielle dans un projet

Entité essentielle engage l’éditeur de l’application, c’est-à-dire l’entreprise qui la publie, et non l’agence qui l’a développée. La distinction figure rarement dans les devis.

Ce que le mot recouvre exactement dépend du projet. Ce qui suit vaut pour la plupart des applications mobiles françaises, et sert de point de départ à la discussion.

De la définition à la ligne de cahier des charges

Le cahier des charges doit désigner qui répond de « Entité essentielle ». L’éditeur de l’application en porte la responsabilité, le prestataire doit livrer ce qui la rend possible.

À écrire noir sur blanc, dans le chapitre qui correspond :

• Les données personnelles collectées, leur finalité et leur durée de conservation.
• La base légale de chaque traitement, consentement compris quand il s’impose.
• Le parcours de suppression de compte, exigé par les boutiques.
• La conduite à tenir en cas de violation de données, et qui la déclare.

Cette formulation se rédige avant la consultation, pas après réception des propositions : c’est elle qui rend deux devis comparables entre eux.

Pour le cadre général, le guide des prix donne les fourchettes constatées en France et le modèle de cahier des charges la structure qui les rend opposables.

Les contrôles à prévoir

Entité essentielle se vérifie sur les documents publiés et sur le comportement réel de l’application. Les deux doivent dire la même chose.

• Contrôler que le registre des traitements existe et qu’il est à jour.
• Dérouler le parcours d’exercice des droits, de la demande à la réponse.
• Vérifier la présence et l’exactitude des mentions légales publiées.

Ces vérifications s’inscrivent au cahier de recette, avec un nom en face de chacune. Une case sans responsable reste vide.

Ce qui tourne mal le plus souvent

Ces erreurs ne viennent presque jamais d’un manque de compétence, mais d’un point qui n’a été écrit nulle part.

• Ne pas tenir le registre des traitements, obligatoire dans la plupart des situations.
• Collecter des données par défaut, au motif qu’elles pourraient servir un jour.
• Confondre la responsabilité de l’éditeur de l’application et celle de son prestataire.
• Publier une application grand public sans avoir regardé les obligations d’accessibilité.
• Confier la décision au prestataire, puis la contester au moment de la recette.

Termes liés

Les entrées du glossaire déjà publiées sur des sujets voisins :

• Recette contractuelle
• Mentions légales
• Canal d’exercice des droits
• Garantie des vices cachés
• Clause abusive

Questions fréquentes

Qu’est-ce que « Entité essentielle » ?

Catégorie d’organisme soumise aux obligations les plus étendues de la directive NIS2, avec une supervision exercée de manière proactive par l’autorité nationale. La définition tient en une phrase, son application dépend du projet. C’est pour cette raison qu’elle doit figurer dans le cahier des charges plutôt que dans un échange de courriels.

Que risque-t-on concrètement ?

Un refus de publication par une boutique, une mise en demeure de l’autorité de contrôle, et la remise en cause des données déjà collectées. La régularisation coûte presque toujours plus que la conformité initiale.

Comment savoir si le budget annoncé est cohérent ?

En comparant le périmètre écrit aux fourchettes constatées en France, détaillées poste par poste sur le guide des prix. Un chiffre isolé ne veut rien dire sans le périmètre qui va avec.

Toutes les définitions publiées sont rassemblées dans l’index du glossaire, classées de A à Z et par famille.