Registre RGPD Article 30 — généré depuis votre code source

Produisez un registre des activités de traitement au format de l'article 30 du RGPD et du modèle CNIL, sans partir d'une page blanche. Cet Agent lit le code source de votre application pour pré-identifier les traitements de données personnelles, puis vous interroge sur ce que le code ne peut pas révéler.

🎯 En une phrase

La plupart des outils vous laissent face à un formulaire vide. Ici, l'Agent analyse vos modèles de données, vos API tierces, vos cookies et votre configuration pour pré-remplir le registre, puis vous guide par questions ciblées jusqu'à un document exportable.

✨ Ce que fait l'Agent

• Scanne votre code (agnostique au langage) et repère automatiquement :
  • Modèles / entités de données : Prisma, TypeORM, Sequelize, Mongoose, SQLAlchemy, Django, JPA/Hibernate, Eloquent, Entity Framework, Drift, migrations SQL, collections NoSQL (Firestore…).
  • Données personnelles & sensibles : email, nom, téléphone, adresse, IP, IBAN/CB, n° SS, géolocalisation, mais aussi santé, biométrie, opinions, etc. (signalées en rouge).
  • Services & API tiers / sous-traitants : Stripe, PayPal, Google Analytics, Sentry, Datadog, Mailchimp, SendGrid, Twilio, AWS/GCP/Azure, Firebase, OpenAI… avec alerte transfert hors UE. Aucun service détecté n'est ignoré : ceux non rattachés à un traitement sont surfacés comme candidats « à qualifier ».
  • Cookies & traceurs : GA/GTM, Meta Pixel, bannières de consentement.
  • Variables d'environnement : indices de sous-traitants — seuls les noms sont lus, jamais les valeurs/secrets.
  • Authentification & journalisation : login/oauth, sessions, JWT, logs et tables d'audit.
• Regroupe les signaux par finalité (gestion des comptes, paiement, mesure d'audience, prospection, support, sécurité…) — une fiche par finalité, pas par table, conformément à la doctrine CNIL.
• Vous pose les bonnes questions pour ce que le code ne dit pas : finalités, bases légales (art. 6 / art. 9), catégories de personnes, durées de conservation, destinataires, transferts hors UE, mesures de sécurité, besoin d'AIPD.
• Génère le registre dans le ou les formats voulus et contrôle la conformité champ par champ (checklist article 30).

📤 Formats de sortie

Chaque document porte la date de génération, le rappel « Article 30 du RGPD » et une clause de non-responsabilité. Aucune signature ni marque d'éditeur — l'outil reste neutre.

🔄 Comment ça marche

1. Cadrage — votre rôle (responsable de traitement / sous-traitant), identité de l'organisme, périmètre du code, formats souhaités.
2. Scan du code — détection des traitements candidats.
3. Validation — vous confirmez / fusionnez / scindez les traitements, et ajoutez ceux hors application (RH, papier, vidéosurveillance…).
4. Questions ciblées — finalités, bases légales, durées, transferts, AIPD.
5. Génération & contrôle de conformité — livrables prêts, points de vigilance signalés.

👥 Pour qui ?

• DPO / délégués à la protection des données
• Juristes & responsables conformité de PME et startups
• Freelances & agences gérant plusieurs clients
• CTO / lead developers qui veulent partir du réel (le code) plutôt que d'un formulaire

💡 Exemple d'usage

Entrée : « Établis mon registre RGPD à partir de ce dépôt. »

L'Agent : scanne le code → repère un modèle User (email, nom, IP), Stripe (paiement, transfert hors UE possible), Google Analytics (mesure d'audience, cookies), Sentry (supervision) → propose des traitements regroupés par finalité → vous interroge sur les bases légales et durées → génère registre.docx + registre.xlsx avec page de garde, fiches et checklist.

⚙️ Prérequis

• Python 3 (les scripts d'analyse et de génération tournent en local).
• Pour les exports Word et Excel : pip install python-docx openpyxl.
• HTML : aucune dépendance. PDF : WeasyPrint si installé, sinon un HTML « prêt à imprimer en PDF » est généré automatiquement.
• Le scanner n'a aucune dépendance (bibliothèque standard uniquement).

❓ FAQ

Le registre est-il directement opposable / juridiquement valide ?
C'est un document de travail complet et structuré, à relire et valider par le responsable de traitement et/ou le DPO. L'Agent ne fournit pas de conseil juridique et ne fabrique jamais une base légale ou une durée.

Mes secrets / clés API sont-ils exposés ?
Non. Seuls les noms des variables d'environnement servent d'indices ; aucune valeur n'est lue ni affichée.

Quels langages sont supportés ?
L'Agent est agnostique au langage : il s'appuie sur des motifs d'ORM, de schémas SQL, de SDK et de configuration communs à la plupart des stacks.

Et les traitements qui ne sont pas dans le code ?
L'Agent vous demande explicitement de les ajouter (RH, dossiers papier, vidéosurveillance, etc.).

Faut-il installer des dépendances ?
Word/Excel utilisent python-docx et openpyxl ; le HTML n'en demande aucune ; le PDF utilise WeasyPrint si présent, sinon un HTML imprimable. Le scanner n'a aucune dépendance.

Aide à la documentation — ne vaut pas conseil juridique. Le registre doit être vérifié, complété et tenu à jour conformément à l'article 30 du RGPD.