En France, la loi Sapin II, modifiée par la loi Waserman, vise les entreprises d'au moins 50 salariés. En Espagne, la loi 2/2023 retient le même seuil et vise aussi, quelle que soit leur taille, certains secteurs comme les services financiers ou la lutte contre le blanchiment. Une boutique non soumise peut ouvrir le canal volontairement : le module fonctionne de la même façon, seule la base juridique de la notice d'information change. Des textes de départ sont fournis pour la France, l'Espagne, l'Italie et la directive européenne, dans les quatre langues.

Ce sont des modèles à faire relire par votre conseil, et la partie organisationnelle reste la vôtre : désigner le responsable du dispositif, consulter le CSE, faire adopter la procédure, réaliser l'AIPD. Une liste de contrôle garde la date de chaque étape.

PrestaShop enregistre l'IP des visiteurs, dépose des cookies et charge les scripts du thème et des modules : chat, pixels, statistiques. Rien de tout cela n'a sa place là où quelqu'un raconte ce qu'il a vu. Les pages du canal ont leur propre mise en page, avec le logo de la boutique : ni thème, ni hook, ni cookie, ni adresse IP enregistrée, rien de chargé depuis un autre domaine. Elles restent ouvertes pendant la maintenance et fonctionnent sans JavaScript.

Un fichier peut aussi trahir son auteur : une photo contient le modèle du téléphone et la position, un document Word le nom du rédacteur. Avec la case cochée (par défaut), les photos sont réencodées sans EXIF et les DOCX, XLSX, ODT et ODS perdent leurs propriétés ; les PDF et l'audio restent tels quels. L'autodiagnostic vérifie que le canal ne dépose aucun cookie et que PrestaShop n'enregistre pas la visite.

Le texte, les pièces jointes, les messages vocaux et l'identité sont chiffrés en AES-256-GCM. Pour les lire, il faut la clé privée de l'entreprise, protégée par la phrase secrète de chaque membre de l'équipe et par une clé serveur conservée dans un fichier hors de la base de données ; le déverrouillage du coffre demande en plus un code à double facteur. Un SuperAdmin hors de l'équipe n'y a pas accès, et une copie de la base ne permet pas de lire les contenus.

Chaque membre rejoint l'équipe avec un code à usage unique que le responsable lui remet en main propre ou par un canal sûr, jamais par e-mail, et reçoit un rôle : gestionnaire, RH, juridique ou DPO. Le coffre se reverrouille après 15 minutes d'inactivité par défaut, révéler une identité exige un motif journalisé, et chaque accès est inscrit dans un journal d'audit chaîné que vous pouvez vérifier.

Après l'envoi, l'auteur du signalement voit son numéro d'enregistrement, un code d'accès de 20 caractères affiché une seule fois, la date et l'heure de réception et une empreinte SHA-256 de son envoi, à télécharger en TXT ou à imprimer. Par défaut, l'accusé de réception l'attend déjà dans sa messagerie. S'il préfère parler, il enregistre un message vocal ou envoie un fichier audio, et peut demander un entretien, en personne ou, pour une entité française, en visioconférence.

Avec son code et son mot de passe, il revient quand il veut : il lit les questions de l'équipe, signées d'un nom d'équipe, répond, ajoute des pièces et valide la transcription d'un entretien. Un bouton signale des représailles et passe le dossier en priorité. S'il a laissé un e-mail, il reçoit seulement « Vous avez une notification en attente ». Après plusieurs essais infructueux, l'accès est suspendu de plus en plus longtemps.

Chaque dossier calcule ses échéances selon le pays de l'entité : accusé de réception sous 7 jours, retour sous 3 mois et, en Espagne, une prolongation unique de 3 mois pour les dossiers complexes. Le tableau de bord et la fiche du dossier les affichent en vert, orange ou rouge, les alertes à l'équipe ne contiennent jamais le signalement, et le simulateur montre la chronologie d'un dossier avec le texte qui fixe chaque date.

Chaque signalement a sa ligne dans le registre, séparé des dossiers et exportable en CSV avec un motif inscrit au journal d'audit. Au terme de la durée de conservation, le dossier passe en attente de suppression et c'est vous qui confirmez ; vous pouvez aussi l'anonymiser ou le conserver pendant une procédure judiciaire. La suppression détruit les clés : il ne reste qu'une trace sans contenu.

Quand quelqu'un appelle ou demande à être reçu, vous saisissez le signalement dans le back-office avec sa date réelle de réception, qui fait courir les délais, son accord pour être enregistré et le fichier audio ou le compte rendu. Une fiche d'accès imprimée, avec un code et un mot de passe initial, lui permet de suivre son dossier dans la messagerie comme les autres.

Après l'installation, le canal est en mode test : seules les adresses IP que vous indiquez le voient, les autres obtiennent une erreur 404. Les essais utilisent une série TEST, n'entrent pas dans le registre et peuvent être vieillis pour voir les feux changer. « Publier le canal » reste bloqué tant que l'essentiel n'est pas prêt (coffre, kit de récupération, double facteur, textes légaux, HTTPS), puis affiche l'adresse publique et un QR code pour l'affichage sur le lieu de travail.