[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:fr:la-demande-d-une-personne-concernee-rgpd-pour-une-entreprise-de-logiciels-le-mois-de-l-article-12-paragraphe-3-les-huit-informations-d-une-reponse-d-acces-les-deux-mois-supplementaires-et-une-page-qui-calcule-le-delai":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"fr","la-demande-d-une-personne-concernee-rgpd-pour-une-entreprise-de-logiciels-le-mois-de-l-article-12-paragraphe-3-les-huit-informations-d-une-reponse-d-acces-les-deux-mois-supplementaires-et-une-page-qui-calcule-le-delai","La demande d'une personne concernée RGPD pour une entreprise de logiciels : le mois de l'article 12, paragraphe 3, les huit informations d'une réponse d'accès, les deux mois supplémentaires et une page qui calcule le délai","Une demande au titre des articles 15 à 22 reçoit une réponse dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception (article 12, paragraphe 3) ; le délai expire à la même date du mois suivant ou le dernier jour de celui-ci ; deux mois supplémentaires sont disponibles lorsque les demandes sont complexes ou nombreuses, la personne concernée étant informée dans le premier mois ; un refus porte ses motifs et les voies de recours dans le même mois (12, paragraphe 4) ; la réponse est gratuite sauf demande manifestement infondée ou excessive, et l'entreprise en supporte la charge de la preuve (12, paragraphe 5). Une demande d'accès reçoit une copie des données et les huit informations de l'article 15, paragraphe 1, points a) à h), des finalités à la prise de décision automatisée. Lu au regard du catalogue, avec une page gratuite qui calcule le délai et rédige la réponse en six langues.","2026-09-12",{"who":10,"when":11,"do":12},"Une entreprise de logiciels comme responsable de ses propres données clients, utilisateurs et salariés, qui reçoit la demande ; et comme sous-traitant des données de ses clients, qui assiste le responsable au titre de l'article 28, paragraphe 3, point e), et ne répond jamais à la personne concernée à sa place.","Le délai court du jour de réception de la demande, par tout canal que l'entreprise offre, et expire dans le mois, ou dans trois lorsque la prolongation est prise et notifiée dans le premier ; l'obligation s'applique depuis le 25 mai 2018 et n'a aucun seuil de taille.","Consignez le jour de réception et calculez le délai ; vérifiez l'identité seulement en cas de doute raisonnable ; répondez à partir du registre des traitements, qui contient déjà les finalités, les catégories, les destinataires et les durées de conservation ; la page gratuite calcule la date et rédige la réponse d'accès selon l'article 15, paragraphe 1.","\nChaque droit du chapitre III du règlement parvient à une entreprise de logiciels sous forme de message : un utilisateur demande ce que l'entreprise détient sur lui, un ancien salarié demande une copie, l'utilisateur final d'un client demande à être effacé. L'article 12 fixe la procédure pour tous, et son paragraphe 3 fixe le délai : les informations sur les mesures prises à la suite d'une demande au titre des articles 15 à 22 sont fournies dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception. Cet article lit l'article 12 et l'article 15 au regard du [catalogue](\u002Fgdpr\u002Fduties) que StandardOS tient du règlement, où la ligne de l'article 12, paragraphe 3, porte le mois comme un délai, et de la [page gratuite](\u002Fgdpr\u002Frequest-clock) qui calcule le délai et rédige la réponse.\n\n## Le mois : à compter de la réception, selon la règle des délais\n\nLe délai court à compter de la réception, c'est-à-dire le jour où la demande a atteint l'entreprise par l'un des canaux qu'elle offre, pas le jour où quelqu'un l'a lue. Un délai exprimé en mois expire avec le dernier jour du dernier mois qui porte la même date que le jour de son départ, ou le dernier jour de ce mois s'il n'y en a pas : la règle du règlement (CEE, Euratom) no 1182\u002F71, que le Comité européen de la protection des données applique à l'article 12, paragraphe 3, dans ses lignes directrices sur le droit d'accès. Une demande reçue le 31 janvier reçoit donc une réponse au plus tard le 28 février, ou le 29 une année bissextile ; une demande reçue le 13 d'un mois, au plus tard le 13 du suivant. La page calcule la date selon cette règle et ne déplace pas un délai qui tombe un week-end, parce que la lecture sûre est de répondre plus tôt, pas plus tard. L'article 12, paragraphe 1, ajoute la forme : par écrit ou par d'autres moyens, y compris électroniques, et oralement seulement si la personne concernée le demande et que son identité est démontrée ; l'article 15, paragraphe 3, ajoute qu'une demande présentée par voie électronique reçoit une réponse sous une forme électronique d'usage courant, sauf demande contraire de la personne concernée.\n\n## Les deux mois supplémentaires, et l'information dans le premier\n\nL'article 12, paragraphe 3, deuxième phrase, permet de prolonger le délai de deux mois, compte tenu de la complexité et du nombre des demandes. La prolongation n'est pas un deuxième mois obtenu par le silence : le responsable informe la personne concernée de la prolongation et de ses motifs dans un délai d'un mois à compter de la réception, si bien que le premier délai subsiste comme jour de cette information et que seule la substance passe au troisième mois. Une entreprise qui reçoit une seule demande d'accès d'un utilisateur ne peut pas honnêtement la dire complexe ; la prolongation est pour l'entreprise qui en reçoit des centaines après une violation, ou pour une demande qui couvre des années d'enregistrements dans plusieurs systèmes. La page tient les deux dates à part : le jour où l'information était due et le jour où la réponse l'est.\n\n## Refus, frais et identité : les trois autres paragraphes\n\nL'article 12, paragraphe 4, vise l'entreprise qui ne donnera pas suite à la demande : elle informe la personne concernée sans tarder et au plus tard dans un délai d'un mois à compter de la réception des motifs, et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. Le silence n'est pas un refus ; un refus est une lettre motivée, dans le même délai. L'article 12, paragraphe 5, rend la réponse gratuite ; seule une demande manifestement infondée ou excessive, notamment en raison de son caractère répétitif, permet à l'entreprise d'exiger des frais raisonnables fondés sur les coûts administratifs ou de refuser de donner suite, et il incombe à l'entreprise de démontrer ce caractère. Une deuxième demande un an plus tard n'est pas répétitive ; la même demande chaque semaine l'est. L'article 12, paragraphe 6, permet à l'entreprise de demander des informations supplémentaires pour confirmer l'identité de la personne qui demande lorsqu'elle a des doutes raisonnables, ce qui est le cas d'une demande envoyée d'une adresse inconnue au sujet d'un compte nommé et pas celui d'une demande envoyée depuis le compte lui-même ; la question ne suspend pas le délai, et une entreprise qui exige une copie de passeport de chaque demandeur a créé un traitement qui lui est propre et qu'elle devra justifier.\n\n## La réponse d'accès : une copie et huit informations\n\nL'article 15, paragraphe 1, donne à la personne concernée le droit d'obtenir la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès aux données et huit informations : a) les finalités du traitement ; b) les catégories de données à caractère personnel concernées ; c) les destinataires ou catégories de destinataires, en particulier dans des pays tiers ou des organisations internationales ; d) lorsque c'est possible, la durée de conservation envisagée ou les critères utilisés pour la déterminer ; e) l'existence des droits de rectification, d'effacement, de limitation et d'opposition ; f) le droit d'introduire une réclamation auprès d'une autorité de contrôle ; g) lorsque les données ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ; h) l'existence d'une prise de décision automatisée, y compris un profilage, au titre de l'article 22, paragraphes 1 et 4, avec des informations utiles sur la logique sous-jacente ainsi que l'importance et les conséquences prévues pour la personne concernée. L'article 15, paragraphe 3, ajoute la copie des données faisant l'objet d'un traitement, les copies supplémentaires contre des frais raisonnables et la forme électronique ; l'article 15, paragraphe 4, empêche la copie de porter atteinte aux droits et libertés d'autrui, ce qui explique qu'une copie d'un ticket de support soit expurgée des notes privées de l'agent sur une tierce personne et non de ses réponses. Pour une entreprise de logiciels, sept des huit sont déjà écrites : ce sont les colonnes du [registre des traitements](\u002Fgdpr\u002Frecord-of-processing), et h) est soit « aucune », soit la description que la documentation du produit donne elle-même du modèle qui note, classe ou décide.\n\n## La part du sous-traitant, et celle de la norme\n\nUne entreprise qui héberge les données de ses clients reçoit des demandes auxquelles elle ne doit pas répondre : la personne concernée est celle du client, et le client est le responsable. L'article 28, paragraphe 3, point e), fait aider le responsable par le sous-traitant, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à donner suite aux demandes d'exercice des droits de la personne concernée, ce qui est la clause que la page des [clauses de sous-traitance](\u002Fgdpr\u002Fprocessor-terms) rédige et les fonctions d'export, de recherche et de suppression que le produit doit avoir. L'ISO\u002FIEC 27701:2025 place les mêmes obligations dans le tableau A.1 comme mesures sur l'accès, la correction et l'effacement, sur la copie des DCP et sur le traitement des demandes, que le catalogue lit chacune au regard de l'article 12, paragraphes 3 et 4, de sorte qu'un système certifié porte le mois comme une procédure avec un enregistrement derrière elle, pas comme un souvenir.\n\n## Quoi en faire\n\nConsignez chaque demande le jour de son arrivée, en un seul endroit, avec le droit qu'elle exerce : cet enregistrement est le départ du délai et la preuve que l'autorité demande en premier. Calculez le délai selon la règle des délais et rédigez l'information de prolongation ou de refus à la première date, jamais après. Répondez aux demandes d'accès à partir du registre des traitements et ajoutez la copie tirée du produit ; répondez aux demandes d'effacement et de rectification, puis informez chaque destinataire des données au titre de l'article 19. La [page du délai de réponse](\u002Fgdpr\u002Frequest-clock) fait le calcul et la rédaction ; la [page du délai de violation](\u002Fgdpr\u002Fbreach-clock) se tient à côté pour la demande qui s'avère décrire une violation, et la [détermination des obligations](\u002Fgdpr\u002Fduties) dit lesquelles des autres obligations la même entreprise porte.\n",1789383972447]