Conformité no-code : six questions rendent le déploiement auditable

Notre thèse : un déploiement no-code devient auditable quand la DSI obtient des réponses écrites à six questions — localisation des données, base légale, modèle de droits, journalisation, réversibilité, continuité. Consignées, elles alimentent le registre de l'article 30 RGPD et tiennent face à un contrôle. La grille est réfutable : si l'éditeur répond précisément aux six points et que rien n'est consigné chez vous, le problème n'est plus l'outil.

La conformité no-code n'est pas un droit à part : la sécurité low-code repose sur les mêmes textes que n'importe quel SaaS métier soumis au RGPD. L'article 28 §3 impose huit clauses au contrat de sous-traitance (points a à h) : instruction documentée, confidentialité, sécurité (art. 32), sous-traitance ultérieure encadrée, aide à l'exercice des droits, assistance, restitution ou suppression des données en fin de prestation, droit d'audit. Chaque question de la grille se rattache à l'une de ces clauses.

C'est la logique de notre façon de construire : documenter avant de déployer. Les engagements d'éditeurs cités ici sont auto-déclaratifs, constatés le 12 août 2026 — vérifiez-les à la date de signature.

Exemple constaté le 12 août 2026 : avec la résidence européenne d'Airtable, le contenu des bases (enregistrements, pièces jointes, historique) est stocké sur AWS à Francfort, sauvegardé en Irlande — mais authentification, métadonnées et noms des bases restent aux États-Unis. Le réflexe : demander la cartographie par catégorie, jamais une réponse binaire.

Dès qu'une catégorie quitte l'UE, le chapitre V du RGPD (art. 44 et suivants) encadre le transfert. Pour les États-Unis, il repose sur le Data Privacy Framework, dont le Tribunal de l'UE a rejeté le recours en annulation le 3 septembre 2025 (affaire T-553/23), un pourvoi restant possible. Côté suisse, l'article 16 LPD subordonne la communication à l'étranger à une adéquation constatée par le Conseil fédéral — la liste figure à l'annexe 1 OPDo — et l'article 17 pose les dérogations ; les États-Unis sont sur cette liste depuis le 15 septembre 2024, uniquement pour les entreprises certifiées Swiss-U.S. DPF — à vérifier éditeur par éditeur.

Côté RGPD, l'article 6 §1 pose six bases de licéité exhaustives : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêts légitimes. App RH, CRM, formulaire client : chaque traitement se rattache à l'une des six avant déploiement, puis figure au registre (destinataires, transferts, délais d'effacement).

La nLPD suisse ne fonctionne pas ainsi. Son article 6 pose des principes — licéité, bonne foi, proportionnalité — sans liste fermée de bases légales : le régime privé suisse repose sur l'absence d'atteinte illicite à la personnalité. En vigueur depuis le 1er septembre 2023 sans période transitoire, son article 12 al. 5, mis en œuvre par l'OPDo, exempte du registre les entreprises de moins de 250 collaborateurs dont les traitements présentent un risque limité.

Sur la sous-traitance, l'article 9 LPD impose au responsable de s'assurer que le sous-traitant est en mesure de garantir la sécurité des données (al. 2), et soumet la sous-traitance ultérieure à son autorisation préalable (al. 3). Le RGPD est plus formel :

Le sous-traitant ne recrute pas un autre sous-traitant « sans l'autorisation écrite préalable, spécifique ou générale » du responsable du traitement. — Article 28 §2 RGPD

Traduction opérationnelle : exigez la liste des sous-traitants et la notification des changements. Une grille commune doit signaler ces écarts — sinon elle sur-contraint les PME suisses.

Le modèle de droits d'abord. La force du no-code — chacun construit — devient un risque quand chacun administre. Les questions utiles : granularité des rôles et revue périodique des accès. L'article 32 RGPD exige des mesures adaptées au risque ; un compte administrateur partagé entre trois équipes ne l'est pas.

La journalisation ensuite — c'est là que l'écart se creuse. Depuis sa délibération du 14 octobre 2021, la CNIL recommande de conserver les journaux six mois à un an, en traçant accès, créations, modifications et suppressions, avec identifiant et horodatage : c'est le socle de l'auditabilité.

L'auditabilité dépend souvent du tier tarifaire : budgétez-la à la signature, pas après l'incident.

Ce que ça coûte de ne rien faire — Dans ses fiches cloud de janvier 2024, la CNIL relevait que les violations de sécurité représentaient environ un tiers des sanctions prononcées en 2022. Un incident détecté au jour 45, sur un plan qui conserve 30 jours de journaux, ne laisse aucune trace exploitable : impossible de documenter la violation auprès de l'autorité.

La réversibilité a un ancrage textuel précis : l'article 28 §3 g RGPD impose la suppression ou la restitution des données en fin de prestation, au choix du responsable. Le texte ne dit rien du format ni de l'exploitabilité de l'export. D'où trois exigences à contractualiser : export complet (données, fichiers, historique), format ouvert documenté, et test de restauration avant la mise en production — pas au moment de partir.

Pour l'automatisation, une réponse structurelle existe : certains outils au code source disponible autorisent l'auto-hébergement en usage interne, qui replace hébergement et réversibilité sous votre contrôle direct — un arbitrage de coût d'exploitation, détaillé dans notre méthode.

La continuité, enfin, n'est pas une faveur commerciale. L'article 32 §1 RGPD exige des moyens permettant de garantir la disponibilité et la résilience constantes des systèmes (b), de rétablir la disponibilité des données après incident (c), et une procédure de tests réguliers (d). Demandez le SLA écrit : chez Make, le SLA de 99,5 % est attaché au plan Enterprise (constaté le 12 août 2026) — même pattern, la garantie suit le tier.

Six lignes à joindre à toute consultation d'un éditeur no-code ou de SaaS métier — l'un des premiers documents de nos missions. Un drapeau rouge n'élimine pas forcément l'outil : il impose une mesure compensatoire documentée.

La grille rend un déploiement auditable ; elle ne le rend pas conforme à elle seule. Elle ne remplace ni l'analyse d'impact quand le traitement le justifie, ni la qualification juridique d'un cas particulier — c'est le travail de votre DPO. Les réponses des éditeurs restent auto-déclaratives et changent régulièrement. Les six questions regardent l'éditeur ; elles ne disent rien de votre gouvernance interne — qui a le droit de construire quoi, avec quelles données. Pour une app sans donnée personnelle, le questionnaire est surdimensionné : les questions 5 et 6 suffisent.