Conformité · Guide

Lire une politique de confidentialité en dix minutes

Personne ne lit ces documents en entier, et ce n'est pas nécessaire. Quatre sections portent tout ce qui vous intéresse. Le reste est du texte obligatoire, souvent recopié d'un modèle. Voici lesquelles, dans quel ordre, et ce qu'il faut y trouver.

1. Hébergement

Vous cherchez deux informations : un nom de société et un pays. Si l'un des deux manque, la section est incomplète.

La formule à repérer est « en Europe », seule. Elle est vraie partout et n'engage à rien. Un éditeur qui sait où sont ses données donne un pays, et souvent une région précise de son fournisseur.

2. Sous-traitants

Cette section doit être nominative. Elle liste les sociétés qui interviennent : hébergement, envoi des courriels, paiement, supervision technique, éventuellement le service d'intelligence artificielle.

Deux signaux à connaître. Une formule générique comme « nos partenaires techniques » ne vaut pas une liste. Et une liste d'un seul nom est presque toujours le signe qu'elle n'a jamais été établie sérieusement, parce qu'une application web réelle repose sur plusieurs prestataires.

3. Sécurité

Vous cherchez deux mentions du chiffrement, pas une.

En transit, quand la donnée circule entre votre navigateur et le serveur. C'est le cadenas de votre barre d'adresse, et c'est aujourd'hui le minimum de n'importe quel site, y compris ceux qui ne traitent rien de sensible.

Au repos, quand la donnée dort en base de données et dans les sauvegardes. C'est celle-ci qui compte pour des données de santé, et c'est celle qui manque le plus souvent.

Une politique qui ne parle que du premier n'a rien dit d'important.

4. Conservation

Vous cherchez une durée, exprimée en mois ou en années, et ce qui se passe à la fin. Une durée absente est un problème : cela signifie que rien n'a été décidé, donc que rien ne sera supprimé.

Complétez par les conditions générales, section résiliation, où doit figurer votre moyen de récupérer vos dossiers. Si les deux documents se contredisent, c'est instructif : cela signale des textes assemblés par morceaux et jamais relus d'un bout à l'autre.

Cinq formules creuses

Elles ne sont pas mensongères, elles sont simplement vides. Chacune devrait vous conduire à poser une question précise.

« Vos données sont sécurisées » sans dire comment. Demandez le chiffrement au repos.

« Hébergement en Europe » sans nom ni pays. Demandez le nom de l'hébergeur.

« Nous ne vendons pas vos données ». C'est vrai de presque tout le monde et cela ne dit rien de ce qui est partagé, conservé ou réutilisé.

« Conforme RGPD ». Le RGPD s'impose à tout le monde. L'afficher n'est pas une garantie, c'est une obligation.

« Nous utilisons une IA sécurisée ». Demandez par quel service le modèle est appelé et où se trouve l'engagement de non-entraînement. Le sujet est détaillé dans que devient votre texte quand une IA le traite.

Un dernier réflexe, qui prend dix secondes

Regardez la date de dernière mise à jour. Une politique qui n'a pas bougé depuis trois ans, dans un secteur où les textes et les pratiques ont beaucoup changé, n'a probablement jamais été relue depuis sa rédaction initiale.

Les questions qui ne se lisent nulle part et se posent par courriel sont dans notre grille en neuf questions.