Qui tient nos sites, où vont nos données, qui répond quand ça casse ?

C'est le dispositif contractuel qui rend le numérique d'une organisation démontrable : un registre vivant des sites, des flux, des prestataires et des systèmes d'intelligence artificielle, un comité réuni à date fixe dont les décisions sont tracées, une astreinte sur incident avec un délai écrit, une enveloppe d'heures d'ingénieur et une clause de réversibilité. Ce n'est ni une charte, ni un audit, ni un outil : c'est un rythme tenu par un tiers nommé. Les paliers publiés vont de 12 000 à 45 000 € HT par an, avec engagement de douze mois et facturation trimestrielle. Au-delà des trois paliers, le prix est établi au périmètre réel.

Le registre des traitements au sens du RGPD liste les traitements de données personnelles et leurs finalités. Le registre vivant du cabinet liste les sites, les flux, les prestataires et leurs accès, et les systèmes d'intelligence artificielle en service, mis à jour à chaque changement et non à chaque comité. Il est exportable tel quel pour un contrôle à partir du palier Gouvernance, et il reste léger, donc non opposable, sur le programme AEO et GEO. Les deux registres se complètent : l'un dit ce que vous traitez, l'autre dit qui peut y toucher.

L'ordre du jour, l'animation, le compte rendu et le suivi des décisions sont à la charge du cabinet, sur tous les paliers. Un comité que le client doit préparer lui-même ne se tient pas, et c'est la raison pour laquelle le prix couvre d'abord ce qui ne se facture pas à l'heure. Le rythme est de quatre comités par an au palier Essentiel, onze au palier Gouvernance, vingt-deux plus une séance annuelle du conseil au palier Direction. La charge interne se limite à la présence des bonnes personnes en séance.

Soixante heures par an au palier Essentiel, cent vingt au palier Gouvernance, deux cents au palier Direction, comprises dans le prix annuel. Le compte d'heures est présenté à chaque comité, de sorte qu'un dépassement est annoncé avant d'être consommé et jamais découvert sur la facture. Au-delà, la grille horaire publiée s'applique, 150 € HT de 9 h à 17 h, 300 € HT après 17 h, 450 € HT les week-ends et jours fériés, et jamais sans accord écrit préalable. Un dépassement récurrent signifie que le palier est mal choisi, et il se rediscute au comité.

En produisant ce qui leur manque : l'état réel des systèmes. Le DPO tient la conformité des traitements, le conseil juridique dit le droit, le cabinet est ingénieur et fournit les preuves techniques, le registre des flux et des accès, la classification des usages d'intelligence artificielle, l'état des contrats de sous-traitance au regard de l'article 28 du RGPD. La plupart des dossiers de conformité échouent non sur l'analyse juridique mais sur l'absence de relevé : personne ne sait quels outils sont réellement en service. Les trois rôles se coordonnent en comité, sans se substituer.

Un délai de réponse écrit au contrat, et des heures d'incident comprises. Sous 48 heures ouvrées au palier Essentiel, sous 24 heures ouvrées avec dix heures comprises au palier Gouvernance, sous 4 heures sept jours sur sept avec trente heures comprises au palier Direction. L'astreinte couvre le cadrage de l'incident, le périmètre touché, les obligations de notification au sens de l'article 33 du RGPD, la remédiation et la chronologie tenue pour la direction. Un incident qui démarre un samedi ne se traite pas le lundi, et le contrat le dit.

Une page signée et annexée au règlement intérieur, qui dit quels outils sont autorisés, sur quelles données, avec quelles interdictions explicites et qui arbitre les cas nouveaux. Elle ne suffit jamais seule : la souveraineté par la charte n'existe pas, elle existe par l'architecture et par le contrat. Quatre livrables l'accompagnent : le registre des systèmes d'intelligence artificielle outil par outil, y compris ceux ouverts sans autorisation, la classification des usages par niveau de risque, les clauses fournisseurs sur la localisation, la non-réutilisation pour l'entraînement et la réversibilité, et une formation attestée nominativement. L'ordre compte : on ne classe pas ce qu'on n'a pas inventorié.

En l'inventoriant avant de l'interdire, parce qu'une interdiction non outillée déplace l'usage vers les appareils personnels. Le relevé sur place, 2 400 € HT la journée, montre les comptes réellement ouverts sur les postes, y compris personnels, sans nommer personne dans le rapport. Vient ensuite la classification des usages, puis une alternative défendable : un outil dont l'hébergement et la non-réutilisation des données sont contractualisés, avec anonymisation avant traitement. La formation attestée nominativement est la preuve demandée par l'article 4 de l'AI Act.

Six pièces : la cartographie des flux et des prestataires, le registre des systèmes et des accès, les contrats de sous-traitance conformes à l'article 28 du RGPD, la procédure d'incident avec son délai de notification, les sauvegardes restaurées et consignées, la formation attestée nominativement. Chacune doit être datée et rattachée à un fait, pas à une intention. Le palier Gouvernance produit un registre exportable tel quel pour un contrôle, et le palier Direction y ajoute un reporting trimestriel au conseil d'administration. Une gouvernance se prouve par des pièces, elle ne se plaide pas.

Oui, hors des trois paliers publiés. Trois entités juridiques, quatre pays et deux régulateurs ne décrivent pas une organisation à 45 000 € HT qui aurait grandi : le prix est alors établi au périmètre réel, en deux séances de cadrage, avec la méthode de calcul visible ligne à ligne. Le dispositif reste identique : audit complet étendu à chaque entité, registre vivant par entité consolidé pour le groupe, rythme de comité arrêté avec la direction, astreinte définie au contrat jusqu'à vingt-quatre heures sur vingt-quatre. Les clauses de sortie, la grille horaire et la réversibilité sous trente jours sont celles des paliers publiés.

La capacité de partir sans perdre ni ses données ni la maîtrise de ses systèmes, dans un délai écrit. Le cabinet s'y engage sous trente jours, sans facturation, et refuse toute rétention d'accès, même en cas de litige. Concrètement : restitution des accès et des comptes, export complet dans un format ouvert, documentation de l'architecture, séquestre documentaire mis à jour à chaque comité. Sur VERA OS s'ajoutent le séquestre de code et le déploiement sur site au palier Enterprise, car un outil souverain qu'on ne peut pas quitter n'est pas souverain.

Le contrat annuel porte le cadre, le rythme et l'enveloppe d'heures, et les chantiers sont chiffrés au périmètre puis imputés sur cette enveloppe. Les prestataires en place ne sont pas évincés : leurs accès sont inventoriés, leurs contrats revus au regard de l'article 28 du RGPD, et la revue annuelle des prestataires est un livrable du palier Gouvernance. Le palier Direction ajoute l'audit contractuel des prestataires, qui prépare la décision sans être un acte juridique. Le cabinet ne perçoit aucune commission d'un prestataire qu'il recommande ou qu'il remplace.

Oui, dès que vos sites, vos données ou vos prestataires touchent un secret ou une donnée personnelle : le RGPD engage votre responsabilité sur chaque sous-traitant (article 28) et chaque violation (article 33). Le secret sectoriel s'y ajoute ; l'AI Act (article 4) si vos équipes utilisent l'IA.

Le premier incident se gère sans chronologie, sans périmètre connu et sans preuve pour le comité d'audit. L'amende est rare ; le coût de l'incident et du temps interne, lui, est certain.

Un audit initial de vos sites, données, hébergements et prestataires ; un comité tenu par le cabinet ; un registre vivant ; la conformité RGPD et sectorielle, AI Act si usage ; une formation attestée ; une astreinte incident. Trois paliers, un palier central, le même prix avec ou sans IA.

Essentiel 12 000 € HT, Gouvernance 25 000 € HT, Direction 45 000 € HT par an. Le palier central revient à 2 083 € par mois pour 120 heures seniors, un comité mensuel et une astreinte.

Essentiel pour le cabinet de 10 à 50 personnes, Gouvernance pour l'ETI, la biotech ou le cabinet de 50 à 250, Direction pour la cotée et le groupe multi-entités.

Le DPO couvre les données personnelles, pas les sites, les hébergeurs ni la stack. L'avocat facture à la mission et ne tient pas de registre vivant. Le cabinet s'assoit entre les deux et leur donne de la matière.

C'est écrit au contrat, pas promis à l'oral. Séquestre documentaire, binôme senior nommé, reprise sous 30 jours, données chez vous ou sur infrastructure française sous contrat.

Un comité de 1 h 30 par mois au palier central, quelques entretiens courts pendant l'audit, une session de formation de 2 h. Le cabinet tient l'ordre du jour, le compte rendu et le registre.

Trente minutes en visio, un compte rendu écrit sous 48 h, une proposition sous cinq jours ouvrés, un démarrage sous quinze jours. Un seul bouton.

Une charte documente qui blâmer ; elle n'empêche ni une livraison compromise ni un copier-coller. Le contrat ajoute ce qui rend la charte vérifiable : un registre des sites, des flux, des prestataires et des systèmes IA tenu à jour, un comité avec ordre du jour et compte rendu, une formation nominative (AI Act, article 4) et une astreinte quand un incident survient.

Oui, et c'est le cas le plus fréquent. La gouvernance porte d'abord sur ce qui est réellement exposé : vos sites, vos formulaires, vos hébergeurs, vos prestataires, vos accès, vos sauvegardes et votre réponse à incident. Le volet IA ne s'active que si vos équipes en font usage. Le prix est le même, parce que le travail est le même : un référent, un registre, un comité, une astreinte.

Parce qu'un registre vivant, un comité et une revue annuelle des fournisseurs n'ont de valeur que tenus dans la durée. La facturation est trimestrielle, le diagnostic d'entrée est déductible du premier trimestre, et les clauses de continuité et de sortie sont écrites dans le contrat.

Séquestre documentaire mis à jour à chaque comité, binôme freelance senior nommé dès le cadrage, reprise garantie sous 30 jours, données hébergées chez vous ou sur infrastructure française sous contrat. Ces quatre garanties figurent au contrat.

Oui. Le cabinet se déplace pour les restitutions en présentiel, en France comme en Suisse romande ; les comités se tiennent en visioconférence.

Les heures supplémentaires sont facturées à la grille publiée : 150 € HT de 9 h à 17 h, 300 € après 17 h, 450 € week-ends et jours fériés. Aucune heure n'est engagée sans votre accord écrit.

Non, il travaille avec lui. Le DPO couvre les données personnelles ; le cabinet couvre ce qui les porte : sites, formulaires, hébergeurs, prestataires, accès, incidents, et les usages numériques des équipes. Le registre des sites, des flux et des prestataires est tenu par le cabinet et exportable pour un contrôle.

Des accès en lecture, listés dans la lettre de cadrage, accordés par écrit et révoqués à la restitution. Aucune analyse destructive sans votre autorisation écrite. Chaque personne qui y accède est nommée au contrat et soumise à un engagement de confidentialité signé avant le premier accès.

Walter Walczak dirige chaque mission et signe chaque restitution. Quand la mission l'exige (design, développement, rédaction, devops, conformité), le cabinet mandate des freelances seniors français de son réseau, nommés dans la proposition cadrée, sous confidentialité, inclus dans l'enveloppe du contrat. Aucune sous-traitance opaque, aucun surcoût non écrit.

Engagement de 12 mois, tacite reconduction, préavis de 3 mois. Garantie 30 jours : si le diagnostic ou le premier comité ne tient pas le périmètre écrit, résiliation sans frais et remboursement du trimestre au prorata. À la sortie, le registre, les comptes rendus et la documentation vous sont remis : ils sont votre propriété.

Chez vous, ou sur une infrastructure française sous contrat (Scaleway, France). Aucun transfert hors Union européenne, liste des sous-traitants fournie avec le contrat, registre des traitements tenu, restitution en format ouvert à la sortie. Le cabinet ne fait pas transiter vos documents par un outil américain grand public.

Un diagnostic est livré en 15 jours ouvrés à compter de la réception des accès, avec une restitution direction. Sur un contrat de gouvernance, l'audit initial est consommé dans le premier trimestre et le premier comité se tient dans les 90 jours, avec ses livrables nommés.

Pour 12 000 € HT par an : 60 h incluses, diagnostic souveraineté numérique (sites, données, hébergement, prestataires, IA) et conformité sectorielle, 30 h, restitution direction, comité trimestriel (4 par an), 1 h 30, registre des sites, des flux, des prestataires et des systèmes IA, initial, mis à jour à chaque comité, charte numérique et IA, classification des usages par niveau de risque, clauses prestataires types, 1 session de 2 h (hygiène numérique, IA si usage), attestation nominative, incident par email, réponse sous 48 h ouvrées, heures au compteur.

Le palier Direction (45 000 € HT par an, 200 h) ajoute un pentest non destructif web et infra, une restitution au conseil, un comité bimensuel (22 par an) + séance annuelle du conseil, un reporting trimestriel au conseil d'administration, l'audit contractuel des prestataires, la préparation à un contrôle et la gestion de crise, avec une astreinte à réponse sous 4 h, 7 jours sur 7, 30 h incluses.