Compliance
Vos obligations réglementaires reposent sur des dates, des délais et des preuves. DataBait vous fournit les trois : chaque alerte est scellée par un horodatage qualifié eIDAS qui fixe votre date de prise de connaissance, chaque signal est consolidé en une preuve recevable en justice sous 72 h, et l'ensemble constitue le dossier que vous produirez en cas de contrôle. Ce que vous avez su, quand vous l'avez su, et ce que vous en avez fait.
Point de départ
Le RGPD vous impose de notifier une violation de données à la CNIL dans les 72 heures (article 33) et, en cas de risque élevé pour les personnes concernées, de la leur communiquer (article 34). Ce délai ne court pas à compter de la fuite : il court à compter du moment où vous en avez pris connaissance.
C'est précisément ce point de départ qui est difficile à établir a posteriori, et c'est lui que l'autorité de contrôle examine. DataBait le rend certain : chaque alerte est scellée par un horodatage qualifié eIDAS, émis par un QTSP inscrit sur la Liste de confiance européenne. Au titre de l'article 41 du règlement eIDAS, cet horodatage bénéficie d'une présomption légale de validité dans toute l'Union européenne.
Vous ne déclarez plus la date à laquelle vous avez découvert l'incident : vous la prouvez. Et parce que l'alerte n'attend pas la plainte d'un client ni la publication d'un dump, ce point de départ intervient tôt, quand le délai de 72 h est encore confortable.
Ce que vous documentez
Tous les régimes de gestion du risque numérique, sectoriels ou transverses, reposent sur les mêmes trois exigences. DataBait les outille par construction, sur le même dispositif.
Les comptes fictifs que DataBait injecte dans vos bases ne correspondent à aucune personne réelle. Tout contact reçu est donc, par construction, non légitime : la détection est continue, opposable et sans faux positif structurel. Elle vient en complément de vos dispositifs périmétriques, qui restent aveugles à ce qui est fait de vos données une fois sorties de votre système d'information.
Chaque signal est consolidé en un constat de commissaire de justice conforme à la norme AFNOR NF Z67-147, établi en moins de 72 h et scellé par horodatage qualifié eIDAS. Le dossier est directement exploitable pour vos notifications aux autorités de contrôle, et il constitue une preuve recevable en justice si vous engagez une action.
L'article 28 du RGPD vous oblige à choisir vos sous-traitants avec diligence et à en suivre l'exécution. En injectant des comptes fictifs dédiés à chaque base confiée, DataBait transforme cette obligation de contrôle en signal permanent : vous n'attendez plus l'audit annuel pour savoir ce que devient une base partagée.
La conformité cesse d'être un livrable annuel : elle devient une posture continue, scellée par horodatage à chaque alerte.
Régime transverse
La directive (UE) 2022/2555 (NIS2) étend le régime de cybersécurité européen bien au-delà des opérateurs historiques et classe les entités concernées en entités essentielles ou entités importantes selon leur secteur et leur taille.
Sa transposition en droit français (projet de loi Résilience) imposera aux entités concernées un dispositif documenté de gestion du risque numérique, une cinétique de notification à l'ANSSI et une obligation de maîtrise de la chaîne de sous-traitance.
Les trois axes ci-dessus répondent directement à ces exigences : la détection documentée pour le dispositif de gestion du risque, le dossier d'incident horodaté sous 72 h pour la cinétique de notification, la surveillance continue des bases confiées pour la maîtrise de la chaîne. Sans audit complémentaire, et sans modification de votre système d'information.
Conformité interne
DataBait ne sert pas seulement à documenter l'abus d'un tiers. Il vous rend visibles vos propres écarts de conformité, tant qu'ils sont encore corrigeables.
Une campagne partie sans opt-in, un expéditeur hors de la liste blanche définie par votre RSSI ou votre DPO, des données collectées pour une finalité et réutilisées pour une autre : ces écarts se produisent à l'intérieur de vos structures, sans intention frauduleuse, et ne déclenchent aujourd'hui aucun signal.
Les comptes fictifs les rendent visibles au premier contact. Le signal vous revient, à vous seul : vous gardez la main sur vos process et vous corrigez avant que l'écart ne devienne un incident notifiable.
Périmètre
Une preuve n'a de valeur que si son périmètre est énoncé sans ambiguïté. Trois limites que nous posons nous-mêmes.
Détection
DataBait établit qu'une fuite a eu lieu et documente l'usage qui est fait de vos données, une fois qu'elles ont quitté votre système d'information. Il ne se substitue ni à vos mesures de sécurité, ni à votre obligation de sécurisation au titre de l'article 32 du RGPD. Seule la veille dark web opère en amont d'un contact : elle révèle une base diffusée avant qu'elle ne soit exploitée.
Attribution
Sur une base unique partagée avec plusieurs prestataires, un contact reçu prouve le détournement mais n'en désigne pas l'auteur. Pour identifier le tiers à l'origine d'une fuite, il faut que la base soit segmentée par destinataire et que des comptes fictifs dédiés y soient injectés. C'est une condition de conception, décidée avec vous au déploiement.
Notification
DataBait produit le dossier ; l'appréciation du caractère notifiable de la violation, la qualification de sa gravité et la déclaration à l'autorité de contrôle relèvent de vous et de votre DPO. Nous fournissons la matière probatoire, pas la décision réglementaire.
Par secteur
Le socle RGPD et NIS2 vaut pour tous. Cinq secteurs se voient en outre appliquer un régime propre, qui ajoute ses autorités, ses délais et ses obligations de surveillance des tiers.
Banque et finance · DORA, ACPR
Le règlement (UE) 2022/2554 (DORA), applicable depuis le 17 janvier 2025, impose aux entités financières un dispositif documenté de gestion du risque ICT : détection (art. 10), reporting des incidents ICT majeurs (art. 17 à 23) et surveillance des prestataires tiers critiques (art. 28 à 30). Le règlement délégué (UE) 2025/301 en fixe la cinétique : notification initiale sous 4 h après classification de l'incident comme majeur, et au plus tard 24 h après détection, rapport intermédiaire sous 72 h, rapport final sous 1 mois, auprès de l'ACPR.
Le dossier DataBait horodaté sous 72 h alimente directement cette chaîne de notification. La surveillance continue s'étend à vos partenaires DSP2 (AISP, PISP) et à vos sous-traitants critiques : l'obligation d'oversight se matérialise en signal permanent, sans audit complémentaire. Et le constat arme les suites que vous seul pouvez engager : le secret bancaire (art. L.511-33 du Code monétaire et financier) adosse chaque collaborateur à l'article 226-13 du Code pénal.
Assurance · DORA, Solvabilité II
DORA s'applique aux entreprises d'assurance et de réassurance ainsi qu'à leurs intermédiaires (art. 2), avec les mêmes trois axes et la même cinétique de notification à l'ACPR. La particularité du secteur tient à sa chaîne de gestion : délégataires, courtiers, opérateurs de tiers payant, autant de bases confiées hors de vos murs, et le vecteur exact de l'incident Viamedis et Almerys (plus de 33 millions d'assurés sociaux exposés, janvier-février 2024).
Le même dispositif alimente votre gouvernance des risques au titre de Solvabilité II : le risque de fuite de données, composante du risque opérationnel, cesse d'être une hypothèse déclarative pour devenir un signal mesuré et documenté, versé à votre ORSA (art. 45 de la directive 2009/138/CE). Enfin, dès que la fuite touche des données de santé, l'exigence CNIL est renforcée au titre de l'article 9 du RGPD.
Santé · signalement SI de santé, NIS2, HDS
L'article L.1111-8-2 du Code de la santé publique impose déjà aux structures de santé de signaler sans délai les incidents graves de sécurité de leurs systèmes d'information ; ce signalement, adressé à l'ARS, est relayé à l'ANS (CERT Santé). NIS2 classe par ailleurs le secteur de la santé parmi les entités essentielles, avec la cinétique de notification à l'ANSSI décrite plus haut.
L'alerte horodatée fixe votre date de prise de connaissance, point de départ commun de ces délais et de votre notification CNIL, avec l'exigence renforcée de l'article 9 du RGPD sur les données de santé. Le constat arme en outre la procédure disciplinaire : le secret médical (art. L.1110-4 du Code de la santé publique) adosse chaque professionnel à l'article 226-13 du Code pénal. Point d'architecture souvent décisif en comité : DataBait n'hébergeant aucune donnée patient, sa mise en œuvre n'ajoute aucun périmètre HDS à votre système d'information.
E-commerce · RGPD renforcé, prospection, NIS2
En e-commerce, la contrainte n'est pas seulement le délai de 72 h : c'est l'article 34, qui vous impose de communiquer la violation à chaque client concerné en cas de risque élevé, avec une notification de masse et une exposition immédiate au recours collectif (action de groupe). Le dossier horodaté fixe ce que vous avez su et quand, pièce centrale d'un contentieux où votre diligence sera contestée.
Lorsqu'un tiers exploite votre base pour du démarchage non consenti, le constat établit le manquement au regard des règles de prospection électronique (article L.34-5 du Code des postes et des communications électroniques). Et si vous exploitez une place de marché en ligne, NIS2 vous classe parmi les entités importantes (annexe II, fournisseurs numériques), avec le dispositif documenté et la cinétique ANSSI correspondants.
Professions juridiques · secret professionnel
Votre obligation ne s'arrête pas au RGPD : le secret professionnel vous impose une obligation de préservation qui s'étend à vos sous-traitants, éditeurs de logiciels métier, legaltech, plateformes de signature, hébergeurs et prestataires de numérisation. L'article 28 du RGPD vous oblige à les choisir et à les suivre avec diligence ; DataBait transforme cette obligation de contrôle en surveillance continue de chaque base confiée.
Les données que vous traitez comptent parmi les plus sensibles, incluant des données relatives aux infractions et condamnations (article 10 du RGPD) dans le contentieux. En cas de contrôle CNIL ou de procédure ordinale, le dossier horodaté démontre ce que vous avez su, quand, et ce que vous en avez fait. Et parce que DataBait n'accède à aucune de vos pièces, il n'introduit lui-même aucun nouveau tiers dans le cercle du secret.
Notre propre conformité
Ajouter un prestataire à votre chaîne, c'est ajouter une surface d'exposition et une obligation de suivi. DataBait est conçu pour n'ajouter ni l'une ni l'autre.
DataBait n'accède pas à vos bases et ne les reçoit pas : les comptes fictifs sont injectés via vos propres voies d'import, et seuls sont conservés sur notre infrastructure les emails et SMS entrants reçus sur ces comptes lorsque leur expéditeur ne figure pas dans votre liste blanche. Autrement dit, des messages d'origine externe à vos structures, qui ne contiennent par construction aucune donnée métier vous appartenant. Votre surface d'exposition chez nous est nulle : il n'y a rien, de votre côté, qui puisse constituer une fuite.
Le détail de la chaîne de contrôle, de la minimisation des données et des garanties vérifiables par des tiers figure sur la page Souveraineté.
Frequently asked questions
Le délai de l'article 33 du RGPD court à compter de votre prise de connaissance de la violation, pas de la fuite elle-même. C'est cette date que l'autorité de contrôle examine, et c'est elle qui est difficile à établir a posteriori. Chaque alerte DataBait est scellée par un horodatage qualifié eIDAS émis par un QTSP inscrit sur la Liste de confiance européenne, qui bénéficie d'une présomption légale de validité dans toute l'Union européenne (article 41 du règlement eIDAS). Vous ne déclarez plus votre date de prise de connaissance : vous la prouvez.
Non. DataBait produit la matière probatoire : l'alerte horodatée, les métadonnées forensiques et le constat de commissaire de justice. L'appréciation du caractère notifiable de la violation, la qualification de sa gravité et la déclaration à l'autorité de contrôle relèvent de vous et de votre DPO. Nous fournissons le dossier, pas la décision réglementaire.
Le constat de commissaire de justice, conforme à la norme AFNOR NF Z67-147, est recevable devant les juridictions françaises. L'horodatage qualifié eIDAS qui le scelle bénéficie, lui, d'une présomption légale de validité dans l'ensemble de l'Union européenne.
Les comptes injectés ne correspondent à aucune personne physique réelle : ils sont générés à partir de bases statistiques publiques (INSEE, IRIS, BDNB), sans LLM ni hallucination, et ne constituent donc pas des données à caractère personnel de vos clients. Ils sont dotés d'une adresse email et d'un numéro de mobile réels, opérés par DataBait, ce qui les rend contactables et donc détectables.
Une base sous DataBait qui n'a jamais déclenché d'alerte démontre, par construction, l'absence d'usage abusif détectable. Pour votre RSSI et votre direction des risques, c'est un indicateur mesurable de la maturité de votre dispositif et de celui de vos sous-traitants. Pour l'autorité de contrôle, c'est une pièce versée à votre dossier de conformité.
Oui, si vous segmentez vos bases par destinataire : DataBait injecte des comptes fictifs dédiés dans chaque base confiée, et un contact reçu sur les comptes d'une base donnée désigne le tiers concerné. Sur une base unique partagée avec plusieurs prestataires, un contact prouve le détournement mais n'en désigne pas l'auteur ; l'attribution suppose alors votre propre enquête.
Aucun agent à installer, aucune migration de schéma, aucun connecteur à maintenir : les comptes fictifs sont injectés via les mêmes voies d'import que vos nouveaux clients. Côté registre, l'assiette du traitement opéré par DataBait se limite aux messages entrants reçus sur les comptes fictifs ; vos propres bases ne nous sont pas transmises. La répartition exacte des rôles au sens du RGPD est arrêtée au contrat (CGV article 8 et annexe I).
Prise de contact
Réservez 30 minutes avec notre équipe : nous examinons votre régime applicable, vos délais de notification et vos bases partagées avec des tiers, et nous identifions les périmètres où l'injection de comptes fictifs documente votre diligence le plus vite.
Reply within 24 business hours