Listen Leon

Mise en conformité RGPD d'une startup SaaSdéployée chez un donneur d'ordres internationalPlateforme SaaS RH &amp; QVT&nbsp; ·&nbsp; Sous-traitant RGPD&nbsp; ·&nbsp; Déploiement multi-pays (FR / DE / EN)&nbsp; ·&nbsp; ~700 utilisateurs phase piloteDPA &amp; contractualisationRegistre des traitementsCGU &amp; politique de confidentialitéCompliance Architecture souveraineMulti-languesCONTEXTE &amp; ENJEUXLa startupStartup SaaS spécialisée dans la reconnaissance positive et anonyme entre collaborateurs (plateforme de feedback RH &amp; QVT). Produit déployé en mode pilote chez un grand groupe industriel : plusieurs milliers de salariés concernés à terme, déploiement multi-pays.Architecture technique<ul><li>Hébergeur souverain européen (datacenter France)</li><li>Authentification : chiffrement Bcrypt, accès serveurs SSH, ACL applicative</li><li>Données traitées : identité, email, soft skills générés, logs de connexion</li></ul>Le déclencheurLe donneur d'ordres impose à tout fournisseur SaaS traitant des données de ses employés de satisfaire à un processus formel de qualification RGPD piloté par son Data Protection Office interne :<ul><li>Remplissage d'un questionnaire de notification HAP (Data Protection Office)</li><li>Production d'une Compliance Matrix détaillant les mesures de sécurité</li><li>Signature d'un Data Processing Agreement (DPA) conforme RGPD</li><li>Fourniture de la politique de confidentialité et des CGU en anglais</li><li>Déclaration des sous-traitants ultérieurs (hébergeur, intervenants)</li></ul>Sans cette qualification, le contrat de déploiement ne peut être signé.ENJEUX SPÉCIFIQUES DE LA MISSIONLa mission présente trois niveaux de complexité simultanés, caractéristiques des contextes SaaS B2B : Double casquette juridiqueLa startup est sous-traitant RGPD vis-à-vis du grand compte, mais responsable de traitement pour ses propres utilisateurs (prospects, newsletter). Chaque document doit refléter ce double positionnement avec précision.Exigences grand compteLe processus de qualification DPO du donneur d'ordres impose un niveau de formalisme et de précision technique élevé : compliance matrix, déclaration des sous-traitants ultérieurs, procédure de notification de violation sous 72h.Déploiement multi-paysLe pilote couvre plusieurs pays européens (France, Allemagne, UK). CGU et politique de confidentialité doivent être produites en 3 langues (FR / EN / DE), avec les adaptations juridiques de chaque territoire.DÉROULEMENT DE LA MISSIONPhase 1 — Qualification RGPD &amp; positionnement contractuelAnalyse approfondie du positionnement juridique de la startup : identification des traitements où elle agit comme responsable de traitement (gestion des prospects, analytics, newsletter) versus ceux où elle agit comme sous-traitant (données des employés du grand compte traitées via la plateforme).<ul><li>Cartographie des données traitées : identité (nom, prénom, email), données professionnelles générées (soft skills mapping), logs de connexion (IP, navigateur, timestamps)</li><li>Identification des sous-traitants ultérieurs : hébergeur cloud souverain (datacenter FR), intervenants techniques internes (CTO, lead développeur)</li><li>Analyse des transferts de données : périmètre UE/EEE, absence de transfert hors UE documentée et vérifiée</li><li>Durées de conservation définies : 3 ans pour les données utilisateurs actifs, procédure de suppression à la fin du contrat</li></ul>Phase 2 — Réponse au processus de qualification du Data Protection OfficeRemplissage et production de l'ensemble des documents exigés par le DPO du donneur d'ordres dans le cadre du processus de notification HAP (procédure interne de qualification des fournisseurs SaaS traitant des données personnelles des employés).<ul><li>Questionnaire de notification Data Protection (HAP) : 13 sections couvrant finalités, données traitées, personnes concernées, durées de conservation, mesures de sécurité, droits des utilisateurs, sous-traitants ultérieurs</li><li>Compliance Matrix : détail des mesures de sécurité techniques (OpenSSH, Bcrypt, ACL, HTTPS, chiffrement des mots de passe) et organisationnelles (accès restreints, suppression à la fin du contrat)</li><li>Tableau de suivi contractuel pour le Data Protection Office : référence contrat, DPA utilisé, évaluation du risque métier, acceptation</li></ul>Phase 3 — Rédaction du Data Processing Agreement (DPA)Rédaction du DPA bilingue FR/EN encadrant la relation de sous-traitance entre la startup (data processor) et ses clients grands comptes (data controllers). Document conçu pour être robuste face aux exigences des DPO de grandes entreprises et administrations.<ul><li>Définition précise du périmètre des Services et des données traitées pour le compte du client</li><li>Obligations du processeur : conformité RGPD, instructions documentées, confidentialité du personnel, mesures de sécurité article 32</li><li>Encadrement de la sous-traitance ultérieure : autorisation préalable du client, obligations équivalentes imposées aux sous-processeurs</li><li>Droits des personnes concernées : procédure d'assistance au client pour l'exercice des droits (accès, effacement, portabilité)</li><li>Procédure de notification de violation de données : alerte immédiate du client, coopération pour notification CNIL sous 72h</li><li>Clause de restitution/destruction des données à la fin du contrat, avec attestation écrite</li></ul>Phase 4 — Documentation utilisateur multilingueProduction des documents publics (CGU et politique de confidentialité) en trois langues, adaptés aux spécificités de chaque marché de déploiement (France, Allemagne, pays anglophones).<ul><li>Politique de confidentialité (FR / EN / DE) : nature des données collectées, finalités, bases légales, durées de conservation, droits des utilisateurs, coordonnées DPO, cookies</li><li>CGU (FR / EN / DE) : conditions d'utilisation de la plateforme, propriété intellectuelle, responsabilités, droit applicable, clause données personnelles (article dédié)</li><li>Formulaire d'information intégré à l'inscription : mentions RGPD, recueil du consentement, lien vers la politique de confidentialité</li></ul>Phase 5 — Registre des traitementsConstruction du registre des traitements de la startup couvrant l'ensemble de ses activités de traitement, dans son double rôle de responsable et de sous-traitant.<ul><li>Traitement 1 (RT) : gestion des utilisateurs de la plateforme — employés des clients grands comptes</li><li>Traitement 2 (RT) : gestion des prospects et leads commerciaux — newsletter, démarchage B2B</li><li>Traitement 3 (ST) : données traitées pour le compte de chaque client (encadré par le DPA)</li></ul>POINTS SAILLANTS — ANALYSE PAR DOMAINE Données RH &amp; QVT — nature particulière des données généréesLes soft skills générés par la plateforme (mapping des forces suite aux feedbacks reçus) constituent des données professionnelles à caractère personnel non banales : elles peuvent refléter des perceptions sur la personnalité ou les compétences d'un individu.Analyse conduite pour confirmer l'absence de qualification en données sensibles (art. 9 RGPD), et encadrement contractuel de l'usage strictement limité au contexte professionnel. Communication &amp; prospection — double base légaleDistinction opérée entre les traitements relevant du contrat (données des employés du grand compte, base légale : exécution du contrat) et les traitements marketing de la startup (prospects, newsletter, base légale : consentement ou intérêt légitime B2B).Recommandation : cases de consentement distinctes à l'inscription selon que l'utilisateur est un employé du client ou un contact direct de la startup. Activités opérationnelles — hébergement souverain comme argument commercialChoix stratégique de l'hébergeur souverain (datacenter France, acteur européen) valorisé dans la compliance matrix comme garantie de localisation des données en UE.Absence de transfert hors UE documentée et vérifiée — argument différenciant face aux solutions concurrentes hébergées sur AWS US ou Google Cloud US. Sûreté &amp; sécurité — mesures techniques documentées pour le DPO grand compteProduction d'une fiche de sécurité technique détaillée (OpenSSH avec clés SSH pour les accès serveurs, Bcrypt pour le chiffrement des mots de passe, ACL applicative Node.js, HTTPS, SSO en cours d'implémentation).Procédure de violation de données formalisée : chaîne d'alerte interne (CTO → CEO) → notification client sous 24h → coopération pour déclaration CNIL sous 72h.LIVRABLES PRODUITS LivrableDestinataireUsageData Processing Agreement (DPA)Clients grands comptes (FR/EN)Socle contractuel de la relation sous-traitant — signable immédiatementQuestionnaire de notification HAPData Protection Office donneur d'ordresQualification RGPD fournisseur — débloque la signature du contratCompliance Matrix sécuritéDPO grand comptePreuve documentée des mesures techniques et organisationnellesRegistre des traitementsUsage interne / CNIL si contrôleDouble entrée RT + ST, mis à jour à chaque évolution produitPolitique de confidentialité FR / EN / DEUtilisateurs de la plateformeTransparence RGPD, intégrée à l'interface d'inscriptionCGU FR / EN / DEUtilisateurs / clientsConditions d'utilisation avec clause données personnelles dédiéeFormulaire d'information inscriptionUtilisateurs lors du sign-upRecueil du consentement et mentions légales intégrés au parcoursProcédure de gestion des violationsÉquipe interne + clientsChaîne d'alerte et délais de notification CNIL documentésRÉSULTATS &amp; VALEUR PRODUITELa startup a obtenu la validation de son Data Protection Office client et pu signer son contrat de déploiement. L'ensemble du corpus documentaire produit — DPA, politique de confidentialité, CGU — a ensuite été réutilisé pour l'ensemble des contrats grands comptes suivants, constituant un actif juridique durable. Impact immédiatActif durable<ul><li>Qualification RGPD validée par le DPO grand compte</li><li>Contrat de déploiement débloqué</li><li>Plateforme conforme pour le lancement du pilote (700 utilisateurs)</li></ul><ul><li>DPA réutilisable pour tous les clients grands comptes suivants</li><li>CGU et politique de confidentialité multilingues : base pour nouveaux marchés</li><li>Registre des traitements : outil de gouvernance pérenne</li><li>Positionnement "conformité RGPD" comme argument commercial différenciant</li></ul> Compétence transposable — contexte grand compte multi-directionsCette mission illustre la capacité à piloter simultanément les dimensions juridiques (DPA, CGU, qualification DPO), techniques (sécurité SI, architecture hébergement) et opérationnelles (processus RH, communication, prospection) d'un programme RGPD complexe — dans un contexte où le non-respect des exigences bloque directement l'activité commerciale.

Startup SaaS spécialisée dans la reconnaissance positive et anonyme entre collaborateurs (plateforme de feedback RH & QVT). Produit déployé en mode pilote chez un grand groupe industriel : plusieurs milliers de salariés concernés à terme, déploiement multi-pays.

GDPR

Compliance

Mise en conformité RGPD d'une startup SaaS

Directeur général

Expérience de consultant freelance et formateur.

Réalisation d'audit, de mise en place SIRH, documentations, DUERP, RGPD, organisation d'élection CSE

Président

Création d'un organisme de formation
Obtention de Qualiopi
Prospection des formateurs & entreprises
Gestion administrative OPCO
Aide au développement d’un logiciel en interne

Gestion de projet
Opérationnel : recrutement, onboarding, màj documents juridiques
RPS et prévention
Adapter la politique salariale
Envoi des EVP mensuels
Extension d'un accord télétravail
Election CSE

Responsable RH

Rédaction de contrats de travail (CDI, CDD...)
Échanges sur les besoins des clients
Élections professionnelles

Agullo Florian

Directeur général

About me

Work experience

Directeur général

Président

Responsable RH

Juriste

Education

Université de Toulon

Portfolio

Mise en conformité RGPD d'une startup SaaS

Listen Leon

Talents

Recruiters

About