Si vous utilisez l’identification des visiteurs au niveau de l’entreprise, votre politique de confidentialité doit l’indiquer. Pas dans une note de bas de page, ni noyé dans un jargon juridique ou placé sur une page distincte vers laquelle personne ne renvoie : cette information doit figurer dans le document que vos visiteurs ont déjà l’habitude de consulter. Voici un guide pratique sur le paragraphe que vous leur devez, l’endroit où le placer et la manière de le formuler sans compliquer inutilement les choses.
Remarque
Cet article relève du marketing et ne constitue pas un conseil juridique. Utilisez le modèle proposé à la fin comme point de départ, puis demandez à votre DPO ou à votre conseil juridique de l’adapter aux traitements que vous effectuez réellement.
Où placer ce paragraphe
L’emplacement approprié est votre politique de confidentialité actuelle, généralement dans une section intitulée « Analyse du site web », « Utilisation de vos données » ou « Traitements effectués sur ce site web ». Ajoutez une nouvelle sous-section avec un titre clair, à proximité de votre section consacrée à l’analyse d’audience, mais bien distincte de celle-ci. L’objectif est qu’un visiteur disposant de dix secondes et utilisant Ctrl+F puisse la trouver en recherchant « identification des visiteurs » ou « données d’entreprise ».
Ne la dissimulez pas dans votre politique relative aux cookies. Les politiques relatives aux cookies portent sur le stockage d’informations sur l’appareil ; l’identification au niveau de l’entreprise n’utilise généralement pas de cookies, et l’y intégrer ne ferait qu’embrouiller tout le monde.
Ce que le paragraphe doit couvrir
Six éléments, à présenter approximativement dans cet ordre. Aucun ne nécessite de longs développements.
- Ce que vous faites : identifier l’entreprise (l’organisation) à l’origine d’une visite sur le site web, et non la personne.
- Les données que vous traitez : l’adresse IP du visiteur pendant une courte fenêtre technique, ainsi que les pages consultées et les horodatages.
- La manière dont vous les traitez : l’adresse IP est associée à une organisation à l’aide d’une base de données reliant les adresses IP aux entreprises ; l’adresse IP brute n’est pas conservée au-delà de cette opération.
- La finalité : l’intérêt légitime au titre de l’Art. 6(1)(f) du RGPD — marketing direct et connaissance des comptes — avec mise en balance des intérêts consignée dans vos dossiers.
- La durée de conservation : pendant combien de temps les visites identifiées sont conservées dans vos systèmes.
- Les droits et l’opposition : un lien vers votre page d’opposition et une mention précisant que les visiteurs peuvent s’opposer à tout moment.
Bonnes et mauvaises pratiques de formulation
| À faire | À éviter |
|---|---|
| Écrire « nous identifions l’entreprise (l’organisation) qui consulte le site » | Écrire « nous identifions les visiteurs » (formulation ambiguë qui laisse penser qu’il s’agit de personnes) |
| Nommer explicitement la base juridique (Art. 6(1)(f)) | Faire référence au consentement lorsque la base juridique est l’intérêt légitime |
| Décrire la transformation de l’adresse IP (IP → entreprise, sans conservation sous forme brute au-delà de l’opération) | Omettre la durée de conservation : l’absence d’indication laisse entendre une conservation illimitée |
| Créer un lien direct vers la page d’opposition | Se contenter d’inviter les personnes à « nous contacter pour s’opposer » |
| Nommer le sous-traitant si vous en utilisez un, avec un lien vers le DPA ou la liste des sous-traitants ultérieurs | Laisser entendre implicitement que des tiers interviennent dans le traitement |
| Accompagner les termes juridiques d’équivalents en langage clair | S’appuyer uniquement sur des termes latins et des numéros d’articles |
Un modèle prêt à l’emploi (à adapter à votre configuration)
« Identification des visiteurs du site web (au niveau de l’entreprise). Lorsque vous consultez notre site, nous traitons votre adresse IP pendant une courte fenêtre technique afin de déterminer l’organisation à l’origine de la visite, et non la personne. L’adresse IP est associée à une entreprise au moyen d’un outil de recherche reliant les adresses IP aux organisations. Elle n’est pas conservée sous sa forme brute au-delà de cette opération. Nous associons l’entreprise ainsi déterminée aux pages que vous avez consultées et à l’heure de votre visite, afin de comprendre quelles organisations s’intéressent à nos services et de les contacter lorsque cela est approprié. Base juridique : intérêt légitime au titre de l’Article 6(1)(f) du RGPD (marketing direct et connaissance des comptes), documenté dans une mise en balance interne des intérêts disponible sur demande. Durée de conservation : les visites identifiées sont conservées pendant [12 mois], puis supprimées. Vous avez le droit de vous opposer à tout moment ; vous pouvez refuser ce traitement sur [lien vers votre page /opt-out]. »
Remplacez [12 mois] par votre durée de conservation réelle. Remplacez le lien d’opposition par le vôtre. Si vous faites appel à un sous-traitant, ajoutez : « Nous faisons appel à [nom du sous-traitant] en qualité de sous-traitant à cette fin. Notre accord sur le traitement des données est disponible à l’adresse [lien]. »
Deux liens de référence utiles
Le paragraphe est plus solide lorsqu’il renvoie vers deux autres pages : votre DPA, pour la relation avec le sous-traitant, et votre liste de sous-traitants ultérieurs. Ces deux liens indiquent à tout prospect dont l’équipe chargée de la sécurité lira votre politique — et elle le fera — que vous avez réfléchi au sujet de bout en bout.
Quels autres éléments mettre à jour en ajoutant ce paragraphe
Ce paragraphe n’est généralement pas la seule modification à effectuer. Deux éléments connexes doivent habituellement être mis à jour en même temps : la liste des sous-traitants ultérieurs, à laquelle vous devez ajouter votre prestataire d’identification, et votre registre des activités de traitement. Si vous avez une bannière de cookies, ce paragraphe ne correspond à aucune des catégories de la bannière : l’identification au niveau de l’entreprise ne nécessite pas de consentement au moyen de celle-ci, à condition que la mise en balance des intérêts ait été réalisée. Une courte note interne l’expliquant à l’administrateur de votre CMP vous évitera un ticket source de confusion dans six mois.
Une fois le paragraphe publié, faites une capture d’écran de la section et archivez-la avec votre mise en balance des intérêts. Si une autorité de contrôle vous demande un jour comment les visiteurs étaient informés le 3 août de l’année X, vous serez heureux de disposer de cette capture d’écran horodatée.
Cet article fournit des informations générales aux équipes B2B et ne constitue pas un conseil juridique. Demandez à votre DPO ou à votre conseil juridique de confirmer la formulation correspondant à vos traitements spécifiques.
Published by
lead.box Team
More articles
Découvrez lead.box sur votre propre trafic
Démarrez gratuitement — sans carte bancaire, sans appel commercial obligatoire. Ou réservez une présentation guidée de 20 minutes.