Le marketing veut l’outil. Le DAF — ou le directeur juridique, ou le délégué à la protection des données, selon l’entreprise — veut s’assurer qu’il ne fera pas les gros titres le lundi matin. Cet article permet à votre porteur interne d’aborder cette réunion avec les dix questions et les dix réponses déjà prêtes. Il porte spécifiquement sur l’identification des entreprises visitant votre site (ce que fait lead.box). Il ne constitue pas un avis juridique ; faites valider sa formulation par votre propre conseil.
Ne constitue pas un avis juridique
Les formulations ci-dessous reposent sur ce qui, d’après notre expérience, permet de faire aboutir les discussions d’achat, et non sur un avis juridique. Chaque organisation doit mener sa propre évaluation : cet article est un point de départ, pas un substitut aux conseils de votre DPO ou de votre conseil juridique.
Q1. « S’agit-il de données à caractère personnel ? »
Réponse : les identifiants d’entreprise (nom, domaine, secteur d’activité) ne sont généralement pas des données à caractère personnel. Ce que nous enregistrons dans le navigateur d’un visiteur est un identifiant first-party qui nous permet de comptabiliser une même séquence de visites anonymes sur votre propre site, sans publicité intersites ni prise d’empreinte numérique. Correctement géré, le périmètre des données à caractère personnel reste minime. Consultez /gdpr pour une présentation complète.
Q2. « Quelle est la base légale ? »
Réponse : l’intérêt légitime au titre de l’Art. 6(1)(f) du RGPD, documenté au moyen d’une analyse des intérêts légitimes (LIA). Le test en trois étapes — finalité, nécessité, mise en balance — est détaillé dans notre article sur la LIA (lien ci-dessous). C’est aujourd’hui ce même fondement qui est utilisé, de manière défendable, pour les solutions standard d’intelligence sur les comptes B2B dans l’UE.
Q3. « Où les données sont-elles traitées ? »
Réponse : dans l’UE. Notre infrastructure est hébergée dans des centres de données européens certifiés ISO et le traitement reste dans l’UE. Aucun transfert régulier vers des pays tiers. Consultez /subprocessors pour obtenir la liste actuelle.
Q4. « Signez-vous un DPA ? »
Réponse : oui. Un accord standard de traitement des données (DPA) est disponible sur /dpa. Des modifications sont possibles pour les clients de plus grande taille. Il s’aligne, le cas échéant, sur les clauses types de la Commission européenne.
Q5. « Combien de temps les données sont-elles conservées ? »
Réponse : les enregistrements de visites identifiées sont conservés pendant la durée que vous configurez au niveau de l’espace de travail (la durée par défaut est indiquée sur /gdpr). Les données analytiques agrégées et non personnelles peuvent être conservées plus longtemps. Une durée de conservation contrôlée par le client est disponible avec les offres éligibles.
Q6. « Comment les visiteurs peuvent-ils s’y opposer ? »
Réponse : deux mécanismes existent. Premièrement, une option d’opposition en libre-service sur /opt-out, que tout visiteur peut activer. Deuxièmement, les commandes standard du navigateur — en effaçant les données du site — suppriment l’identifiant first-party. Il n’existe aucun profil intersites auquel s’opposer.
Q7. « Qui d’autre accède aux données ? » (sous-traitants ultérieurs)
Réponse : une courte liste publiée sur /subprocessors. Toute modification est annoncée suffisamment à l’avance pour que les clients puissent s’y opposer. Nous n’utilisons aucun réseau publicitaire et ne vendons pas de données.
Q8. « Qu’en est-il d’ePrivacy / du § 25 de la TDDDG ? »
Réponse : le § 25 — et, plus généralement, ePrivacy — régit le stockage d’informations sur l’appareil de l’utilisateur et l’accès à celles-ci. Les identifiants first-party strictement nécessaires au service demandé relèvent de l’exemption « strictement nécessaire » ; tout ce qui va au-delà est présenté par l’intermédiaire de votre CMP existante. Notre page RGPD en détaille les spécificités.
Q9. « Quel est le processus en cas de violation de données ? »
Réponse : une procédure documentée de réponse aux incidents, avec des délais de notification des clients définis dans le DPA. Des contacts de sécurité nommément désignés. Aux fins de la notification, les incidents touchant un sous-traitant ultérieur sont traités comme nos propres incidents.
Q10. « Pouvons-nous résilier et récupérer nos données ? »
Réponse : oui. Des formats d’exportation standard, aucun enfermement artificiel et une suppression à la résiliation conformément au DPA. La réponse commerciale compte ici autant que la réponse juridique : résiliation possible chaque mois, sans engagement pluriannuel.
Fiche récapitulative pour votre porteur interne
| Question | Réponse courte | Ressource à indiquer |
|---|---|---|
| Données personnelles ? | Minimales : données d’entreprise + identifiant first-party | /gdpr |
| Base légale ? | Art. 6(1)(f) avec LIA | Article sur la LIA |
| Lieu du traitement ? | UE uniquement | /subprocessors |
| DPA ? | Oui, standard | /dpa |
| Conservation ? | Configurable | /gdpr |
| Opposition ? | Libre-service + commandes du navigateur | /opt-out |
| Sous-traitants ultérieurs ? | Courte liste publiée | /subprocessors |
| ePrivacy / § 25 ? | Uniquement du first-party strictement nécessaire | /gdpr |
| Violation de données ? | Réponse aux incidents dans le DPA | /dpa |
| Résiliation ? | Exportation + suppression, résiliation mensuelle | /dpa |
Imprimez ce tableau. Remettez-le à votre DAF avant la réunion. La plupart des questions ne sont même plus posées lorsque les réponses sont déjà sous ses yeux.
- À lire aussi : [L’identification des visiteurs d’un site web est-elle conforme au RGPD ?](/blog/is-website-visitor-identification-gdpr-compliant)
- À lire aussi : [Intérêt légitime — Art. 6(1)(f) pour les spécialistes du marketing B2B](/blog/legitimate-interest-art-6-1-f-gdpr-b2b-marketers)
- À lire aussi : [Minimalisme des données](/blog/data-minimalism-why-collecting-less-makes-b2b-marketing-stronger)
Published by
lead.box Team
More articles
Découvrez lead.box sur votre propre trafic
Démarrez gratuitement — sans carte bancaire, sans appel commercial obligatoire. Ou réservez une présentation guidée de 20 minutes.