Règles d’entreprise contraignantes

Règles d’entreprise contraignantes : Politique interne de protection des données approuvée par une autorité de contrôle, qui encadre les transferts réalisés au sein d’un même groupe international.

Famille « Juridique et RGPD ». La définition ci-dessus suffit pour suivre une réunion. La suite sert à écrire une exigence que personne ne pourra interpréter à sa façon.

Pourquoi Règles d’entreprise contraignantes compte sur un projet mobile

Règles d’entreprise contraignantes appartient au vocabulaire juridique du numérique. Le sens courant du mot et son sens légal ne coïncident pas toujours, ce qui suffit à créer un litige.

Dans la pratique, deux interlocuteurs qui n’ont pas la même définition en tête avancent d’accord pendant des semaines, puis découvrent le désaccord à la livraison.

Ce que ça devient dans un cahier des charges

Un cahier des charges prudent fait de « Règles d’entreprise contraignantes » un livrable identifié, daté et recettable, au même titre qu’une fonctionnalité.

À écrire noir sur blanc, dans le chapitre qui correspond :

• Les données personnelles collectées, leur finalité et leur durée de conservation.
• La base légale de chaque traitement, consentement compris quand il s’impose.
• Le parcours de suppression de compte, exigé par les boutiques.
• La conduite à tenir en cas de violation de données, et qui la déclare.

Reste à désigner qui écrit cette ligne et qui la valide. Sans nom en face, la rubrique se remplit la veille de la signature, avec les mots du prestataire.

Pour le cadre général, le guide des prix donne les fourchettes constatées en France et le modèle de cahier des charges la structure qui les rend opposables.

Les contrôles à prévoir

Règles d’entreprise contraignantes se vérifie sur les documents publiés et sur le comportement réel de l’application. Les deux doivent dire la même chose.

• Vérifier la liste des sous-traitants et le pays où les données sont hébergées.
• Vérifier que le consentement se refuse aussi facilement qu’il s’accorde.
• Contrôler que la cession des droits sur le code figure au contrat signé.

Ce qui n’est pas vérifié à la recette ne sera pas vérifié du tout : le jour de la mise en ligne, plus personne n’a le temps.

Les pièges à éviter

Les mêmes causes reviennent d’un projet à l’autre, quel que soit le prestataire et quelle que soit la taille du budget.

• Ne pas tenir le registre des traitements, obligatoire dans la plupart des situations.
• Collecter des données par défaut, au motif qu’elles pourraient servir un jour.
• Confondre la responsabilité de l’éditeur de l’application et celle de son prestataire.
• Publier une application grand public sans avoir regardé les obligations d’accessibilité.
• Reprendre la formulation d’un autre projet sans vérifier qu’elle décrit bien celui-ci.

Termes liés

Les entrées du glossaire déjà publiées sur des sujets voisins :

• Pourcentage de déploiement
• Consentement
• DPA
• Suivi entre applications
• Registre des violations

Questions fréquentes

Règles d’entreprise contraignantes : de quoi parle-t-on exactement ?

Politique interne de protection des données approuvée par une autorité de contrôle, qui encadre les transferts réalisés au sein d’un même groupe international. Le mot est employé tel quel par les équipes francophones. C’est celui à utiliser dans les échanges avec une agence, y compris quand la traduction française existe.

Que risque-t-on concrètement ?

Un refus de publication par une boutique, une mise en demeure de l’autorité de contrôle, et la remise en cause des données déjà collectées. La régularisation coûte presque toujours plus que la conformité initiale.

Est-ce que ça se retrouve dans le devis ?

Un devis lisible sépare conception, design, développement, tests, publication et suivi. La grille de lecture des devis détaille poste par poste ce qui doit y apparaître.

Toutes les définitions publiées sont rassemblées dans l’index du glossaire, classées de A à Z et par famille.