Devis mise en conformité RGPD
inclus, délais et volume de jours

Un devis de mise en conformité RGPD ne se lit pas en euros, il se lit en volume de jours. L'unité de chiffrage du cabinet est la journée de 7 heures, décomptée par tranches de 30 minutes, affectée lot par lot. Le tarif journalier existe — c'est le seul tarif de prestation de SILEXO — et il ne se publie pas : un montant détaché de son périmètre ne renseigne sur rien et se compare mal.

Le devis se découpe lot par lot, selon le périmètre réel. Le découpage retenu dans cette page en compte six : cartographie des traitements et registre (art. 30 du RGPD), mentions d'information (art. 12 à 14), contrats de sous-traitance (art. 28), procédure de violation de données (art. 33 et 34), plan de formation des équipes, pilotage. Ils décrivent le socle d'une démarche de mise en conformité RGPD conduite par le cabinet, sans constituer une nomenclature figée : un lot politique de sécurité (art. 32) s'ajoute lorsque le volet organisationnel de la sécurité entre au périmètre, et un lot analyse d'impact (art. 35) dès que la cartographie fait remonter un traitement concerné.

Deux chiffres décident du calendrier, et ils vous engagent : 10 jours ouvrés pour transmettre un document ou valider un livrable, 5 jours ouvrés pour répondre à une sollicitation. Ces délais figurent au contrat, recoupés au modèle en vigueur le 9 septembre 2026. Le reste dépend de votre existant.

Les six lots d'un devis de mise en conformité RGPD, livrable par livrable

Le lot registre conditionne le chiffrage des cinq autres : tant qu'il n'est pas stabilisé, les lots suivants restent des estimations révisables.

Cartographie des traitements et registre : le lot qui conditionne tous les autres

Le registre n'est pas un document parmi d'autres : c'est l'inventaire qui donne sa mesure au reste du devis. Le nombre de fiches détermine le nombre de mentions à rédiger, le nombre de sous-traitants à contractualiser, le nombre d'analyses d'impact à instruire. Le lot se construit par entretiens de service, en visioconférence pour l'essentiel :

• Un entretien par direction : RH, commerce, comptabilité, informatique, production — chacune porte ses propres traitements et ses propres outils.
• Une revue de l'existant : registre déjà commencé, mentions en ligne, procédures écrites. L'existant se reprend, il ne se reconstruit pas.
• Un passage aux deux listes CNIL : traitements imposant une analyse d'impact (délibération n° 2018-327) et traitements qui en sont dispensés (délibération n° 2019-118).
• La recette du registre : point de bascule à partir duquel les cinq autres lots deviennent des chiffres fermes.

La dérogation de l'article 30.5 pour les organismes de moins de 250 salariés ne dispense presque jamais : elle tombe dès qu'un traitement n'est pas occasionnel ou porte sur des données sensibles. La paie et la gestion RH suffisent à la faire tomber.

Mentions, contrats de sous-traitance, procédure de violation et plan de formation des équipes

Ces quatre lots se chiffrent une fois le registre stabilisé, parce que leur volume devient alors un nombre et non une hypothèse.

• Mentions d'information : une mention par point de collecte réel — formulaire web, contrat, affichage, dossier salarié. Le volume suit la cartographie, pas la taille de l'entreprise.
• Contrats de sous-traitance : un jeu de clauses article 28 par prestataire. Les lignes directrices 07/2020 de l'EDPB rappellent qu'une qualification erronée des rôles change le régime de responsabilité ; le tri responsable de traitement / sous-traitant / responsabilité conjointe fait partie du lot. Le délai de retour des prestataires sur les avenants article 28 pèse directement sur le calendrier, et il ne dépend ni de vous ni du cabinet.
• Procédure de violation : détection, qualification, registre interne et modèle de notification. Le délai de 72 heures de l'article 33 court à compter de la prise de conscience, point précisé par les lignes directrices 9/2022 de l'EDPB.
• Plan de formation : la sensibilisation de base n'a pas à être facturée — les Ateliers RGPD de la CNIL sont gratuits et délivrent une attestation. Le devis porte sur la formation métier ciblée, par exemple les équipes qui déploient un chatbot ou un agent conversationnel soumis au RGPD.

Le lot pilotage, lui, ne produit pas un document isolé : il produit le plan d'actions daté qui sert de preuve de diligence.

Un volume de jours plutôt qu'une fourchette budgétaire : ce que le devis mesure vraiment

Le devis additionne des jours-conseil par lot, sans frais de mise en place, les licences logicielles IZIRO étant refacturées séparément.

Un chiffrage exprimé en jours se vérifie : vous voyez ce que vous achetez, lot par lot, et vous pouvez arbitrer. Un forfait global masque exactement l'inverse. Quatre postes ne figurent jamais dans un devis de conformité SILEXO :

• L'hébergement : le cabinet n'héberge aucune donnée ni aucun document client ; il peut orienter vers des partenaires techniques régionaux, dont les certifications sont les leurs.
• Les tests d'intrusion : la remédiation du système d'information relève d'un chantier distinct, à cadrer sur le guide d'hygiène informatique de l'ANSSI.
• Le développement logiciel et l'intégration technique des livrables.
• Le droit social, hors traitements RH relevant du registre.

Le seul repère budgétaire externe mobilisable est celui du marché de l'emploi : le référentiel des salaires cadres de l'APEC donne l'ordre de grandeur d'un poste de DPO ou de juriste conformité à temps plein, coût chargé. Ce n'est pas un tarif de prestation, c'est le coût de l'alternative.

Les critères qui font varier le volume : existant, services, établissements

Par ordre d'importance observé, l'existant à l'arrivée pèse plus que la taille de la structure. Un registre, des procédures et des mentions déjà en place se reprennent ; ils ne se reconstruisent pas.

La charge de travail interne côté client : référents, collecte, trajets imputés

Un devis chiffre les jours du cabinet, jamais le temps de vos équipes. C'est le premier poste sous-estimé. Quatre charges vous incombent :

• Un référent projet désigné : il centralise les réponses et arbitre. Sans lui, le crédit-jours se consomme en relances au lieu de produire des livrables.
• La disponibilité des métiers : les entretiens de cartographie mobilisent chaque direction. C'est l'une des deux causes de dérive d'un calendrier, avec le délai de retour des sous-traitants sur les avenants article 28.
• La collecte documentaire : contrats fournisseurs, politiques internes, accès aux outils.
• Le temps de trajet : les prestations sont réalisées majoritairement à distance ; les déplacements portent sur les grands jalons — atelier de lancement, restitution d'audit, ateliers registre, bilan — sont inscrits au devis, et le temps sur site comme le temps de trajet s'imputent au crédit-jours. Les frais de déplacement sont facturés au réel sur justificatifs.

Les informations à réunir pour obtenir un chiffrage ferme et son calendrier

Six éléments transforment une estimation en chiffrage ferme, et deux délais contractuels décident ensuite du calendrier.

1. Organigramme et effectifs par établissement.
2. Inventaire des logiciels métiers et des outils SaaS en usage réel, y compris ceux souscrits par un seul service.
3. Liste des sous-traitants et des hébergeurs, avec les contrats signés.
4. Registre existant et dernière analyse d'impact, même incomplets.
5. Catégories de données sensibles traitées, au sens de l'article 9 du RGPD.
6. Transferts hors Union européenne identifiés et garanties associées.

Ces six éléments se transmettent après un premier échange gratuit. Ils permettent de confronter la cartographie déclarative aux deux listes CNIL sur les analyses d'impact, donc de figer le nombre d'AIPD — le poste le plus volatil du devis.

Les délais contractuels côté client : 10 jours ouvrés et 5 jours ouvrés

Le contrat engage le client sur deux délais, et ce sont eux qui décident si le projet tient son calendrier :

• 10 jours ouvrés pour transmettre un document demandé ou valider un livrable soumis à recette.
• 5 jours ouvrés pour répondre à une sollicitation en cours de lot.

Ces deux délais sont recoupés au modèle de contrat en vigueur le 9 septembre 2026. Le cabinet ne publie aucune durée moyenne de projet de mise en conformité : les dates de clôture ne sont pas exploitées statistiquement, et un « trois mois en général » serait une invention commode. Ce qui est mesurable, c'est votre rythme de retour. Un dossier tenu dans les délais contractuels se déroule ; un dossier qui laisse filer trois validations consécutives ajoute des semaines sans ajouter un seul jour de travail utile.

Ce qui conduit à réviser un lot après l'audit préalable

Un devis est ferme sur un périmètre déclaré. L'audit préalable confronte ce déclaratif au réel, et trois écarts reviennent régulièrement :

• Le périmètre des services : une direction supplémentaire à rencontrer, une filiale autonome oubliée, un établissement au fonctionnement propre.
• Les sous-traitants découverts : outils SaaS souscrits hors procédure d'achat, prestataires de prospection, vidéosurveillance externalisée.
• Les données sensibles non déclarées : santé, infractions, données de mineurs — leur apparition déclenche une AIPD non prévue.

La conséquence contractuelle est bornée à deux issues, et deux seulement : un devis complémentaire (avenant) couvrant les travaux jusqu'au terme, ou l'arrêt des travaux jusqu'au devis suivant. Les frais de déplacement, eux, restent facturés au réel sur justificatifs.

Devis projet ponctuel ou forfait DPO externe : ce que couvre chacun

Le devis projet s'arrête à la recette ; le forfait DPO externe porte la fonction désignée dans la durée.

Les deux formules se cumulent souvent : environ un mandat de DPO externe sur trois embarque un volet mise en conformité, et environ une mission sur deux confiée au cabinet est ponctuelle — l'audit RGPD et la mise en conformité en sont les deux formes les plus fréquentes (données arrêtées au 7 septembre 2026). Sur les mandats à engagement annuel, le volume médian acheté est de 7,5 jours par an (premier quartile 4,75, troisième quartile 12,5) : ce repère décrit un mandat récurrent, jamais la durée d'un projet de mise en conformité.

Questions fréquentes

Charge interne, hébergement, reprise d'un audit existant, élargissement de périmètre : les sept questions qui reviennent avant signature.

Un devis se prépare comme un dossier, pas comme une demande de prix. Réunissez l'organigramme, l'inventaire applicatif, la liste des sous-traitants, l'existant documentaire, les catégories de données sensibles et les transferts hors UE : ces six pièces suffisent à passer d'une estimation à un chiffrage ferme par lot. Désignez ensuite un référent capable de tenir les 10 jours ouvrés de transmission et les 5 jours ouvrés de réponse — c'est la variable qui décide du calendrier. Pour le cadre général de la démarche, la page dédiée aux missions de conformité au RGPD détaille la méthode et les jalons. Un premier échange gratuit permet de qualifier votre existant avant tout chiffrage.

La durée d'engagement d'un contrat de DPO externalisé et ce qu'elle implique

Une période ferme, de douze mois le plus souvent, sans reconduction tacite : chaque année reconduite exige un nouveau devis signé.

Une période ferme, sans reconduction tacite

Le mandat est conclu pour une période ferme. Douze mois est la durée courante : au 7 septembre 2026, 96% de nos mandats en cours sont à engagement annuel, le reste est conclu sur vingt-quatre mois, et rien n'empêche une structure qui veut de la visibilité de s'engager sur plus de temps. Quelle que soit la durée, l'engagement se raisonne année par année, avec son crédit-jours. La reconduction tacite est contractuellement exclue : chaque nouvelle période est une décision d'achat, pas un prélèvement qui continue. Au 7 septembre 2026, 57% des missions entrées en relation avant 2025 sont toujours actives — chacune a donc fait l'objet d'au moins une resignature.

Le sort des jours non consommés en fin de période contractuelle

Le crédit-jours est arrêté pour une période fixe, sur une base de 7 heures par journée et un décompte par tranches de 30 minutes. Les jours non consommés à l'échéance sont perdus : ils ne se reportent pas sur la période suivante. Et la période ne se prolonge pas d'elle-même : la reconduction tacite étant exclue, une nouvelle année passe par un nouveau devis.

Ce qui déclenche un dépassement d'enveloppe de jours, et ses deux issues

Les déclencheurs les plus fréquents :

• Une violation de données : qualification, évaluation de la gravité et préparation de la notification à la CNIL dans le délai de 72 heures de l'article 33.
• Un projet non prévu : nouvel outil, nouveau traitement, AIPD non anticipée au plan d'action.
• Un contrôle ou une plainte : instruction à conduire hors calendrier.
• Un afflux d'exercices de droits : chaque demande ouvre un délai de réponse d'un mois.

Deux issues, et deux seulement : un devis complémentaire couvrant les travaux jusqu'à la fin de la période, ou l'arrêt des travaux jusqu'au devis suivant. Symétriquement, le contrat engage le client sur des délais de transmission, de validation et de réponse : dix jours ouvrés pour transmettre un document ou valider un livrable, cinq jours ouvrés pour répondre à une sollicitation.

Pourquoi un cabinet ne publie pas de tarif de DPO externe

Parce que l'écart réel interdit la fourchette : entre le premier et le troisième quartile, le volume acheté varie de 1 à 2,6.

Au 7 septembre 2026, sur l'ensemble des mandats à engagement annuel, le volume va de 4,75 jours au premier quartile à 12,5 jours au troisième, autour d'une médiane de 7,5 jours. Un montant unique affiché masque cet écart : il est soit un prix d'appel qui ne tiendra pas au devis, soit un plafond qui écarte les structures simples. Nous publions donc la mesure du travail, et rien d'autre : ni tarif journalier, ni forfait mensuel, ni « à partir de ».

Deux précisions vont avec : le tarif jour-homme est notre seul tarif de prestation, sans aucun frais de mise en place ; les licences logicielles sont refacturées séparément. En santé, le tarif journalier ne change pas — seul le nombre de jours est réévalué.

Dimensionner votre mandat avant de demander un devis

Quatre éléments suffisent à situer un mandat sur les quartiles de 4,75, 7,5 et 12,5 jours par an.

Avec ces quatre réponses, un devis se construit en un échange. Les chiffres publiés ici sont un repère de dimensionnement arrêté au 7 septembre 2026, pas un engagement contractuel.

Questions fréquentes sur la charge de travail d'une mission de DPO externe