On audite votre exposition réelle (sous-traitants IA, transferts hors UE, registres, AI Act, NIS2), puis nos devs corrigent dans votre code — chiffrement, logs, consentement, anonymisation, IAM. Pas un cabinet juridique qui pond un PDF de 80 pages. Pas un cabinet cyber qui livre 60 findings sans remédier. Un studio qui code et qui audite.
« On a signé Anthropic sans lire le DPA. Et OpenAI, et Pinecone, et probablement Vercel. »
« Notre registre des traitements date de 2022. Personne ne sait où sont les fichiers Excel qui le tenaient à jour. »
« On ne sait pas si l'AI Act nous concerne. Notre feature de scoring candidat sort en septembre 2026. »
« Notre dernier pentest, c'était… jamais ? Et on vient de signer un client qui demande un SOC 2 Type II. »
« On a reçu un courrier de la CNIL. Notre avocat habituel ne fait pas de RGPD technique. »
« On utilise ChatGPT pour résumer les CV. On ne sait pas si on a le droit. »
On reprend (ou on construit) votre registre de traitements, on audite vos DPA sous-traitants, on encadre les transferts hors UE (SCC + DPF), et on industrialise les demandes d'exercice des droits (accès, effacement, portabilité).
Plus que 102 jours avant l'échéance haut risque du 2 août 2026 (RH, scoring, biométrie, éducation, scoring crédit). On classe vos systèmes IA, on documente, on prépare la supervision humaine, et on inscrit au registre UE quand requis.
Audit boîte grise sur votre code applicatif (OWASP Top 10), revue infra cloud (IAM, secrets, policies, network), pipeline SAST/DAST en CI. Pen-test offensif lourd sous-traité à un partenaire qualifié PASSI ANSSI. SOC 2 Type II readiness possible.
Vous nommez Hagnéré Code comme DPO externe auprès de la CNIL. Veille AI Act / DORA / NIS2, revue mensuelle des nouveaux traitements et features IA avant mise en prod, AIPD, formation équipes, point de contact CNIL en cas de plainte ou contrôle.
On part de votre stack et on remonte jusqu'au registre. Sous-traitants, transferts, traitements, systèmes IA, surface d'attaque applicative. À la fin, vous avez un plan d'action priorisé, chiffré, défendable face à la CNIL.
Vous nous nommez DPO externe auprès de la CNIL. On suit la veille (AI Act, NIS2, sanctions), on relit chaque nouvelle feature avant prod, on mène les AIPD, on est le point de contact en cas de plainte ou contrôle. Pas de TJM aveugle.
Là où Lexing pond un PDF et Wavestone laisse un rapport, nous on rentre dans votre repo. Chiffrement, logs, IAM, gestion des consentements, anonymisation, pipeline SAST/DAST, policies cloud — codés, testés, mergés. Sprint Hagnéré standard, à votre cadence.
Vous avez besoin d'un avocat habilité pour porter une procédure contradictoire face à la CNIL, ou un contentieux de droit du numérique. C'est leur cœur de métier, pas le nôtre.
Vous êtes une banque, une OIV (au sens LPM / SAIV ANSSI), une entité essentielle NIS2 au sens le plus strict, ou vous préparez une certification ISO 27001 lourde. Leur red team et leurs équipes PASSI sont parmi les meilleures d'Europe.
Vous êtes une PME tech 10-500 salariés, vous voulez de la conformité actionnable et codée, et vous refusez de payer 2 cabinets pour avoir un PDF d'un côté et un rapport de l'autre.
Voir nos tarifsOn ne filtre pas sur le secteur — on filtre sur la faisabilité, la légalité et l'éthique. Si votre dossier coche l'une des cases ci-contre, on déclinera franchement, quelle que soit la taille du budget.
Bannière cookies bidon avec bouton refuser caché, mention légale copiée-collée, registre vide. Si l'objectif est de cocher la case sans changer les pratiques, on passe. On ne vend pas de la conformité de façade.
Notation sociale généralisée, manipulation cognitive, identification biométrique en temps réel dans l'espace public. Pas de contournement possible — c'est interdit en UE depuis février 2025. Mauvaise idée même hors UE.
"Mettez votre logo SOC 2 sur le site" alors qu'aucun audit n'a été passé. "Désignez quelqu'un comme DPO" pour cocher la case CNIL. Si l'idée c'est de mentir, on ne participe pas.
Si vous nous contactez à 48 h du délai légal, on ne peut pas livrer une réponse défendable. Dès 5 jours ouvrés restants, on peut engager la procédure d'urgence (symptôme n°5). En deçà, on oriente vers un avocat habilité pour demander un délai officiel à la CNIL, puis on travaille sérieusement.
C'est le job d'un cabinet juridique pur (Lexing, Haas) ou d'un cabinet cyber pur (Wavestone, Synacktiv) — ils sont meilleurs que nous sur ce livrable. Notre valeur c'est le code corrigé derrière le rapport.
La conformité touche dev, RH, marketing, ops, direction, achats. Sans un sponsor unique qui arbitre, on n'avance pas. On fait un cadrage payant en amont si le sujet n'est pas clair.
Mépris des équipes, micro-management agressif, exigence de "garantie zéro sanction" (impossible), négociations permanentes. La vie est courte, on passe même sur un budget intéressant.
Tous les forfaits incluent : NDA mutuel J0 · DPA contractualisé · sous-traitants UE par défaut (Scaleway / OVH / Cloudflare EU) · bonnes pratiques alignées ISO 27001. TVA en sus. Prix valables 30 jours.
Sous NDA mutuel (que vous pouvez nous proposer ou qu'on vous fournit en 24 h), on vous transmet 3 case studies anonymisés détaillés :
On vous met en relation avec un ou deux anciens clients dans votre vertical (SaaS B2B, DTC, scale-up, ETI). Sans nous au milieu. Vous leur posez les questions qui fâchent :
Sous NDA, on vous montre 3 à 5 vraies PR qu'on a ouvertes chez d'anciens clients (anonymisées : noms de variables et logique métier masqués, mais le code de remédiation est réel) :
On détaille ici comment on travaille — écrit noir sur blanc dans les CGV, pas dans la brochure. NDA mutuel signé J0, DPA contractualisé, sous-traitants UE par défaut, bonnes pratiques alignées ISO 27001.
Le prix du devis est le prix final. Zéro commission sur une sanction évitée, zéro ticket surprise. On vend du travail cadré, pas de la peur.
Registre, AIPD, plan d'action, scripts d'audit, code de remédiation : vous y accédez dès qu'ils existent, sur votre Notion et votre Git. Aucun outil propriétaire Hagnéré obligatoire.
Les sprints de mise en conformité IA (logs, classification, biais, supervision) sont potentiellement éligibles au CIR sur la part R&D. On monte le dossier technique, votre expert-comptable valide l'éligibilité finale.
Ateliers RGPD / AI Act / cybersécurité pour vos équipes (dev, RH, direction), inclus à chaque mission DPO. Documentation pédagogique + Loom vidéo + suivi 30 / 90 jours.
Canal Slack partagé avec le DPO + le lead dev référent. Réponse sous 4 h ouvrées sur tout incident bloquant (mise en demeure CNIL, fuite, breach). Pas de ticket Jira aveugle.
Liste publique des sous-traitants qu'on utilise pour votre mission (hébergement, outils audit, modèles IA). DPA à jour sur chacun. Si on en change, on vous prévient avant.
Si la vôtre n'y est pas, écrivez-nous. On répond sous 24 h ouvrées, par un DPO senior, sans détour.
Un cadrage avec un DPO + un lead dev. On cartographie vos sous-traitants, vos flux, vos risques RGPD / AI Act / NIS2 — et on chiffre la remédiation à la fin du sprint.
Choisissez ce qui vous va : un créneau direct avec un associé, un email rapide, ou un formulaire si vous préférez écrire. Réponse sous 24 h ouvrées, toujours.
Pas un commercial, pas un chef de projet : un associé qui code vous écoute, vous donne un avis franc, et repart avec votre brief si ça matche.
Réserver un créneau