Le jour du contrôle, vous ouvrez un dossier. Pas un tiroir.
VeriAct traduit le RGPD, l'AI Act, le Data Act, NIS2 et 8 autres textes en questions auxquelles un dirigeant répond en quelques minutes. Chaque réponse est datée, signée, scellée ; chaque rapport se vérifie en ligne par celui qui le reçoit.
Diagnostic en trois minutes, avec la liste des documents à produire et une proposition chiffrée. Sans carte bancaire. Rapport d'essai téléchargeable en PDF à la fin du questionnaire.
Ce que votre entreprise doit documenter, selon sa taille et son activité.
Une réglementation s'applique rarement « à tout le monde ». Trois critères décident : la taille de l'entreprise (effectif, chiffre d'affaires, bilan), son secteur, et ce qu'elle fait concrètement avec le numérique. Voici comment lire votre situation avant d'y répondre précisément.
Premier critère : la taille
Catégories de la recommandation européenne 2003/361. Une filiale d'un grand groupe suit en général la taille du groupe.
| Ce qui s'impose | Moins de 10 salariés | 10 à 49 | 50 à 249 | 250 et plus |
|---|---|---|---|---|
| RGPD Dès le premier fichier client ou salarié | Oui | Oui | Oui | Oui |
| Facturation électronique Entre entreprises établies en France | Réception depuis le 1er septembre 2026, émission au 1er septembre 2027 | Idem | Idem | Réception et émission depuis le 1er septembre 2026 |
| Lanceurs d'alerte Sapin II, loi Waserman | Non | Non | Procédure de signalement obligatoire | Oui ; programme anticorruption complet à partir de 500 salariés et 100 M€ |
| NIS2 Secteurs essentiels et importants | Non, sauf cas désignés | Si plus de 10 M€ dans un secteur visé | Oui si secteur visé | Oui si secteur visé, entité essentielle |
| Accessibilité Acte européen d'accessibilité | Services exemptés | Si services visés | Si services visés | Si services visés |
| AI Act Dès qu'un outil d'IA est utilisé | Formation et transparence | Idem | Idem, plus registre des usages | Registre complet, haut risque en 2027 |
| Data Act, DSA, CRA Produits connectés, contenus, logiciels | Obligations allégées | Obligations allégées | Selon activité | Selon activité |
Deuxième critère : ce que vous faites
Vous avez un site ou une application
- Mentions d'information et politique de confidentialité
- Bandeau de consentement où refuser est aussi simple qu'accepter
- Déclaration d'accessibilité si vous vendez au public
Vos équipes utilisent l'IA
- Inventaire des outils réellement utilisés, y compris grand public
- Règles d'usage et formation du personnel, exigées depuis février 2025
- Contrôle renforcé si l'IA touche au recrutement, au crédit ou à la biométrie
Vous vendez en ligne aux particuliers
- Conditions générales claires et point de contact
- Traçabilité des vendeurs si vous êtes une place de marché
- E-reporting des ventes pour la facturation électronique
Vous fabriquez des produits connectés ou des logiciels
- Signalement des vulnérabilités exploitées sous 24 heures depuis septembre 2026
- Nomenclature logicielle et durée de support des mises à jour
- Information des utilisateurs sur les données générées par le produit
Vous êtes dans la finance ou la servez
- Cadre de gestion du risque informatique validé par la direction
- Registre des contrats de prestations informatiques
- Clauses contractuelles imposées par vos clients financiers
Vous publiez des contenus de tiers
- Dispositif de signalement des contenus illicites
- Motivation des décisions de retrait
- Rapport de transparence selon votre taille
Vous opérez dans un secteur essentiel
- Énergie, santé, transports, eau, numérique, industrie, alimentaire
- Analyse des risques et plan de continuité
- Notification des incidents en 24 heures, 72 heures puis un mois
Ce que nous conseillons
Qualifier
Répondez au diagnostic : taille, secteur, activités. Vous obtenez la liste de vos obligations, leurs échéances et les documents attendus.
Prioriser
Commencez par ce qui est déjà en vigueur et contrôlé : RGPD, facturation électronique, procédure d'alerte. Le registre RGPD sert de socle aux autres textes.
Documenter et dater
Répondez aux questionnaires, déposez les preuves, émettez un rapport. Une démarche datée et suivie pèse plus lourd en cas de contrôle qu'une conformité affirmée sans trace.
Répondre, prouver, présenter.
Répondre
Des questions fermées, une idée par question, l'article de loi en face. Oui, partiellement, non, je ne sais pas, non concerné. Les questions de périmètre écartent d'elles-mêmes ce qui ne vous concerne pas.
Prouver
Pour chaque question, la preuve attendue en cas de contrôle est indiquée. Déposez le document : son empreinte numérique est enregistrée, ce qui démontre qu'il n'a pas été retouché depuis.
Présenter
Un rapport PDF à votre nom, numéroté, tamponné, avec un plan d'action priorisé. Un code et un QR code permettent à un auditeur, un client ou un assureur d'en vérifier l'authenticité.
12 réglementations, 188 questions.
Vous cochez uniquement celles qui vous concernent. Chacune a son prix mensuel, affiché en face.
| Texte | Domaine | Autorité | Applicable depuis |
|---|---|---|---|
| RGPD Règlement général sur la protection des données et loi Informatique et Libertés |
Données personnelles | CNIL | 25/05/2018 |
| Cookies et traceurs Règles applicables aux cookies et autres traceurs |
Données personnelles | CNIL | 26/08/2011 |
| AI Act Règlement européen sur l'intelligence artificielle |
Données et IA | En France, désignation en cours : le projet de loi DDADUE (… | 02/02/2025 |
| Data Act Règlement sur les données (règles harmonisées portant sur l'équité de l'accès aux données et de l'utilisation des données) |
Données et IA | Arcep (autorité compétente pour la mise en œuvre du règleme… | 12/09/2025 |
| Data Governance Act Règlement sur la gouvernance européenne des données |
Données et IA | Arcep pour les services d'intermédiation de données ; CNIL … | 24/09/2023 |
| NIS2 Directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union |
Cybersécurité | ANSSI (Agence nationale de la sécurité des systèmes d'infor… | 18/10/2024 |
| DORA Règlement sur la résilience opérationnelle numérique du secteur financier (Digital Operational Resilience Act) |
Cybersécurité | ACPR (banques, assurances, établissements de paiement) et A… | 17/01/2025 |
| Cyber Resilience Act Règlement concernant des exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques (règlement sur la cyberrésilience) |
Cybersécurité | Autorités françaises de surveillance du marché (dont l'ANSS… | 11/09/2026 |
| DSA Règlement sur les services numériques (Digital Services Act) |
Numérique et plateformes | Arcom (coordinateur pour les services numériques), avec la … | 17/02/2024 |
| Accessibilité numérique Accessibilité des produits et services numériques (European Accessibility Act, RGAA et article 47 de la loi de 2005) |
Accessibilité | DGCCRF (services et produits relevant de l'European Accessi… | 28/06/2025 |
| Facturation électronique Généralisation de la facturation électronique et de la transmission des données de transaction (e-reporting) |
Fiscalité numérique | DGFiP (Direction générale des finances publiques) | 01/09/2026 |
| Sapin II Loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique |
Éthique des affaires | Agence française anticorruption (AFA) ; Défenseur des droit… | 01/06/2017 |
Le droit bouge. Votre dossier suit, sans rien perdre.
Chaque lundi, un agent de veille passe en revue les textes publiés, les décisions des autorités et les reports d'échéance. Ses propositions sont relues par un juriste avant publication. Quand une question apparaît ou change, vous êtes prévenu et la lettre hebdomadaire vous résume ce qui a bougé sur vos seules réglementations.
Rien n'est jamais écrasé. Vos réponses de juin restent lisibles en décembre, votre rapport de juin reste téléchargeable tel qu'il était, et vous pouvez afficher l'état exact de votre dossier à n'importe quelle date.
Une démarche documentée, datée, opposable à vous-même.
En cas de contrôle, la question n'est pas seulement « êtes-vous conforme ? » mais aussi « depuis quand, et comment le savez-vous ? ». Le registre VeriAct répond à la seconde : qui a déclaré quoi, à quelle date, sur quelle version du texte, avec quelle preuve.
Ni une certification, ni un avocat.
Le rapport restitue une auto-évaluation déclarative. Il ne remplace ni l'avis d'un juriste sur un cas complexe, ni l'appréciation de l'autorité de contrôle. Nous le disons sur chaque rapport, parce qu'un document honnête est plus utile qu'un document flatteur.
Vos preuves de conformité restent en France.
Un dossier de conformité contient ce qu'une entreprise a de plus sensible : ses contrats, ses procédures, ses failles connues. VeriAct l'héberge en France, dans les centres de données d'OVHcloud, opérateur européen soumis au seul droit de l'Union et non exposé aux législations extraterritoriales de pays tiers.
Chaque entreprise dispose d'un espace cloisonné ; les preuves ne sont accessibles qu'à ses membres, et chaque document est identifié par son empreinte numérique.
Avant de commencer
Combien de temps faut-il pour un questionnaire ?
Entre quinze et quarante minutes selon la réglementation, sans compter la recherche des preuves. Vous pouvez vous interrompre : chaque réponse est enregistrée au moment où vous la donnez.
Plusieurs personnes de l'entreprise peuvent-elles répondre ?
Oui. Le propriétaire du compte invite ses collègues avec un rôle : administrateur, contributeur ou lecteur. Chaque réponse porte le nom de son auteur.
Où sont hébergées mes données ?
En France, chez OVHcloud. Chaque entreprise dispose d'un espace cloisonné ; les preuves déposées ne sont accessibles qu'à ses membres.
Comment un tiers vérifie-t-il mon rapport ?
Avec le QR code ou la référence et le code imprimés en page de garde, sur veriact.fr/verifier. Il peut aussi déposer le PDF reçu : s'il a été modifié d'un seul octet, la vérification échoue.
Puis-je arrêter quand je veux ?
Oui. L'abonnement mensuel se résilie à tout moment ; vos rapports déjà émis restent téléchargeables en lecture seule.