Ne pas présumer que seules les références produits sont traitées

Un WMS peut contenir des comptes, journaux, identifiants d’opérateur ou informations liées à une commande. Cartographiez les champs et événements réellement utilisés. Identifiez les données qui permettent de distinguer une personne, même lorsqu’aucun nom n’apparaît directement. Faites valider l’inventaire par le responsable de traitement de votre organisation.

Pour chaque traitement, écrivez sa finalité opérationnelle et qui y accède. Des données peuvent être nécessaires pour attribuer une correction ou assurer la traçabilité, mais leur collecte et leur conservation doivent être examinées. Ne demandez pas au fournisseur de décider seul de la finalité pour votre organisation.

Distinguez les données que vous fournissez, celles que le système crée et celles générées pour la sécurité ou le support. Demandez quelles informations figurent dans les journaux et les tickets. Cette distinction aide à définir une durée et un accès adaptés.

Clarifier les rôles et le contrat

La qualification des parties dépend du traitement concret. La CNIL décrit le sous-traitant comme l’entité qui traite des données pour le compte d’un responsable. Si le fournisseur ou un partenaire intervient ainsi, vérifiez que le contrat encadre les instructions, la confidentialité, la sécurité, l’assistance, les sous-traitants ultérieurs et la fin du service selon les obligations applicables.

Demandez la liste des prestataires qui peuvent accéder aux données, la localisation de traitement et la procédure de changement. Faites préciser les responsabilités lors d’une demande d’accès ou de rectification, d’un incident et d’une exportation. Ces points doivent être examinés par les personnes compétentes, pas déduits d’une page marketing.

Vérifiez la cohérence entre contrat principal, annexe de traitement, conditions d’hébergement et support. Notez toute contradiction et demandez une réponse écrite. Une clause générique ne prouve pas automatiquement que chaque opération de votre déploiement est correctement couverte.

Limiter les accès et les copies

Déterminez les rôles qui ont besoin de consulter ou modifier les informations, puis demandez si les permissions peuvent refléter ces responsabilités. Examinez les comptes d’administration, l’accès du support et le partage avec les partenaires. Faites démontrer la révocation d’un compte et l’extraction d’un journal.

Évitez les copies de production dans des environnements de test. Demandez des données fictives ou anonymisées et définissez le processus d’autorisation si une copie réelle est indispensable. Vérifiez le transport, le stockage, l’accès et la suppression de ces copies.

Les équipes doivent savoir quelles informations peuvent être envoyées dans un ticket ou une capture. Donnez une consigne simple : masquer les identifiants, minimiser les détails et utiliser le canal approuvé. Ne publiez pas de jeu d’essai contenant des données réelles dans un cahier de démonstration.

Fixer conservation et fin de contrat

Demandez les durées de conservation par catégorie, les options de configuration, le traitement des sauvegardes et la preuve d’effacement. Vérifiez si un historique reste disponible après la résiliation et sous quelle forme. La suppression d’un compte ne signifie pas nécessairement que toutes les copies sont immédiatement effacées.

Définissez les données à récupérer, le format, le délai et les responsabilités avant la signature. Faites préciser ce qui se passe avec les pièces jointes, journaux et données de support. Le responsable doit pouvoir vérifier que l’export sert aux besoins prévus.

Les ressources de la CNIL sur les sous-traitants et le RGPD sont des points de départ officiels. Elles ne remplacent pas une analyse juridique et technique de votre traitement précis. Cet article est informatif et ne constitue pas un avis de conformité.

Sources et limites

Ces repères éclairent une méthode de préparation; ils ne valident ni votre configuration ni un fournisseur. Vérifiez les documents contractuels, les versions techniques et les règles applicables à votre activité avec les personnes responsables.