Tenir le registre des traitements

Le registre décrit chaque traitement de données personnelles de votre organisation : pourquoi les données sont traitées, sur quelle base légale, sur qui, qui les reçoit, combien de temps elles sont gardées et comment elles sont protégées. C'est le document que l'autorité de contrôle demande en premier (article 30 du RGPD).

Il couvre tous vos traitements, pas seulement ceux de MyZapp : paie, vidéosurveillance ou logiciel métier y ont leur place.

Qui fait quoi

Les administrateurs ont les mêmes droits que les délégués.

Créer l'entité juridique

Chaque entité tient son propre registre : une instance peut en porter plusieurs (groupe de sociétés, établissements).

1. Ouvrez Protection des données › Registre des traitements, puis Entités juridiques.
2. Renseignez le code, la raison sociale et le pays.
3. Indiquez le délégué à la protection des données et, pour un responsable établi hors de l'Union, son représentant (article 27).
4. Enregistrez.

Ces coordonnées figurent en tête du registre exporté.

Partir des propositions des modules

Les modules de MyZapp déclarent les données personnelles qu'ils détiennent. Vous n'avez donc pas à décrire ces traitements à partir de zéro.

1. Dans le registre, cliquez Proposer les traitements des modules.
2. Chaque traitement encore absent arrive à l'état Proposée, avec ses finalités, ses catégories de personnes et de données et sa base légale proposée.
3. Ouvrez chaque proposition et complétez-la : la base légale proposée n'est qu'un point de départ, c'est à vous de la confirmer.
4. Cliquez Valider pour la faire entrer au registre, ou Écarter en indiquant le motif si le traitement ne vous concerne pas.

Une proposition écartée n'est pas reproposée : son motif reste au registre. Vous la retrouvez dans l'onglet Écartées et archivées, d'où vous pouvez la rétablir.

Ajouter un traitement hors de l'application

Cliquez Nouvelle activité, puis choisissez Dans un autre système dans Où vivent les données. Indiquez le système, son éditeur, son hébergement et son propriétaire interne.

Précisez aussi comment exercer les droits des personnes dans ce système : ces consignes servent au propriétaire du système quand une demande arrive.

Ce que la fiche vérifie

L'enregistrement est refusé, avec le motif, dans ces cas :

• aucune finalité n'est indiquée ;
• des données sensibles (article 9) sont cochées sans condition de l'article 9.2 ;
• des données pénales (article 10) sont cochées sans leur fondement ;
• un transfert hors de l'Union est déclaré sans les pays et la garantie ;
• une activité du registre du sous-traitant n'indique pas les responsables pour le compte desquels elle est menée ;
• un système externe n'a pas de nom.

Les deux registres

• Responsable de traitement (article 30.1) : les traitements que votre organisation décide.
• Sous-traitant (article 30.2) : ceux que vous menez pour le compte de vos clients.

Chacun a son onglet et ses propres exports.

Versions et revues

Chaque changement crée une version datée, avec son auteur et les champs modifiés. L'historique figure en bas de la fiche.

Pour planifier une revue, indiquez Revue tous les (mois). À l'échéance, les délégués reçoivent un rappel, et la case Revue échue du registre filtre les activités concernées. Une fois la revue faite, cliquez Revue faite : la prochaine échéance est recalculée.

Exporter et importer

• PDF : le registre en vigueur, dans votre langue, à présenter lors d'un contrôle.
• CSV : les propositions et les activités en vigueur, avec des colonnes et des codes stables, quelle que soit la langue.
• Importer un CSV : une référence inconnue crée une activité, une référence connue la met à jour. Les lignes invalides sont refusées et les autres passent. Le fichier doit contenir au moins les colonnes reference et name ; partez d'un export pour avoir toutes les colonnes. Une colonne absente du fichier garde la valeur de l'activité existante.