Questions fréquemment posées sur le RGPD

Objectif de cet article

Découvrez comment le RGPD est lié au consentement, aux demandes de données des clients, et aux outils que vous utilisez dans Klaviyo.

RGPD est l’abréviation de « règlement général sur la protection des données », un règlement de l’UE adopté en 2016 qui est entré en vigueur le 25 mai 2018. Il régit le traitement des données personnelles par les entreprises établies dans l’UE, ainsi que par les entreprises hors UE qui proposent des biens ou des services aux personnes dans l’UE ou y surveillent leur comportement. Pour plus d’informations sur le RGPD, consultez notre blog (en anglais).

Ai-je le droit de confier les données de mes clients européens à Klaviyo ?

Le RGPD reconnaît plusieurs mécanismes juridiques permettant de transférer des données à caractère personnel en dehors de l’UE. Klaviyo est auto-certifié au titre du Data Privacy Framework et l’utilise pour les transferts tant qu’il est reconnu comme un mécanisme de transfert valide dans la région concernée. Les clauses contractuelles types Standard s’appliquent à titre de solution de repli, comme décrit dans notre accord de traitement des données, qui est incorporé à nos conditions d’utilisation. Nous vous recommandons de consulter votre équipe juridique pour déterminer le mécanisme approprié pour tout transfert de données que votre organisation pourrait effectuer.

S’il n’est pas possible de prouver que d’anciens profils ont bien donné leur consentement explicite, existe-t-il un moyen de confirmer ce consentement par e-mail ?

Avant l’entrée en vigueur du RGPD (le 25 mai 2018), nous recommandions d’envoyer une campagne à tous vos abonnés dans l’UE afin qu’ils confirment leur consentement à recevoir votre communication marketing. Cependant, maintenant que le RGPD est appliqué, cette pratique ne fait plus partie de nos recommandations. Avant de contacter l’un de vos clients ou abonnés existants pour lesquels vous ne pouvez pas prouver qu’un consentement explicite a été donné, veuillez consulter votre équipe juridique.

Comment prouver que le consentement a bien été accordé ainsi que le jour où l’abonné s’est inscrit ?

Klaviyo recommande le double opt-in pour les inscriptions par e-mail. Pour démontrer le consentement, conservez le texte présenté à l’abonné dans le formulaire, l’e-mail ou la page web où il a donné son consentement, ainsi que la date et l’heure auxquelles il l’a donné, et l’objet exact de ce à quoi il a consenti. Consultez votre équipe juridique au sujet des exigences d’opt-in propres à chaque pays.

Pour nos champs d’adresse e-mail sur nos sites web, devons-nous ajouter plus de cases à cocher pour que les clients puissent préciser leurs choix avant de valider leur envoi ?

Klaviyo propose des formulaires conformes au RGPD avec plusieurs cases à cocher, ce qui permet d’obtenir un consentement granulaire (c’est-à-dire un consentement distinct pour le marketing par e-mail et le marketing sur Facebook).

Lors de la création à partir de zéro d’un formulaire d’inscription pop-up, volant, intégré ou pleine page, activez Activer les champs de protection des données. Personnalisez la langue et les cases à cocher de votre programme marketing, et demandez à votre équipe juridique de les examiner avant de publier le formulaire. Si vous recueillez des données personnelles sur des contacts situés dans l’UE par l’intermédiaire d’autres plateformes, vous devrez également apporter des modifications sur ces plateformes.

Si vous utilisez une case à cocher personnalisée pour recueillir le consentement à l’e-mail, utilisez ses propriétés de profil pour créer un segment d’abonnés qui l’ont sélectionnée. Attribuez à la case à cocher sa propre propriété personnalisée au lieu de $consent. Klaviyo ajoute automatiquement e-mail à $consent lorsque quelqu’un s’abonne, de sorte que cette valeur seule n’indique pas un choix. Envoyez du marketing à ce segment, et ajoutez un filtre correspondant à vos flux marketing. La valeur enregistrée d’une case à cocher personnalisée ne contrôle pas si l’envoi du formulaire abonne quelqu’un au marketing par e-mail.

Quels types de données personnelles traitez-vous, où sont-elles hébergées, avec qui sont-elles partagées et combien de temps sont-elles conservées ?

Pour en savoir plus sur les données que nous traitons et les mesures que nous prenons pour les protéger, consultez notre accord sur le traitement des données (DPA). L’annexe 1 décrit les catégories de données et les finalités du traitement. Les mesures de sécurité sont décrites à l’annexe 2. Vous pouvez également consulter l’intégralité de nos conditions d’utilisation.

Devons-nous mettre à jour les mentions légales utilisées sur les supports qui nous permettent de récupérer des adresses e-mail de sorte à informer les clients des conditions de stockage de leurs données dans Klaviyo ?

Oui, vos mentions légales doivent être mises à jour. Appliquez les conseils suivants pour vos clients actuels et potentiels situés dans l’UE :

• Utilisez des formulations et des termes clairs et simples.
• Précisez pourquoi vous souhaitez collecter des données et ce que vous allez en faire.
• Indiquez le nom de votre organisation et de toute organisation tierce appelée à traiter ces données.
• Informez les contacts qu’ils peuvent retirer leur consentement à tout moment.

Pour être en conformité avec le RGPD, mes e-mails d’opt-in doivent-ils être traduits dans la langue locale ?

Pas obligatoirement. La législation pouvant varier d’un pays à l’autre, nous vous recommandons de consulter votre équipe juridique pour connaître les exigences spécifiques à chaque pays, mais Klaviyo propose un texte standard d’opt-in dans plusieurs langues.

Ai-je l’obligation d’avoir le consentement explicite pour la collecte et le traitement de toutes les données personnelles de mes clients ?

Pour les données personnelles qui ne relèvent pas d’une catégorie particulière, il existe plusieurs bases juridiques possibles pour le traitement, y compris le consentement. Le RGPD énumère plusieurs exceptions à son interdiction générale de traiter des données de catégorie particulière, y compris le consentement explicite. Cependant, la Politique d’utilisation acceptable de Klaviyo interdit de collecter, de stocker, ou de traiter des données de catégorie particulière, telles que des informations de santé, dans Klaviyo, même si vous avez obtenu le consentement.

D’autres bases légales pour le traitement de données personnelles qui ne relèvent pas d’une catégorie particulière incluent :

• Le traitement est nécessaire à l’exécution d’un contrat ou pour prendre des mesures à la demande de la personne concernée avant de conclure un contrat.
• Le traitement est nécessaire au respect d’une obligation légale.
• Le traitement est nécessaire à la protection des intérêts vitaux de la personne concernée ou d’une autre personne.
• Le traitement est nécessaire aux fins des intérêts légitimes de l’entreprise, et ces intérêts ne sont pas en contradiction avec les intérêts ou les droits fondamentaux de la personne concernée.
• Le traitement est nécessaire à l’exécution d’une tâche d’intérêt public ou à l’exercice des responsabilités d’un agent public.

Nous vous recommandons de consulter votre équipe juridique pour déterminer la base légale appropriée pour le traitement des données par votre organisation.

Pouvez-vous anonymiser mes données afin que je puisse consulter un profil sans pouvoir identifier la personne correspondante ?

Klaviyo ne permet pas d’afficher une version anonymisée d’un profil existant. Lorsque vous supprimez un profil, les informations d’identification de son historique d’événements sont expurgées, tandis que les données d’événements (par exemple, les événements Placed Order) restent dans le compte afin de préserver l’exactitude des indicateurs de performance. Les données exportées peuvent être anonymisées en dehors de Klaviyo ; leur exportation n’anonymise pas le profil dans votre compte.

La suppression du profil est définitive. Vous pouvez supprimer un profil et enregistrer la demande de protection des données. Dans la boîte de dialogue de suppression, sélectionnez Supprimer le profil conformément à une demande de protection des données avant de confirmer la suppression. Vous pouvez également exporter toutes les données d’un profil donné si l’un de vos contacts en fait la demande.

Les e-mails de panier abandonné sont-ils conformes au RGPD ?

Il existe un flou juridique autour de cette question. Cependant, de nombreuses organisations considèrent que, sur la base de l’intérêt légitime, vous pouvez toujours envoyer des e-mails de panier abandonné sans que vos contacts aient donné leur consentement explicite pour recevoir des messages à caractère marketing. Il est possible de considérer qu’un e-mail de panier abandonné est un message lié à l’intention explicite d’effectuer une transaction avec votre entreprise. En revanche, d’autres e-mails basés sur des déclencheurs, comme l’abandon de navigation et les flux de reconquête, ne peuvent sans doute pas jouir de la même base légale, à moins que les clients n’aient préalablement consenti à recevoir des e-mails à caractère marketing de votre part (toujours dans le respect du RGPD).

Cela dit, les modalités d’application de l’intérêt légitime ou de toute autre base légale dépendront des circonstances précises, y compris le nombre et la fréquence des e-mails, mais aussi le temps écoulé depuis l’abandon du panier. Nous vous recommandons vivement de consulter votre équipe juridique au sujet de vos campagnes par e-mail afin de vous assurer qu’elles sont conformes à la législation en vigueur.

L’utilisation de Google Fonts est-elle conforme au RGPD ?

L’utilisation de Google Fonts peut poser des problèmes de conformité au RGPD, car le serveur de Google a besoin de l’adresse IP du destinataire pour afficher les polices. Selon le RGPD, une adresse IP est une donnée personnelle qui, de plus, permet d’identifier l’utilisateur. Notez qu’en ajoutant Google Fonts à votre bibliothèque de polices, vous êtes réputé utiliser ce service.

Pour remplacer Google Fonts, Klaviyo propose une sélection de polices hébergées par nos soins. Vous pouvez les utiliser dans vos formulaires d’inscription, sur vos pages de consentement et dans vos e-mails. Le chargement de ces polices n’envoie pas l’adresse IP du visiteur ou du destinataire à Google. Si vous passez aux polices hébergées par Klaviyo, mettez à jour les polices dans votre contenu existant, et supprimez également Google Fonts de votre bibliothèque de polices.

Ressources supplémentaires