Base de connaissances

Le 25 mai 2018 marque l'entrée en vigueur du Règlement général de l'Union européenne sur la protection des données.

Ce nouveau règlement a eu un impact important sur tous ceux dont le travail implique la manipulation de données personnelles concernant des résidents de l'UE ou au sein de l'UE. Naturellement, les données personnelles occupent une place centrale dans l'activité de vente, aussi Pipedrive et nos utilisateurs ont-ils pris toutes les mesures nécessaires pour s'assurer de leur conformité.

Cet article expose les rôles et responsabilités liés aux données dans le cadre de votre utilisation de Pipedrive comme plateforme CRM et explique les efforts entrepris par Pipedrive pour respecter les valeurs et les exigences du RGPD.

Pipedrive comme processeur de données

Les contacts que vous enregistrez dans Pipedrive correspondent à des personnes, et vous êtes considéré(e) comme le contrôleur de données vis-à-vis de ces données personnelles. Dans nos Conditions d'utilisation et notre Notice de confidentialité, nous désignons ces données du terme de données client (les données que vous traitez dans Pipedrive).

Le fait que vous utilisiez l'appli Pipedrive pour gérer vos clients signifie que vous avez engagé Pipedrive comme processeur de données pour effectuer certaines activités de traitement de données pour votre compte.

Conformément à l'Article 28 du RGPD, la relation entre le contrôleur et le processeur doit être établie par écrit (l'alinéa (9) de ce même article indique qu'une version électronique est également acceptable).

C'est là qu'interviennent notre Addendum sur le traitement des données (DPA), nos Conditions d'utilisation et notre Notice de confidentialité. Ces trois documents constituent votre contrat de traitement de données. Ils énoncent les instructions que vous donnez à Pipedrive concernant le traitement des données personnelles que vous contrôlez et établissent les droits et obligations des deux parties. Pipedrive, en qualité de processeur de données, ne traitera que les données de vos clients en accord avec vos instructions en tant que contrôleur de données.

Enfin, il est crucial que vous preniez connaissance de la section 14.1 de nos Conditions de service pour savoir quelle entité de Pipedrive est votre partenaire contractuel.

Tous les clients de l'UE ont une relation contractuelle avec notre entité européenne, basée en Estonie.

Transferts de données

Une question qui revient souvent avec les clients est celle des transferts de données en dehors de l'EEE.

Le RGPD formule des exigences strictes concernant le transfert de données hors de la zone qu'il protège. C'est tout à fait normal : dans le cas contraire, il serait impossible au règlement d'atteindre son objectif.

Qui est responsable du respect de ces exigences relatives aux transferts de données ? Comme nos clients de l'UE ont une relation juridique avec notre entité européenne, ce transfert de données se passe au sein de l'EEE. Cependant, si Pipedrive collabore en aval avec des sous-traitants situés hors de l'EEE, il nous incombe de nous assurer que les données soient légalement transférées.

Nous dresserons et tiendrons à jour une liste de sous-traitants sur notre page des sous-traitants, afin d'assurer une transparence totale sur ce point. Cette liste expliquera également quelles sont les données concernées, et comment nous nous sommes assurés de leur protection adéquate même après leur migration hors de l'EEE.

Pour cela, nous vérifions que nos sous-processeurs soient certifiés conformément au Cadre de protection des données UE-États-Unis, ou qu'ils aient signé avec nous les clauses contractuelles standard de la Commission européenne pour les transferts de données. Il convient cependant de noter que nous ne nous réclamons pas du Cadre de protection des données pour le mécanisme de transfert des données.

Nous nous conformons aux lois et règlements applicables sur la confidentialité des données lorsque nous transférons des données entre régions ou entre pays, y compris en ce qui concerne la mise en œuvre des mesures de protection appropriées, comme le cryptage des données et les accords contractuels (DPA, SCC, le cas échéant), pour garantir la conformité et protéger la confidentialité des données de nos clients.

Pipedrive comme contrôleur de données

Par ailleurs, Pipedrive agit comme contrôleur de données s'agissant des données personnelles que nous collectons sur vous, l'utilisateur de notre appli web, de nos applis mobiles et de notre site web.

En premier lieu, nous traitons les données qui nous sont nécessaires pour remplir nos obligations contractuelles envers vous (RGPD, article 6(1)(b)).

Nous traitons également les données pour satisfaire à nos obligations légales (RGPD, Article 6(1)(c)). Il s'agit avant tout de données financières et d'informations nécessaires pour satisfaire à nos obligations de responsabilité découlant du RGPD.

Par ailleurs, nous traitons vos données personnelles pour répondre à nos intérêts légitimes, au sens de l'Article 6(1)(f) du RGPD.

De quels « intérêts légitimes » est-il question ici ?

• Améliorer l'application pour vous aider à atteindre de nouveaux niveaux de productivité
• Nous assurer que vos données et les systèmes de Pipedrive sont en sécurité
• Assurer un marketing raisonné de notre produit et de ses fonctionnalités

Nous espérons que cela vous aidera à prendre plus efficacement en compte les exigences européennes en matière de protection des données.

Que fait Pipedrive pour se conformer au RGPD ?

En tant qu'entreprise d'origine européenne, Pipedrive est très à même de comprendre les enjeux du RGPD européen pour les entreprises.

Chez Pipedrive, nous sommes conscients des besoins des utilisateurs de Pipedrive et de leurs clients en matière de protection de la vie privée, et nous avons pris des mesures techniques et organisationnelles – que nous améliorons continuellement – conformes au RGPD, pour protéger les données personnelles traitées par Pipedrive.

Processus internes, sécurité et transferts de données

Une partie significative de la conformité au RGPD consiste à s'assurer que les procédures sont mises en place et que les traitements de données sont traçables et vérifiables. Nous avons donc incorporé à notre cycle de développement d’application des éléments permettant de construire des fonctionnalités conformes aux principes de la protection de la vie privée dès la conception et de la sécurité dès la conception.

Tout accès aux données client que nous traitons en votre nom est strictement limité. Nos procédures internes et nos fichiers logs nous assurent de satisfaire aux exigences de responsabilité du RGPD à cet égard.

Nous avons mis en place un processus d'intégration des fournisseurs de services externes et adopté des outils assurant que ces tiers respectent les exigences très strictes de Pipedrive et de ses clients en matière de confidentialité et de sécurité.

Disponibilité à répondre aux demandes d'accès des sujets

Les personnes concernées ont la propriété de leurs données personnelles : c'est le principe du RGPD. Nous avons donc mis en place un système pour répondre promptement aux demandes des personnes concernées en matière d'effacement, de modification ou de transfert de leurs données.

Cela signifie que nos spécialistes de l'aide à la clientèle, avec les ingénieurs qui les assistent, sont prêts à vous aider pour toutes les questions impliquant vos données personnelles ; ceci en plus du service hors pair d'aide au client auquel vous êtes déjà habitué.

Documentation

Nos Conditions d'utilisation et notre Notice de confidentialité sont régulièrement mises à jour pour améliorer la transparence et assurer la conformité avec les exigences du RGPD.

Ces documents constituant la fondation de notre relation avec vous, nous nous devons de fournir une explication exhaustive et transparente de nos engagements et de vos droits.

Par ailleurs, nous contrôlons continuellement toutes nos activités de traitement de données afin d'assurer notre respect des exigences de responsabilité posées par le RGPD.

Formation

Tout ce qui précède repose sur un effort intense de formation au sein de l'entreprise, afin que les processus respectueux du RGPD que nous avons mis en place soient suivis.

Nos employés suivent régulièrement des formations et des programmes de sensibilisation à la confidentialité et à la sécurité pour assurer qu'ils soient informés sur les meilleures pratiques, les menaces actuelles et la façon de sécuriser les données personnelles. Par exemple, des sessions consacrées à la confidentialité et à la sécurité des données font partie intégrante de notre processus d'intégration, et chaque département reçoit une formation adaptée à son travail impliquant des données personnelles.

Pipedrive est profondément convaincu que le respect du RGPD va beaucoup plus loin qu'une simple liste avec des cases à cocher. Pour nous, le RGPD est bel et bien un engagement à respecter la vie privée des gens et à effectuer le traitement des données privées d'une façon responsable.