Éditeur SaaS : comment répondre aux questionnaires clients ?
Pour qui : Vos clients vous envoient des questionnaires RGPD, chacun avec son format. Une personne y passe ses journées, et votre équipe se demande s’il faut un outil.
Publiez une page de garanties datée et préparez une réponse type avant de regarder un outil. Le comité européen de la protection des données compte les informations publiques parmi les moyens dont un client dispose pour vérifier un prestataire. Votre page peut donc répondre à une partie des demandes.
Elle n’arrêtera pas toutes les demandes. Le client reste juge de ce que vous lui montrez, et il doit vérifier davantage quand le risque est élevé. Comptez vos questionnaires et vos heures sur douze mois : si le temps restant coûte plus qu’une licence, comparez.
Notre avis
Commencez par une page de garanties datée et une réponse type. Comptez ensuite le temps qui reste : c’est d’abord ce chiffre qui peut justifier un outil, sauf si vos clients exigent un espace de documents à accès contrôlé.
Pourquoi
- Le comité européen cite le questionnaire, la documentation, les informations publiques, les certifications et les audits parmi les moyens du client. Une page publique est donc un moyen admis.
- Le client doit pouvoir constater vos garanties, et il vérifie plus en cas de risque élevé. Une page ne supprimera donc pas tous les échanges.
- Plusieurs questions portent sur ce que votre contrat et votre registre de sous-traitant contiennent déjà. Écrire ces documents réduit le travail avant tout achat.
Ce qui change le choix
Après la page et la réponse type, le temps restant coûte encore plus que la licence et sa mise en place. Ou bien vos clients exigent un espace de documents à accès contrôlé que vous ne savez pas tenir autrement.
L’ordre à suivre
- Compter les questionnaires et les heures des douze derniers mois.
- Publier une page de garanties datée et tenir une réponse type interne.
- Répondre sur mesure aux clients à risque élevé ou à exigences propres.
- Comparer un outil si le temps restant dépasse ce que coûte la licence, reprise comprise.
Où ranger chaque question reçue
Reprenez trois questionnaires récents et classez leurs questions ainsi. Les documents de droite sont ceux que vous devez déjà tenir, ou que nous vous conseillons de tenir. Ne publiez que ce que vous savez montrer.
| Question reçue | Réponse | Document source |
|---|---|---|
| Votre rôle, l’objet du traitement, les données concernées | Page publique, précisée par le contrat | Annexes du contrat, registre de sous-traitant |
| Pays de traitement et transferts hors de l’Union | Page publique | Registre de sous-traitant |
| Vos propres prestataires | Liste publique datée, avec la façon de prévenir des changements | Registre de sous-traitant, contrat |
| Délai de notification d’une violation | Renvoi au contrat | Contrat, procédure interne |
| Sort des données en fin de contrat | Page publique et contrat | Contrat, procédure de suppression |
| Mesures de sécurité | Description générale en public, détails à la demande sous accord de confidentialité | Votre responsable sécurité |
| Audit, cas propre au client, données sensibles | Réponse sur mesure | Personne référente |
Faites le calcul avec vos propres chiffres
Exemple fictif : un éditeur reçoit 40 questionnaires par an et y passe 3 heures chacun, soit 120 heures. Sa page et sa réponse type couvrent 70 % des questions. Il reste 30 % de 120 heures, soit 36 heures par an. À 60 euros de l’heure, hypothèse de coût interne, ces 36 heures valent 2 160 euros, contre 7 200 euros avant.
La page a donc économisé 84 heures sans licence, moins le temps passé à l’écrire et à la tenir à jour, en supposant que les questions couvertes prenaient autant de temps que les autres. Un outil ne peut plus viser que les 36 heures restantes, et il ne les supprimera pas toutes. Comparez son devis, mise en place incluse, à ce montant. Aucun texte ne fixe ce seuil : ces chiffres sont à remplacer par les vôtres.
Ce qu’un outil peut changer, et ce qu’il ne change pas
Deux besoins se confondent dans ces offres. Un espace de documents à présenter aux clients : Dastra annonce un « Trust center » à partir de son offre Pro, sans montant affiché. Une aide à remplir des questionnaires : Vanta annonce l’automatisation des réponses aux questionnaires de sécurité, un sujet qui déborde la protection des données. Nous n’en avons essayé aucun et ne les classons pas.
Dans les deux cas, demandez une démonstration sur l’un de vos vrais questionnaires et posez cette question : qui valide la réponse avant envoi ? L’outil reprend ce que vous avez écrit. Si le contrat ou le registre manque, il présentera ce vide plus vite.
Un badge ne remplace pas la réponse
L’article 28 reconnaît comme élément de preuve l’application d’un code de conduite approuvé ou d’un mécanisme de certification approuvé. Ce texte ne vise ni une marque de confiance privée ni un label d’éditeur. Si vous en affichez un, attendez-vous à ce que le client demande ce qu’il couvre.
Datez la page et prévoyez sa révision à chaque changement de prestataire ou de pays. Pour le comité européen, la vérification des garanties par le client est une obligation continue : une page jamais révisée lui sert moins, et il vous redemandera ces informations.
Limites de cette page
Ces repères de temps et de coût sont les nôtres. Nous n’avons lu aucune donnée sur le temps moyen d’un questionnaire et n’en citons pas. Cette page ne dit pas quelles mesures de sécurité adopter. Un grand client peut imposer son format par contrat, quelle que soit votre page.
Prochaine action
Comptez les questionnaires reçus en douze mois et estimez les heures passées. Classez trois questionnaires dans le tableau, puis écrivez la page de garanties à partir des réponses qui reviennent. Refaites le compte six mois plus tard avant toute comparaison d’outils.
Preuves et sources
Lu le 5 novembre 2026 : l’avis 22/2024 du comité européen de la protection des données (adopté le 7 octobre 2024), l’article 28 du RGPD dans le texte publié par la CNIL, la grille tarifaire de Dastra et la page RGPD de Vanta. Aucun outil n’a été essayé.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Déclaration de l’éditeur. Pour le comité européen de la protection des données, le responsable peut notamment établir un questionnaire, demander la documentation, s’appuyer sur des informations publiques, des certifications ou des rapports d’audit de tiers de confiance, ou réaliser des audits sur place, sans liste exhaustive des documents à fournir.
Portée : Avis 22/2024, point 41.
Réserve : Avis du comité, dépendant des circonstances du traitement.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Pour le comité européen, l’obligation de vérifier les garanties vaut quel que soit le risque, son ampleur varie avec lui, et le responsable devrait accroître sa vérification pour un traitement à risque élevé, les garanties retenues étant celles que le sous-traitant peut démontrer à la satisfaction du responsable.
Portée : Avis 22/2024, résumé et points 40 et 41.
Réserve : Le responsable peut s’appuyer sur les informations reçues et les compléter si besoin.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 28 prévoit que le sous-traitant met à la disposition du responsable toutes les informations nécessaires pour démontrer le respect de ses obligations et pour permettre des audits, et que l’application d’un code de conduite approuvé ou d’un mécanisme de certification approuvé peut servir d’élément pour démontrer les garanties suffisantes.
Portée : Article 28, paragraphes 3 et 5.
Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Le comité européen rappelle que l’obligation de ne recourir qu’à des sous-traitants présentant des garanties suffisantes est une obligation continue.
Portée : Avis 22/2024, point 42.
Réserve : L’avis ne fixe pas de périodicité de mise à jour d’une page.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Dastra annonce un « Trust center » à partir de son offre Pro sur sa grille tarifaire, qui n’affiche aucun montant.
Portée : Page tarifs de l’éditeur lue le 5 novembre 2026.
Réserve : Fonction non essayée, aucun devis demandé.
- dastra.eu : Une offre personnalisable, simple et évolutive non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Vanta annonce sur sa page l’automatisation des réponses aux questionnaires de sécurité.
Portée : Page de l’éditeur lue le 5 novembre 2026.
Réserve : Fonction non essayée. Prix non trouvé dans ce que nous avons lu le 5 novembre 2026. Offre centrée sur la sécurité.
- Vanta : GDPR compliance software: Simplify GDPR and strengthen trust | Vanta non daté ; page lue le 5 novembre 2026. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Notre calcul ou déduction. Dans l’exemple fictif, 40 questionnaires de 3 heures font 120 heures ; 30 % de reste font 36 heures, soit 2 160 euros à 60 euros de l’heure, contre 7 200 euros avant, et 84 heures économisées.
Portée : Organisation fictive, hypothèses affichées.
Réserve : Aucune donnée de marché : à remplacer par les chiffres du lecteur.
Daté du 5 novembre 2026.
Notre avis. Faire d’une page publique et d’une réponse type le préalable à tout achat d’outil, et décider sur le temps restant mesuré, est notre avis ; aucun texte lu ne fixe de seuil.
Portée : Éditeurs recevant des questionnaires répétés.
Réserve : Les grands clients peuvent imposer un format.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.