Vailor : l'alternative GRC IA souveraine à OneTrust

Ce sont deux objets différents : le registre décrit des traitements, leurs finalités, leurs destinataires et leurs durées de conservation ; l'inventaire de sécurité décrit les actifs qui les font tourner, applications, serveurs, hébergements, flux. Ils parlent pourtant de la même réalité, et les tenir sans lien revient à décrire deux fois la même application, jusqu'à ce que les deux versions divergent. Vailor ne tient pas le registre des traitements, mais la pré-analyse d'un projet repère les obligations RGPD dès le départ : le DPO est impliqué avant que l'analyse de risque ne démarre, et les deux travaux partent de la même description du projet.

L'article 30 du RGPD fait porter l'obligation sur le responsable de traitement ; le sous-traitant tient de son côté son propre registre, pour les traitements qu'il effectue pour le compte de ses clients. Le texte n'en charge ni le DPO, ni le RSSI. Le délégué à la protection des données informe, conseille et contrôle le respect du règlement au titre de l'article 39 ; il tient souvent le registre en pratique, mais la responsabilité reste celle de l'organisme. Le RSSI, lui, porte les mesures de sécurité qui y sont mentionnées. Dans Vailor, des rôles sur mesure et des droits fins séparent les contributions de chacun, et le journal d'audit dit qui a modifié quoi et quand.

Les deux exercices ne regardent pas le même risque : l'analyse d'impact de l'article 35 évalue le risque pour les droits et libertés des personnes concernées, une analyse EBIOS RM évalue celui qui pèse sur l'organisation et ses missions. Leurs entrées, en revanche, se recouvrent largement : mêmes traitements, mêmes actifs supports, mêmes scénarios de menace, souvent les mêmes mesures. Les mener sans coordination finit par produire deux niveaux de risque contradictoires sur un même sujet. Dans Vailor, la pré-analyse signale dès le départ qu'un projet relève du RGPD : l'AIPD, menée avec votre DPO, et l'analyse de risque cyber partent alors des mêmes documents au lieu de se contredire.

Trois obligations se déclenchent. La notification à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes (article 33). L'information des personnes concernées lorsque ce risque est élevé (article 34). Et la documentation interne de toute violation, notifiée ou non : les faits, les effets et les mesures prises. Le point dur reste de relier l'incident technique aux traitements et aux personnes réellement touchés. C'est plus rapide quand les projets, leurs actifs et leurs analyses de risque sont déjà documentés, ce que Vailor organise côté sécurité.

Par un export de votre registre actuel, quel qu'en soit le format. Les rubriques attendues par l'article 30 ne changent pas d'un support à l'autre (finalités, catégories de personnes et de données, destinataires, transferts, durées de conservation, entre autres), donc la correspondance des colonnes est un travail mécanique. Ce qui demande de l'attention, c'est ce qui vit hors du tableau : les analyses d'impact déjà conduites, les décisions et leurs motifs, les contrats de sous-traitance. La reprise charge d'abord le registre, puis rattache ces éléments aux traitements. Prévoyez un cycle de revue en double avant d'abandonner l'ancien support. Vailor ne remplace pas ce registre : il repère, dès la pré-analyse, les projets qui touchent des données personnelles.

Deux outils restent tenables, en particulier quand le DPO et le RSSI ne dépendent pas de la même direction. Le coût apparaît aux jointures : le même sous-traitant évalué deux fois, la même mesure décrite deux fois, le même incident saisi deux fois, et le jour de l'audit personne ne sait quelle version fait foi. Ce qui compte, c'est que les deux côtés se parlent au bon moment. Vailor se concentre sur la sécurité : il repère les obligations RGPD dès la pré-analyse d'un projet et laisse le registre des traitements à l'outil de votre DPO. Les arbitrages, eux, restent chez vous.