Experts-comptables & cabinets de gestion
RGPD et expertise comptable : un DPO externalisé qui connaît vos deux casquettes.
Bulletins de paie, coordonnées bancaires, arrêts maladie transmis pour le calcul des IJ : un cabinet comptable manipule des données particulièrement sensibles, pour son propre compte et pour celui de ses clients. VIGIL structure la conformité des deux côtés, sans jargon et sans ralentir votre production.
Sous-traitant pour la paie, responsable pour votre propre structure.
Quand votre cabinet établit les bulletins de paie d'un client, gère ses déclarations sociales ou tient sa comptabilité, il traite des données personnelles pour le compte de ce client, selon ses instructions : au sens du RGPD, vous êtes alors sous-traitant. Or ces missions font transiter des données parmi les plus sensibles qui soient — coordonnées bancaires, rémunérations, et parfois des arrêts de travail ou indemnités journalières transmis par le salarié ou la CPAM pour le calcul de la paie, qui relèvent de la catégorie particulière des données de santé (article 9 du RGPD).
Dans le même temps, votre cabinet est responsable de traitement à part entière pour ses propres besoins : la gestion RH de ses collaborateurs, la prospection et le suivi de son portefeuille clients, ou encore la comptabilité interne du cabinet lui-même. Ces deux casquettes coexistent en permanence et n'obéissent pas exactement aux mêmes obligations — d'où l'intérêt de les distinguer clairement dans votre registre des traitements.
Pour aller plus loin sur cette distinction structurante, voir notre guide responsable de traitement ou sous-traitant : le contrat article 28 expliqué.
Logiciel de paie, de comptabilité, hébergement cloud : des contrats à sécuriser dans les deux sens.
Votre éditeur de logiciel de paie ou de comptabilité, votre solution de dématérialisation ou votre hébergeur cloud sont eux-mêmes vos sous-traitants au sens de l'article 28. Le contrat qui vous lie à eux doit être aussi solide que celui que vos clients attendent de vous.
Logiciel de paie
Vérification du contrat article 28 avec l'éditeur : sécurité des bulletins, données bancaires et de santé transmises pour les IJ.
Logiciel de comptabilité
Clauses de confidentialité et sort des données en fin de contrat, en particulier en cas de changement d'éditeur ou de perte d'un client.
Cloud & dématérialisation
Localisation des données, autorisation écrite préalable en cas de sous-traitance ultérieure (l'hébergeur derrière votre éditeur, par exemple).
Registre des deux côtés
Le vôtre en tant que responsable (RH, clients) et celui de vos missions de paie/comptabilité en tant que sous-traitant (article 30).
Ces mêmes réflexes valent pour un client PME qui vous confie sa paie : lui aussi doit s'assurer que son propre contrat de sous-traitance avec votre cabinet est en ordre.
Un cabinet comptable doit-il désigner un DPO ?
L'article 37 du RGPD impose la désignation d'un DPO dans des cas précis : organismes publics, suivi régulier et systématique à grande échelle des personnes, ou traitement à grande échelle de données sensibles. Un cabinet comptable de taille moyenne, qui traite des dossiers clients sans exercer de suivi comportemental, n'entre en général pas automatiquement dans ce cadre.
Pour autant, la désignation reste vivement recommandée : le volume de données bancaires, de rémunération et parfois de santé traitées pour le compte de tiers place le cabinet dans une zone de risque réel en cas d'incident. Avoir un point de contact identifié — en interne ou externalisé — facilite aussi la relation avec vos clients, de plus en plus attentifs à la conformité de leurs prestataires. Le sujet mérite d'être posé à côté de celui, plus large, de la conformité d'une PME classique.
Trois façons de s'en occuper.
DPO interne
~70 000€/an
Rarement justifiable pour un cabinet de taille moyenne.
Cabinet juridique
dès 1 500€/mois
Facturation au temps passé, sans continuité au quotidien.
VIGIL
dès 99€/mois
IA H24 + juriste de magistère joignable sur demande, facturé au temps passé.
Détail complet des offres sur la page tarifs.
Envie d'y voir clair sur vos deux rôles RGPD ?
15 minutes suffisent pour cartographier vos missions en tant que sous-traitant, vos données propres en tant que responsable, et savoir si la désignation d'un DPO s'impose à vous. Détail des formules sur la page tarifs.
Faire le point avec nousContenu à visée informative, à jour au moment de sa rédaction. Il ne constitue pas un conseil juridique personnalisé au sens de la loi n°71-1130 du 31 décembre 1971 — chaque situation mérite une analyse dédiée.