RGPD et prospection LinkedIn : ce qu'il faut vérifier dans un outil
Liste de contrôle RGPD pour les équipes de prospection européennes : rôles, base légale, information, désinscription, lieu des données, export, effacement et contrat de sous-traitance, puis ce que fait Mako Reach. Pas un avis juridique.
Dans cet article
Avec le RGPD, quand vous écrivez à des personnes sur LinkedIn depuis l'UE, vous êtes en général le responsable de traitement de leurs données et votre outil est un sous-traitant. Vérifiez la base légale, l'information, les désinscriptions, le lieu de stockage, l'export et l'effacement, et le contrat de sous-traitance. Ceci est une liste de contrôle, pas un avis juridique.
Nous sommes un éditeur de logiciel, pas des juristes. Demandez à votre conseil ou à votre délégué à la protection des données ce qui s'applique à vous. Ci-dessous, nous séparons les points généraux du règlement général sur la protection des données (RGPD), avec un lien vers le texte, et les faits sur Mako Reach que nous pouvons vérifier dans le produit.
Qui est responsable de traitement et qui est sous-traitant ?
Pour les personnes que vous contactez, vous êtes normalement le responsable de traitement : vous décidez pourquoi et comment leurs données sont utilisées. L'outil de prospection les traite pour votre compte, ce qui en fait un sous-traitant. L'article 28 du règlement (texte) prévoit qu'un sous-traitant travaille dans le cadre d'un contrat écrit qui fixe l'objet, la durée, la nature et la finalité du traitement, les types de données et les droits du responsable. Il prévoit aussi qu'un sous-traitant a besoin de l'autorisation du responsable avant de recourir à un sous-traitant ultérieur.
Pour les données de compte et de facturation de votre propre équipe, l'outil est responsable de traitement pour son propre compte. Un outil qui se dit sous-traitant pour tout, ou responsable pour tout, mérite une question de plus.
À demander à l'éditeur : quel rôle prenez-vous pour chaque type de données, et où est-ce écrit ?
Quelle base légale le RGPD admet-il pour la prospection B2B ?
Tout usage de données personnelles demande une base légale au titre de l'article 6. Pour la prospection B2B, beaucoup d'équipes s'appuient sur l'intérêt légitime, article 6, paragraphe 1, point f, qui permet le traitement nécessaire aux intérêts légitimes du responsable sauf si les intérêts ou les droits de la personne prévalent. Le consentement est l'autre base citée, et certaines règles sur la prospection électronique sont plus strictes que le règlement seul.
L'intérêt légitime n'est pas un laissez-passer. Il demande de peser votre intérêt contre celui de la personne, en général dans une courte analyse écrite. Qu'il convienne à votre cas dépend de qui vous contactez, pourquoi, comment et dans quel pays. Vérifiez-le avec un conseil.
À demander à l'éditeur : que me demandez-vous de confirmer avant d'importer des personnes ? Mako Reach vous demande de confirmer que vous avez une base légale à chaque import de liste, et laisse l'appréciation à votre charge.
Quelle information et quelle désinscription faut-il prévoir ?
Si vous recueillez les coordonnées de quelqu'un sur LinkedIn plutôt qu'auprès de lui, l'article 14 (texte) vous oblige à lui dire qui vous êtes, pourquoi vous utilisez ses données et comment s'y opposer. Le délai est le plus court entre : un délai raisonnable d'un mois au plus, le moment de la première communication avec la personne, ou la première communication des données à un tiers. Il y a des exceptions : demandez à votre conseil.
L'article 21 (texte) donne aux personnes le droit de s'opposer à tout moment à la prospection, et une fois qu'elles s'y opposent, leurs données ne doivent plus être traitées à cette fin.
Les autorités agissent sur ce point. En décembre 2024, la CNIL a sanctionné une société qui collectait des coordonnées sur LinkedIn, et l'un de ses constats était le défaut d'information des personnes exigée par les articles 12 et 14 (décision de la CNIL).
À demander à l'éditeur : puis-je mettre une information dans le premier message, et l'outil cessera-t-il de contacter une personne qui se désinscrit, dans toutes les campagnes et tous les comptes ?
Où les données sont-elles stockées ?
Demandez où tournent l'application, la base de données et les tâches de fond, et si une partie se trouve hors de l'UE, y compris un service dont l'éditeur dépend. Méfiez-vous de toute promesse que les données ne sortent pas d'une région : un outil qui se connecte à LinkedIn dépend de tiers.
À demander à l'éditeur : listez chaque lieu et chaque tiers qui touche mes données.
Peut-on exporter et effacer les données ?
Le règlement donne aux personnes des droits d'accès et d'effacement, et vous devez y répondre. Votre outil doit vous permettre de retrouver et de supprimer une personne dans toutes vos campagnes, conversations et listes, et de partir avec vos données.
À demander à l'éditeur : puis-je effacer complètement une personne, et exporter tout ce que vous conservez ?
Que demander sur le contrat de sous-traitance et les sous-traitants ultérieurs
Un accord de traitement des données (DPA) est le contrat de l'article 28. Un sous-traitant ultérieur est toute société que l'éditeur utilise pour fournir le service. Utilisez cette liste :
| Sujet | Ce qu'il faut demander |
|---|---|
| DPA | Existe-t-il un DPA signé, et nomme-t-il les types de données et la finalité ? |
| Sous-traitants ultérieurs | Y a-t-il une liste, avec l'hébergeur et tout prestataire qui se connecte à LinkedIn ou fait tourner l'IA ? |
| Changements | Comment êtes-vous prévenu avant l'ajout d'un sous-traitant ultérieur ? |
| Lieu | Où tourne chaque partie, et où hébergent les sous-traitants ultérieurs ? |
| Conservation | Combien de temps les données sont-elles gardées, et que deviennent-elles ensuite ? |
| Droits | Une personne peut-elle être retrouvée, exportée et effacée ? |
| IA | Quel fournisseur d'IA reçoit les données des leads, et qui détient la clé ? |
| Sécurité | Comment les identifiants et les jetons sont-ils stockés ? |
Que fait Mako Reach ?
Ce sont des faits que nous pouvons vérifier dans le produit aujourd'hui. Aucun n'affirme que Mako Reach, ou vous, respectez le règlement.
| Point | Ce que fait Mako Reach |
|---|---|
| Hébergement | L'application, la base de données et les tâches de fond tournent dans l'UE (Francfort et Amsterdam). Les sessions LinkedIn sont gérées par un service tiers dont nous ne maîtrisons pas la région d'hébergement : nous ne disons donc pas que toutes les données restent dans l'UE. |
| Export | Un admin de l'espace peut télécharger les données de l'espace depuis les paramètres. L'export n'inclut ni les cookies de session des comptes ni les secrets d'authentification à deux facteurs. |
| Effacement | Un admin peut effacer l'espace entier, y compris les comptes LinkedIn qu'il a connectés. Une personne peut être effacée à partir de son identifiant LinkedIn, ce qui supprime ses conversations, ses messages et ses lignes de leads dans l'espace. |
| Désinscription | Une liste de suppression évite de contacter des personnes dans toutes les campagnes. Une réponse contenant un mot d'arrêt, comme « stop » ou « unsubscribe », ajoute la personne à la liste avant que l'agent IA ne s'exécute. La liste des mots d'arrêt est en anglais. |
| Information | Un tag de fusion facultatif, désactivé par défaut, peut ajouter à un message une courte information sur les données avec un lien de désinscription. Le texte est un modèle : faites relire par votre conseil ce que vous envoyez. |
| Base légale | L'import d'une liste vous demande de confirmer que vous avez une base légale pour contacter les personnes. |
| Conservation | Un nettoyage planifié anonymise les données une fois la durée de conservation dépassée. |
| Isolation | Les données de chaque espace sont séparées au niveau des lignes de la base de données. |
| Identifiants | Les cookies de session LinkedIn, les mots de passe de proxy, les jetons de bots et votre clé IA sont stockés chiffrés. |
| IA | Les fonctions IA tournent chez le fournisseur d'IA que vous connectez, avec votre propre clé. Les données du lead utilisées pour un brouillon ou une étape rédigée par IA partent chez ce fournisseur. |
Vous retrouvez les mêmes faits, en plus court, sur la page sécurité, et les contrôles sur la page sécurité des comptes.
Ce que nous ne prétendons pas
Nous ne présentons pas Mako Reach comme conforme au règlement, et aucun outil ne peut rendre votre prospection licite à votre place. La politique de confidentialité et les conditions de notre site sont encore en cours de finalisation avec une relecture juridique, et les conditions de traitement et la liste des sous-traitants ultérieurs ne sont pas encore publiées sur le site. Si vous avez besoin d'un DPA ou d'une liste de sous-traitants avant de signer, écrivez-nous depuis la page contact et demandez-les par écrit.
Mako Reach n'est pas affilié à LinkedIn. Les conditions de LinkedIn restreignent les outils automatisés : en utiliser un comporte un risque. Lisez le playbook de sécurité des comptes pour les limites et les habitudes de rythme.
FAQ
L'intérêt légitime suffit-il pour la prospection LinkedIn au regard du RGPD ?
Beaucoup d'équipes s'appuient sur l'intérêt légitime pour la prospection B2B, mais il demande un test de mise en balance et ne couvre pas tous les cas. Les règles sur la prospection électronique peuvent être plus strictes que le RGPD. Demandez à un conseil pour votre pays et votre type de message.
Suis-je responsable de traitement ou sous-traitant quand j'utilise un outil de prospection ?
En général, vous êtes responsable de traitement des personnes que vous contactez, et l'outil est votre sous-traitant. Un DPA au titre de l'article 28 doit le dire.
Mako Reach garde-t-il toutes les données dans l'UE ?
L'application, la base de données et les tâches de fond tournent dans l'UE (Francfort et Amsterdam). Les sessions LinkedIn sont gérées par un service tiers dont nous ne maîtrisons pas la région d'hébergement : nous ne prétendons donc pas que toutes les données restent dans l'UE.
Comment supprimer une personne qui me le demande ?
Un admin de l'espace peut effacer une personne à partir de son identifiant LinkedIn, et l'ajouter à la liste de suppression pour qu'aucune campagne ne la recontacte.
Mako Reach envoie-t-il une information sur la confidentialité à ma place ?
Seulement si vous activez le tag de fusion facultatif et le placez dans votre message. Il est désactivé par défaut, et vous devez faire relire le texte.
Prêt à essayer ?
Découvrez-le sur des données d'exemple, ou demandez-nous un accès.