Règlement UE 2016/679 (RGPD) — toute organisation qui traite des données personnelles de résidents européens est soumise à une obligation de conformité documentée.

Kit documentaire · RGPD, règlement (UE) 2016/679

Votre documentation RGPD, sans partir de zéro.

Modèles Word et Excel pour constituer votre dossier de conformité et le présenter lors d'un contrôle CNIL ou d'un audit client.

Registres, bases légales, droits des personnes, AIPD, violations
Sous-traitance, transferts hors UE, traitements RH
117 fichiers modifiables et cartographie article par article
Loi Informatique et Libertés : spécificités françaises et lignes directrices CNIL intégrées

Acheter le kit · 389 €

Licence par entité juridiqueTéléchargement immédiatGarantie 30 jours

117

Documents inclus

Domaines RGPD couverts

Art. 5 à 89

Articles cartographiés

20 M€

ou 4 % du CA mondial : plafond d'amende (art. 83)

Pour qui est ce kit

Conçu pour toute organisation qui traite des données personnelles.

Responsables de traitement comme sous-traitants : une base documentaire RGPD prête à adapter.

DPO et responsables conformité

Constituer, tenir à jour et produire le dossier RGPD, en interne ou en externalisé.

DPO interneDPO externaliséJuristes

Dirigeants de PME et d'ETI

Démontrer la conformité face aux clients, aux partenaires et à la CNIL (art. 24).

Responsable de traitementAccountability

RSSI et responsables IT

Articuler les mesures de sécurité (art. 32) avec les AIPD et la gestion des violations.

Art. 32ViolationsAIPD

Consultants et cabinets conseil

Un socle documentaire pour démarrer les missions RGPD de vos clients.

Missions clientsLicence cabinet sur demande

Contenu du kit

117 documents organisés par chapitre du RGPD.

Le kit couvre les 15 domaines de conformité RGPD et les obligations françaises de la Loi Informatique et Libertés. Chaque document est rattaché à un ou plusieurs articles du règlement.

Liste maîtresse · RGPD, règlement (UE) 2016/679

Version 2.0, avril 2026

117 documents · 91 Word · 26 Excel

Chapitre II · Principes (art. 5 à 11)

10 documents · Bases légales, consentement et retrait, mineurs, données sensibles, biométriques et pénales, durées de conservation.

W
Procédure de qualification de la base légale (art. 6, 6 bases)
W
Procédure de recueil du consentement (art. 7)
W
Modèle de formulaire de consentement
W
Procédure de retrait du consentement (art. 7.3)
W
Procédure consentement des mineurs (art. 8, seuil 15 ans France)
W
Procédure données sensibles (art. 9, 10 dérogations)
W
Procédure données pénales (art. 10)
W
Procédure de gestion des données biométriques (art. 9, référentiel CNIL)
X
Matrice des durées de conservation
W
Note sur les traitements ne nécessitant pas identification (art. 11)

Chapitre III · Droits de la personne concernée (art. 12 à 22)

22 documents · Information, exercice des droits, modèles de réponse, vérification d'identité, décision automatisée.

W
Mentions d'information collecte directe (art. 13)
W
Notice d'information collecte indirecte (art. 14)
W
Politique de confidentialité site web
W
Politique cookies et traceurs (directive 2002-58-CE)
W
Procédure de gestion des cookies et bannière de consentement (CMP)
W
Mentions RH candidats et salariés
W
Modèle d'icônes normalisées (art. 12.7)
W
Procédure globale d'exercice des droits (art. 12, délai 1 mois + 2 mois)
W
Modèle de réponse droit d'accès (art. 15)
W
Modèle de réponse droit de rectification (art. 16)
W
Modèle de réponse droit à l'effacement (art. 17)
W
Modèle de réponse droit à la limitation (art. 18)
W
Modèle de réponse droit à la portabilité (art. 20)
W
Modèle de réponse droit d'opposition (art. 21)
W
Modèle de réponse exercice des droits, mineur ou représentant légal
W
Modèle de plainte réclamation interne RGPD
W
Procédure de vérification d'identité (art. 12.6) et notification destinataires (art. 19)
X
Registre des demandes d'exercice de droits
W
Procédure décision automatisée et profilage (art. 22)
X
Matrice des traitements à effet juridique significatif
W
Procédure d'intervention humaine et contestation
W
Information spécifique de la personne concernée (art. 13.2.f, 14.2.g, 15.1.h)

Chapitre IV · Obligations générales (art. 24 à 31)

27 documents · Registres, sous-traitance et responsabilité conjointe, Privacy by Design, archivage, accountability, coopération CNIL.

X
Registre du responsable de traitement
X
Registre du sous-traitant
W
Fiche de traitement type
W
Procédure de création et mise à jour du registre
X
Cartographie des traitements par finalité
W
Note sur la dérogation moins de 250 employés (art. 30.5)
W
Clauses contractuelles type art. 28, 10 obligations (DPA)
W
Procédure de sélection et audit des sous-traitants
X
Grille d'évaluation sous-traitant RGPD
X
Registre des sous-traitants
W
Accord de responsabilité conjointe (art. 26)
W
Procédure de sous-sous-traitance (art. 28.2 et 28.4)
W
Procédure d'audit annuel sous-traitants
W
Politique Privacy by Design et by Default (art. 25)
W
Procédure Privacy by Design et by Default (art. 25)
W
Procédure d'archivage intermédiaire et définitif
W
Procédure de purge et anonymisation
X
Checklist projet conforme Privacy by Design
W
Manuel de conformité RGPD
W
Procédure de maîtrise documentaire RGPD
W
Procédure de mise à jour continue de la documentation RGPD (réexamen événementiel)
X
Plan de formation et sensibilisation RGPD
X
Feuille de route plan de mise en conformité initial
X
Matrice RACI globale de la conformité RGPD
W
Procédure d'audit interne RGPD (15 domaines)
W
Procédure de coopération avec la CNIL (art. 31)
W
Procédure de gestion d'un contrôle CNIL (sur place, sur pièces, en ligne)

Chapitre IV · Sécurité et violations (art. 32 à 34)

14 documents · PSSI, habilitations, chiffrement, sauvegarde, test des mesures, violations et notification sous 72 heures.

W
Politique de sécurité des SI (PSSI)
W
Politique de gestion des habilitations
W
Politique de journalisation et traçabilité (logs 6-12 mois, délibération CNIL)
W
Procédure de chiffrement et pseudonymisation (art. 32.1.a)
W
Procédure de sauvegarde et résilience (art. 32.1.c)
W
Procédure de test régulier des MTO (art. 32.1.d)
W
Procédure de revue trimestrielle des habilitations
W
Charte informatique salariés
X
Matrice mesures techniques et organisationnelles
W
Procédure de gestion des violations (art. 33, 34)
X
Registre interne des violations
W
Modèle de notification CNIL sous 72h (art. 33.3)
W
Modèle de communication aux personnes (art. 34.2)
X
Grille d'évaluation du risque pour les droits

Chapitre IV · Analyse d'impact (art. 35 et 36)

7 documents · Déclenchement, modèle d'AIPD, grille de risques, consultation préalable, réexamen.

W
Procédure AIPD (art. 35, 4 éléments obligatoires §7)
X
Matrice de déclenchement AIPD
W
Modèle d'AIPD complet (méthode CNIL PIA)
X
Grille d'évaluation des risques
W
Procédure de consultation préalable CNIL (art. 36)
W
Procédure de réexamen AIPD (art. 35.11)
X
Registre central des AIPD réalisées et de leurs réexamens

Chapitre IV · Gouvernance et délégué à la protection des données (art. 37 à 39)

8 documents · Politique générale, lettre de mission, fiche de poste, indépendance, rapport annuel, comité RGPD.

W
Politique générale de protection des données
W
Lettre de mission du DPO (art. 37)
W
Procédure de désignation et notification CNIL (art. 37.7)
W
Fiche de poste DPO (art. 39, 5 missions)
W
Charte d'indépendance du DPO (art. 38.3)
W
Analyse écrite d'absence de conflit d'intérêts du DPO (art. 38.6)
W
Modèle de rapport annuel d'activité DPO
W
Modèle de PV de réunion comité RGPD DPO-direction

Chapitre V · Transferts hors UE (art. 44 à 49)

7 documents · Qualification des transferts, clauses contractuelles types, TIA, BCR, requêtes d'autorités étrangères.

W
Procédure de qualification des transferts (art. 44-49)
X
Cartographie des transferts hors EEE
W
Clauses contractuelles types (CCT) 2021, modules 1 à 4 (art. 46.2.c)
W
Procédure TIA (Transfer Impact Assessment) post-Schrems II
X
Registre des transferts internationaux
W
Politique BCR (art. 47, 14 éléments) pour groupes internationaux
W
Procédure requêtes d'autorités étrangères (art. 48) et représentant UE (art. 27)

Chapitre IX · Situations particulières (art. 88 et 89)

11 documents · Traitements RH, surveillance au travail, télétravail, archives, recherche, statistiques.

W
Procédure traitements RH (art. 88)
X
Registre RH dédié
W
Procédure de surveillance sur le lieu de travail
W
Procédure de télétravail et outils collaboratifs
W
Procédure de transfert de données salariés intra-groupe
W
Note sur les conventions collectives et accords d'entreprise
W
Procédure de traitement à des fins archivistiques (art. 89.1)
W
Procédure de traitement à des fins de recherche scientifique
W
Procédure de traitement à des fins statistiques
X
Matrice des dérogations art. 89.2 et 89.3
W
Procédure de pseudonymisation pour finalités compatibles

Loi Informatique et Libertés et CNIL

7 documents · Articulation avec la loi 78-17, NIR, santé et justice, prospection, vidéosurveillance, IA Act, NIS 2.

W
Procédure articulation RGPD et Loi 78-17 modifiée (loi du 20 juin 2018)
W
Procédure formalités spécifiques (NIR, art. 87 RGPD + décret NIR)
W
Procédure traitements de santé et données de justice
W
Procédure prospection B2B et B2C (LCEN + art. L34-5 CPCE)
W
Procédure vidéosurveillance et vidéoprotection (référentiels CNIL + CSI)
W
Procédure d'articulation RGPD et IA Act (CNIL autorité de régulation IA)
W
Procédure d'articulation RGPD et NIS2 (notification ANSSI 24h + CNIL 72h)

Audit et pilotage

4 documents · Grille d'audit, auto-évaluation de maturité, tableau de bord, matrice de cartographie RGPD et Loi I&L.

X
Grille d'audit RGPD
X
Grille d'auto-évaluation maturité RGPD
X
Tableau de bord de conformité RGPD
X
Matrice de cartographie RGPD et Loi I&L et lignes directrices CNIL

Liste maîtresse complète, checklist d'implémentation et une procédure dans l'extrait gratuit.

Pourquoi ce kit existe

Le RGPD ne se rédige pas en partant d'une page blanche.

99 articles, dont une trentaine imposent des documents, des registres ou des procédures écrites.

Art. 28, 33, 35

Les modèles gratuits ne suffisent pas

Registre simplifié ou politique isolée : rien sur l'AIPD, les violations, les sous-traitants, les transferts ou les droits.

Art. 83

Les sanctions peuvent être lourdes

Jusqu'à 20 M€ ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Contrats clients

Les donneurs d'ordre exigent un dossier RGPD

Grands comptes et administrations demandent un dossier, un contrat de sous-traitance (art. 28), parfois une AIPD.

8 000 à 20 000 €

Une mission conseil coûte cher

10 à 30 jours de cabinet ou de DPO externalisé. Le kit fournit ce socle, votre budget va à la mise en œuvre et aux AIPD.

Cartographie normative

Chaque exigence du RGPD → un document du kit.

Chapitre par chapitre, les articles du règlement et les documents fournis. C'est ce que demande en premier un contrôleur CNIL ou un donneur d'ordre.

Art. 5

Principes relatifs au traitement : licéité, finalité, minimisation, exactitude, conservation limitée, sécurité, responsabilité (accountability)

Politique générale RGPDManuel de conformitéMatrice des durées de conservationProcédure de minimisation

Art. 6

Licéité du traitement, 6 bases légales (consentement, contrat, obligation légale, intérêt vital, mission d'intérêt public, intérêt légitime) + test de compatibilité (art. 6.4)

Procédure qualification base légaleTest de pondération intérêt légitimeTest de compatibilité finalité ultérieure

Art. 7

Conditions applicables au consentement : preuve, distinction, retrait aussi simple que le recueil

Procédure consentementFormulaire consentementProcédure retrait

Art. 8

Consentement des enfants pour les services de la société de l'information (seuil 16 ans UE ; 15 ans en France)

Procédure consentement mineursMécanisme de vérification parentale

Art. 9

Catégories particulières de données (origine, opinions, santé, biométrie, génétique, orientation sexuelle), 10 dérogations

Procédure données sensiblesMatrice dérogations art. 9.2

Art. 10

Données à caractère personnel relatives aux condamnations pénales et aux infractions

Procédure données pénalesMatrice autorisations sous contrôle autorité publique

Art. 11

Traitement ne nécessitant pas l'identification, exonération partielle art. 15 à 20

Note traitements sans identification

Art. 12 à 14

Information transparente des personnes concernées, collecte directe (art. 13) et indirecte (art. 14) + modalités d'exercice des droits (art. 12, délai 1 mois + 2 mois)

Mentions collecte directe (art. 13)Notice collecte indirecte (art. 14)Politique de confidentialitéPolitique cookiesMentions RHModèle icônes normalisées

Art. 15 à 21

Droits des personnes concernées : accès (15), rectification (16), effacement / droit à l'oubli (17), limitation (18), portabilité (20), opposition (21)

Procédure globale exercice des droitsModèle réponse accèsModèle réponse rectificationModèle réponse effacementModèle réponse limitationModèle réponse portabilitéModèle réponse oppositionVérification identité (art. 12.6)Registre des demandes

Art. 19

Obligation de notification aux destinataires de toute rectification, effacement ou limitation

Procédure notification destinatairesRegistre des destinataires par traitement

Art. 22

Décision individuelle automatisée et profilage produisant des effets juridiques ou affectant significativement la personne

Procédure décision automatisée & profilageMatrice des traitements à effet juridiqueProcédure intervention humaine & contestation

Art. 24 à 25

Responsabilité du responsable de traitement, Privacy by Design & by Default

Manuel de conformitéProcédure Privacy by DesignChecklist projet PbD

Art. 26

Responsabilité conjointe entre responsables de traitement, accord écrit définissant les obligations respectives

Accord de responsabilité conjointeProcédure qualification co-responsable

Art. 27

Désignation d'un représentant dans l'Union par les responsables ou sous-traitants non établis dans l'UE mais ciblant des résidents européens (art. 3.2)

Procédure désignation représentant UEMandat écrit type

Art. 28

Obligations du sous-traitant et contrat écrit de sous-traitance, 10 clauses obligatoires (§ 3 a à h)

Clauses contractuelles art. 28 (DPA)Procédure sélection sous-traitantsGrille d'évaluationRegistre sous-traitantsProcédure sous-sous-traitance (art. 28.2, 28.4)Procédure audit annuel

Art. 30

Registre des activités de traitement (responsable 30.1 + sous-traitant 30.2), dérogation < 250 employés sous conditions

Registre responsable (art. 30.1)Registre sous-traitant (art. 30.2)Fiche de traitement typeProcédure mise à jourNote dérogation < 250 employés

Art. 31

Coopération avec l'autorité de contrôle, obligation de mettre les registres à disposition et d'assister l'autorité

Procédure coopération CNILProcédure gestion contrôle CNIL (sur place, pièces, en ligne)

Art. 32

Sécurité des traitements : pseudonymisation, chiffrement, confidentialité, intégrité, disponibilité, résilience + test régulier des MTO

Politique de sécurité SIGestion des habilitationsChiffrement & pseudonymisationSauvegarde & résilienceProcédure test régulier MTOMatrice MTOCharte informatique

Art. 33 à 34

Notification à la CNIL sous 72h (art. 33) et communication aux personnes concernées en cas de risque élevé (art. 34)

Procédure violationsRegistre interne violations (art. 33.5)Notification CNIL 72hCommunication aux personnesÉvaluation du risque

Art. 35 à 36

Analyse d'impact (AIPD) obligatoire dans 3 cas (art. 35.3) + consultation préalable CNIL si risque résiduel élevé (art. 36)

Procédure AIPD (4 éléments art. 35.7)Matrice de déclenchementModèle AIPD completGrille d'évaluation des risquesProcédure réexamen AIPD (art. 35.11)Consultation préalable CNIL

Art. 37 à 39

Désignation, fonction et missions du DPO, 3 cas obligatoires (art. 37.1), indépendance (art. 38.3), 5 missions minimum (art. 39)

Lettre de mission DPOProcédure désignationFiche de poste (5 missions art. 39)Charte d'indépendance (art. 38.3)Rapport annuel

Art. 44 à 49

Transferts vers pays tiers : décision d'adéquation (45), garanties appropriées (46), dérogations (49)

Procédure qualification transfertsCartographie transfertsClauses contractuelles types 2021 (art. 46.2.c)Procédure TIA post-Schrems IIProcédure dérogations (art. 49)Registre transferts

Art. 47

Règles d'entreprise contraignantes (BCR) pour groupes, 14 éléments obligatoires (§ 2 a à n)

Politique BCRProcédure d'approbation BCR par CNIL

Art. 48

Transferts ou divulgations non autorisés par le droit de l'Union, encadrement des requêtes de juridictions/autorités étrangères (type CLOUD Act)

Procédure requêtes d'autorités étrangèresGrille d'évaluation accord international applicable

Art. 88

Traitement de données dans le cadre des relations de travail, dispositions spécifiques nationales (conventions collectives, accords d'entreprise)

Procédure traitements RHRegistre RH (candidats, salariés, anciens)Procédure surveillance lieu de travailProcédure télétravail

Art. 89

Garanties et dérogations pour traitement à des fins archivistiques d'intérêt public, recherche scientifique ou historique, ou statistiques

Procédure fins archivistiquesProcédure recherche scientifiqueProcédure fins statistiquesMatrice dérogations art. 89.2 et 89.3

Loi I&L + CNIL

Obligations françaises complémentaires : loi 78-17 modifiée (20 juin 2018), formalités spécifiques (NIR, art. 87 RGPD, santé, justice), prospection B2B/B2C (L34-5 CPCE + LCEN), lignes directrices CNIL

Articulation RGPD / Loi I&LFormalités spécifiques NIR / santé / justiceProspection B2B/B2CMatrice cartographie CNIL

Non inclus

Livrables spécifiques à chaque traitement et à chaque organisation, qui doivent être produits au cas par cas par votre DPO, votre RSSI ou votre équipe conformité

Registre rempli (vos traitements)AIPD complètes (par traitement à risque)DPA signés (par sous-traitant)TIA remplies (par transfert)BCR approuvées par CNIL (procédure dédiée)Notifications CNIL effectivesAudits de sécurité techniques (pentest, ISO 27001)Formation personnalisée équipes

XLe kit contient aussi une matrice Excel de correspondance (Matrice de cartographie RGPD et Loi I&L et lignes directrices CNIL), à compléter avec vos propres documents.

Conformité technique

Les points que regarde un contrôleur CNIL chevronné.

Douze points que DPO, contrôleurs et auditeurs vérifient en premier. Le kit les traite un par un.

Base légale qualifiée par traitement

Documentée traitement par traitement, test de pondération pour l'intérêt légitime.

Art. 6

Consentement des mineurs

Seuil fixé à 15 ans en France, accord parental vérifiable en dessous.

Art. 8

Durées de conservation

Fixées par finalité : base active, archivage intermédiaire, archivage définitif.

Art. 5.1.e

Registre opposable

Un niveau par traitement, 7 champs côté responsable, 4 côté sous-traitant, mises à jour datées.

Art. 30

AIPD : 3 cas obligatoires

Profilage à effet juridique, données sensibles à grande échelle, surveillance d'une zone publique.

Art. 35.3

Notification sous 72 heures

Délai compté dès la prise de connaissance, évaluation formelle avant de décider.

Art. 33

Communication aux personnes

Déclenchée par un risque élevé, distincte de la notification CNIL, exceptions cadrées.

Art. 34

Décision automatisée et profilage

Intervention humaine documentée, droit de contester la décision.

Art. 22

Contrats de sous-traitance

Mentions de l'article 28.3 : instructions, sécurité, sous-traitance ultérieure, assistance, audit.

Art. 28

Transferts après Schrems II

Analyse d'impact des transferts, mesures supplémentaires, cas des États-Unis (Data Privacy Framework).

Art. 44 à 49

Requêtes d'autorités étrangères

Divulgation fondée sur un accord international en vigueur, sinon refus documenté.

Art. 48

Indépendance du DPO

Rattachement au plus haut niveau, moyens suffisants, absence de conflit d'intérêts documentée.

Art. 38

Art. 3

RGPD : portée extraterritoriale

Le RGPD s'applique hors de l'Union dès qu'une organisation cible des résidents européens ou suit leur comportement.

Union européenne (27)Royaume-Uni (UK GDPR)Suisse (nLPD)Brésil (LGPD)Californie (CCPA/CPRA)Canada (PIPEDA)Japon (APPI)Corée du Sud (PIPA)

Audit flash RGPD

Où en êtes-vous aujourd'hui ?

Répondez aux 15 questions article par article pour obtenir votre score de maturité RGPD. Résultat immédiat, gratuit, aucune information personnelle demandée.

Question 1 / 15

Domaine 1 — Gouvernance & DPO

/ 100

Acheter le kit RGPD · 389 €

Processus de déploiement

De la commande au dossier RGPD, voici la route.

Jour 1

Téléchargement

ZIP complet : 117 documents Word et Excel.

Semaines 1 à 3

Personnalisation

Logo, organigramme, finalités, traitements, sous-traitants, transferts.

Semaines 4 à 8

Mise en œuvre

Registre rempli, DPA signés, AIPD lancées, politiques déployées, équipes formées.

Semaines 8 à 10

Audit blanc

Audit interne avec la grille du kit, plan d'actions, préparation à un contrôle CNIL.

Délai typique : 8 à 10 semaines jusqu'à un dossier prêt pour un contrôle CNIL, selon vos ressources internes (DPO, RSSI, juriste).

Besoin d'un coup de main ? Nos consultants peuvent personnaliser le kit à votre site et vous accompagner dans le déploiement, sur devis.

Demander un devis

Sans risque

Garantie 30 jours, sans condition.

Garantie 30 jours satisfait ou remboursé

Vous testez le kit. Si vous changez d'avis, on vous rembourse.

Vous avez 30 jours pour télécharger le kit, examiner son contenu, ouvrir les documents, vérifier que la qualité rédactionnelle correspond à vos attentes. Si quelque chose ne va pas, vous nous écrivez un email — sans justification — et le remboursement est traité sous 5 jours ouvrés. C'est aussi simple que ça.

Questions fréquentes

Les réponses à vos interrogations.

Le kit suffit-il face à un contrôle CNIL ou un audit client ?

Non, il fournit le socle documentaire. Il faut aussi remplir le registre avec vos traitements, signer les DPA, réaliser les AIPD et conserver vos preuves d'accountability.

Les documents sont-ils modifiables ?

Oui. 91 fichiers Word et 26 fichiers Excel, sans PDF verrouillé. Charte neutre, prête pour votre logo et vos codes.

Le kit couvre-t-il les spécificités françaises ?

Oui : articulation avec la loi Informatique et Libertés, NIR, données de santé et de justice, prospection (LCEN, article L34-5 du CPCE). Une matrice croise ces obligations avec le RGPD.

La licence couvre-t-elle plusieurs entités ?

Elle couvre une organisation (entité juridique), usage interne illimité. Groupe, cabinet conseil ou DPO externalisé : contactez-nous pour une licence adaptée.

Quand recevrai-je les fichiers ?

Dès la validation du paiement : lien sur la page de confirmation et par e-mail. ZIP complet, dossiers par type de document.

Et si le kit ne me convient pas ?

30 jours pour l'examiner. Écrivez à support@managementqualite.com en expliquant ce qui ne convient pas : remboursement sous 4 à 5 jours ouvrés après validation.

Passez à l'action

Votre dossier RGPD. Prêt aujourd'hui.

117 documents Word et Excel, téléchargement immédiat après paiement.

389 €TTC · Licence par entité juridique · Paiement unique