Le registre des traitements est la pièce centrale de votre documentation RGPD. Cette page vous donne une structure simple, des exemples adaptés aux PME et les points de vigilance à vérifier avant un audit.
Il cartographie ce que votre PME fait avec les données personnelles : pourquoi vous les collectez, qui y accède, combien de temps vous les gardez, quelles mesures de sécurité existent et quels prestataires interviennent.
Le responsable de traitement tient ce registre dès que les traitements sont réguliers, sensibles, risqués ou structurants. En PME, c’est souvent le dirigeant, la direction administrative, les RH ou le référent RGPD qui le maintient avec les métiers qui utilisent les outils.
À chaque nouveau logiciel, formulaire, campagne marketing, prestataire, transfert hors UE ou changement de durée de conservation. Un registre fiable vit avec vos processus, pas seulement avec votre audit.
Structure recommandée
Le bon niveau de détail permet de répondre rapidement à une question de direction, de client ou de contrôle.
Gérer les demandes commerciales reçues via le formulaire de contact.
Intérêt légitime, contrat, obligation légale ou consentement selon le cas.
Nom, email professionnel, téléphone, entreprise, historique d’échanges.
Prospects B2B, clients, salariés, candidats, fournisseurs.
CRM, hébergeur, outil emailing, cabinet comptable, support client.
3 ans après le dernier contact pour un prospect inactif.
Accès nominatif, MFA, chiffrement, sauvegardes, journalisation.
Indiquer le pays, le prestataire et le mécanisme d’encadrement si applicable.
Mini-modèle directement exploitable
Adaptez chaque ligne à vos outils réels. Si une information est inconnue, notez “à vérifier” plutôt que de laisser la cellule vide : cela crée une liste d’actions claire pour la mise en conformité.
| Traitement | Finalité | Base légale | Données | Durée | Sous-traitants |
|---|---|---|---|---|---|
| Prospection commerciale B2B | Qualifier les demandes entrantes et relancer les prospects | Intérêt légitime | Identité, email pro, téléphone, société, besoin exprimé | 3 ans après le dernier contact actif | CRM, outil emailing, hébergeur du site |
| Gestion clients | Exécuter les contrats, facturer et assurer le support | Contrat et obligation légale | Contacts, commandes, factures, tickets support | Durée du contrat puis archives légales | Outil de facturation, support client, comptabilité |
| Recrutement | Évaluer les candidatures et organiser les entretiens | Mesures précontractuelles | CV, lettre, échanges, notes d’entretien | 2 ans avec accord candidat, sinon fin du recrutement | ATS, email, stockage documentaire |
Traitement Finalité Base légale Données Personnes concernées Destinataires / sous-traitants Durée Sécurité Transferts hors UE Responsable interne Prospection commerciale B2B Qualifier les demandes et relancer les prospects Intérêt légitime Nom, email pro, téléphone, société, besoin Prospects CRM, emailing, hébergeur 3 ans après dernier contact Accès limité, MFA, suppression périodique À vérifier selon les outils Direction commerciale Gestion clients Exécuter les contrats, facturer, assurer le support Contrat / obligation légale Contacts, commandes, factures, tickets Clients Facturation, support, comptabilité Contrat puis archives légales Accès nominatif, sauvegardes À vérifier selon les outils Direction opérations Recrutement Étudier les candidatures et organiser les entretiens Mesures précontractuelles CV, lettre, échanges, notes Candidats ATS, email, stockage documentaire Fin du recrutement ou 2 ans avec accord Droits RH restreints À vérifier selon les outils RH
Erreurs fréquentes des PME
Le registre n’a pas besoin d’être parfait au premier jour, mais il doit être exact, vérifiable et relié aux pratiques réelles de l’entreprise.
Copier un modèle générique sans refléter les outils réellement utilisés par l’équipe.
Oublier les traitements internes : RH, paie, recrutement, notes de frais et badgeage.
Renseigner “consentement” par défaut alors qu’une autre base légale est plus adaptée.
Lister les logiciels sans préciser les sous-traitants, destinataires ou transferts hors UE.
Indiquer des durées de conservation vagues comme “tant que nécessaire”.
Créer le registre une fois, puis ne jamais le revoir lors d’un nouvel outil ou processus.
Audit Flash RGPD
ComplyShield relit vos traitements, repère les champs manquants, vérifie la cohérence avec vos outils et livre 10 recommandations priorisées en 5 jours ouvrés. Offre active : Audit Flash RGPD à 490 €.
Paiement sécurisé · aucun abonnement