La conformité, traitée comme de l'ingénierie.
Les textes qui encadrent votre activité se traduisent en exigences
techniques : durées de conservation, chiffrement, journaux, procédures.
Nous les implémentons dans le système lui-même et tenons à jour la
documentation qui en atteste.
Une propriété du système entier
La conformité tient à l'architecture, au code, à l'infrastructure, aux processus et à la documentation. Elle est donc, de bout en bout, un travail d'ingénierie.
Une exigence transversale
Les contraintes de protection des données, de paiement et de secteur se recoupent. Les traiter dans une même architecture évite les mesures redondantes ou contradictoires.
Un avantage concurrentiel
Un dossier de conformité solide accélère tout le reste : validation bancaire, prestataires de paiement, appels d'offres, audits clients. Le désordre documentaire, lui, ferme des portes.
Une affaire de preuves
Un régulateur, un auditeur ou un partenaire ne se contente pas d'une affirmation. Le système garde donc, pour toute exigence, une preuve écrite et datée de ce qu'il fait.
Six terrains réglementaires que nous connaissons de l'intérieur
Notre pratique de la conformité s'est construite sur des systèmes réels, au contact de secteurs où l'erreur documentaire coûte cher.
Données personnelles et vie privée
Loi 25 (Québec), LPRPDE, RGPD et ePrivacy : registres de traitement, évaluations des facteurs relatifs à la vie privée, gestion des incidents, droits des personnes, transferts transfrontaliers.
Paiements et réseaux de cartes
Dossiers d'agrément auprès des prestataires de paiement, exigences des réseaux de cartes, périmètre PCI DSS, descripteurs, gestion des litiges et des rétrofacturations, pages contractuelles exigées.
Plateformes en ligne réglementées
Vérification d'âge et d'identité, modération et circuits de signalement, traçabilité des contenus, obligations de retrait, tenue de registres exigée par les partenaires et les régulateurs.
Services financiers
Systèmes au contact d'acteurs financiers : exigences de lutte contre le blanchiment et le financement des activités terroristes, séparation des rôles, journaux d'audit, gouvernance des accès.
Santé et sciences de la vie
Données de santé et environnements exigeants hérités de la pharma : traçabilité documentaire, qualification des systèmes, information réglementée, cloisonnement strict des données sensibles.
Commerce international
Pratique acquise en import-export : contrôles à l'exportation, régimes de sanctions, documentation douanière, traçabilité des chaînes logistiques et des flux de données transfrontaliers.
Plus de 70 périmètres réglementaires au catalogue
La méthode reste la même d'un référentiel à l'autre.
Le catalogue
ci-dessous recense ceux que nous avons déjà instrumentés ou savons
instrumenter.
Vie privée et données personnelles
Protection des renseignements personnels, tous régimes.
Renseignements personnels
Vie privée fédérale
Protection des données
Protection des données
Témoins et communications
Vie privée, Californie
Protection des données
Protection des données
Transferts internationaux
Paiements et monétique
Exigences des acquéreurs, des réseaux et des régulateurs.
Services de paiement
Authentification forte
Paiements européens
Lutte anti-blanchiment et sanctions
Obligations LBA/FT et régimes de sanctions internationaux.
Déclarations LBA/FT
Directives anti-blanchiment
Sanctions américaines
Plateformes et contenus
Obligations des services en ligne et des places de marché.
Services numériques
Sécurité en ligne
Protection des mineurs
Tenue de registres
Charte de la langue française
Sécurité de l'information
Référentiels de sécurité, d'audit et de durcissement.
Contrôles de confiance
Cadre de cybersécurité
Intelligence artificielle
Encadrement des systèmes d'IA et de la décision automatisée.
Systèmes d'IA
Gestion des risques, NIST
Directive fédérale
Marketing et consommation
Communications commerciales et droits des consommateurs.
Anti-pourriel
Courriels commerciaux
Protection du consommateur
Télécommunications
Droits des consommateurs
Fiscalité et facturation
Obligations fiscales des ventes numériques et transfrontalières.
Taxes de vente
TVA européenne
Plateformes numériques
Facturation électronique
Taxes de vente américaines
Santé et sciences de la vie
Données de santé et environnements qualifiés.
Données de santé
Dossiers électroniques
Systèmes informatisés
Hébergement de santé
Commerce international
Contrôles à l'exportation et discipline douanière.
Contrôles à l'export
Matériel de défense
Biens sensibles
Résilience et continuité
Continuité d'activité et sécurité des infrastructures critiques.
Résilience financière
Infrastructures critiques
Cybersécurité fédérale
Accessibilité
Accès aux services numériques pour tous les publics.
Norme européenne
Référentiel français
Accessibilité américaine
Du texte au système : chaque périmètre du catalogue correspond à un texte ou à une norme que nous lisons à la source, traduisons en exigences techniques et instrumentons dans le système. Pour les référentiels audités, comme ISO 27001, SOC 2 ou PCI DSS, nous préparons vos systèmes, vos processus et vos preuves pour l'auditeur.
De l'obligation à la preuve, en quatre temps
Le traitement est identique quel que soit le texte. L'obligation est convertie en exigence technique, l'exigence est implémentée, et le système garde la trace de ce qu'il fait.
Cartographier
Identifier les textes réellement applicables à votre activité, vos données, vos flux et vos juridictions.
Traduire
Convertir chaque obligation en exigence technique mesurable : conservation, chiffrement, consentement, journalisation, procédures.
Implémenter
Inscrire les exigences dans le code, l'infrastructure et les processus, dès la conception du système.
Prouver
Produire et maintenir les preuves : registres, journaux, pistes d'audit et documentation datée, consultables à la demande.
Les livrables
Des documents écrits, datés et exploitables par vos équipes comme par vos conseils. Ils décrivent l'écart constaté, sa correction et la preuve correspondante.
- Audit d'écart : état des lieux face aux textes applicables, plan d'action priorisé par risque.
- Registres et politiques : registre des traitements, politique de confidentialité, procédures d'incident et de notification.
- Évaluations de vie privée : EFVP pour les projets et les transferts hors Québec, documentées et datées.
- Dossiers prestataires de paiement : dossier d'agrément complet, pages contractuelles, parcours de paiement conformes.
- Cartographie des flux : données, sous-traitants, juridictions, bases légales, durées de conservation.
- Journalisation et pistes d'audit : implémentées dans le système, avec preuves consultables à la demande.
Les secteurs d'origine
Notre pratique vient de quatre secteurs où la conformité conditionne l'accès au marché.
Finance
Environnements soumis aux exigences de lutte contre le blanchiment, à la traçabilité des opérations et à la gouvernance des accès.
Pharma et santé
Culture de la traçabilité documentaire et de la qualification des systèmes, héritée des environnements pharmaceutiques.
Import-export
Contrôles à l'exportation, sanctions, documentation douanière : la discipline des chaînes logistiques internationales.
Plateformes en ligne
Vérification d'âge, registres, signalements : la discipline d'une exploitation sous obligations continues.
Le terrain d'abord. Les dossiers réglementaires s'enchaînent, paiements, données, plateformes, sur nos systèmes et sur ceux de nos clients. C'est cette pratique, entretenue en production, que le catalogue ci-dessus résume.
Un doute sur votre conformité ?
Écrivez-nous. Nous répondons sous deux jours ouvrables, avec une première lecture franche de vos écarts les plus urgents.