Inventaire des traitements et transferts

Chaque traitement devrait disposer d’une fiche comprenant les informations suivantes :

• Nom du traitement, entité responsable, propriétaire métier et contact du correspondant.

• Finalités précises, personnes concernées, catégories de données et justification de la licéité.

• Sources, destinataires, sous-traitants, systèmes et interconnexions.

• Formalité applicable, numéro, date et conditions du titre ou justification de dispense.

• Durées par catégorie, événement de départ, effacement et gestion des contentieux.

• Mesures de sécurité, habilitations, information et exercice des droits.

• Pays d’hébergement, de sauvegarde et d’accès distant, et analyse des transferts.

• Date de revue et changements depuis la version précédente.

Finalité proposée : gérer les commandes, la livraison, le service après-vente et les obligations de facturation. Les campagnes de prospection doivent être identifiées et examinées séparément lorsque leur finalité et leurs conditions diffèrent.

Données à décrire : identité et contacts nécessaires, commandes, factures, paiements référencés et réclamations. Le stockage des données sensibles de paiement doit être limité selon l’architecture retenue et les exigences applicables ; un commerçant peut privilégier un prestataire spécialisé plutôt que conserver lui-même ces éléments.

Destinataires à vérifier : service commercial, comptabilité, livraison, hébergeur, maintenance et prestataire de paiement. La fiche doit préciser les accès réels. La durée ne doit pas être une valeur uniforme recopiée pour les prospects, factures, tickets de support et comptes inactifs.

Ce modèle est une recommandation d’organisation. Les informations à déclarer et les formalités restent celles prévues par les textes et demandées par l’Autorité.