RGPD pour ton app no-code : ce que tu risques vraiment

Le jour où ton app enregistre le premier email d'un inscrit, tu deviens responsable de traitement au sens du RGPD. Pas dans six mois, pas quand tu auras 10 000 utilisateurs. Tout de suite. C'est le mot que la loi met sur toi, et il vient avec quelques obligations que personne ne t'a expliquées pendant que tu vibe-codais ton app.

Bonne nouvelle : ce n'est pas la montagne qu'on te vend. Je ne suis pas juriste, je scanne des apps toute la journée, et ce que je vois, c'est que la moitié du RGPD est déjà de la sécurité que tu peux vérifier toi-même. Sur une dizaine d'apps que je passe au scanner un matin au hasard des pubs, 8 sur 10 exposent des données. Chacune de ces bases ouvertes, c'est une violation RGPD en puissance. Voilà ce que la loi te demande vraiment, ce que tu risques, et par où commencer sans y passer trois semaines.

Le RGPD en une phrase, pour un fondateur

Le RGPD, c'est le texte européen qui encadre ce que tu as le droit de faire avec les données des gens. Dès que tu collectes une info sur une personne (un email suffit), tu dois être capable de dire trois choses : ce que tu collectes, pourquoi, et comment tu le protèges.

C'est tout le principe. La loi ne te demande pas d'être la NASA. Elle te demande d'être honnête sur ce que tu fais des données, et de ne pas les laisser traîner. Le reste, ce sont des détails qui se règlent une fois.

Le terme officiel pour toi, c'est responsable de traitement. Ça veut dire que c'est toi qui décides ce qu'on collecte et pourquoi, donc c'est toi qui portes la responsabilité si ça fuit. Même si c'est une IA qui a écrit le code. Même si c'est Supabase qui héberge. La loi regarde qui a décidé, et ça reste toi.

Est-ce que le RGPD s'applique à ma petite app ?

Oui. Il n'y a pas de seuil. Le RGPD ne commence pas à un certain nombre d'utilisateurs ou de chiffre d'affaires. Une app avec 30 inscrits est concernée exactement comme une app avec 30 000.

C'est la première idée fausse à balancer. Beaucoup de fondateurs se disent « je suis trop petit, personne ne va venir me chercher ». Deux problèmes. D'abord, la loi s'applique quand même, ta taille ne te met pas hors du texte. Ensuite, ce qui déclenche un contrôle, ce n'est presque jamais ta taille : c'est un utilisateur qui porte plainte, ou une fuite qui se voit. Et une petite app mal fermée fuit aussi bien qu'une grosse.

Le seul cas où tu es vraiment hors sujet, c'est si tu ne stockes aucune donnée sur personne. Une landing page sans formulaire, sans analytics nominatif, sans compte. Dès qu'il y a un formulaire de contact, un compte, une newsletter, tu es dedans.

Ce que le RGPD te demande vraiment (le minimum)

Pour un fondateur solo, ça tient en cinq points. Pas trente.

1. Informer. Une page qui explique quelles données tu collectes et pourquoi. C'est ta politique de confidentialité, et c'est une obligation, pas un bonus.
2. Sécuriser. Tu dois protéger les données par des « mesures techniques appropriées » (article 32). C'est ici que la sécurité et la loi se rejoignent, et c'est le point le plus souvent raté.
3. Collecter le minimum. Tu ne demandes que ce dont tu as besoin. Pas la date de naissance si tu n'en fais rien.
4. Permettre l'accès et la suppression. Un utilisateur peut te demander ses données, ou leur effacement. Tu dois pouvoir le faire.
5. Réagir en cas de fuite. Si ta base fuit, tu as 72 heures pour prévenir la CNIL. C'est une obligation à part entière.

Aucun de ces points ne demande un avocat à temps plein. Le plus dur, ce n'est pas la paperasse. C'est le point 2, parce que c'est technique, et c'est exactement là que les apps vibe-codées se plantent.

La sécurité, c'est la moitié du RGPD (article 32)

On te vend le RGPD comme un truc de juristes. En vrai, une bonne partie, c'est de la sécurité que tu peux voir toi-même. L'article 32 te demande de protéger les données « de manière appropriée ». Une base de données lisible par n'importe qui, ce n'est pas approprié. C'est même le contraire.

Or c'est ce que je trouve le plus souvent. Environ 70 % des apps Lovable que je scanne ont le RLS Supabase désactivé, c'est à dire la base ouverte à qui a la clé publique, et cette clé est dans le code de l'app. Ce n'est pas une histoire de hacker doué. Un curieux ouvre les outils de développeur, rejoue une requête, et récupère tes emails. J'ai détaillé la faille dans RLS désactivé : pourquoi ta base est lisible.

Le lien avec la loi est direct : une base d'emails ouverte, ce n'est pas juste un bug technique. Si ces données sont personnelles, et un email en est une, tu es en manquement à l'article 32, et le jour où quelqu'un tombe dessus, tu bascules dans la violation de données. La sécurité de ton app, c'est de la conformité RGPD qui ne dit pas son nom.

Un mot sur la façon dont je travaille, parce que ça compte pour la confiance : Colmate ne va jamais interroger ta base pour te prouver qu'elle est ouverte. Aller lire la base d'un tiers, même grande ouverte, c'est illégal. Colmate repère que ton app utilise Supabase avec une clé publique exposée côté client, le profil exact de cette faille, et te signale l'exposition probable à vérifier. La confirmation, c'est toi qui la fais.

Ce que tu risques concrètement

Le chiffre qui circule, c'est 20 millions d'euros ou 4 % du chiffre d'affaires mondial. C'est le maximum théorique, et il est fait pour les Google et les Meta, pas pour ton app à 30 inscrits.

Ce qui te concerne vraiment, c'est la procédure de sanction simplifiée de la CNIL : jusqu'à 20 000 euros d'amende, et elle vise de plus en plus les petites structures. En 2024, la majorité des sanctions de la CNIL sont passées par cette voie rapide, et les TPE et PME en sont les premières concernées. J'ai fait le point sur le risque réel dans une petite app peut-elle vraiment être sanctionnée.

Mais l'amende n'est presque jamais le vrai coût. Le vrai coût, c'est le jour où une fuite se sait : tes utilisateurs qui partent, ta réputation qui prend un coup, le fondateur sérieux qui perd d'un coup toute crédibilité. Une amende, ça se paie. Une base d'emails clients balancée sur un forum, ça ne se rattrape pas.

Par où commencer sans y passer trois semaines

Dans l'ordre, du plus rapide au plus utile.

• Ferme la base d'abord. C'est le point le plus grave et le plus courant. Tu peux le vérifier toi-même en deux minutes avec les DevTools. Si le RLS est désactivé, tu actives et tu poses une règle. Le reste peut attendre, pas ça.
• Pose tes deux pages légales. Des mentions légales qui disent qui tu es, et une politique de confidentialité qui dit ce que tu fais des données. Une heure de travail, et tu es en règle sur l'obligation d'information.
• Vérifie que tes secrets ne sont pas dans le navigateur. Une clé service_role ou une clé de paiement dans le code, c'est la porte ouverte. La checklist complète avant déploiement reprend les six points, sécurité et légal mélangés.
• Tiens un mini-registre. Un simple tableau : quelles données, pourquoi, où, combien de temps. C'est obligatoire, mais pour une petite app ça tient sur une page.

Tu n'as pas besoin de tout faire aujourd'hui. Tu as besoin de fermer la base aujourd'hui, et de poser le reste cette semaine.

FAQ

Le RGPD s'applique-t-il à un auto-entrepreneur ?

Oui, pleinement. Le statut ne change rien. Dès que tu traites des données personnelles dans le cadre de ton activité (des clients, des prospects, des inscrits), tu es responsable de traitement, auto-entrepreneur ou non. La taille et la forme juridique ne te sortent pas du texte.

Faut-il désigner un DPO (délégué à la protection des données) ?

Non, dans la quasi-totalité des cas d'une app solo. Le DPO est obligatoire surtout pour les organismes publics et ceux dont l'activité de base est le suivi à grande échelle ou les données sensibles. Pour une app classique avec des comptes et des emails, tu n'en as pas besoin. Tu restes simplement responsable toi-même.

Un registre des traitements, c'est vraiment obligatoire ?

Oui, mais pour une petite structure il est très simple. C'est un document interne, que tu ne publies pas, qui liste tes traitements : quelles données, pour quoi faire, combien de temps tu les gardes, qui y a accès. La CNIL fournit un modèle. Une page suffit pour une app qui débute.

Je ne collecte que des emails, suis-je concerné ?

Oui. Un email est une donnée personnelle, parce qu'il identifie une personne. Une simple liste d'emails de newsletter te fait entrer dans le RGPD. C'est le seuil le plus bas, et beaucoup d'apps le franchissent dès le premier formulaire sans s'en rendre compte. Pour comprendre ce qui compte comme donnée personnelle, c'est ici.

Commence par la partie que tu peux voir

Le RGPD, c'est de la transparence plus de la sécurité. La transparence, ce sont deux pages à écrire une fois. La sécurité, c'est ce que ton app expose en ce moment, et ça, tu peux le regarder tout de suite.

Colmate fait cette revue en trente secondes depuis l'URL de ton app. Tu colles le lien, tu obtiens la liste de ce qui est exposé (clés, code source, en-têtes, pages légales), classé par gravité, avec un fichier de correction prêt à coller dans ton assistant IA. Pour la base, il ne teste rien : il repère la présence de Supabase avec une clé publique exposée et te signale l'exposition probable à vérifier. En lecture seule, sans accéder à ton code, sans jamais toucher à tes données. Je n'ai pas besoin de ton dépôt GitHub, juste de l'URL publique.

Lance un scan gratuit de ton app. Tu verras la moitié technique de ton RGPD d'un coup d'œil, et tu repartiras avec de quoi la colmater.