Le verdict en trois phrases
La conformité RGPD d'une application métier coûte en général 10 à 20 % du budget de développement, et elle coûte deux à trois fois plus cher si elle est ajoutée après la mise en production. Pour une PME de Toulouse qui traite des données clients et salariés, le socle raisonnable combine hébergement en France, chiffrement au repos, AIPD documentée et durées de conservation paramétrées dans le logiciel. Le DPO qui exige ces quatre éléments dans le cahier des charges évite l'essentiel du risque CNIL, dont les amendes peuvent atteindre 4 % du chiffre d'affaires mondial.
Ce que le DPO doit exiger avant de signer
Une application qui manipule des fiches clients, des contrats et des données salariés (absences, coordonnées, parfois IBAN) entre dans le périmètre du RGPD dès la première ligne de code. Le DPO n'a pas à valider le choix du framework, mais il doit obtenir des engagements écrits sur six points : la base légale de chaque traitement, la minimisation des champs collectés, la localisation des données, la sécurité technique, la gestion des droits des personnes et la purge automatique.
Le piège classique à Toulouse comme ailleurs : un prestataire livre une application fonctionnelle, mais sans journal des accès, sans export des données d'une personne et avec des sauvegardes conservées indéfiniment chez un hébergeur américain. Corriger ces trois défauts après coup représente souvent 15 à 25 jours de développement supplémentaires.
| Poste de conformité | Ordre de grandeur 2026 (EUR HT) | Moment idéal |
|---|---|---|
| Registre des traitements et cartographie | 800 à 1 500 | Avant le cahier des charges |
| AIPD (analyse d'impact) | 1 500 à 4 000 avec le registre | Pendant la conception |
| Chiffrement au repos et en transit | 2 à 5 jours de développement | Dès le socle technique |
| Journalisation des accès (logs horodatés) | 3 à 6 jours de développement | Dès le socle technique |
| Module droits des personnes (accès, export, effacement) | 4 à 8 jours de développement | Avant la recette |
| Purge automatique selon durée de conservation | 2 à 4 jours de développement | Avant la recette |
| Audit de sécurité ou test d'intrusion | 3 000 à 8 000 | Avant la mise en production |
Ces montants sont des ordres de grandeur observés sur le marché français en 2026 pour une PME. Une AIPD n'est obligatoire que si le traitement présente un risque élevé (données de santé, surveillance de salariés, profilage, croisement de fichiers), mais un DPO prudent la réalise dès qu'un traitement concerne à la fois clients et salariés.
Hébergement en France : quelles options et quel budget
Le RGPD n'impose pas d'héberger en France, mais il encadre strictement les transferts hors Union européenne. Héberger chez un fournisseur français ou européen supprime la question des transferts et simplifie l'AIPD. Pour une application métier de PME, trois niveaux se dessinent.
| Option d'hébergement | Coût mensuel 2026 (EUR HT) | Points forts | Limites |
|---|---|---|---|
| VPS chez un hébergeur français | 80 à 150 | Simple, données en France | Supervision à votre charge |
| Cloud managé européen (base gérée, sauvegardes) | 150 à 300 | Sauvegardes et haute disponibilité | Configuration plus technique |
| Hébergement certifié HDS ou qualifié SecNumCloud | 250 à 400 et plus | Exigé pour la santé, rassure les grands comptes | Coût et délais d'ouverture |
| Cloud américain région Europe | 100 à 300 | Écosystème riche | Analyse de transfert et clauses à documenter |
| Serveur interne dans vos locaux | 50 à 120 hors matériel | Contrôle total | Sauvegarde externe et sécurité physique à gérer |
Pour une PME toulousaine sans données de santé, un cloud managé européen à 150 à 300 EUR par mois couvre la plupart des besoins, sauvegardes chiffrées incluses. Si l'application touche à la médecine du travail ou à des données médicales, l'hébergement certifié HDS devient obligatoire.
Les fonctions de conformité intégrées au logiciel
La conformité ne se résume pas à un document. Elle doit se voir dans l'application elle-même. Un logiciel bien conçu propose un écran d'administration où le DPO paramètre la durée de conservation par catégorie : par exemple 3 ans après le dernier contact pour un prospect, 5 ans après la fin de la relation pour un client, et la durée légale pour les données de paie. Un traitement nocturne anonymise ou supprime les enregistrements arrivés à échéance et en garde la trace.
Les autres briques attendues : contrôle d'accès par rôle (un commercial ne voit pas les absences des salariés), authentification forte pour les administrateurs, export au format lisible en cas de demande d'accès, et notification interne en cas d'incident pour tenir le délai de 72 heures vis-à-vis de la CNIL.
Chez Kolonell, ces briques sont intégrées au socle des applications sur mesure. Une application simple se situe entre 3 810 et 6 100 EUR, une application moyenne entre 6 100 et 10 670 EUR, une application complexe entre 10 670 et 22 870 EUR et plus, la conformité étant chiffrée dans le devis selon les traitements concernés.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Claire, DPO d'une PME toulousaine de 85 salariés dans l'ingénierie aéronautique, doit valider une application de gestion des affaires qui centralise 4 000 contacts clients et les plannings des équipes. Le budget de développement est de 60 000 EUR HT.
Son calcul : conformité intégrée dès la conception à 15 %, soit 9 000 EUR, dont 3 000 EUR pour le registre et l'AIPD et 6 000 EUR de développement (chiffrement, journalisation, purge, droits des personnes). Hébergement en cloud managé européen à 220 EUR par mois, soit 2 640 EUR par an.
Scénario inverse : conformité ajoutée après la mise en production, estimée à 2,5 fois le coût initial des fonctions techniques, soit 15 000 EUR, plus un audit en urgence à 5 000 EUR. Écart : 20 000 EUR contre 9 000 EUR, soit 11 000 EUR économisés en anticipant. Et face à une PME qui réalise 12 millions d'euros de chiffre d'affaires, le plafond théorique d'une amende à 4 % atteint 480 000 EUR.
FAQ
Une AIPD est-elle obligatoire pour toutes les applications métier ?
Non, elle l'est seulement pour les traitements à risque élevé, par exemple la surveillance des salariés ou les données de santé. Elle coûte 1 500 à 4 000 EUR HT avec le registre, ce qui reste modeste face au risque. La CNIL publie une liste des traitements pour lesquels elle est exigée.
Faut-il obligatoirement héberger les données en France ?
Non, l'Union européenne suffit au regard du RGPD. Héberger en France ou en Europe pour 80 à 400 EUR par mois évite toutefois l'analyse des transferts hors UE et rassure les clients grands comptes.
Combien de temps la conformité ajoute-t-elle au projet ?
Comptez 2 à 4 semaines de plus sur un projet de 4 mois si elle est prévue dès le départ. Ajoutée après coup, elle peut immobiliser l'équipe 6 à 8 semaines.
Qui est responsable si le prestataire commet une faute ?
Le responsable de traitement reste votre entreprise, le prestataire étant sous-traitant au sens de l'article 28. Le contrat doit donc inclure les clauses de sous-traitance, la localisation des données et l'obligation de notifier une violation sous 24 à 48 heures.
Comment paramétrer les durées de conservation ?
Idéalement dans un écran d'administration par catégorie de données, par exemple 3 ans pour un prospect inactif. Une purge automatique quotidienne coûte 2 à 4 jours de développement et supprime le risque de conservation excessive.
Parlons de votre projet. Décrivez-nous les données traitées et vos contraintes d'hébergement, nous cadrons le périmètre, la conformité intégrée et le planning de livraison. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
