REP27 · Après la désignation
Article 27 GDPR · Après la désignation
Presque chaque page sur ce sujet s'arrête au moment de l'achat. Celle-ci commence là. Une désignation n'est pas un certificat que vous déposez et oubliez : elle crée un point de contact actif dans l'Union, un registre, une horloge, et une obligation de notre part qui dure tant que le mandat est en cours. Voici à quoi cela ressemble sur une année.
Un mandat écrit en vertu de l'article 27(1) nommant votre entreprise, la nôtre, le territoire couvert et la date d'entrée en vigueur, exécuté avec une signature électronique.
Le libellé figure dans votre avis de confidentialité dans chaque langue que vous publiez. Jusqu'à ce que cela se produise, la désignation existe mais personne ne peut l'utiliser.
Un certificat avec un code de vérification qui se résout sur une page publique, afin que les équipes d'approvisionnement vérifient votre statut sans vous envoyer d'e-mail.
Votre enregistrement Article 30 est conservé à l'intérieur de l'Union à partir de ce moment, prêt à être produit si une autorité le demande.
Le registre fonctionne discrètement en arrière-plan. Lorsque quelque chose arrive, quatre choses se produisent dans l'ordre.
| Événement | Ce que nous faisons | Timing |
|---|---|---|
| Demande de la personne concernée | Enregistrer, référencer, transmettre à vous | Dans les 2 jours ouvrables |
| Demande de l'autorité de surveillance | Enregistrer, référencer, transmettre, accuser réception | Le même jour ouvrable, à partir de Standard |
| Demande de l'enregistrement Article 30 | Le produire et vous notifier | Le même jour |
| Acheteur vérifiant votre certificat | Rien — la page publique répond | Instantané |
| Votre désignation expire sans paiement | Le badge devient rouge, le statut indique expiré | Immédiat |
Les lignes directrices de l'EDPB 3/2018 considèrent le représentant et le délégué à la protection des données comme des rôles incompatibles, car l'un agit sur vos instructions et l'autre doit être indépendant. Un fournisseur offrant les deux décrit quelque chose de différent de l'Article 27.
Il vaut la peine de définir honnêtement les attentes, car le service n'est pas ce que la plupart des acheteurs imaginent en signant.
Pour une entreprise typique avec des clients européens mais sans présence européenne, la première année ne contient aucune demande de sujet de données. Peut-être qu'une arrive, généralement une demande d'accès de quelqu'un qui a oublié à quel service il s'est inscrit. Le registre l'enregistre, nous la transmettons, vous répondez, et le dossier se clôt en moins d'une semaine.
Le certificat, en revanche, est utilisé en permanence. Il entre dans les questionnaires de sécurité, dans les accords de traitement des données en tant qu'annexe, et dans la page de conformité des acheteurs d'entreprise qui vérifient le code plutôt que de vous demander. Sur une année, c'est là que se trouve presque toute la valeur — pas dans les demandes traitées, mais dans les questions qui ont cessé d'être posées.
L'exception concerne les entreprises ayant un volume orienté vers le consommateur en Europe, où une poignée de demandes par trimestre est normale et le bureau perçoit la rémunération directement. Les deux modèles sont couverts par la même désignation ; seule le plan diffère, c'est pourquoi les demandes illimitées commencent au niveau Standard plutôt qu'au niveau d'entrée.
Une lettre de désignation signée par les deux parties, un certificat daté avec un code QR et un code de vérification, le libellé de votre avis de confidentialité dans chacune de vos langues, et un badge en direct pour votre site. Tout ce dont le public et le côté commercial de l'obligation ont besoin.
Pour la plupart des entreprises, rarement — une poignée par an, souvent aucune. Le service est plus proche d'une assurance que d'un service d'assistance : la valeur réside dans le fait qu'un chemin fonctionnel existe le jour où quelqu'un l'utilise.
Elle est horodatée, reçoit une référence, est enregistrée dans le registre que nous tenons pour vous, et est transmise dans les deux jours ouvrables. Les demandes d'une autorité de contrôle sont envoyées le même jour ouvrable à partir du plan Standard.
Vous le faites, sur le fond. Nous sommes le point de contact, pas le décideur, et le délai de trente jours en vertu de l'Article 12(3) est visible des deux côtés dès que la demande est enregistrée.
Conservez-le à l'intérieur de l'Union et produisez-le à une autorité sur demande, en vous informant le même jour. C'est ce que demande l'Article 30(1) au représentant.
Il se renouvelle annuellement à un tarif réduit et peut être annulé avant chaque date de renouvellement. Rien ne change concernant la désignation elle-même, sauf si vous le demandez.
Dites-le nous, et la désignation est modifiée ou révoquée. Ajouter le Royaume-Uni, ajouter la personne responsable du GPSR, ou mettre fin à la nomination entièrement sont tous gérés sans recommencer.
Désignation, certificat et libellé de l'avis dans les 24 heures. Une personne examine chaque dossier avant de signer.
Nommez-nous