Des solutions sur mesure pour les entreprises B2C
Qui vend aux particuliers traite beaucoup de données à caractère personnel : commandes, comptes, paiements, newsletters. Les questions des clients, de l’autorité de contrôle et de la presse arrivent souvent sans prévenir. Sightadel vous aide à justifier vos obligations RGPD, à tenir les délais et à montrer ouvertement dans le Trust Center comment vous traitez les données.
Situation de départ
Dans la vente aux particuliers, la confiance décide de l’achat. Les clients confient leur adresse, leurs données de paiement et parfois des informations très personnelles. Ils attendent que l’entreprise en prenne soin, et ils ont des droits qu’ils exercent de plus en plus : accès, effacement, opposition à la publicité.
Derrière une boutique ou une application se trouve généralement toute une série de prestataires. Hébergement, prestataire de paiement, expédition, newsletter, analyse, service client. Chacun traite des données pour votre compte et a besoin d’un contrat et d’une évaluation. Un incident chez l’un de ces prestataires est juridiquement aussi votre incident.
Une violation de données frappe particulièrement les entreprises B2C. Outre la notification à l’autorité de contrôle, il peut falloir informer de nombreux clients, et le sujet arrive vite dans les médias. Qui a répété avant qui décide quoi et comment notifier ne perd pas de temps à ce moment-là.
Pourquoi maintenant
Pour les demandes d’accès, le délai est en principe d’un mois. Sans procédure fixe, chaque demande devient une recherche dans plusieurs systèmes.
Les violations à notifier vont si possible sous 72 heures à l’autorité de contrôle. En cas de risque élevé, les personnes concernées doivent aussi être informées.
Un nouvel outil de newsletter, un chat au service client, un service d’IA. Chacun a besoin d’un contrat de sous-traitance et d’une vérification du lieu de stockage des données.
Après une plainte, l’autorité de protection des données demande des documents, par exemple le registre des activités de traitement ou la preuve d’un consentement.
Prestataires de paiement, places de marché et grands partenaires commerciaux demandent mesures de sécurité et certificats avant de travailler avec vous.
Les nouveaux marchés apportent d’autres prestataires, d’autres langues et parfois des transferts de données vers des pays tiers. La documentation doit suivre.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
Le cadre le plus important dans la vente aux particuliers. Il comprend l’information selon l’art. 13 du RGPD, une base légale pour chaque traitement, des contrats avec les sous-traitants, des délais pour les droits des personnes concernées et la notification des violations de données. Pour les cookies et techniques similaires s’applique en outre en Allemagne le § 25 de la TDDDG.
Voir le framework →Donne aux mesures techniques et organisationnelles selon l’art. 32 du RGPD une structure éprouvée. Un certificat montre aux partenaires et aux clients qu’un organisme indépendant a vérifié les mesures.
Voir le framework →Les places de marché en ligne figurent en tant que fournisseurs numériques à l’annexe 2 de la BSIG, de même par exemple que les services postaux et d’expédition. À partir d’une taille moyenne s’appliquent alors l’enregistrement, la gestion des risques et les obligations de notification. Une boutique en ligne classique n’est pas une place de marché au sens de la loi.
Voir le framework →Si vous utilisez l’IA au contact des clients, par exemple un chatbot, des obligations de transparence s’appliquent : les personnes doivent pouvoir reconnaître qu’elles parlent à un système d’IA. Les obligations dépendent du rôle et de l’usage.
Voir le framework →Ordre recommandé
Quelles données collectez-vous, où, dans quel but et sur quelle base légale ? Le registre des activités de traitement est la base de tout le reste.
Pour chaque prestataire qui traite des données clients : contrat selon l’art. 28 du RGPD, lieu des données, sous-traitants ultérieurs et évaluation du risque.
Qui reçoit les demandes d’accès et d’effacement, qui décide d’une notification à l’autorité de contrôle ? Délais et responsabilités sont fixés avant que quelque chose n’arrive.
Accès, chiffrement, sauvegarde et formations reçoivent des preuves datées. Avec ISO 27001 comme cadre, cela devient un système auditable.
Dans le Trust Center, clients et partenaires voient quelles mesures vous avez prises et quels prestataires interviennent. La politique de confidentialité reste obligatoire, le Trust Center la complète.
Priorité
Les particuliers lisent rarement les politiques. Mais ils remarquent si une entreprise répond vite et clairement aux questions.
Les demandes d’accès et d’effacement sont enregistrées avec réception, traitement et réponse. Des tâches avec délai garantissent que rien ne reste en suspens.
Qui décide, qui notifie, qui informe les clients ? Si la procédure est fixée et répétée à l’avance, les premières heures servent à l’essentiel.
Tous les sous-traitants figurent dans une liste avec contrat, localisation et risque. Les contrats manquants et les preuves expirées se remarquent.
Le Trust Center présente mesures, certificats et prestataires sur une page dédiée. Partenaires, presse et clients intéressés y trouvent des réponses.
Comment Sightadel vous aide
Les obligations du RGPD sont présentées sous forme de questions guidées, des principes aux droits des personnes concernées jusqu’à l’obligation de notification. Chaque question comporte une explication, une réponse et un justificatif.
En savoir plus →Hébergement, paiement, expédition, newsletter et analyse figurent dans une liste avec pays, contrat, sous-traitants ultérieurs et preuves. L’évaluation du risque découle des données traitées.
En savoir plus →Modèles pour le registre, les mentions d’information, le concept de suppression et les réponses aux demandes des personnes concernées. L’IA aide à formuler, l’appréciation juridique reste la vôtre.
En savoir plus →Demandes ouvertes, contrats manquants et mesures après une violation de données deviennent des tâches avec délai et personne responsable.
En savoir plus →Une page publique avec mesures de sécurité, certificats, documents approuvés et sous-traitants. Le sceau Sightadel renvoie à votre scorecard.
En savoir plus →Sightadel vérifie l’apparence de votre boutique, de votre site et de votre serveur de messagerie vus de l’extérieur et présente chaque problème avec des instructions de correction.
En savoir plus →Effort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Les facteurs les plus déterminants sont le nombre de prestataires, le nombre de pays et le nombre de systèmes contenant des données clients.
Ce que vous souscrivez · généralement Professional
Une entreprise B2C typique avec boutique ou application pilote le RGPD dans l’édition Professional, car de nombreux prestataires se trouvent derrière l’activité. Elle comprend dix utilisateurs et 25 fournisseurs. Licence pour le RGPD : à partir de 200 € par mois. Si vous ajoutez ISO 27001, vous bénéficiez d’une remise permanente sur le RGPD. Avec peu de prestataires, Basic suffit souvent.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
En Allemagne, selon le § 38 de la BDSG, en règle générale lorsqu’au moins 20 personnes sont employées en permanence au traitement automatisé de données à caractère personnel. Indépendamment de ce nombre, l’obligation peut s’appliquer, par exemple lorsqu’une analyse d’impact est nécessaire. Clarifiez l’appréciation de votre cas avec votre conseil juridique.
En principe un mois à compter de la réception. Pour des demandes complexes ou nombreuses, le délai peut être prolongé de deux mois. La personne concernée doit en être informée dans le premier mois.
Les violations à notifier vont à l’autorité de contrôle dans les meilleurs délais et si possible dans les 72 heures après en avoir pris connaissance. En cas de risque élevé pour les personnes concernées, celles-ci sont également informées. Chaque violation est documentée, même sans notification.
Non. L’information selon l’art. 13 du RGPD reste obligatoire. Le Trust Center la complète avec les mesures de sécurité, les certificats et la liste des prestataires.
Une boutique qui vend ses propres produits n’est en règle générale pas une place de marché en ligne au sens de la BSIG. Si vous exploitez une plateforme sur laquelle des tiers vendent, cela peut être différent. Clarifiez l’appréciation avec votre conseil.
Sightadel ne fournit pas de bannières de cookies. Vous consignez quelles techniques vous utilisez, sur quelle base et avec quel prestataire, et reliez la documentation comme preuve.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
