REP27 · SaaS
Article 27 GDPR · SaaS et logiciels
Une entreprise de logiciels entre dans le GDPR plus tôt que presque tout autre type d'entreprise, et généralement sans qu'une décision soit prise. Il n'y a pas d'expédition, pas d'entrepôt, pas de bureau européen — juste un formulaire d'inscription qui commence à accepter des adresses dans l'Union. Au moment où un questionnaire d'entreprise demande le représentant, l'obligation a souvent été en cours pendant un an.
La plupart des entreprises SaaS occupent les deux rôles simultanément, et la distinction est importante pour le dossier que votre représentant tient.
| Données | Votre rôle | Dossier |
|---|---|---|
| Titulaire de compte, facturation, marketing | Contrôleur | Article 30(1) |
| Données des utilisateurs finaux que vos clients téléchargent | Processeur | Article 30(2) |
| Tickets de support et journaux de session | Généralement processeur | Article 30(2) |
| Analyse de produit sur votre propre site | Contrôleur | Article 30(1) |
| Données des employés et des sous-traitants dans l'UE | Contrôleur | Article 30(1) |
Les acheteurs européens sont tenus en vertu de l'Article 28 d'utiliser uniquement des processeurs fournissant des garanties suffisantes, donc leurs questionnaires ne sont pas une formalité. Un champ vide où le représentant devrait être renvoie le dossier au service juridique, et l'accord glisse d'un trimestre.
Europe Services SE, Prague, avec une désignation signée couvrant les tâches de l'Article 27 pour votre entreprise.
Textes des Articles 13(1)(a) et 14(1)(a), générés dans chaque langue que votre produit prend en charge.
Un certificat avec un code qui se résout sur une page publique, afin qu'un acheteur puisse vérifier sans vous contacter.
Votre enregistrement Article 30 conservé à l'intérieur de l'Union et produit à une autorité sur demande.
Les entreprises physiques entrent dans le GDPR à un moment qu'elles peuvent voir : le premier envoi à une adresse européenne. Les logiciels traversent à un moment que personne ne note, c'est pourquoi l'obligation est souvent découverte tardivement et rétroactivement.
Un produit en libre-service n'a pas de gardien. Quelqu'un à Rotterdam trouve la page d'atterrissage, commence un essai et commence à télécharger des données, et l'entreprise en apprend l'existence via un tableau de bord des semaines plus tard, si tant est qu'elle en soit informée. D'ici là, le traitement a été continu pendant un mois et l'exemption de traitement occasionnel n'est déjà plus disponible.
La croissance axée sur le produit rend cela encore plus aigu. La stratégie est conçue pour éliminer les frictions entre la découverte et l'utilisation, ce qui supprime également chaque point où une question de juridiction aurait pu être posée. Les entreprises qui n'enverraient jamais un produit physique sur un marché sans vérifier les règles expédient des logiciels là-bas par défaut, plusieurs fois par jour.
La réponse pratique n'est pas de ralentir l'entonnoir. Il s'agit de considérer la désignation comme faisant partie du lancement en Europe — la même catégorie que l'acceptation des paiements en euros ou la publication d'un accord de traitement des données, fait une fois et ensuite oublié.
Oui. Les contacts commerciaux sont des données personnelles : noms, adresses e-mail professionnelles, titres de poste et numéros de téléphone des employés de vos entreprises clientes. Être B2B change qui sont les personnes concernées, pas si la réglementation s'applique.
Oui. L'article 3(2)(a) couvre l'offre de biens ou de services, peu importe si un paiement est requis. Un essai gratuit, un niveau freemium et une clé API gratuite sont tous des services.
Lorsqu'elles identifient des utilisateurs et construisent des profils comportementaux, oui — c'est l'article 3(2)(b). Les comptes agrégés de vues de pages sans identifiants au niveau des utilisateurs se situent plus loin de la ligne, mais la plupart des piles d'analytique de produits sont bien au-delà.
Non. La portée suit où se trouvent les personnes, pas où se trouvent les données. La localisation d'hébergement est importante pour les transferts, ce qui est une question distincte répondue par l'adéquation ou les Clauses Contractuelles Types.
Généralement les deux, sous différents aspects : contrôleur pour vos propres titulaires de compte, facturation et marketing ; processeur pour les données des utilisateurs finaux que vos clients mettent dans le produit. La désignation couvre votre entreprise dans les deux capacités.
Le nom et l'adresse postale du représentant, le libellé de votre avis de confidentialité, et de plus en plus un moyen de vérifier la désignation de manière indépendante. Un certificat avec un code public répond aux trois sans un fil de courriel.
Dans les 24 heures suivant un formulaire d'intégration complété. Le libellé de l'avis de confidentialité l'accompagne, donc la partie publique du questionnaire peut être répondue le même jour.
Désignation et certificat dans les 24 heures, avec le libellé prêt à être collé dans votre avis.
Voir les prix Effectuer la vérification gratuite