Exécuter une demande de droits dans toute l'application

Une personne vous demande l'accès à ses données, leur effacement, leur rectification, la limitation de leur traitement, leur portabilité ou s'oppose à un traitement (articles 15 à 22 du RGPD). Sa demande arrive au guichet des requêtes réglementées, qui compte le délai, porte la réponse formelle et garde la preuve. Le dossier d'exécution applique la demande à toutes les données que MyZapp détient sur elle, module par module.

Seuls les délégués à la protection des données (et les administrateurs) ouvrent et traitent ces dossiers : ils portent l'identité de la personne.

Ouvrir le dossier depuis la requête

1. Ouvrez la requête (par exemple « Droit d'accès ») dans Requêtes réglementées.
2. Dans la carte Exécution dans l'application, cliquez sur Exécuter la demande dans l'application.
3. Le dossier s'ouvre avec le droit du type de requête, le nom, l'adresse, le téléphone et la pièce d'identité du demandeur. Complétez si besoin, puis Ouvrir le dossier.

Une requête n'a qu'un dossier ouvert à la fois. Vous pouvez aussi ouvrir un dossier à la main depuis Protection des données › Demandes de droits › Nouveau dossier, par exemple pour une demande reçue hors du guichet.

Tant que le dossier est ouvert, la réponse formelle de la requête ne part pas : le guichet affiche « La demande est en cours d'exécution dans l'application ».

Les étapes

Ce que fait chaque droit

• Accès : un paquet de réponse (fichier ZIP) réunit un fichier de données par module et un rapport lisible : finalités, catégories de données, destinataires, durée de conservation, base légale, source des données, décisions automatisées, transferts hors de l'Union et ce qui est conservé et pourquoi. Le paquet est versé au dossier de la requête et entre dans sa preuve. Vous pouvez aussi le télécharger depuis le dossier.
• Portabilité : le même paquet, limité aux données traitées sur la base du consentement ou du contrat (article 20).
• Effacement, rectification, limitation, opposition : ces droits modifient des données. Rien n'est appliqué sans votre validation : cochez « Je valide l'exécution dans toute l'application » avant de cliquer. Ce que la loi impose de garder (factures, preuves des requêtes, journaux de sécurité) est refusé avec son motif et, quand elle est connue, la date de fin de conservation.
• Décision automatisée : le rapport indique si un module prend une décision fondée exclusivement sur un traitement automatisé (article 22).

Si un module échoue, le dossier reste ouvert : relancez l'exécution, qui reprend ce qui manque.

Opposition et limitation : la personne est inscrite sur la liste d'opposition et de limitation, que le CRM consulte avant tout envoi — même pour une fiche créée plus tard. Pour lever une limitation, informez d'abord la personne (article 18.3), puis cliquez sur Lever la limitation dans le dossier : la levée est datée.

Systèmes hors de l'application et destinataires

Une partie des données de la personne vit souvent ailleurs : paie, vidéosurveillance, logiciel métier. Le registre des traitements les connaît. À l'exécution, le dossier crée une tâche pour chaque activité du registre dont les données sont dans un système externe et dont les droits s'exercent à la main.

• La tâche est confiée au compte propriétaire du système, saisi au registre (champ « Compte du propriétaire »), sinon aux membres du groupe propriétaire, sinon à vous. Elle porte l'échéance de la requête et la consigne d'exécution du registre.
• Le propriétaire reçoit un avis, puis une relance par jour quand l'échéance approche. Il ouvre la tâche dans Protection des données › Tâches des demandes (ou par le lien de l'avis), y voit la personne à rechercher tant que la tâche est ouverte, exécute la demande dans son système, puis joint sa preuve : une attestation écrite ou un fichier (l'export des données pour un accès). Si la personne n'est pas dans son système, il clôt la tâche avec ce motif.
• Après une rectification, un effacement ou une limitation, une tâche vous demande aussi de prévenir les destinataires de chaque activité concernée : sous-traitants, autorités, fournisseur d'IA (article 19). Notez qui a été prévenu et comment, ou motivez l'impossibilité ou l'effort disproportionné.

La carte Tâches hors de l'application du dossier montre leur avancement. Le dossier ne se clôt que lorsque toutes sont faites ou motivées ; la réponse formelle attend donc la dernière. Annuler le dossier annule ses tâches.

Dans les données de démonstration

L'étape « Protection des données » des données de démonstration joue une demande de bout en bout, après celle des requêtes réglementées :

• la demande d'accès de la démonstration a son dossier clos : identité vérifiée, recherche dans l'application, paquet versé à la requête, et trois tâches de systèmes externes closes par leur propriétaire (la paie, faite avec attestation ; la vidéosurveillance et l'outil du sous-traitant, motivées). Il ne reste qu'à rédiger la réponse formelle sur la requête ;
• la demande d'effacement a son dossier ouvert, arrêté à l'aperçu : rien n'est effacé. Vous pouvez y montrer le résultat de la recherche avant toute exécution.

Rejouer l'étape ne crée pas de second dossier pour une requête qui en a déjà un.

Bon à savoir

• Les comptes rendus du dossier ne contiennent aucune donnée personnelle : seulement les modules, les états, les nombres et les motifs.
• Les valeurs d'une rectification sont retirées du dossier à sa clôture.
• La réponse formelle se rédige sur la requête, comme d'habitude, une fois le dossier clos.

Preuve des consentements

Protection des données › Consentements retrouve, par l'adresse d'une personne, tout ce qu'elle a accepté ou refusé : finalité, date, canal, version du texte lu et module qui l'a recueilli, textes acceptés à l'inscription compris. Vous pouvez y retirer un consentement à sa demande (écrit ou oral) : le retrait est tracé à votre nom. Le registre n'est jamais effacé : il prouve le consentement (art. 7.1).