Le verdict en trois phrases
Un RGPD ajouté après le développement coûte en moyenne deux à trois fois plus cher qu'un RGPD écrit dans le cahier des charges. Pour une application de suivi clients sur mesure, la check-list tient en une douzaine d'exigences, dont une AIPD facturée 2 000 à 5 000 € d'accompagnement, des durées de conservation paramétrables, une journalisation des accès et des clauses de sous-traitance de l'article 28. Le risque à éviter est connu : des amendes CNIL pouvant atteindre 4 % du chiffre d'affaires mondial, et surtout une application à refondre.
La check-list à insérer dans le cahier des charges
Chaque exigence ci-dessous doit apparaître comme une exigence testable, avec un critère de recette. Le coût indiqué correspond au surcoût de développement par rapport à une application sans ces fonctions.
| Exigence RGPD | Formulation dans le cahier des charges | Surcoût indicatif HT |
|---|---|---|
| Minimisation des données | Chaque champ justifié par une finalité, champs libres limités | 0 à 1 000 € (cadrage) |
| Durées de conservation | Durée paramétrable par type de donnée, purge ou anonymisation automatique | 2 500 à 5 000 € |
| Droits des personnes | Export, rectification et effacement en moins de 30 jours depuis l'interface | 3 000 à 6 000 € |
| Journalisation | Traces de consultation et de modification, conservées 6 à 12 mois | 2 000 à 4 500 € |
| Gestion des habilitations | Rôles par équipe et par agence, revue trimestrielle | 2 500 à 5 000 € |
| Chiffrement | TLS 1.2 minimum, chiffrement au repos des pièces jointes | 1 000 à 2 500 € |
| Hébergement | Hébergeur UE, sauvegardes en UE, DPA signé | Selon offre |
| Pseudonymisation des environnements de test | Données de recette anonymisées | 1 500 à 3 000 € |
Au total, comptez 12 000 à 27 000 € HT pour une application de suivi clients de 60 000 à 120 000 € : 15 à 25 % du budget, investis une fois pour toutes.
Les documents et rôles à préparer côté client
Le prestataire développe, mais la responsabilité du traitement reste chez vous. Le DPO doit piloter les livrables suivants, idéalement avant la signature du contrat de développement.
| Livrable | Responsable | Délai | Coût si externalisé |
|---|---|---|---|
| Fiche au registre des traitements | DPO | 1 à 2 jours | 500 à 1 000 € |
| AIPD (si traitement à risque) | DPO + métier + prestataire | 3 à 6 semaines | 2 000 à 5 000 € |
| Contrat de sous-traitance article 28 | Juridique | 1 à 2 semaines | 800 à 2 000 € |
| Mentions d'information clients | Juridique + marketing | 1 semaine | 400 à 900 € |
| Politique de conservation | DPO + métier | 2 semaines | 600 à 1 500 € |
| Procédure de violation de données (72 h) | DPO + DSI | 1 semaine | 500 à 1 200 € |
L'AIPD est obligatoire dès que le traitement remplit au moins deux critères de la liste du CEPD : profilage ou scoring, données sensibles, croisement de fichiers, surveillance systématique, personnes vulnérables, grande échelle. Une application de suivi clients avec scoring commercial et historique d'interactions y entre souvent.
Les clauses article 28 à ne pas oublier
Le contrat avec l'agence doit préciser l'objet et la durée du traitement, l'obligation de n'agir que sur instruction, la confidentialité des intervenants, la liste des sous-traitants ultérieurs (hébergeur, envoi d'e-mails, outil de support) avec droit d'opposition, l'assistance pour les demandes de droits et les AIPD, la notification des violations sous 24 à 48 h pour vous laisser le temps de respecter les 72 h, la restitution et la suppression des données en fin de contrat, et un droit d'audit. Sans ces clauses, vous portez seul le risque.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Me Laurent, responsable juridique et DPO d'une ETI niçoise de services aux entreprises (2 300 clients actifs, 140 commerciaux et techniciens), fait développer une application de suivi clients pour 85 000 € HT. Intégrer la check-list dès le cahier des charges ajoute 17 000 € de développement et 4 000 € d'accompagnement AIPD, soit 21 000 €. Le même chantier mené après la mise en production avait été chiffré à 46 000 € par un second prestataire, car il imposait de reprendre le modèle de données et la purge. L'économie atteint 25 000 €, sans compter le risque d'une sanction : pour un chiffre d'affaires de 60 millions d'euros, le plafond théorique de 4 % représente 2,4 millions.
FAQ
L'AIPD est-elle obligatoire pour une application de suivi clients ?
Elle l'est si au moins deux critères de risque sont réunis, comme le scoring et la grande échelle. Son accompagnement coûte 2 000 à 5 000 € et elle doit précéder la mise en production.
Qui est responsable si l'agence commet une faille ?
Vous restez responsable de traitement, l'agence est sous-traitante et engage sa propre responsabilité au titre de l'article 28. Un contrat précis répartit les obligations et les pénalités.
Combien de temps conserver les données d'un prospect ?
La CNIL recommande 3 ans après le dernier contact pour un prospect. Pour un client, la durée de la relation commerciale plus 3 ans, et 10 ans pour les pièces comptables.
L'hébergement doit-il être en France ?
Le RGPD exige l'UE ou un pays offrant des garanties adéquates. Un hébergeur européen évite d'avoir à documenter des transferts, pour 150 à 600 € HT par mois sur ce type d'application.
Que se passe-t-il en cas de contrôle CNIL ?
La CNIL demande le registre, l'AIPD, les contrats de sous-traitance et les preuves de journalisation. Les sanctions vont du rappel à l'ordre jusqu'à 4 % du chiffre d'affaires mondial ou 20 millions d'euros.
Parlons de votre projet. Nous rédigeons avec votre DPO un cahier des charges RGPD testable pour votre application de suivi clients, avec un budget conformité chiffré et un planning d'AIPD. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
