Ce que le RGPD exige vraiment d'une politique de confidentialité
L'article 13 (données collectées auprès de la personne) et l'article 14 (données collectées auprès de tiers) énumèrent onze éléments que toute information sur la protection des données doit contenir : l'identité du responsable du traitement, les coordonnées du DPO le cas échéant, les finalités et la base légale, les destinataires, la durée de conservation, les droits des personnes concernées, le droit d'introduire une réclamation auprès d'une autorité de contrôle, le caractère réglementaire ou non de la fourniture des données, la prise de décision automatisée, la source des données et les garanties encadrant les transferts internationaux. Le générateur présente chacun de ces éléments dans une section titrée, pour qu'une autorité qui parcourt la page trouve la réponse immédiatement.
Bases légales (article 6)
Pour chaque finalité de traitement, le générateur retient l'une des six bases légales : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public ou intérêt légitime. La plupart des flux d'analyse produit relèvent de l'intérêt légitime, avec une mise en balance exposée ; les données de compte relèvent du contrat ; les e-mails marketing relèvent du consentement. Le document indique la base légale à côté de la finalité, la forme qu'attendent les autorités.
Transferts internationaux
Si vous utilisez un service basé aux États-Unis (Google, AWS, Stripe, Meta), votre politique doit décrire les garanties encadrant les transferts de l'UE vers les États-Unis. Le générateur indique le statut de certification au Data Privacy Framework UE-États-Unis de chaque sous-traitant ultérieur cité et prévoit les clauses contractuelles types 2021/914 comme solution de repli lorsque le DPF ne s'applique pas.
Demandes des personnes concernées
Les articles 15 à 22 donnent huit droits aux utilisateurs européens : accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement et droits liés aux décisions automatisées. Le générateur publie une adresse e-mail de contact pour chaque droit et un délai de réponse d'un mois, le maximum autorisé par l'article 12(3).