# Parcours guidé — ColConnect

## Étape 1 — Snapshot offert

1. Sélectionner `Diagnostic Snapshot`.
2. Choisir `Genesis Verified — Institutionnel`.
3. Renseigner : new resilience, France/Union européenne, éditeur logiciel, secteur numérique.
4. Cocher au minimum : données personnelles, développement logiciel, processus externalisés et exploitation critique si ColConnect soutient une activité dont l'interruption affecterait la collectivité.
5. Choisir le référentiel cible réellement poursuivi. À défaut de certification décidée, choisir `Audit d'un donneur d'ordre`; Genesis qualifiera ensuite ISO 27001, RGPD, NIS2 ou CRA comme cadres candidats, jamais comme obligations certaines.
6. Compléter et déposer `00_DOSSIER_MAITRE_COLCONNECT.md`.

Le Snapshot doit pouvoir être produit avec ce seul document. Les annexes ci-dessous servent à confirmer les points sensibles après le premier résultat.

## Étape 2 — Annexes demandées selon les constats

| Priorité | Code | Document | Responsable attendu | Critère d'acceptation |
|---|---|---|---|---|
| P0 | COL-TEN-01 | Séparation logique des collectivités | CTO / architecte | Le mécanisme et un test négatif d'accès croisé sont démontrés. |
| P0 | COL-IAM-01 | Matrice des habilitations | RSSI / responsable produit | Chaque rôle a ses permissions, son approbateur et sa règle de revue. |
| P0 | COL-DAT-01 | Inventaire des données | DPO / métier | Catégorie, finalité, propriétaire, durée, localisation et destinataires sont renseignés. |
| P0 | COL-CTR-01 | Contrat, DPA et responsabilités | Direction / juridique | Les responsabilités éditeur-collectivité, incidents, réversibilité et sous-traitants sont cohérents. |
| P1 | COL-ARC-01 | Architecture et flux | CTO | Composants, frontières de tenant, flux, accès administratifs et sauvegardes sont visibles. |
| P1 | COL-LOG-01 | Journalisation | Exploitation / RSSI | Qui, quoi, quand, tenant et résultat sont tracés avec une rétention définie. |
| P1 | COL-SDL-01 | Développement sécurisé | Lead technique | Une version peut être reliée aux revues, tests, scans et décision de livraison. |
| P1 | COL-OPS-01 | Continuité et reprise | Exploitation | RTO/RPO, sauvegardes et dernier test de restauration sont démontrés. |
| P1 | COL-SUP-01 | Sous-traitants | Direction / DPO | Services, données, localisation, accès, garanties et sortie sont documentés. |

## Étape 3 — Résultat attendu

Genesis restitue un score de préparation, les cadres candidats, les risques prioritaires et une feuille de route. Le Snapshot n'est ni une certification ni un avis juridique. Chaque conclusion doit indiquer sa source, sa limite et la preuve manquante.

## Règles de dépôt

- Anonymiser noms d'agents, données de collectivités, secrets, jetons et mots de passe.
- Ne jamais envoyer une base de production complète.
- Préférer des extraits représentatifs datés.
- Utiliser les codes `COL-...` dans les noms des annexes.
- Un schéma ou une politique démontre la conception ; un journal, un test ou un compte rendu démontre l'exécution.