# Pack Shield : 27 spécialistes de conformité et 11 workflows

> Shield aiguille les questions de conformité vers 27 spécialistes de référentiels et 11 workflows RGPD et AI Act, et ajoute dossiers d’assurance, registre IA et règles de revue. Pas un avis juridique.

Canonical: https://bmad-plus.rochetta.fr/fr/docs/packs/shield/
Language: fr
BMAD+ version: 0.23.1
Documentation reviewed: 2026-10-19
Author: Laurent Rochetta
License: MIT

Documentation BMAD+ › [Packs](https://bmad-plus.rochetta.fr/fr/docs/packs/) › Pack Shield : 27 spécialistes de conformité et 11 workflows

Shield transforme BMAD+ en assistant de gouvernance, risque et conformité (GRC). Un orchestrateur lit votre question, repère le ou les référentiels concernés et l’aiguille vers un agent spécialiste : 27 au total, chacun dédié à une réglementation ou à une norme, répartis en six catégories. Onze workflows supplémentaires couvrent les documents récurrents du RGPD et de l’AI Act européen (analyses d’impact, réponse aux violations, notices d’information, politiques cookies, classification des risques IA). Shield apporte en outre trois outils de preuve adossés à de vraies commandes de la CLI : un dossier d’assurance, un registre de traitement IA et des règles de revue de conformité.

> **Attention · Pas un avis juridique** Chaque rapport de Shield porte la mention « généré par IA » et un avertissement « pas un avis juridique ». Le résultat peut être incomplet ou dépassé et ne remplace ni un avocat, ni un délégué à la protection des données, ni un auditeur certifié. Une personne qualifiée doit le relire avant toute décision de conformité, tout dépôt ou toute attestation.

<a id="when-to-use"></a>
## Quand l’utiliser

- Vous devez démontrer qu’un produit respecte une réglementation ou une norme (RGPD, SOC 2, ISO 27001, PCI DSS, HIPAA, NIS2, DORA, AI Act et d’autres) et vous voulez une analyse d’écart structurée plutôt qu’une page blanche.
- Il vous faut un document type du RGPD ou de l’AI Act : AIPD, notification de violation, test d’intérêt légitime, notice d’information, politique cookies, classe de risque IA.
- Vous voulez des preuves d’audit vérifiées par des commandes, pas affirmées : un dossier d’assurance lié à un commit.
- Vous voulez une revue de code qui dit quelles mesures de conformité un changement touche.

<a id="installed"></a>
## Ce qui est installé

Shield est un pack empaqueté : tout se trouve dans `.agents/skills/pack-shield/`. Ce dossier contient la compétence du pack `SKILL.md`, l’orchestrateur `shield-orchestrator.md`, `categories/` (les 27 spécialistes et les 11 workflows), `references/` (79 fichiers de référence réglementaire), `shared/` (outil de correspondance entre référentiels, modèles d’analyse d’écart et de rapport d’audit, procédures de dossier d’assurance et de registre IA avec leurs modèles) et `review-rules/` (les six règles de revue de conformité et leur index). `bmad-plus doctor` vérifie la présence de `SKILL.md` et de `review-rules/index.yaml`.

<a id="frameworks"></a>
### Les référentiels, par catégorie

**Six catégories, 27 agents spécialistes**

| Catégorie | Agents | Référentiels |
| --- | --- | --- |
| Protection des données | 5 | RGPD, CCPA/CPRA, LGPD, DPDPA, ISO/IEC 27701 |
| Cybersécurité | 6 | ISO/IEC 27001, NIST CSF 2.0, NIST SP 800-53 Rev. 5, CIS Controls v8, NIS2, ISM australien |
| Conformité sectorielle | 6 | SOC 2, PCI DSS v4.0.1, HIPAA, SWIFT CSP, DORA et FedRAMP |
| Défense et contrôle des exportations | 4 | CMMC 2.0, ITAR, EAR, directives de sécurité de la TSA |
| Gouvernance de l’IA | 3 | AI Act 2024/1689, ISO/IEC 42001, NIST AI RMF 1.0 |
| Accessibilité et ESG | 3 | WCAG 2.2, Section 508, CSRD |

Le pack compte 27 agents spécialistes, un par référentiel. La liste des étiquettes de conformité du registre les nomme tous les 27, et la liste des packs de l’installateur affiche « GRC compliance (27 frameworks) ».

<a id="specialists"></a>
### Les 27 agents spécialistes

**Agents spécialistes, leur référentiel et ce sur quoi ils aident**

| Agent | Référentiel | Juridiction | Aide sur |
| --- | --- | --- | --- |
| `gdpr-agent` | GDPR | UE, EEE, Royaume-Uni | Audit de code et de système, rédaction de documents, questions-réponses, revue des flux et des données personnelles, AIPD, gestion des violations, LIA (7 workflows) |
| `ccpa-agent` | CCPA / CPRA | Californie | Qui doit s’y conformer, droits des consommateurs, obligations, exposition aux sanctions |
| `lgpd-agent` | LGPD | Brésil | Périmètre, principes, les dix bases légales, droits des personnes, différences avec le RGPD |
| `dpdpa-agent` | DPDPA | Inde | Information, droits des personnes concernées, devoirs du fiduciaire, données d’enfants, transferts transfrontaliers |
| `iso27701-agent` | ISO/IEC 27701 | International | Analyse d’écart, politiques, guide des mesures, évaluation des risques vie privée, déclaration d’applicabilité |
| `iso27001-agent` | ISO/IEC 27001 | International | Analyse d’écart, génération de politiques et de documents, guide des mesures, appréciation des risques, liste des documents obligatoires |
| `nist-csf-agent` | NIST CSF 2.0 | États-Unis | Évaluation des écarts, profils, feuille de route, correspondance entre référentiels, politiques |
| `nist-800-53-agent` | NIST SP 800-53 Rev. 5 | États-Unis (fédéral) | Catégorisation du système, socles, familles de mesures, adaptation, surcouches, récits du SSP, évaluation |
| `cis-controls-agent` | CIS Controls v8 | International | Groupes de mise en œuvre, les 18 mesures, correspondances avec d’autres référentiels, évaluation des écarts |
| `nis2-agent` | NIS2 | UE | Classification de l’entité, évaluation des écarts, déclaration d’incidents, obligations de la direction, alignement ISO 27001 |
| `ism-agent` | Australian ISM | Australie | Analyse d’écart, autorisation de système, préparation IRAP, documentation de sécurité, Essential Eight face à l’ISM |
| `soc2-agent` | SOC 2 Type I/II | États-Unis | Évaluation de préparation et d’écarts, politiques, documentation des mesures, preuves d’audit, questionnaires de risque fournisseur |
| `pci-dss-agent` | PCI DSS v4.0.1 | International | Cadrage de l’environnement de données de cartes, évaluation des écarts, choix du SAQ, guide des mesures, politiques |
| `hipaa-agent` | HIPAA | Santé aux États-Unis | Revue de conformité, modèles et politiques, garanties techniques, explications |
| `swift-csp-agent` | SWIFT CSP | Banque internationale | Types d’architecture, cadre de mesures, calendrier d’évaluation et d’attestation annuelles, constats fréquents |
| `dora-agent` | DORA | Secteur financier de l’UE | Entités concernées, cadre de gestion du risque lié aux TIC (articles 5 à 16) |
| `fedramp-agent` | FedRAMP | Cloud fédéral américain | Évaluation de préparation, documentation d’autorisation, correspondance avec NIST 800-53 |
| `cmmc-agent` | CMMC 2.0 | Défense américaine | Évaluation des écarts, plan de sécurité du système, score SPRS, POA&M, périmètre CUI |
| `itar-agent` | ITAR | Export d’armements (États-Unis) | Compétence ITAR ou EAR, enregistrement, licences, accords, exportations réputées, divulgation volontaire, plan de contrôle technologique |
| `ear-agent` | EAR | Export à double usage (États-Unis) | Compétence, classification ECCN, exigence de licence, exceptions, contrôles des utilisateurs finaux |
| `tsa-agent` | TSA Security Directives | Transports (États-Unis) | Couverture des directives par secteur, systèmes cyber critiques, déclaration d’incidents, désignation du coordinateur |
| `eu-ai-act-agent` | EU AI Act 2024/1689 | UE | Workflow de conformité en huit étapes, format de réponse, calendrier, sanctions |
| `iso42001-agent` | ISO/IEC 42001 | International | Évaluation des écarts, étude d’impact du système d’IA, appréciation des risques IA, déclaration d’applicabilité, parcours de certification |
| `nist-ai-rmf-agent` | NIST AI RMF 1.0 | États-Unis | Fonctions gouverner, cartographier, mesurer et gérer, fiabilité, évaluation des écarts, registre des risques IA |
| `wcag-agent` | WCAG 2.2 | International | Les quatre principes, audit d’accessibilité, déclaration d’accessibilité, ARIA, contraste, correspondance juridique |
| `section508-agent` | Section 508 | États-Unis (fédéral) | Cadre réglementaire, périmètre des TIC, remplissage d’un VPAT, audit d’accessibilité |
| `csrd-agent` | CSRD | UE | Périmètre et seuils, évaluation de la double matérialité, architecture des ESRS, exigences de publication |

<a id="workflows"></a>
### Les 11 workflows RGPD et AI Act

**Agents de workflow et document produit par chacun**

| Workflow | Objet |
| --- | --- |
| `dpia-sentinel` | Analyse d’impact (AIPD), article 35, avec points propres à l’IA ; rapport en neuf sections |
| `breach-sentinel` | Réponse à une violation, articles 33 et 34 : classification de gravité, notification à l’autorité sous 72 heures, information des personnes, retour d’expérience |
| `legitimate-interest` | Évaluation de l’intérêt légitime, article 6(1)(f) : finalité, nécessité et test de mise en balance |
| `privacy-advisor` | Évaluation d’un programme RGPD et de la posture globale |
| `privacy-notice-gen` | Notice d’information avec les éléments obligatoires des articles 13 et 14 |
| `privacy-policy-gen` | Politique de confidentialité complète pour un site ou une application |
| `cookie-policy-gen` | Politique cookies selon ePrivacy et le RGPD, avec les recommandations de la CNIL |
| `ai-act-classifier` | Classe de risque d’un système d’IA : interdit, haut risque (annexe III), limité, minimal |
| `ai-act-roles` | Fournisseur, déployeur ou importateur : quelles obligations vous incombent |
| `ai-act-fria` | Analyse d’impact sur les droits fondamentaux, article 27 |
| `ai-act-incidents` | Workflow de déclaration des incidents graves, article 73 |

<a id="evidence-tools"></a>
### Outils de preuve adossés à la CLI

**Trois capacités de preuve**

| Outil | Commandes | Ce qu’il garantit |
| --- | --- | --- |
| Dossier d’assurance sécurité | `bmad-plus assurance init`, `run`, `verify` | Une affirmation n’est soutenue que si le contrôle qui la fonde a été exécuté au commit concerné, consigné dans un registre à chaînage de hachages. Une preuve absente, en échec ou périmée laisse l’affirmation non soutenue. |
| Registre de traitement IA | `bmad-plus ai-register init`, `check` | Compare `_bmad/ai-processing-register.yaml` aux intégrations d’IA trouvées dans le projet et signale celles qui ne sont pas inscrites. Les avertissements ne font jamais échouer la commande. |
| Règles de revue de conformité | `bmad-plus review scope`, `review rules <chemin>` | Six listes de contrôle par chemin, étiquetées avec des mesures comme `ISO27001:A.8.5`, `SOC2:CC6.1` ou `GDPR:Art.32`, pour qu’une revue liste les mesures qu’un changement touche. |

Les six règles de revue sont `shield-access-control`, `shield-personal-data`, `shield-cryptography`, `shield-logging`, `shield-ai-integrations` et `shield-change-and-supply-chain`. Elles s’ajoutent aux règles de revue intégrées sans jamais les remplacer ; un projet peut les remplacer ou les désactiver dans `_bmad/review-rules.yaml`.

<a id="quick-start"></a>
## Démarrage rapide

1. **Installer le pack** Core est ajouté automatiquement. Shield n’exige que Node.js 20 pour l’installateur ; les commandes de preuve viennent de la même CLI.

   ```sh
   npx bmad-plus install --packs shield
   ```
2. **Interroger l’orchestrateur** Nommez le référentiel si vous le connaissez, ou décrivez votre situation ; Shield pose deux ou trois questions (juridiction, secteur, types de données) quand le référentiel est ambigu.

   ```sh
   Shield, audite mon application pour la conformité RGPD
   ```
3. **Vérifier l’installation** Le diagnostic confirme la présence de la compétence du pack et de l’index des règles de revue.

   ```sh
   npx bmad-plus doctor
   ```

<a id="examples"></a>
## Exemples à copier

<a id="example-shield-gdpr-audit"></a>
### Auditer un produit au regard du RGPD

Le chemin le plus court vers une revue de code mono-référentiel. Shield reconnaît le RGPD aux mots employés et passe la main au spécialiste RGPD. Une demande générale d’« audit RGPD » ou d’« évaluation de conformité » va plutôt au workflow `privacy-advisor` (évaluation de tout le programme de protection des données) : pour examiner du code, citez des fichiers précis.

**Dans votre assistant IA**

```text
Shield, le back-end de notre application mobile stocke des profils d’utilisateurs et des tokens de notification. Examine le code dans services/api/ et les définitions de tables dans db/migrations/ au regard du RGPD : liste les données personnelles trouvées, la base légale déductible pour chacune et les écarts.
```

**Ce que vous devriez obtenir** La demande va à `gdpr-agent`, workflow 1 (audit de code et de système). Le rapport suit le format d’audit : données personnelles identifiées, évaluation de la base légale, constats et synthèse. Il porte la mention « généré par IA » et l’avertissement « pas un avis juridique ».

<a id="example-shield-multi-framework-gap"></a>
### Comparer deux référentiels en une seule analyse

Quand une demande nomme plusieurs référentiels, Shield exécute chaque spécialiste et fusionne les résultats.

**Dans votre assistant IA**

```text
Shield, analyse d’écart NIS2 contre DORA pour notre plateforme de paiement, qui sert des banques dans trois pays de l’UE. Nous avons un processus d’incident de sécurité mais pas de registre des prestataires TIC. Montre quelles obligations se recoupent, comme la notification d’incident et le risque lié aux tiers, pour construire un seul processus qui satisfait les deux, et donne une feuille de route de remédiation priorisée.
```

**Ce que vous devriez obtenir** `nis2-agent` et `dora-agent` s’exécutent tous deux, puis Shield utilise l’outil de correspondance entre référentiels (NIS2 ↔ DORA fait partie des appariements qu’il liste) pour bâtir la table des mesures communes et produit un rapport consolidé au format d’audit : mesures communes (implémenter une fois, satisfaire plusieurs), écarts propres à chaque référentiel et feuille de route priorisée.

<a id="example-shield-soc2-evidence"></a>
### Préparer les preuves d’un audit SOC 2

À utiliser avant une fenêtre d’audit, quand vous savez quels critères de confiance sont dans le périmètre.

**Dans votre assistant IA**

```text
Shield, génère une liste de preuves SOC 2 pour Security et Availability. Nous tournons sur AWS avec GitHub Actions. Pour chaque critère, nomme l’artefact à collecter, son responsable et la fréquence de mise à jour.
```

**Ce que vous devriez obtenir** Routé vers `soc2-agent`, dont la section sur les preuves d’audit organise les preuves par critère. Attendez-vous à une liste que vous pouvez transformer en tickets. Elle ne certifie rien : seul un auditeur peut émettre un rapport SOC 2.

<a id="example-shield-dpia"></a>
### Mener une AIPD (dpia-sentinel)

À utiliser quand un traitement risque de présenter un risque élevé pour les personnes, par exemple la surveillance systématique de salariés ou le profilage.

**Dans votre assistant IA**

```text
Shield, mène une AIPD pour la caméra de détection de fatigue que nous ajoutons à nos camionnettes de livraison. Elle filme le visage du conducteur en continu, calcule un score de fatigue sur l’appareil et ne téléverse que le score et un horodatage vers le tableau de bord de la flotte. Les images restent 24 heures sur l’appareil. Demande-moi tout ce qu’il te faut pour décrire le traitement.
```

**Ce que vous devriez obtenir** Le workflow `dpia-sentinel` déroule les étapes de l’article 35 (seuil, description, nécessité et proportionnalité, risques, mesures, consultation du DPO, consultation préalable) et produit un rapport en neuf sections : informations sur le projet, évaluation du seuil, description du traitement, nécessité et proportionnalité, risques pour les personnes, mesures d’atténuation, avis du DPO, conclusion et validation. Les sections 7 (avis du DPO) et 9 (validation) sont laissées aux personnes concernées pour qu’elles les complètent.

<a id="example-shield-breach-response"></a>
### Réagir à une violation de données (breach-sentinel)

À utiliser dès que vous soupçonnez une violation : le compte à rebours de 72 heures de l’article 33 démarre quand vous en avez connaissance.

**Dans votre assistant IA**

```text
Shield, nous avons eu une violation de données. Un export CSV de clients (noms, e-mails, historique de commandes, environ 4 200 personnes dans l’UE) a été envoyé ce matin à 9 h 40 à une mauvaise adresse externe. Guide-moi pour les premières heures et rédige la notification à l’autorité.
```

**Ce que vous devriez obtenir** Le workflow `breach-sentinel` suit une chronologie : détection et évaluation initiale (premières heures), classification de gravité, notification à l’autorité avant les 72 heures avec les quatre éléments de l’article 33(3), information des personnes si la gravité l’exige, puis documentation et retour d’expérience. Les brouillons sont à faire relire par votre DPO ou votre juriste avant tout envoi.

<a id="example-shield-ai-act-classification"></a>
### Classer un système d’IA au titre de l’AI Act

À utiliser en premier, avant de décider quelles obligations s’appliquent. Enchaînez avec les workflows rôles et FRIA si le résultat est « haut risque ».

**Dans votre assistant IA**

```text
Shield, classe mon système d’IA au titre de l’AI Act. Il classe des candidats pour une agence d’intérim à partir de CV et d’un court questionnaire. Nous le développons nous-mêmes et le vendons à des agences en France et en Allemagne.
```

**Ce que vous devriez obtenir** Le workflow `ai-act-classifier` identifie le système, vérifie les pratiques interdites de l’article 5, puis le statut de haut risque via l’article 6 et l’annexe III, puis les risques limité et minimal, et rend un rapport de classification avec le raisonnement, les obligations applicables et les prochaines étapes recommandées. Savoir si un cas est à haut risque est une conclusion juridique : faites-la confirmer.

<a id="example-shield-assurance-case"></a>
### Construire un dossier d’assurance lié à un commit

À utiliser pour une version que vous devrez défendre devant un auditeur. Lancez les commandes depuis un arbre de travail propre, au commit concerné.

**Dans votre assistant IA**

```text
Shield, construis un dossier d’assurance sécurité pour la version 2.3 de notre API mobile. Affirmations : l’analyse de l’image de conteneur ne signale aucune vulnérabilité critique, l’API refuse les versions de TLS inférieures à 1.2 et la sauvegarde de la nuit se restaure dans une base vide. Pour chaque affirmation, choisis une commande qui sort en erreur quand elle est fausse, puis exécute et vérifie le dossier et dis-moi quelles affirmations sont soutenues.
```

**Ce que vous devriez obtenir** Le fichier de dossier `_bmad/assurance/<id>.yaml` est créé avec `bmad-plus assurance init`, `bmad-plus assurance run` exécute chaque commande déclarée sans shell et ajoute le résultat à un registre à chaînage de hachages, et `bmad-plus assurance verify` classe chaque affirmation comme soutenue ou non soutenue, en jugeant le contrôle qui la fonde réussi, en échec, périmé ou manquant. Définissez `BMAD_PLUS_ASSURANCE_KEY` (32 caractères ou plus) et conservez la tête du registre donnée par `run` pour rendre détectables les modifications délibérées. Le verdict dit ce que sont les preuves ; ce n’est pas une certification.

<a id="example-shield-ai-register"></a>
### Inscrire les outils d’IA utilisés par le projet

À utiliser quand vous devez répondre à la question : quels outils d’IA voient vos données, et sur quelle base légale.

**Dans votre assistant IA**

```text
Shield, ce trimestre nous avons ajouté un plugin d’assistant de code, un serveur MCP de chatbot de support et une API d’OCR. Crée le registre de traitement IA, inscris ces trois outils et demande-moi pour chacun les données vues, la base légale, la conservation et tout transfert hors de l’UE. Puis vérifie le registre et dis-moi quelles intégrations le contrôle a trouvées sans que je les aie citées.
```

**Ce que vous devriez obtenir** `bmad-plus ai-register init` crée `_bmad/ai-processing-register.yaml` à partir du modèle de Shield ; `bmad-plus ai-register check` affiche ensuite la date de revue et le nombre d’intégrations d’IA inscrites, avec un avertissement pour chacune qui ne l’est pas (adaptateurs BMAD+, dossiers d’outils, serveurs MCP). Le contrôle est une porte souple : les avertissements ne le font pas échouer, et `bmad-plus doctor` signale la même chose.

<a id="outputs"></a>
## Ce qu’il écrit et où

**Sorties de Shield et de ses outils**

| Chemin | Écrit par | Contenu |
| --- | --- | --- |
| Rapports dans la conversation ou dans les fichiers que vous nommez | Agents Shield | Rapports d’audit, d’analyse d’écart et de workflow, chacun avec la mention « généré par IA » et « pas un avis juridique » |
| `_bmad/assurance/<id>.yaml` | `assurance init` | Le dossier d’assurance : périmètre, affirmations, arguments, contrôles |
| `_bmad-output/assurance/` | `assurance run`, `verify` | Registre des exécutions et fichier de contrôle CI facultatif |
| `_bmad/ai-processing-register.yaml` | `ai-register init` | Le registre des outils d’IA et de leurs données |
| `_bmad-output/review/<id>/` | `review scope` et étapes suivantes | Liste de contrôle qui s’ouvre sur les mesures touchées par le changement |

<a id="data-and-prerequisites"></a>
## Flux de données et prérequis

- Ni Python, ni clé d’API, ni outil supplémentaire : Shield, ce sont des instructions plus des commandes de la CLI. Votre outil IA fournit le modèle.
- Un flux hors machine concerne les commandes de preuve, et il appartient à la CLI `bmad-plus` plutôt qu’au pack : `assurance-checks`. La commande `assurance` existe sans Shield (le pack livre la procédure et les modèles). `bmad-plus assurance run` exécute les commandes écrites dans le dossier, avec la même confiance que les scripts du projet ; un contrôle peut donc accéder au réseau si sa commande le fait. Relisez un dossier écrit par quelqu’un d’autre avant de l’exécuter. La clé `BMAD_PLUS_ASSURANCE_KEY` reste dans l’environnement et n’est jamais transmise à un contrôle.
- Ce que vous collez dans une conversation Shield (code, flux de données, détails d’incident) part vers le modèle de votre outil IA comme n’importe quelle consigne. Ne collez pas de données personnelles réelles dans une demande d’audit.

<a id="limits"></a>
## Limites et pièges

> **Remarque · Une consigne n’est pas une certification** Les spécialistes sont des consignes d’expert adossées à des fichiers de référence. Leur contenu réglementaire peut être dépassé, et une affirmation soutenue dans un dossier d’assurance signifie seulement qu’un contrôle nommé a réussi à un commit. Traitez chaque production comme un brouillon destiné à une personne qualifiée.

> **Astuce · Installer le pack** `--packs` prend une liste d’identifiants de packs séparés par des virgules : `npx bmad-plus install --packs core,shield`. Core est toujours inclus, et `all` installe tous les packs.

> **Remarque · Limites du registre** Sans `BMAD_PLUS_ASSURANCE_KEY` et sans `--ledger-head` conservé, la chaîne de hachages ne montre que les modifications accidentelles ou négligentes : qui peut écrire dans le registre peut y ajouter un enregistrement qui se vérifie. Indiquez quelle protection s’appliquait en présentant le résultat.

> **Remarque · Provenance** Les agents spécialistes sont adaptés d’une collection open source sous licence MIT de compétences GRC, et les workflows RGPD et AI Act ont été enrichis par des idées d’un catalogue de compétences professionnelles. Les mentions figurent dans THIRD-PARTY-LICENSES.md du paquet.

**Voir aussi**

- [Les dix packs côte à côte](https://bmad-plus.rochetta.fr/fr/docs/packs/packs-overview/)
- [Référence de la commande assurance](https://bmad-plus.rochetta.fr/fr/docs/reference/cli-assurance/)
- [Référence de la commande ai-register](https://bmad-plus.rochetta.fr/fr/docs/reference/cli-ai-register/)
- [Référence de la commande review](https://bmad-plus.rochetta.fr/fr/docs/reference/cli-review/)
- [Pack OSINT](https://bmad-plus.rochetta.fr/fr/docs/packs/osint/)
- [Gestion des données et vie privée](https://bmad-plus.rochetta.fr/fr/docs/security/data-handling/)

[Documentation BMAD+](https://bmad-plus.rochetta.fr/fr/docs/) · [Packs](https://bmad-plus.rochetta.fr/fr/docs/packs/)

[Code sur GitHub](https://github.com/lrochetta/BMAD-PLUS)