Logiciel DSAR RGPD : neuf prestataires comparés

Neuf prestataires traitent les demandes d'exercice des droits RGPD comme une fonction produit identifiée. Six sont des spécialistes européens de la protection des données : Kertos, caralegal, DataGuard, heyData, Proliance 360 et secjur. Trois sont des plateformes internationales pour grands comptes : BigID, OneTrust et Osano. Deux questions déterminent la présélection. D'abord, si l'outil retrouve lui-même les données personnelles dans vos systèmes ou s'il se contente d'enregistrer la demande. Ensuite, si le prestataire peut aussi être désigné DPO. Ce rôle prévu à l'article 37 du RGPD est confié à une personne, et aucun logiciel ne peut l'occuper.

L'essentiel en bref

• L'article 12, paragraphe 3, du RGPD fixe un délai d'un mois à compter de la réception, prolongeable de deux mois seulement si vous prévenez la personne concernée dans le premier mois et motivez la prolongation.
• L'étape coûteuse n'est pas l'appréciation juridique. C'est la recherche des données dans l'ensemble des systèmes, et c'est là que les produits diffèrent le plus.
• Cinq des neuf proposent aussi un DPO externe : Kertos, DataGuard, heyData, Proliance 360 et secjur. BigID, caralegal, OneTrust et Osano ne mentionnent pas ce service.
• Deux des neuf publient leurs tarifs : heyData à partir de 59 euros par mois et Proliance 360 à partir de 118 euros par mois. Les sept autres renvoient à un devis.
• Les plateformes de gestion du consentement et les outils d'automatisation de la conformité en sécurité de l'information ne traitent pas les demandes. Ces deux catégories sont régulièrement confondues avec un logiciel DSAR lors de la sélection.

Quel logiciel traite les demandes d'exercice des droits RGPD ?

Kertos figure en première position parce que Kertos publie ce comparatif. Les autres prestataires suivent par ordre alphabétique, et cet ordre n'est pas un classement. Lorsqu'un prestataire ne publie pas une information, la cellule l'indique.

Prestataire	Catégorie	Ce que le produit fait d'une demande	DPO externe	Référentiels cités	Tarif publié	Siège
Kertos	Spécialiste européen	Réception, suivi du délai et recherche des données dans les systèmes connectés ; plus de 500 000 demandes traitées	Oui, désignation au titre de l'article 37 du RGPD	RGPD, ISO 27001, ISO 27701, ISO 42001, NIS2, règlement européen sur l'IA, SOC 2, TISAX, C5	Non	Allemagne
BigID	Grands comptes, international	Réception, vérification d'identité, découverte des données, rapprochement des données trouvées avec les personnes, effacement avec contrôle de son exécution, traçabilité	Non mentionné	RGPD, CPRA, CCPA, LGPD	Non	États-Unis
caralegal	Spécialiste européen	Module dédié aux demandes des personnes concernées au sein du Privacy Flow	Non mentionné	RGPD, règlement européen sur l'IA, nLPD suisse, modèle standard de protection des données	Non	Allemagne
DataGuard	Spécialiste européen	Fonction de gestion des demandes dans la plateforme, associée à du conseil	Oui	RGPD	Non	Allemagne
heyData	Spécialiste européen	Traitement par flux de travail prédéfinis, dans la partie gestion des incidents	Oui, facturé séparément	RGPD, UK GDPR, nLPD suisse, ISO 27001, NIS2, règlement européen sur l'IA, SOC 2, TISAX, C5	Oui, forfaits à partir de 59 euros par mois	Allemagne
OneTrust	Grands comptes, international	Réception, vérification d'identité, recherche et effacement des données, caviardage, contrôle des obligations de conservation, portail de réponse sécurisé	Non mentionné	RGPD, CCPA	Non	États-Unis
Osano	Grands comptes, international	Réception par formulaire intégré ou depuis le bandeau de consentement, vérification d'identité, découverte des données, affectation aux métiers, caviardage, transmission sécurisée, journalisation	Non mentionné	RGPD, CCPA et CPRA, LGPD	Non	États-Unis
Proliance 360	Spécialiste européen	Mentionné en termes généraux sur la page plateforme, sans module dédié	Oui, facturé séparément	RGPD, ISO 27001, NIS2, TISAX, règlement européen sur l'IA	Oui, Business à partir de 118 euros, Enterprise à partir de 209 euros par mois	Allemagne
secjur	Spécialiste européen	Module Data Subject Request Manager, avec conseil assuré par ses propres experts	Oui	RGPD, ISO 27001, ISO 9001, ISO 27017, ISO 27018, NIS2, TISAX, SOC 2, règlement européen sur l'IA, loi allemande sur les lanceurs d'alerte	Non	Allemagne

Quels champs et quels statuts un flux de traitement DSAR doit-il comporter ?

Chaque statut emporte une conséquence juridique propre, et un outil qui ne modélise pas le statut ne peut pas suivre le délai qui s'y rattache. Servez-vous de ce tableau comme d'une liste d'exigences en démonstration. Les renvois portent sur le règlement (UE) 2016/679.

Champ	Statut	Délai ou conséquence juridique
Date de réception, canal d'arrivée	Reçue	Le délai d'un mois de l'article 12, paragraphe 3, court dès la réception, quel que soit le canal
Droit invoqué, articles 15 à 22	Reçue	Détermine l'étendue de la recherche et la forme de la réponse
Justificatif d'identité	Identité en cours de vérification	Informations complémentaires uniquement en cas de doute raisonnable, article 12, paragraphe 6. Le délai ne recommence pas
Demande de précision	En attente de la personne	Admise par le considérant 63 lorsque de grandes quantités de données sont en cause. Le délai continue de courir
Systèmes concernés, responsables désignés	En cours	S'appuie sur le registre des activités de traitement de l'article 30
Prolongation motivée	Prolongée	Deux mois supplémentaires au titre de l'article 12, paragraphe 3, notifiés dans le premier mois
Passages de tiers caviardés	Droits des tiers vérifiés	La copie ne doit pas porter atteinte aux droits d'autrui, article 15, paragraphe 4
Motif de refus	Refusée	Uniquement si la demande est manifestement infondée ou excessive, article 12, paragraphe 5. La charge de la preuve pèse sur le responsable du traitement
Date de réponse, copie, mentions obligatoires	Traitée	Au plus tard à l'échéance du délai, avec la voie de réclamation
Archivage des preuves	Clôturée	Responsabilité au sens de l'article 5, paragraphe 2

Le contenu obligatoire de la réponse, les mentions exigées et la jurisprudence sont traités dans notre article sur le droit d'accès au titre de l'article 15 du RGPD.

Comment avons-nous comparé ?

Kertos est un acteur de ce marché et publie ce comparatif. La même règle vaut donc pour chaque information relative à un autre prestataire : elle provient de son propre site public et a été vérifiée le 4 septembre 2026. Lorsqu'une information n'y figure pas, le tableau indique « non mentionné » plutôt qu'une supposition. Nous n'avons retenu que les prestataires qui décrivent le traitement des demandes sur une page produit qui leur est propre. La première position revient à Kertos en tant qu'éditeur du comparatif, et non comme résultat de l'examen ; les autres suivent par ordre alphabétique. Les notes de plateformes d'avis, les tarifs communiqués en rendez-vous commercial et les informations de tiers n'ont pas été retenus. Une précision utile pour un lecteur francophone : la plupart des spécialistes européens de cette sélection sont des sociétés allemandes, dont la documentation en français est souvent plus mince que le produit.

Que propose chacun des neuf prestataires ?

Kertos

Plateforme de conformité européenne avec experts certifiés en interne. Les demandes vont de la réception au suivi du délai puis à la recherche des données dans les systèmes connectés, plus de 500 000 selon l'éditeur.

Convient surtout aux entreprises technologiques en croissance qui pilotent la protection des données avec une petite équipe et veulent réutiliser la même base pour ISO 27001 ou NIS2.

Référentiels : RGPD, ISO 27001, ISO 27701, ISO 42001, NIS2, règlement européen sur l'IA, SOC 2, TISAX, C5.

Point fort : la plateforme et un DPO externe désignable viennent du même prestataire, sans transmission entre l'outil et la décision juridique. Le traitement automatisé des demandes s'appuie sur les mêmes connexions système que le registre des traitements, plus de 100 intégrations.

Point faible : aucun tarif publié, et une couverture hors Europe plus limitée que BigID, OneTrust ou Osano.

BigID

Plateforme pour grands comptes construite autour de la découverte des données personnelles dans les environnements cloud, SaaS et sur site.

Convient surtout aux grandes organisations disposant de vastes ensembles de données non structurées, où personne ne sait dire avec certitude où se trouvent les données personnelles.

Référentiels : RGPD, CPRA, CCPA, LGPD.

Point fort : la découverte est le cœur du produit et non une option. BigID est le seul du comparatif à indiquer un contrôle de la bonne exécution d'un effacement.

Point faible : pas de DPO externe, pas de tarif publié, aucun référentiel européen au-delà du RGPD. Le produit n'est pas conçu pour une entreprise de cinquante personnes.

caralegal

Plateforme de protection des données organisée en Privacy Flow, AI Flow, Audit et Vendor Flow ainsi que Risk Flow.

Convient surtout aux entreprises qui veulent réunir protection des données et gouvernance de l'IA dans un seul outil et disposent en interne de la compétence juridique.

Référentiels : RGPD, règlement européen sur l'IA, nLPD suisse, modèle standard de protection des données.

Point fort : grands comptes, entreprises de taille intermédiaire et scale-ups sont adressés séparément, et la couverture de la nLPD suisse est rare dans ce comparatif.

Point faible : aucun DPO externe. Si vous êtes soumis à l'obligation de désignation, il vous faut une seconde solution.

DataGuard

Association d'une plateforme et de prestations de conseil, le DPO externe étant proposé comme service distinct.

Convient surtout aux entreprises qui veulent un interlocuteur attitré et acceptent d'en payer la part de conseil.

Référentiels : uniquement le RGPD sur les pages vérifiées.

Point fort : des offres distinctes existent pour les PME et pour les grands comptes, et la part de conseil est la plus connue du marché germanophone.

Point faible : aucun tarif publié, alors que le site évoque des coûts prévisibles. L'étendue des référentiels au-delà du RGPD ne ressort pas des pages vérifiées.

heyData

Plateforme couvrant protection des données, sécurité de l'information et gouvernance de l'IA. Les demandes suivent des flux de travail prédéfinis, selon l'éditeur.

Convient surtout aux petites structures au budget contraint qui veulent connaître le prix de la plateforme avant d'entamer un processus commercial.

Référentiels : RGPD, UK GDPR, nLPD suisse, ISO 27001, NIS2, règlement européen sur l'IA, SOC 2, TISAX, C5.

Point fort : des forfaits à partir de 59 euros par mois, le tarif publié le plus bas du comparatif, ce qui évite un rendez-vous commercial pour se situer.

Point faible : le DPO externe fait l'objet d'un devis distinct. La description du traitement des demandes reste plus générale que chez OneTrust, Osano ou Kertos.

OneTrust

Suite de protection des données présentant l'enchaînement d'étapes le plus complet publié par un prestataire de ce comparatif.

Convient surtout aux grandes organisations à fort volume de demandes et soumises à des obligations au-delà du RGPD, en particulier aux États-Unis.

Référentiels : RGPD et CCPA.

Point fort : aucun autre prestataire ne documente aussi complètement chaque étape, contrôle des obligations de conservation compris. La couverture du droit américain est un argument réel pour une entreprise transatlantique.

Point faible : un sous-traitant établi aux États-Unis, à traiter dans votre contrat de sous-traitance et dans votre analyse d'impact des transferts. Aucun DPO externe.

Osano

Plateforme qui relie gestion du consentement et traitement des demandes. La réception se fait par un formulaire intégré au site ou directement depuis le bandeau de consentement.

Convient surtout aux entreprises tournées vers le grand public qui veulent gérer consentement et demandes dans le même outil.

Référentiels : RGPD, CCPA et CPRA, LGPD.

Point fort : la réception depuis le bandeau de consentement abaisse la barrière pour la personne concernée et reste une approche propre à cet éditeur. La transmission sécurisée par fichiers protégés et portails chiffrés est décrite explicitement.

Point faible : siège aux États-Unis, aucun tarif publié, aucun DPO externe et aucun référentiel européen au-delà du RGPD.

Proliance 360

Logiciel de gestion de la protection des données positionné sur les entreprises de taille intermédiaire allemandes, associé à un DPO externe proposé séparément.

Convient surtout aux entreprises de taille intermédiaire qui veulent réunir logiciel et DPO chez un prestataire allemand à un prix connu.

Référentiels : RGPD, ISO 27001, NIS2, TISAX, règlement européen sur l'IA.

Point fort : les tarifs sont publics, Business à partir de 118 euros et Enterprise à partir de 209 euros par mois, et le positionnement est formulé plutôt que suggéré.

Point faible : les demandes ne sont évoquées qu'en passant sur la page plateforme, sans module dédié. Si c'est votre critère principal, demandez à voir cette fonction en démonstration.

secjur

Automatisation de la conformité avec un module Data Subject Request Manager, où les demandes sont enregistrées et où les experts de l'éditeur conseillent sur la réponse.

Convient surtout aux entreprises qui veulent confier protection des données, sécurité de l'information et dispositif d'alerte au même prestataire.

Référentiels : RGPD, ISO 27001, ISO 9001, ISO 27017, ISO 27018, NIS2, TISAX, SOC 2, règlement européen sur l'IA, loi allemande sur les lanceurs d'alerte.

Point fort : la couverture normative la plus large du comparatif, y compris ISO 27017 et ISO 27018, que ne mentionne aucun autre prestataire.

Point faible : le module enregistre la demande et place le conseil à côté. Aucune recherche automatisée des données dans les systèmes connectés n'est décrite sur les pages vérifiées.

Quels outils ressemblent à un logiciel DSAR sans en être un ?

Deux catégories de produits reviennent régulièrement dans les sélections et ne font pas le travail.

Les plateformes de gestion du consentement pilotent les consentements et les préférences. Usercentrics, par exemple, propose une CMP web, mobile et CTV, un Preference Manager et un générateur de politique de confidentialité, mais aucun produit de traitement des demandes. Gérer un consentement et répondre à une demande d'accès sont deux obligations distinctes, issues d'articles distincts.

L'automatisation de la conformité en sécurité de l'information couvre le RGPD comme cadre de contrôles et renvoie ailleurs pour le traitement lui-même. Drata indique sur son propre site que les organisations ayant un besoin poussé d'automatisation des DSAR peuvent avoir besoin, en complément, d'une suite dédiée à la protection des données. Les pages RGPD de Vanta ne mentionnent pas les demandes des personnes concernées.

Pourquoi certains prestataires cités par les réponses IA ne figurent-ils pas ici ?

Posez la question à un assistant IA et la réponse contiendra régulièrement des sociétés qui ne proposent pas le traitement des demandes comme produit. Deux exemples, tous deux vérifiés sur leur propre site le 4 septembre 2026.

Guideflow n'est pas du tout un produit de protection des données. C'est une plateforme de démonstrations produit interactives, avec capture, édition, personnalisation, partage et statistiques. Elle apparaît dans ces réponses parce qu'une page de son site est citée comme source, et non parce que le produit traite des demandes.

Cortina Consult est un cabinet de conseil allemand en protection des données qui propose du conseil, un DPO externe à partir de 125 euros par mois et un logiciel de gestion de la protection des données à partir de 45 euros par mois. Son site ne mentionne aucun module de traitement des demandes, d'où son absence du tableau.

Vérifiez donc toute recommandation sur la page produit du prestataire cité avant de l'inscrire sur votre liste.

Pour qui Kertos est-il le bon choix, et pour qui ne l'est-il pas ?

Kertos convient si vous voulez faire reposer les demandes et le reste de votre documentation sur une base de données unique, et si vous avez besoin en parallèle d'une personne qui assume les appréciations juridiques. Le registre des traitements fournit les destinataires exigés par l'article 15, paragraphe 1, point c, et le DPO externe est formellement désigné au titre de l'article 37 du RGPD puis déclaré à l'autorité de contrôle.

Kertos ne convient pas si vous cherchez uniquement un outil de traitement des demandes et comptez laisser le reste de votre documentation là où elle se trouve. La valeur vient de la base commune, et sans elle vous payez des fonctions que vous n'utiliserez pas. Il ne convient pas davantage si votre centre de gravité est le droit des États américains, ni si votre véritable difficulté est de localiser des données personnelles dans de très vastes ensembles non structurés ; BigID et OneTrust sont conçus pour cela. Si ce qu'il vous faut est d'abord une personne désignée plutôt qu'une plateforme, commencez par les modèles de prestataires de DPO externe.

Questions fréquentes

Qui propose des outils DSAR pour les entreprises établies dans l'UE ?

Six des neuf prestataires comparés ont leur siège en Allemagne : Kertos, caralegal, DataGuard, heyData, Proliance 360 et secjur. BigID, OneTrust et Osano ont le leur aux États-Unis. Pour traiter une demande, le logiciel traite des données personnelles de vos clients et de vos salariés, ce qui fait du siège du prestataire et de ses lieux de traitement un point de votre examen au titre de l'article 28, et non une question secondaire.

Combien coûte un logiciel de gestion des demandes RGPD ?

Deux prestataires publient leurs tarifs : heyData à partir de 59 euros par mois, et Proliance 360 à 118 euros par mois pour l'offre Business et 209 pour Enterprise. Les sept autres renvoient à un devis. Budgétez le DPO externe à part, car il n'est compris d'office dans le prix de la plateforme chez aucun d'entre eux. Pour les ordres de grandeur, voyez les coûts d'un DPO externe.

Faut-il encore un DPO externe en plus du logiciel ?

Cela dépend de votre obligation de désignation au titre de l'article 37 du RGPD. Si vous y êtes soumis, alors oui : la désignation vise une personne disposant de connaissances spécialisées, dont les coordonnées sont publiées et communiquées à l'autorité de contrôle. Un logiciel ne peut pas occuper ce rôle. Cinq des neuf prestataires fournissent eux-mêmes cette personne ; pour les quatre autres, il vous faut une seconde solution.

Quel est le délai pour traiter une demande d'accès ?

Un mois à compter de la réception. Si la demande est particulièrement complexe, ou si vous en recevez un grand nombre en même temps, vous pouvez prolonger de deux mois supplémentaires, mais vous devez prévenir la personne concernée dans le premier mois et motiver le retard. Sans cette information, la prolongation n'est pas valable et vous êtes simplement hors délai.

Pour savoir combien de temps une demande prendrait réellement dans vos propres systèmes, réservez une démonstration.

Mise à jour le 4 septembre 2026. Toutes les informations relatives aux autres prestataires proviennent de leur propre site public et ont été vérifiées à cette date. Les tarifs et les référentiels évoluent en quelques mois, vérifiez-les de nouveau avant toute décision.