Entreprises, associations, établissements, collectivités : nous vous aidons à appliquer le RGPD et l'AI ACT avec des conseils clairs, des documents concrets et un accompagnement à taille humaine.
Notre approche
Nous partons de votre fonctionnement réel, fixons des priorités réalistes et produisons des documents que vos équipes utilisent au quotidien.
Une structure de dix personnes n'a pas les moyens d'un groupe. Nos recommandations tiennent compte de votre taille.
Un binôme qui connaît votre structure et reste joignable, y compris dans l'urgence.
Équipe
AUREACT, c'est la rencontre de deux expertes du droit, de la protection des données et des enjeux numériques, réunies autour d'une même vision : rendre la conformité plus simple, plus concrète et réellement utile aux organisations. Nous intervenons en droit français et en droit espagnol de la protection des données.
Juriste · DPO certifiée · Formatrice
Juriste spécialisée en droit du numérique, Pauline accompagne depuis plusieurs années des organismes publics et privés dans leur mise en conformité. Son approche associe expertise juridique, maîtrise opérationnelle du RGPD et accompagnement des nouveaux enjeux liés à l'intelligence artificielle.
Juriste · DPO certifiée · Trilingue
Avocate de formation, Laura évolue depuis plusieurs années dans le domaine de la protection des données et dispose de compétences en droit espagnol du numérique. Son parcours juridique et international lui permet d'accompagner les organisations sur leurs questions de conformité, y compris dans des contextes internationaux.
AUREACT est née de la rencontre de nos deux parcours, de nos expériences et de nos regards. Nous travaillons ensemble sur chaque dossier : nous confrontons nos analyses et construisons des solutions adaptées à la réalité de nos clients.
Notre force
Une expertise juridique solide, une approche très opérationnelle et, surtout, deux cerveaux mobilisés pour vos projets.
Notre choix
Parler de conformité simplement. Pas de jargon inutile ni de solutions standardisées, mais des conseils clairs, des outils concrets et un accompagnement à taille humaine.
Deux expertes. Deux parcours.
Une même exigence.
L'essentiel
Six obligations qui concernent toutes les structures, quelle que soit leur taille.
Le registre des activités de traitement recense ce que vous faites des données personnelles. C'est la première pièce demandée par la CNIL lors d'un contrôle.
Clients, salariés, candidats, usagers : chacun doit savoir ce que deviennent ses données et obtenir une réponse à ses demandes dans un délai d'un mois.
Éditeurs, hébergeurs, infogérants : tout prestataire qui accède à vos données doit être lié par un contrat conforme au RGPD, y compris lorsque les données sont accessibles hors de l'Union européenne.
Une donnée ne se garde pas « au cas où ». Chaque catégorie a sa durée, qu'il faut fixer puis appliquer dans vos outils.
Accès, mots de passe, sauvegardes : les mesures doivent être adaptées au risque. Une violation de données présentant un risque se notifie à la CNIL sous 72 heures.
L'AI ACT interdit certaines pratiques, encadre strictement les usages à haut risque, comme le tri de candidatures, et demande d'accompagner les équipes qui utilisent ces outils.
Notre offre
Chaque mission peut être engagée seule ou enchaînée avec les suivantes. La plupart de nos clients commencent par un état des lieux.
Savoir où vous en êtes.
Entretiens avec la direction et les équipes, examen de vos logiciels, de vos contrats et de vos usages de l'IA. Nous identifions ce qui est déjà en place et ce qui manque réellement.
Ce que vous recevez
Des documents à votre image.
Chaque document est construit à partir de vos pratiques, jamais recopié d'un modèle, puis présenté aux équipes qui l'utiliseront. Vous en restez propriétaire.
Ce que vous recevez
Un délégué à vos côtés, sans recrutement.
Le DPO conseille, contrôle et sert de point de contact pour les personnes concernées et pour la CNIL. Confier la fonction à un cabinet extérieur garantit l'indépendance qu'exige le règlement.
Nos missions
Bon à savoir. La désignation d'un DPO est obligatoire pour les organismes publics et pour les structures dont l'activité principale implique un suivi régulier et systématique des personnes à grande échelle, ou le traitement à grande échelle de données sensibles (article 37 du RGPD).
Intelligence artificielle et formation
Assistants conversationnels, logiciels de recrutement, outils de rédaction : l'IA gagne tous les métiers. Le RGPD s'applique à chaque donnée saisie, et l'AI ACT ajoute ses propres obligations, entrées en application par étapes depuis 2025.
La plupart des incidents naissent d'une erreur humaine : un courriel mal adressé, un fichier partagé trop largement, un mot de passe réutilisé. La formation reste la mesure la plus efficace.
Secteurs
Nous adaptons nos conseils à votre activité, à vos publics et à vos outils.
PME et ETI, sociétés de conseil et de services, éditeurs de logiciels, cabinets de recrutement, comités sociaux et économiques.
Associations et fondations, établissements et services sociaux et médico-sociaux, structures d'insertion.
Établissements de santé, recherche clinique, services de prévention et de santé au travail, mutuelles.
Collectivités, établissements publics, services d'incendie et de secours.
Questions
Une autre question ? Écrivez-nous, nous vous répondons personnellement.
Nous écrireOui si vous êtes un organisme public, quelle que soit votre taille. Oui également si votre activité principale implique un suivi régulier et systématique des personnes à grande échelle, ou le traitement à grande échelle de données sensibles, comme les données de santé. Dans les autres cas, la désignation reste possible et souvent utile. Nous faisons le point avec vous dès le premier échange.
Oui, dès lors que vous traitez des données personnelles. Les obligations restent toutefois proportionnées à votre taille et aux risques : nous construisons avec vous une démarche réaliste, à la mesure de vos moyens.
Non. Il sert à vous aider, pas à vous juger. Le rapport est confidentiel, il vous appartient et il est rédigé pour être compris par des non-juristes.
Oui. Éditeur de logiciel, hébergeur, infogérant, cabinet de paie, agence marketing : dès que vous traitez des données pour le compte d'un client, vous êtes sous-traitant et le RGPD vous impose des obligations propres. Vous devez agir uniquement sur les instructions documentées de votre client, garantir la confidentialité et la sécurité des données, tenir un registre des traitements effectués pour le compte de vos clients, lui notifier toute violation de données dans les meilleurs délais, l'aider à répondre aux demandes des personnes, n'avoir recours à un autre sous-traitant qu'avec son autorisation, et supprimer ou restituer les données en fin de contrat. La CNIL peut sanctionner directement un sous-traitant. Vos clients sont d'ailleurs tenus de choisir des prestataires présentant des garanties suffisantes : être en mesure de démontrer votre conformité est aussi un argument commercial.
Non, et la confusion est fréquente. Pseudonymiser consiste à remplacer ce qui identifie directement une personne, comme son nom, par un code : avec une information complémentaire, on peut encore retrouver la personne. Les données restent donc personnelles et le RGPD s'applique. Anonymiser rend au contraire toute réidentification impossible, de manière irréversible et par tout moyen raisonnable : seules ces données échappent au RGPD. Retirer le nom et le prénom d'un fichier ne suffit presque jamais à l'anonymiser.
Pas nécessairement. Il faut un contrat conforme au RGPD avec l'éditeur et, lorsque des données sont accessibles hors de l'Union européenne, un cadre juridique pour ce transfert. Nous menons cette analyse avec vous, outil par outil.
Pas forcément, mais il faut un cadre : quels outils sont autorisés, quelles données ne doivent jamais y être saisies, quels paramétrages activer. Une interdiction sans alternative pousse souvent à des usages cachés, plus risqués.
Non. Votre structure, en qualité de responsable du traitement, reste responsable. Le DPO conseille, alerte et contrôle, mais ne décide pas à votre place.
Contact
Quelques lignes sur votre structure et votre question suffisent. Nous vous répondons personnellement, sans engagement.