Exigences de conformité — Développement du site

Cahier des charges RGPD, sécurité et accessibilité à l'attention du prestataire — Site CLIM-MAG

Ce document constitue le cahier des exigences de conformité à respecter par le prestataire en charge du développement du nouveau site CLIM-MAG. Il couvre la conformité RGPD (« privacy by design / by default »), la sécurité, et l'accessibilité numérique. Ces exigences sont à intégrer dès la conception et à recetter avant mise en production. Le validateur de conformité côté CLIM-MAG est la DSI / RSSI / DPO ; le prestataire reste responsable de la mise en œuvre technique conforme à ces exigences.

1. Pages légales et liens obligatoires

• Créer et rendre accessibles depuis le pied de page de toutes les pages : « Mentions légales », « Politique de confidentialité » et « Gestion des cookies ». Ajouter « Déclaration d'accessibilité » une fois l'audit réalisé.
• Le contenu de ces pages est fourni par CLIM-MAG (DPO). Le prestataire intègre les textes sans en altérer le sens et garantit leur accessibilité permanente (pas derrière un mur de connexion).
• Le lien « Gestion des cookies » doit rouvrir le panneau de paramétrage du consentement à tout moment.

2. Gestion du consentement aux cookies (CNIL)

Mettre en place une solution de gestion du consentement (CMP) conforme aux lignes directrices et recommandations de la CNIL :

• Aucun cookie ou traceur non strictement nécessaire n'est déposé avant le recueil du consentement. Le simple fait de poursuivre la navigation ne vaut pas consentement.
• Le bandeau propose au même niveau de lisibilité et avec le même nombre de clics : « Tout accepter », « Tout refuser » et « Personnaliser ». Refuser doit être aussi simple qu'accepter.
• Consentement granulaire par finalité (mesure d'audience, fonctionnel, réseaux sociaux, publicité). Cases non pré-cochées.
• Pas de « cookie wall » : l'accès au site ne doit pas être conditionné à l'acceptation des traceurs.
• Conserver la preuve du consentement (date, version, choix) et permettre le retrait aussi facilement que le recueil ; renouvellement de la demande à intervalle raisonnable.
• Durées : durée de vie des traceurs ≤ 13 mois, informations collectées ≤ 25 mois. Privilégier une solution de mesure d'audience configurable en mode « exempté de consentement » (ex. Matomo en configuration CNIL) pour limiter les frictions.
• Fournir à CLIM-MAG la liste exhaustive des cookies réellement déposés (nom, émetteur, finalité, durée) pour alimenter la politique cookies.

3. Formulaires (RGPD by design)

• Minimisation : ne collecter que les données strictement nécessaires à la finalité. Signaler les champs obligatoires (astérisque) et distinguer l'optionnel.
• Sous chaque formulaire : mention d'information courte (responsable de traitement, finalité, destinataires, durée, droits) + lien vers la Politique de confidentialité.
• Consentement à la prospection / newsletter via une case à cocher dédiée, non pré-cochée. Mettre en place un double opt-in pour la newsletter.
• Aucun partage des données saisies avec des tiers non prévus. Protection anti-spam respectueuse de la vie privée (éviter les solutions déposant des traceurs publicitaires sans consentement).
• Acheminement sécurisé des données de formulaire (HTTPS) et stockage limité dans le temps.

4. Sécurité

• HTTPS sur l'intégralité du site (redirection HTTP → HTTPS), certificat valide, TLS à jour.
• En-têtes de sécurité : HSTS, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (ou frame-ancestors), Referrer-Policy, Permissions-Policy.
• Maintien à jour du CMS, des thèmes et extensions ; suppression des composants inutiles ; comptes d'administration nominatifs avec mots de passe robustes et, si possible, double authentification.
• Protection des formulaires et de l'admin contre les attaques courantes (injections, XSS, CSRF, brute force). Pas de données sensibles en clair ; pas d'identifiants en dur dans le code.
• Sauvegardes régulières et restaurables ; journalisation des accès d'administration.

5. Hébergement et sous-traitance

• Hébergement au sein de l'Union européenne à privilégier. Toute solution transférant des données hors UE doit être signalée à CLIM-MAG avec les garanties associées (clauses contractuelles types).
• Le prestataire et l'hébergeur agissant comme sous-traitants signent un contrat conforme à l'article 28 du RGPD (accord de traitement / DPA). Fournir la liste des sous-traitants ultérieurs.
• Fournir à CLIM-MAG l'inventaire des services tiers intégrés (analytics, cartes, polices, vidéos, réseaux sociaux, captcha) et leur impact en matière de cookies/données.

6. Accessibilité numérique (RGAA 4.1.2 / WCAG 2.1 AA)

Le site doit être conçu conformément au RGAA 4.1.2 (transposition des WCAG 2.1 niveau AA / norme EN 301 549). Une attention particulière est portée aux publics malvoyants et malentendants, en cohérence avec l'engagement RSE de CLIM-MAG. Exigences minimales :

6.1 Public malvoyant / non-voyant

• Alternatives textuelles pertinentes pour toutes les images porteuses d'information ; images décoratives neutralisées pour les lecteurs d'écran.
• Contrastes suffisants (ratio ≥ 4,5:1 pour le texte courant) ; information jamais véhiculée par la seule couleur.
• Texte redimensionnable jusqu'à 200 % sans perte de contenu ni de fonctionnalité ; pas de texte intégré en image.
• Navigation complète au clavier, ordre de tabulation logique, focus visible ; compatibilité avec les lecteurs d'écran (structure sémantique HTML, titres hiérarchisés, ARIA si nécessaire, libellés de champs explicites).
• Liens et boutons explicites ; messages d'erreur de formulaire clairs et associés aux champs.

6.2 Public malentendant / sourd

• Sous-titres synchronisés pour toute vidéo comportant du son ; transcription textuelle pour les contenus audio.
• Aucune information transmise uniquement par le son ; alternatives visuelles aux alertes sonores.

6.3 Livrables d'accessibilité attendus

• Conception et développement conformes au RGAA 4.1.2 dès l'origine ; intégration de gabarits et composants accessibles.
• Réalisation (ou fourniture) d'un audit d'accessibilité RGAA et remise des résultats, permettant à CLIM-MAG de publier une Déclaration d'accessibilité exacte. Important : ne pas publier de mention de conformité sans audit préalable.
• Documentation des points non conformes éventuels et plan de correction.

7. Recette de conformité avant mise en production

Le prestataire fournit, avant la mise en ligne, les éléments permettant à CLIM-MAG de valider la conformité :

• Démonstration du fonctionnement du bandeau cookies (accepter / refuser / personnaliser) et absence de dépôt avant consentement.
• Liste des cookies, liste des services tiers, et schéma d'hébergement / localisation des données.
• Déclaration explicite de la localisation de l'hébergement : le Site est hébergé par Infomaniak Network SA, dont les infrastructures sont situées en Suisse, soit hors Union européenne. Ce point est signalé à CLIM-MAG au titre du §5 ; la Suisse fait l'objet d'une décision d'adéquation de la Commission européenne, à confirmer auprès de la DSI/RSSI/DPO, accompagnée du DPA de l'hébergeur.
• Rapport d'audit d'accessibilité RGAA et liste des en-têtes de sécurité actifs.
• Confirmation de l'intégration correcte des pages légales et des liens en pied de page.

8. Rôle de la DSI/RSSI/DPO et articulation avec le prestataire

Sujet	CLIM-MAG (DSI/RSSI/DPO)	Prestataire de développement
Textes légaux & RGPD	Rédige et valide mentions légales, politique de confidentialité, politique cookies	Intègre les contenus et les rend accessibles
Consentement cookies	Définit les exigences, recette la conformité	Implémente et configure la CMP
Formulaires	Valide finalités, mentions et minimisation	Développe selon les exigences
Sécurité	Définit le niveau d'exigence, contrôle	Met en œuvre (HTTPS, en-têtes, durcissement)
Accessibilité	Pilote l'exigence RSE, valide la déclaration	Conçoit conforme RGAA et réalise l'audit
Sous-traitance / DPA	Encadre contractuellement (art. 28)	Signe le DPA, déclare les sous-traitants