Quand une régie vous transmet un contact, elle vous transmet le nom, le téléphone et l’adresse d’une personne réelle. Vous devenez responsable de ces données chez vous, mais la façon dont elles ont été collectées engage aussi votre nom. Voici ce que nous vous conseillons de vérifier avant de signer, et comment nous y répondons.
Sur quelle base la personne a-t-elle été contactée ?
Le règlement général sur la protection des données exige une base légale pour chaque traitement (RGPD, article 6). Pour un formulaire de mise en relation, la base la plus claire est le consentement de la personne.
Ce consentement doit être donné par un acte positif : une case que la personne coche elle-même, pas une case déjà cochée (RGPD, article 7). Le texte à côté de la case doit dire à quoi elle consent. « Je souhaite être rappelé par un professionnel du placement » dit quelque chose ; « J’accepte les conditions » ne dit rien.
Demandez à votre régie de vous montrer un de ses formulaires. Lisez le texte de la case. S’il est vague, le consentement l’est aussi.
La personne sait-elle qui va l’appeler ?
Le RGPD impose d’informer la personne au moment de la collecte : qui recueille ses données, pour quoi, et à qui elles seront transmises (RGPD, article 13).
Sur nos pages de capture, la personne lit qu’elle sera rappelée par un professionnel partenaire, et que ses coordonnées lui sont transmises à cette fin. La politique de confidentialité, accessible depuis chaque page, détaille le reste : durée de conservation, droits, adresse de contact.
Une régie qui vous promet que ses contacts « ne savent pas d’où ils viennent » vous promet un problème.
Les pages légales existent-elles vraiment ?
Mentions légales, politique de confidentialité, conditions d’utilisation, avertissement sur les risques pour les sujets de placement. Ce sont quatre pages, et elles doivent répondre quand on clique.
Cela paraît élémentaire. Nous avons pourtant déjà trouvé, sur nos propres sites, un lien vers une politique de confidentialité qui renvoyait une page d’erreur. Un contrôle automatique vérifie aujourd’hui que ces pages répondent, sur chaque site, après chaque mise en ligne. Demandez à votre régie comment elle s’en assure.
Que se passe-t-il si la personne demande à disparaître ?
Toute personne peut demander l’effacement de ses données (RGPD, article 17) et s’opposer à tout moment à la prospection (RGPD, article 21). La demande peut arriver chez vous ou chez la régie. Dans les deux cas, il faut pouvoir retrouver le contact et l’effacer pour de bon.
Chez IOD, un contact passe d’abord par une corbeille, puis par un effacement définitif qui exige une confirmation explicite. L’effacement est daté dans un journal. Si la demande arrive chez vous, un message nous suffit pour faire la même chose de notre côté.
Les données sont-elles lisibles par n’importe qui ?
Le RGPD demande des mesures de sécurité adaptées, et cite le chiffrement parmi elles (RGPD, article 32). Une base de contacts stockée en clair se lit en entier dès qu’un disque est copié.
Dans notre plateforme, prénom, nom, téléphone et adresse e-mail sont chiffrés avant d’être écrits en base. La recherche d’un doublon se fait sur une empreinte, sans déchiffrer. La connexion administrateur demande une double vérification. Les sauvegardes sont chiffrées et un test de restauration tourne automatiquement.
Nous le disons parce que c’est vrai, et parce que ce sont des questions qu’un annonceur peut poser à n’importe quelle régie. La réponse doit être précise. « Nos serveurs sont sécurisés » n’est pas une réponse.
Qui garde la preuve ?
Si un jour une personne conteste avoir consenti, quelqu’un doit pouvoir montrer le formulaire, la date, le texte de la case et ce qui a été coché. Nous conservons ces éléments avec chaque contact, ainsi que la provenance : site, article, campagne.
La preuve sert l’annonceur autant que la régie. C’est votre nom que la personne a entendu au téléphone.
En résumé
Avant de recevoir un premier contact, posez six questions : sur quelle base la personne a été collectée, ce qu’elle a lu, si les pages légales répondent, comment on efface, comment on chiffre, qui garde la preuve. Une régie sérieuse répond à chacune avec un exemple, pas avec une formule. Notre politique de confidentialité est en ligne ; le reste se montre sur demande.
