StackLégal · RGPD pour SaaS

Pack RGPD SaaS : CGU, DPA, confidentialité, 22 langues, 39 € une fois. Gratuit : scanner cookies, widget, API. Construit en public 🇪🇺 · Fait par Corentin 🇫🇷

[StackLégal · RGPD pour SaaS @stacklegal_eu]

StackLégal en 3 lignes :
• Un pack RGPD pour SaaS (CGU, DPA, confidentialité) : 39 € une fois, 22 langues
• 3 outils gratuits : scanner de cookies, widget sous-traitants, API
• Textes sourcés (CNIL, RGPD), construits en public

Testez votre site 👇
https://t.co/CqtSH05vO4

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@jamesruben A less sophisticated version we use: before connecting an account, check three things in the agent's privacy policy. Does it keep the data after the task, is it used for training, which other companies see it. If any answer is missing, it gets read-only access or none.

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@g_beyrouti Une 8e demande utile, si le MCP y a accès : « liste les apps et scripts installés qui reçoivent des données clients ». En deux minutes, ça donne la liste des destinataires à mettre dans la politique de confidentialité de la boutique.

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@Ben100__ Et pour un MCP, la doc ce sont les descriptions des outils : c'est surtout ça que l'agent lit pour choisir. Une phrase nette, un exemple d'appel, ce que l'outil renvoie. Pour les clients B2B, ajoute ce que le serveur garde des requêtes, et combien de temps.

[StackLégal · RGPD pour SaaS @stacklegal_eu]

Per Redact, WhatsApp's help pages told its support bot not to point users to a regulator, nor cite GDPR if a lawyer came up.

AI agent on support for EU users?
– "delete my account" must end in deletion
– the right to complain is info you owe
– read its prompt like a public page

[International Cyber Digest @IntCyberDigest]

‼️ WhatsApp's help pages hid orders telling its support chatbot not to point users who can't delete their account to a privacy regulator.

If a user mentioned a lawyer, the bot was not to cite GDPR even when the user raised it, privacy firm Redact found.

WhatsApp blames a bug.

[CNIL @CNIL]

📢 À vos agendas : participez à une nouvelle Journée RGPD à Poitiers !
ℹ️Infos et inscription 👉 https://t.co/qZvOe5GrDv
📅 Le 1er décembre 2026 à 9h
📍 Salons de Blossac

[StackLégal · RGPD pour SaaS @stacklegal_eu]

Un utilisateur vous écrit : « Quelles données avez-vous sur moi ? »

Art. 15 du RGPD : 1 mois pour répondre, première copie gratuite. Il lui faut :
– une copie de ses données
– à quoi elles servent, combien de temps
– qui les reçoit : vos sous-traitants

Votre liste est à jour ?

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@cedricaimefotso Et dans les 80 %, il y a une partie que le vibe coding ne génère pas : la confiance. Le jour où un premier client B2B demande qui héberge ses données et réclame un contrat de sous-traitance, c'est du « reste », pas de la technique.

[☠ Bluetouff @bluetouff]

La CNIL met en ligne le replay de son webinaire avec la DGCCRF sur le régime entré en vigueur en août : quand recueillir l’accord et comment le rendre valable.
https://t.co/WS9TleD3XM

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@bluetouff Utile. Sur la prospection téléphonique, ce qui coince souvent chez les petites boîtes, c'est la preuve : garder pour chaque accord la date, le formulaire et le texte exact affiché, avec une case séparée, jamais pré-cochée.

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@NaoxpAI Point à prévoir dès maintenant : si l'agent héberge les formulaires ou les stats des sites, tu deviens sous-traitant de ton client (art. 28). Un contrat, la liste des services qui voient les données, et dans chaque site une vraie politique de confidentialité.

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@haani0090 Nice angle. One thing to check for EU users: once a visit is joined to a Stripe payment, it points to an identifiable customer, so the cookie-free consent exemption may not cover that part. Say it plainly in your privacy policy, and expect EU buyers to ask for a DPA.

[StackLégal · RGPD pour SaaS @stacklegal_eu]

Un attaquant, des agents IA, plus de 100 entreprises piratées via leurs sites e-commerce (Reuters).

Si ça touche votre boutique et des clients en Europe :
– 72 h pour notifier la CNIL (art. 33)
– prévenir les clients si risque élevé (art. 34)
– tout noter, même sans notifier

[ROBONOMIC IA @RobonomicIA]

🕵️ Un seul pirate, des agents IA et environ 5 000 $ : plus de 100 entreprises piratées. C'est ce que révèle une enquête exclusive de Reuters publiée ce lundi 19 octobre.

Depuis le 25 septembre, ce pirate sinophone lançait des agents IA autonomes contre des sites d'e-commerce aux États-Unis, au Canada, en Australie et au Japon. Il passait par Cairn, une plateforme open source, branchée sur Claude Code d'Anthropic et sur DeepSeek. Il a été repéré par le chercheur Snorre Fagerland (NorForge).

Les chiffres :
• Plus de 100 entreprises touchées, dont Deere, SharkNinja et Cummins
• Plus de 1 200 sites visés
• Environ 5 000 $ de calcul, soit ~50 $ par intrusion réussie (estimation du chercheur)
• Environ 23 h d'essais par intrusion réussie

Pourquoi c'est important : le piratage n'est plus réservé aux experts. Des agents travaillent jour et nuit, pour quelques dollars.

Économie des machines : quand le coût d'une attaque s'effondre, la cybersécurité devient une course entre IA.

#IA #Cybersécurité #ClaudeCode

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@RosoAI Appris à nos dépens : des semaines à peaufiner, puis un lancement Product Hunt à 1 vote. Ce week-end, on a fait l'inverse : une seule question à 10 fondateurs sur leur vrai besoin. Moins confortable que coder, mais c'est là qu'on apprend quelque chose.

[StackLégal · RGPD pour SaaS @stacklegal_eu]

Samedi soir, j'ai posé une seule question à 10 fondateurs de SaaS B2B, sans lien ni pitch :
« Un client vous a-t-il déjà demandé un DPA (art. 28) ? »

Deux jours après :
– 1 réponse : besoin réel, réglé avec un avocat
– 9 silences

Et vous, on vous l'a déjà demandé ?

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@luisships Lecture seule sur Gmail, c'est le bon réflexe (protection par défaut). Reste à noter que les PDF factures passent quand même par Claude : Anthropic devient sous-traitant, à ajouter dans la politique — même sans droit d'envoi.

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@trupheme Bonne grille. Sur le MCP, on ajoute une colonne : à quoi l'agent a accès, et où ça part. Les clés données à l'agent (Gmail, CRM, base) sont des traitements : à lister dans la politique de confidentialité, comme pour un salarié avec un accès admin.

[StackLégal · RGPD pour SaaS @stacklegal_eu]

Un serveur MCP malveillant via OAuth, c'est une frontière de sécu qu'on sous-estime.

Avant de brancher un agent :
– client à jour
– serveur connu / signé
– scopes minimaux
– coupé hors usage

Art. 32 : sécuriser aussi les accès des agents.

[VibeSys @crypto_coc]

OpenCode sur Windows/WSL : Pillar Security décrit une exécution de code via l’OAuth d’un serveur MCP malveillant. Correctif depuis la version 1.18.33. Vérifiez votre version : connecter un agent à un outil externe reste une frontière de sécurité.
https://t.co/ebqeAOhrSj

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@ladiff31 Bravo pour le MCP. Un réflexe utile dès que tu accélères les designs : noter ce que chaque outil envoie au modèle (captures, textes d'UI, emails de maquette). Ça devient ta liste de sous-traitants le jour où tu as des utilisateurs EU.

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@_Re_ @Greg0ry @WiziShop_fr Merci pour la précision. Côté données, construction/design c'est souvent moins sensible que les commandes — mais ça dépend de ce que le MCP expose vraiment (clients de test, exports, assets avec emails). Un check rapide des scopes évite les surprises.

[StackLégal · RGPD pour SaaS @stacklegal_eu]

@theadeelahmad_ Yep. The core that doesn't wait: who can read personal data, which vendors see it, and can you delete on request. Architecture debt is expensive; a consent-less tracker in the first template is usually worse.