Sous-traitant

L’article 4, point 8 définit le sous-traitant comme celui qui traite des données personnelles pour le compte du responsable. Le trait déterminant est l’absence de finalité propre : un sous-traitant agit sur instruction et ne retire rien des données au-delà de la rémunération de son service.

Pour les contacts capturés sur votre page, c’est LeadShake. Il les stocke, envoie les e-mails de mise en relation et de relance que vous avez configurés, produit votre export XLSX, et s’arrête là. Il ne les revend pas, ne les enrichit pas, et ne s’en sert pour entraîner quoi que ce soit.

Ce que l’article 28 exige de la relation

Un accord écrit, que les conditions d’utilisation et la politique de confidentialité fournissent ensemble. Un traitement uniquement sur instructions documentées. La confidentialité et une sécurité appropriée. La divulgation de tout sous-traitant ultérieur, ce qui signifie ici Stripe pour les paiements et l’hébergement exploité dans l’Union européenne. Une assistance quand une personne exerce ses droits. Et l’effacement au terme de la relation, qui chez LeadShake est immédiat et sans condition : supprimer votre compte efface les leads avec lui.

La distinction a un tranchant pratique

Un sous-traitant ne peut pas décider de faire quelque chose de nouveau avec vos contacts, parce que décider est précisément ce que fait un responsable. Si LeadShake se mettait à rapprocher vos leads de bases achetées, il cesserait d’être sous-traitant pour cette opération et en deviendrait responsable, avec ses propres obligations envers les personnes.

C’est la ligne, et elle mérite d’être comprise avant de comparer des outils : un fournisseur qui met en avant l’enrichissement vous annonce qu’il traite pour des finalités qui lui sont propres.