Add operational and compliance starter documents

rgpd/README.md

@@ -0,0 +1,21 @@
+# RGPD
+
+Ce dossier rassemble les documents de reference pour la conformite RGPD du portail et des services associes.
+
+## Priorites
+
+1. registre des traitements
+2. information des usagers
+3. retention, purge et suppression
+4. incidents a impact donnees personnelles
+5. preuves d'exploitation utiles au DPO
+
+## Documents de depart
+
+- `retention-et-purge.md`
+- `rapport-mensuel-dpo.md`
+- `registre-des-traitements-a-preparer.md`
+
+## Principe
+
+On cherche ici une conformite praticable : documents relus, traçables et relies aux preuves reelles d'exploitation.

rgpd/rapport-mensuel-dpo.md

@@ -0,0 +1,26 @@
+# Rapport mensuel DPO et exploitation
+
+## Finalite
+
+Fournir un cadre simple pour suivre chaque mois les preuves d'exploitation utiles a la conformite.
+
+## A suivre chaque mois
+
+- derniere sauvegarde reussie ;
+- preuve de sauvegarde rattachee ;
+- dernier test de restauration ;
+- incidents securite ;
+- incidents a impact donnees personnelles ;
+- rapport de retention genere ;
+- ecarts ouverts et actions correctives.
+
+## Questions de controle
+
+- savons-nous si les sauvegardes ont reellement tourne ;
+- savons-nous quand une restauration a ete testee pour la derniere fois ;
+- savons-nous si un incident a eu un impact RGPD ;
+- savons-nous quelles actions restent ouvertes.
+
+## Sortie attendue
+
+Un document court, relu chaque mois, pouvant etre montre au DPO, a la DSI ou a un auditeur.

rgpd/registre-des-traitements-a-preparer.md

@@ -0,0 +1,25 @@
+# Registre des traitements a preparer
+
+## Traitements a cadrer en priorite
+
+- comptes association
+- documents televerses
+- demandes administratives
+- notifications et journaux
+- cartographie et points geographiques
+- exploitation, sauvegardes et incidents
+
+## Champs minimaux par traitement
+
+- finalite ;
+- base legale ;
+- personnes concernees ;
+- donnees traitees ;
+- destinataires ;
+- duree de conservation ;
+- mesures de securite ;
+- sous-traitants ou hebergeurs.
+
+## Ambition
+
+Passer d'une conformite declaree a un registre reellement exploitable.

rgpd/retention-et-purge.md

@@ -0,0 +1,34 @@
+# Retention et purge des donnees
+
+## Objectif
+
+Assurer la suppression, l'anonymisation et la purge planifiee des donnees conformement au RGPD, aux obligations legales de conservation et aux bonnes pratiques de securite.
+
+## Cycle de vie attendu
+
+1. creation de la donnee
+2. usage courant
+3. archivage si necessaire
+4. marquage pour suppression
+5. retention temporaire si obligation ou legal hold
+6. suppression ou anonymisation
+7. journalisation
+
+## Regles de base
+
+- seules les donnees utiles sont conservees ;
+- la suppression doit etre traçable ;
+- les exceptions legal hold doivent etre documentees ;
+- une donnee supprimee ne doit pas etre restauree hors incident majeur documente.
+
+## Preuves attendues
+
+- dernier rapport de retention ;
+- nombre de comptes supprimes ;
+- purges executees ;
+- exceptions legal hold ;
+- incidents lies a la retention s'il y en a.
+
+## Lien exploitation
+
+Les preuves reelles doivent etre visibles dans le tableau de pilotage ou rattachees a un rapport mensuel DPO.