Introduction - application rigoureuse de l'intérêt légitime
Pour certaines activités de traitement, CompanySpotter se fonde sur l'intérêt légitime au sens de l'article 6, paragraphe 1, point f), du RGPD. Cette base juridique ne peut être appliquée à la légère. Le RGPD exige que, pour chaque traitement concret, il soit soigneusement évalué et documenté s'il existe un intérêt légitime, si le traitement est nécessaire à la réalisation de cet intérêt et si les intérêts, les droits fondamentaux et les libertés fondamentales des personnes concernées ne prévalent pas sur cet intérêt.
CompanySpotter a établi la présente analyse d'intérêt légitime (Legitimate Interest Assessment) sur la base d'un cadre d'évaluation du « Hamburg Commissioner for Data Protection and Freedom of Information », une autorité européenne de protection des données.
La présente LIA reflète l'organisation factuelle des services de CompanySpotter. CompanySpotter exploite une base de données de recherche et d'analyse axée sur les entreprises, constituée à partir d'informations provenant de sites web d'organisations. Les services visent à faciliter une information professionnelle actuelle et fiable, notamment à des fins d'analyse, de transparence, de sélection de groupes cibles, d'enrichissement de données et de communication B2B. La base de données contient notamment des données relatives aux organisations, des données de sites web, des canaux de contact, des classifications, des données de localisation, des caractéristiques en ligne et des données technologiques.
Le traitement ne vise pas les personnes physiques en tant que telles. CompanySpotter se concentre sur les organisations, les sites web et le contexte professionnel dans lequel ces organisations sont présentes en ligne. CompanySpotter reconnaît toutefois que, dans ce contexte, des données à caractère personnel peuvent apparaître dans certains cas, par exemple lorsqu'une organisation publie sur son site web une adresse e-mail professionnelle nominative, un numéro de téléphone direct ou d'autres informations de contact pouvant être rattachées à une personne physique. Le traitement de ces données est évalué dans la présente LIA dans le contexte professionnel spécifique dans lequel ces données ont été rendues disponibles sur le site web de l'organisation concernée et sont traitées par CompanySpotter.
Un élément important de l'organisation du traitement est que CompanySpotter informe activement les organisations de leur inclusion dans la base de données. La notification précise quelles données sont traitées, à quelle fin, sur quelle base juridique, quels droits les personnes concernées possèdent et comment l'effacement ou la limitation du traitement peut être organisé. Il y est également souligné que la notification ne constitue pas de la publicité, mais qu'elle est envoyée dans le cadre de la transparence relative au traitement éventuel de données.
Le présent document a été établi conformément à la Déclaration de confidentialité de CompanySpotter, dans lequel figurent de plus amples informations sur le traitement des données à caractère personnel par CompanySpotter. Lorsque des définitions sont utilisées dans le présent document, elles correspondent aux définitions du Privacy Statement.
1. Intérêt légitime
Question 1.1 : Quel est l'intérêt poursuivi par l'activité de traitement ?
L'intérêt poursuivi par l'activité de traitement consiste à pouvoir proposer et maintenir une base de données de recherche et d'analyse axée sur les entreprises, actuelle, fiable et structurée, permettant aux utilisateurs professionnels de trouver, d'analyser, de comparer, de segmenter et de contacter des organisations pertinentes pour eux dans le domaine business-to-business.
CompanySpotter a un intérêt légitime à collecter, structurer, actualiser et mettre à disposition d'utilisateurs professionnels des informations concernant des organisations, des sites web et des canaux de contact professionnels. Ces informations répondent autant que possible aux besoins des entrepreneurs et soutiennent notamment l'information professionnelle, l'exploration de marché, la sélection de groupes cibles, la génération de prospects, l'analyse concurrentielle, l'enrichissement de données, la mise à jour de fichiers professionnels et la communication B2B par les utilisateurs des Services de CompanySpotter.
En outre, les intérêts de tiers, notamment les utilisateurs des Services de CompanySpotter, sont également servis. Ils ont intérêt à accéder à des informations actuelles et utiles sur les Entreprises à des fins professionnelles, telles que l'identification d'organisations pertinentes, la réalisation d'analyses de marché, la sélection de groupes cibles, une meilleure adéquation de leurs propres services avec le marché, la proposition de leurs propres services à des Entreprises intéressées, la mise à jour de bases de données professionnelles et l'étayage de décisions commerciales et stratégiques.
Les intérêts des Entreprises dont les données sont mises à disposition par l'intermédiaire des Services de CompanySpotter peuvent également être servis par le traitement, dans la mesure où leur trouvabilité et leur visibilité professionnelles dans le domaine business-to-business peuvent être accrues et améliorées, puisqu'elles peuvent être mieux trouvées par des parties professionnelles à la recherche de produits, services, technologies, expertises ou possibilités de coopération pertinents.
Ces intérêts sont en outre poursuivis dans le respect des principes du RGPD, notamment la minimisation des données, la transparence et l'exactitude.
Question 1.2 : Quelle est la finalité spécifique du traitement ?
La finalité spécifique du traitement est la collecte, la structuration, l'analyse, l'actualisation et la mise à disposition, à des utilisateurs professionnels, de données axées sur les entreprises concernant des organisations, des sites web et des canaux de contact professionnels. Les utilisateurs peuvent ainsi identifier, distinguer, analyser, segmenter et contacter des organisations dans le domaine business-to-business.
Le traitement est destiné à des fonctionnalités de recherche professionnelle, à l'analyse de marché, à la sélection de groupes cibles, à la génération de prospects, à l'analyse concurrentielle, à l'enrichissement de données, à la mise à jour de fichiers professionnels et à la communication professionnelle ciblée. Il est notamment possible de rechercher et de filtrer sur la base de caractéristiques d'organisation, de caractéristiques de site web, de données de localisation, de données sectorielles et de classification, de canaux de contact et d'utilisation de technologies.
CompanySpotter collecte des données à partir de sites web d'organisations. Le traitement ne vise pas à constituer des profils personnels ni à traiter des données de personnes physiques comme finalité autonome. Les noms de personnes physiques ne constituent pas une finalité distincte ni un champ de base de données séparé. CompanySpotter applique des mesures visant à limiter autant que possible le traitement des noms.
Le traitement des adresses e-mail et des numéros de téléphone vise principalement les canaux de contact professionnels généraux des organisations, tels que les adresses e-mail générales et les numéros généraux d'organisation. Dans des cas exceptionnels, une adresse e-mail professionnelle nominative ou un numéro de téléphone direct peut être traité lorsque cette donnée a été publiée par l'organisation elle-même sur son site web, qu'elle sert fonctionnellement de canal de contact professionnel et qu'aucune solution plus générale n'est disponible.
Question 1.3 : Qui poursuit cet intérêt ?
L'intérêt est poursuivi en premier lieu par CompanySpotter elle-même, en tant que fournisseur de ses Services et en sa qualité de responsable du traitement. Le traitement intervient dans le cadre de son activité principale : proposer une plateforme de recherche, d'analyse et de données axée sur les entreprises à des utilisateurs professionnels.
Les intérêts de tiers sont également servis, à savoir ceux des utilisateurs et clients de CompanySpotter. Ils utilisent les informations à des fins professionnelles, telles que l'exploration de marché, la sélection de groupes cibles, la communication professionnelle, l'analyse de données, l'enrichissement de données, la mise à jour de fichiers professionnels et la prise de décisions stratégiques.
Les intérêts des Entreprises dont les données sont mises à disposition par l'intermédiaire des Services de CompanySpotter peuvent également être servis par le traitement.
Le traitement sert ainsi à la fois l'intérêt de CompanySpotter à pouvoir proposer et maintenir ses Services et l'intérêt des utilisateurs professionnels à accéder à des informations actuelles, exactes et fiables axées sur les entreprises au sujet d'Entreprises. En outre, le traitement peut contribuer à la trouvabilité et à l'accessibilité professionnelles des Entreprises auxquelles les informations se rapportent.
Question 1.4 : L'intérêt est-il licite et non contraire au droit applicable ?
Oui. L'intérêt poursuivi est licite et n'est pas contraire au droit de l'Union ou au droit national applicable.
Le traitement vise à proposer et à maintenir une plateforme de recherche et d'analyse axée sur les entreprises, destinée à un usage professionnel dans le domaine business-to-business. Dans la mesure où les données traitées contiennent des données à caractère personnel, il s'agit de données qui ont été rendues disponibles dans un contexte professionnel sur des sites web d'organisations et qui présentent un lien fonctionnel avec la présence en ligne, la trouvabilité ou l'accessibilité de ces organisations.
Le traitement ne vise pas le traitement de catégories particulières de données à caractère personnel au sens de l'article 9 du RGPD, ni de données relatives aux condamnations pénales et aux infractions au sens de l'article 10 du RGPD. Le traitement ne vise pas non plus une prise de décision automatisée produisant des effets juridiques ou des effets significatifs similaires pour les personnes concernées au sens de l'article 22 du RGPD.
L'activité de traitement est organisée de manière à porter principalement sur des organisations, des sites web et des canaux de contact professionnels. Les coordonnées générales des organisations priment sur les coordonnées nominatives. Les organisations sont activement informées de leur inclusion dans CompanySpotter avant que les données ne soient mises à disposition dans la base de données publique. Il existe en outre un mécanisme facilement accessible permettant de consulter, de limiter ou de supprimer les données.
Question 1.5 : L'intérêt est-il formulé de manière claire et précise ?
Oui. L'intérêt légitime est formulé de manière claire et précise.
L'intérêt de CompanySpotter est circonscrit à la fourniture et au maintien d'une base de données de recherche et d'analyse axée sur les entreprises, destinée à un usage professionnel dans le domaine business-to-business. Le traitement porte sur des organisations, des sites web, des canaux de contact professionnels et des caractéristiques axées sur les entreprises, et non sur les personnes physiques en tant que telles.
Cette délimitation se reflète également dans l'organisation du traitement. CompanySpotter collecte des données via les sites web d'organisations et traite ces données aux fins de trouvabilité professionnelle, d'analyse, de classification, de segmentation et de communication. Le traitement ne vise pas à créer des profils personnels, à collecter des noms comme donnée autonome ou à contacter des personnes physiques dans leur sphère privée.
Question 1.6 : L'intérêt est-il réel et actuel ?
Oui. L'intérêt est réel, actuel et concret.
L'intérêt découle directement des activités commerciales existantes de CompanySpotter : proposer une plateforme de recherche, d'analyse et de données axée sur les entreprises, permettant aux utilisateurs professionnels de trouver, d'analyser, de segmenter et de contacter des organisations pertinentes sur la base de données actuelles relatives aux sites web et aux Entreprises.
Le traitement a lieu de manière continue, car les sites web, les canaux de contact, l'utilisation de technologies et les caractéristiques professionnelles des organisations peuvent changer fréquemment. Afin de pouvoir fournir des Services utiles et fiables conformément à sa stratégie, CompanySpotter collecte et structure ainsi les données de sorte que les données traitées soient exactes et actuelles, et puissent être mises à disposition de manière structurée dans le contexte professionnel délimité.
2. Nécessité
Question 2.1 : Le traitement est-il nécessaire pour atteindre l'intérêt poursuivi ?
Oui. Pour la finalité décrite dans la présente note explicative, le traitement est nécessaire. CompanySpotter ne peut pas proposer sa plateforme de recherche, d'analyse et de données axée sur les entreprises sans collecter, structurer, actualiser et mettre à disposition des données relatives aux organisations, aux sites web, aux canaux de contact professionnels, à la localisation, à la classification, aux caractéristiques en ligne et à l'utilisation de technologies.
La finalité du traitement ne se limite pas à afficher le nom d'une organisation ou l'adresse d'un site web. La plateforme permet également des fonctionnalités de recherche professionnelle, des analyses de marché, la sélection de groupes cibles, l'enrichissement de données, la mise à jour de fichiers professionnels et l'obtention d'informations sur la présence en ligne et les technologies des organisations. À cette fin, un jeu de données actuel et structuré est nécessaire, dans lequel les organisations peuvent être trouvées, distinguées, comparées et classifiées.
Lors de l'organisation du traitement, les moyens les moins intrusifs ont été retenus. CompanySpotter collecte des données à partir de sites web d'organisations et ne traite ni n'acquiert de fichiers de données personnelles achetés. Le traitement est principalement axé sur les organisations et leur présence professionnelle en ligne. Les coordonnées générales priment sur les coordonnées nominatives et les noms de personnes physiques ne constituent pas un champ de base de données distinct.
Une solution alternative consistant à traiter exclusivement des données entièrement anonymes ou agrégées ne permettrait pas d'atteindre la finalité de manière aussi efficace. Les utilisateurs professionnels doivent pouvoir identifier, distinguer, analyser et contacter des organisations. C'est pourquoi une organisation du traitement a été choisie qui permet d'atteindre la finalité axée sur les entreprises avec un traitement aussi limité que possible de données à caractère personnel et avec des garanties supplémentaires telles qu'une notification active, un contrôle via un lien unique et une suppression simple.
Question 2.2 : Les données à traiter sont-elles limitées à ce qui est nécessaire ?
Oui. Le traitement est limité aux données nécessaires à la finalité de CompanySpotter : collecter, structurer, actualiser et mettre à disposition des informations axées sur les entreprises concernant des organisations et des sites web à des fins professionnelles dans le domaine business-to-business.
Le jeu de données comprend des catégories de données qui présentent un lien fonctionnel avec la trouvabilité, l'identification, la classification, l'analyse et l'accessibilité professionnelle des organisations. Il s'agit notamment de données relatives aux domaines et aux URL, du nom de l'organisation, des données d'adresse et de localisation, des coordonnées, d'informations relatives au site web, des canaux de réseaux sociaux de l'organisation, des données de classification, des caractéristiques en ligne, des informations de statut et des données technologiques.
Le traitement est axé sur les organisations et non sur les personnes. Les données sont collectées à partir de sites web d'organisations. Les canaux de contact professionnels généraux priment sur les coordonnées nominatives. Dans la mesure où une adresse e-mail professionnelle nominative ou un numéro de téléphone direct est traité, cela n'a lieu que lorsque cette donnée de contact a été rendue disponible par l'organisation elle-même sur son site web, qu'elle est fonctionnelle pour l'accessibilité professionnelle et qu'aucune solution plus générale n'est disponible.
Les données qui ne contribuent pas fonctionnellement à l'identification, à la classification, à l'analyse, à la trouvabilité ou à l'accessibilité professionnelle des organisations ne relèvent pas du périmètre de traitement envisagé. CompanySpotter ne traite pas de données à caractère personnel comme finalité autonome, ne constitue pas de profils personnels et ne traite pas de fichiers de données personnelles achetés.
CompanySpotter respecte en outre les signaux techniques des sites web, tels que le fichier robots.txt, par lesquels les administrateurs de sites web peuvent exercer une influence sur l'exploration de leur site.
Question 2.3 : Le nombre de personnes concernées est-il limité au minimum nécessaire ?
Oui. Le nombre de personnes concernées est limité à ce qui est nécessaire à la finalité axée sur les entreprises.
Le traitement porte principalement sur des organisations, des sites web et des canaux de contact professionnels. CompanySpotter ne traite pas de données à caractère personnel comme finalité autonome et ne constitue pas de profils personnels. Les noms de personnes physiques ne constituent pas un champ de base de données séparé et sont limités ou supprimés autant que possible.
Dans la mesure où des données à caractère personnel apparaissent dans le jeu de données, il s'agit de données qui ont été rendues disponibles par une organisation sur son site web dans un contexte professionnel et qui présentent un lien fonctionnel avec la trouvabilité ou l'accessibilité de cette organisation.
Le nombre de personnes concernées est en outre limité par le fait que les coordonnées générales ont priorité sur les coordonnées nominatives. De plus, les organisations sont informées au préalable de leur inclusion dans CompanySpotter. Lorsque la notification ne peut pas être remise, les données ne sont pas incluses. Un délai d'attente s'applique également entre la notification et l'inclusion dans la base de données mise à disposition via la plateforme. Pendant cette période, l'organisation ou la personne concernée peut consulter, limiter ou supprimer les données avant qu'elles ne soient mises à disposition via la plateforme ou communiquées à des tiers dans le cadre des Services.
Question 2.4 : Le traitement des données a-t-il lieu une seule fois ou de manière continue ?
Le traitement a lieu de manière continue.
La finalité de CompanySpotter est de mettre à disposition et de tenir à jour une base de données de recherche et d'analyse axée sur les entreprises qui soit utile. La présence en ligne des organisations change constamment. Les sites web sont modifiés, les canaux de contact changent, des technologies sont ajoutées ou supprimées et les organisations peuvent déménager, modifier leurs activités ou cesser d'exister.
Un traitement ponctuel serait insuffisant pour réaliser les finalités poursuivies. Les données deviendraient rapidement obsolètes et ne seraient plus actuelles, complètes ni exactes. Des données obsolètes peuvent entraîner des analyses incorrectes, des coordonnées erronées et une fiabilité réduite des données, ce qui peut porter atteinte de manière importante aux Services que CompanySpotter peut proposer et à l'utilité des Services pour les clients et les tiers (y compris les personnes concernées).
Le caractère continu du traitement ne signifie pas que les données sont traitées sans limite. Le traitement reste limité aux données disponibles sur le site web source et nécessaires à la finalité axée sur les entreprises. Des processus existent en outre pour l'actualisation, la suppression, l'opt-out, le blocage d'une réinclusion et la répercussion vers les clients.
Question 2.5 : Toutes les étapes de traitement sont-elles nécessaires ?
Le traitement comprend exclusivement les étapes nécessaires pour proposer une base de données de recherche et d'analyse axée sur les entreprises qui soit actuelle, utile et structurée.
Les étapes de traitement nécessaires comprennent l'exploration de sites web d'organisations, la reconnaissance et la structuration de données pertinentes axées sur les entreprises, l'application de la minimisation des données, l'actualisation du jeu de données, l'information des organisations avant inclusion, la mise à disposition des données aux utilisateurs professionnels et le traitement des demandes de suppression, d'opposition ou de limitation.
Ces étapes ne peuvent être omises sans perte substantielle de fonctionnalité. Sans exploration et extraction, aucun jeu de données actuel ne peut être constitué. Sans structuration et classification, les organisations ne peuvent pas être efficacement trouvées, comparées ou analysées. Sans actualisation, le jeu de données perd sa fiabilité et son exactitude. Sans minimisation, notification et opt-out, les garanties pour les personnes concernées seraient insuffisantes.
Le traitement est en même temps organisé de manière à ce que les étapes qui ne sont pas nécessaires à la finalité axée sur les entreprises soient écartées. CompanySpotter ne traite pas de fichiers de données personnelles achetés, ne constitue pas de profils personnels et ne vise pas à contacter des personnes physiques dans leur sphère privée.
Question 2.6 : Existe-t-il un concept de suppression et des durées de conservation sont-elles fixées ?
Oui. Il existe un concept de suppression et des durées de conservation sont fixées.
Le jeu de données est périodiquement actualisé. Les données sont traitées aussi longtemps qu'elles sont disponibles sur le site web source et aussi longtemps qu'elles sont nécessaires à la finalité axée sur les entreprises de CompanySpotter. Lorsque les données ne sont plus disponibles sur le site web source, elles sont supprimées au plus tard dans les 90 jours qui suivent.
La qualité des données est soutenue par un traitement lié à la source, une actualisation périodique, le processus de traitement des demandes de rectification et de suppression, ainsi que par la possibilité pour les organisations et les personnes concernées de contrôler, limiter ou supprimer les données via le lien unique, tant avant l'inclusion des données dans les Services qu'à tout moment par la suite. Les données inexactes, obsolètes ou qui ne sont plus souhaitées peuvent ainsi être corrigées, limitées ou supprimées.
Les organisations et les personnes concernées peuvent en outre demander activement la suppression ou la limitation du traitement. CompanySpotter met à disposition à cette fin un mécanisme facilement accessible. La notification contient un lien unique permettant au destinataire de consulter, limiter ou supprimer les données concernées. Ce lien reste disponible après la notification initiale, de sorte que les organisations et les personnes concernées peuvent également consulter ultérieurement quelles données sont traitées et intervenir à cet égard.
Lorsqu'une suppression est demandée ou qu'une opposition est accueillie, les données concernées sont supprimées ou limitées, en tout ou en partie. En cas de suppression complète, le domaine est supprimé du jeu de données et inscrit sur une liste de blocage ou de suppression, afin d'empêcher toute réinclusion.
Dans la mesure où des données ont déjà été mises à disposition de clients, ceux-ci sont informés au moyen d'une liste de déduplication ou d'un mécanisme comparable, afin qu'ils puissent reconnaître ces données dans leur propre environnement et prendre les mesures appropriées sous leur propre responsabilité.
Question 2.7 : Existe-t-il une vue d'ensemble des flux de données existants et prévus ?
Oui. CompanySpotter a une vue d'ensemble des flux de données qui interviennent dans le cadre de ce traitement.
À grands traits, il s'agit de la collecte de données à partir de sites web sources, du traitement technique et de l'analyse, de la minimisation et de la gestion de la qualité, de la notification avant inclusion, de l'inclusion dans la base de données axée sur les entreprises, de la mise à disposition aux utilisateurs professionnels, de l'exercice des droits et de l'opt-out, ainsi que du retrait progressif ou de la suppression.
Les organisations sont activement informées avant que les données ne soient incluses dans la base de données publique. Via le lien unique contenu dans la notification, elles peuvent également, après la notification initiale, consulter quelles données sont traitées et les supprimer ou les limiter en tout ou en partie.
3. Mise en balance des intérêts
Question 3.1 : Quels droits fondamentaux des personnes concernées sont affectés ?
Le traitement peut notamment affecter le droit fondamental à la protection des données à caractère personnel et le droit connexe au respect de la vie privée, dans la mesure où le jeu de données axé sur les entreprises contient des données qualifiant de données à caractère personnel.
Le traitement est toutefois axé sur les organisations, les sites web et la présence professionnelle en ligne, et non sur les personnes physiques en tant que telles. Dans la mesure où des données à caractère personnel sont traitées, il s'agit en principe de données qui ont été rendues disponibles par une organisation elle-même sur son site web dans un contexte professionnel ou commercial, et ce traitement est limité autant que possible par CompanySpotter.
Le traitement ne vise pas des catégories particulières de données à caractère personnel, le profilage de personnes, la surveillance du comportement de personnes physiques ou la prise de décisions concernant des personnes physiques.
Question 3.2 : Des libertés fondamentales sont-elles affectées ?
Les libertés fondamentales au sens du TFUE, telles que la liberté d'établissement et la libre circulation des services, des marchandises, des travailleurs et des capitaux, ne sont pas directement limitées par ce traitement.
Le traitement porte sur la collecte, la structuration et la mise à disposition de données axées sur les entreprises concernant des organisations et des sites web à des fins professionnelles. Les effets éventuels sont indirects et liés au contexte professionnel dans lequel l'organisation est présente en ligne.
Question 3.3 : D'autres intérêts des personnes concernées sont-ils affectés ?
Oui. Outre la vie privée et la protection des données, d'autres intérêts des personnes concernées peuvent être pertinents. Les personnes concernées peuvent avoir intérêt à éviter des sollicitations professionnelles non désirées, un préjudice réputationnel ou une image erronée fondée sur des données inexactes ou obsolètes. La perception de la vie privée peut également jouer un rôle lorsque des coordonnées professionnelles figurant sur un site web peuvent être rattachées à une personne physique.
Ces intérêts sont pris en compte dans l'évaluation du type de données, des attentes raisonnables, des effets possibles du traitement et des garanties appliquées par CompanySpotter.
Question 3.4 : Quel type de données à caractère personnel est traité et en quelle qualité ?
Le traitement concerne principalement des données axées sur les entreprises relatives aux organisations, aux sites web et à la présence professionnelle en ligne. Il s'agit notamment de données d'organisation et d'identification, de données de domaine et de site web, de données de localisation, de coordonnées, de caractéristiques de sites web, de données de classification, de caractéristiques en ligne, de canaux de réseaux sociaux d'organisations et de données technologiques.
Dans la mesure où ces données contiennent des données à caractère personnel, il s'agit de données qui, en qualité professionnelle ou commerciale, présentent un lien avec une organisation.
Cela peut par exemple être le cas d'une adresse e-mail professionnelle nominative, d'un numéro de téléphone ou d'autres informations figurant sur le site web d'une organisation et pouvant être rattachées à une personne physique.
Dans ce cas, le traitement ne vise pas la personne en tant que personne privée ou consommateur, mais le contexte professionnel dans lequel la donnée de contact apparaît sur le site web de l'organisation.
Question 3.5 : Des catégories particulières de données à caractère personnel sont-elles traitées ?
Non. Le traitement ne vise pas le traitement de catégories particulières de données à caractère personnel au sens de l'article 9 du RGPD.
CompanySpotter traite des données axées sur les entreprises concernant des organisations, des sites web, des canaux de contact professionnels et des caractéristiques en ligne. Le traitement ne vise pas des données sensibles telles que des données de santé, des opinions politiques, des convictions religieuses, des données biométriques ou des données relatives à l'orientation sexuelle.
Question 3.6 : Le traitement concerne-t-il des données à caractère personnel d'enfants ?
Non. Le traitement est axé sur les entreprises et intervient dans un contexte professionnel. CompanySpotter explore des sites web d'organisations et traite des données qui se rapportent à la présence professionnelle en ligne de ces organisations.
Le traitement ne vise pas la collecte ou le traitement de données à caractère personnel d'enfants.
Question 3.7 : Le traitement concerne-t-il des données à caractère personnel relatives à des infractions pénales ?
Non. Le traitement ne vise pas le traitement de données à caractère personnel relatives à des condamnations pénales ou à des infractions au sens de l'article 10 du RGPD.
Question 3.8 : Des données pouvant être perçues comme particulièrement privées sont-elles traitées ?
Le traitement ne vise pas les données privées des personnes concernées, telles que des données relatives à la vie privée, à la situation familiale, à la localisation privée, aux finances personnelles ou à d'autres informations typiquement perçues comme personnelles ou intimes.
Il ne peut toutefois être exclu que certaines données professionnelles soient perçues comme sensibles au regard de la vie privée par les personnes concernées, par exemple lorsqu'une adresse e-mail professionnelle nominative ou un numéro de téléphone direct figure sur le site web d'une organisation. Cette donnée demeure toutefois intégrée dans le contexte professionnel dans lequel elle a été rendue publiquement disponible par l'organisation.
L'impact en est limité par le caractère axé sur l'organisation du traitement, l'accent mis sur les canaux de contact professionnels, le respect des instructions techniques des sites web, la notification active et le mécanisme disponible de manière permanente permettant de consulter, limiter ou supprimer les données.
Question 3.9 : Où et quand les données à caractère personnel ont-elles été collectées ?
Les données sont collectées à partir de sites web d'organisations. CompanySpotter obtient les données en explorant des sites web et en reconnaissant, structurant et actualisant les informations pertinentes axées sur les entreprises qui en sont issues.
L'obtention a lieu de manière continue, car les sites web et les caractéristiques en ligne des organisations changent. Dans la mesure où des données à caractère personnel apparaissent, il s'agit de données qui ont été rendues disponibles sur le site web de l'organisation concernée et qui se rapportent à la présence, à l'accessibilité ou à la trouvabilité professionnelle de cette organisation.
Étant donné que les données ne sont pas collectées directement auprès des personnes concernées individuellement, mais proviennent de sites web d'organisations, il s'agit d'une collecte indirecte dans la mesure où les données qualifient de données à caractère personnel.
Question 3.10 : Comment les données à caractère personnel ont-elles été collectées ?
CompanySpotter collecte des données en explorant les sites web d'organisations et en y reconnaissant et structurant les données pertinentes axées sur les entreprises. Les données proviennent de sites web d'organisations accessibles en ligne.
Lors de l'exploration, CompanySpotter respecte les instructions techniques des sites web, telles que le fichier robots.txt, par lesquelles les administrateurs de sites web peuvent exercer une influence sur l'exploration de leur site.
Après la collecte de données, celles-ci peuvent être analysées de manière automatisée afin de créer des points de données supplémentaires axés sur les entreprises, pertinents pour la classification, l'analyse et la trouvabilité. Ce traitement ne vise pas à prendre des décisions concernant des personnes physiques ni à constituer des profils personnels.
Question 3.11 : Comment le traitement est-il rendu transparent ?
CompanySpotter rend le traitement transparent par une combinaison d'informations accessibles au public, de notification active et de contrôle permanent via un lien unique.
CompanySpotter publie des informations pertinentes sur son site web, notamment une déclaration de confidentialité, des informations sur l'intérêt légitime, des informations relatives au désabonnement et à la suppression, ainsi que des explications sur l'utilisation du fichier robots.txt. Ces informations décrivent quelles données sont traitées, à quelles fins, sur quelle base juridique, quels droits les personnes concernées possèdent et comment l'effacement ou la limitation du traitement peut être organisé.
En outre, CompanySpotter informe activement chaque site web ou organisation inclus au sujet du traitement avant que les données ne soient incluses dans sa base de données dans le cadre de ses Services. La notification indique les catégories de données traitées, décrit la finalité du traitement, mentionne la base juridique de l'intérêt légitime et informe sur les droits des personnes concernées.
Lorsque la notification ne peut pas être remise, les données ne sont pas incluses dans la base de données. Un délai d'attente s'applique en outre entre la notification et l'inclusion dans la base de données publique, afin que l'organisation ou la personne concernée puisse, avant publication, consulter, limiter ou supprimer les données.
Le lien unique contenu dans la notification reste actif. Via ce lien, l'organisation ou la personne concernée peut également consulter ultérieurement les données traitées par CompanySpotter et supprimer ou limiter ces données en tout ou en partie. La transparence n'est donc pas limitée à une notification unique, mais demeure pratiquement accessible pendant toute la durée du traitement.
Question 3.12 : Existe-t-il une relation entre CompanySpotter et les personnes concernées ?
En principe, il n'existe pas de relation directe de clientèle ou contractuelle entre CompanySpotter et les personnes physiques dont les données peuvent, dans leur contexte, qualifier de données à caractère personnel. Les données ne sont pas collectées directement auprès des personnes concernées individuellement, mais proviennent de sites web d'organisations.
Il existe toutefois une relation fonctionnelle avec l'organisation ou le site web concerné : CompanySpotter informe activement l'organisation de son inclusion dans la base de données et offre, via un lien unique, la possibilité de consulter, limiter ou supprimer les données.
Question 3.13 : Quelle est l'ampleur de la collecte de données ?
Le traitement est d'une certaine ampleur en ce sens que CompanySpotter maintient un jeu de données axé sur les entreprises qui porte sur un grand nombre d'organisations et de sites web et qui est actualisé en continu. Seule une partie limitée de celui-ci pourrait éventuellement qualifier de données à caractère personnel.
Le traitement est principalement axé sur les organisations et les sites web. CompanySpotter ne traite pas de données à caractère personnel comme finalité autonome et ne constitue pas de profils personnels. Dans la mesure où des données à caractère personnel apparaissent, il s'agit généralement de données qui ont été rendues disponibles sur le site web d'une organisation dans un contexte professionnel.
L'impact effectif de cette ampleur est limité par la notification active avant inclusion, le délai d'attente avant publication, le lien unique restant actif, le mécanisme de suppression en libre-service, la liste de suppression et la répercussion vers les clients au moyen de listes de déduplication.
Question 3.14 : Quels sont les effets négatifs possibles ?
Les effets négatifs possibles sont des sollicitations professionnelles non désirées, une perte de contrôle sur des coordonnées professionnelles, une gêne résultant de l'utilisation d'un canal de contact direct ou nominatif, des données inexactes ou obsolètes, une atteinte à la réputation ou au contexte par une mauvaise interprétation des données, ou un traitement ultérieur non autorisé par des clients après que les données ont été mises à disposition via la plateforme.
La probabilité et la gravité de ces effets sont limitées par l'organisation du traitement. Le traitement est axé sur les organisations et les sites web, et non sur les personnes physiques en tant que telles. Les adresses e-mail professionnelles nominatives ou les numéros de téléphone directs susceptibles d'être nominatifs ne sont traités que lorsqu'ils ont été rendus disponibles sur le site web de l'organisation et qu'aucune solution plus générale n'est disponible.
En outre, chaque site web ou organisation inclus est activement informé avant que les données ne soient incluses dans la base de données publique. En cas de notification non livrable, aucune inclusion n'a lieu. Le lien unique contenu dans la notification reste disponible, de sorte que les données peuvent également être consultées, limitées ou supprimées ultérieurement. En cas de suppression, la réinclusion est empêchée et les clients sont, le cas échéant, informés via des listes de déduplication.
Les effets négatifs possibles sont de ce fait généralement limités et se produisent surtout dans un contexte professionnel. Des effets négatifs ne peuvent pas être totalement exclus dans des cas individuels, notamment lorsqu'une donnée de contact nominative constitue l'unique canal de contact professionnel figurant sur un site web ou lorsque des clients utilisent les données en dehors des conditions convenues.
Question 3.15 : Existe-t-il des effets positifs ?
Oui. Le traitement peut avoir des effets positifs pour les organisations et les personnes concernées dans leur qualité professionnelle.
CompanySpotter accroît la trouvabilité professionnelle des organisations et soutient des interactions B2B plus efficaces. La méthode de travail de CompanySpotter garantit en outre que les données restent actuelles et exactes. Les organisations peuvent ainsi être mieux trouvées par des clients potentiels, des partenaires, des fournisseurs ou d'autres parties professionnelles à la recherche de produits, services, technologies ou expertises pertinents.
Le traitement peut en outre contribuer à une meilleure information professionnelle, à des bases de données plus actuelles, à une réduction des erreurs de communication, à de meilleures analyses de marché et à une sélection plus rigoureuse des relations professionnelles. Le traitement n'est pas principalement destiné à procurer un avantage personnel individuel, mais il peut contribuer à la visibilité, à l'accessibilité et à la trouvabilité professionnelles de l'organisation à laquelle la personne concernée est liée.
Question 3.16 : Les personnes concernées perdent-elles le contrôle de l'utilisation de leurs données à caractère personnel ?
Dans la mesure où des données à caractère personnel apparaissent dans le jeu de données axé sur les entreprises, les personnes concernées peuvent éprouver une certaine perte de contrôle. Les données ne sont en effet pas collectées directement auprès d'elles, mais extraites de sites web d'organisations puis traitées dans une chaîne d'information professionnelle.
Cette perte de contrôle potentielle est limitée par plusieurs garanties.
Le traitement est axé sur les organisations et non sur les personnes. Les canaux de contact professionnels généraux priment sur les canaux de contact nominatifs. CompanySpotter respecte les instructions techniques des sites web telles que robots.txt. Les organisations sont en outre activement informées avant que les données ne soient incluses dans la base de données publique. La notification contient un lien permettant d'indiquer que les données ne doivent pas être traitées dans le cadre du Service de CompanySpotter.
Le lien unique contenu dans la notification reste actif. Via ce lien, les organisations et les personnes concernées peuvent également consulter ultérieurement les données traitées et les supprimer en tout ou en partie ou en limiter le traitement. Le contrôle sur le traitement n'est donc pas limité à un moment unique immédiatement après la notification, mais reste disponible pendant toute la durée du traitement.
Les personnes concernées et les organisations peuvent en outre exercer leurs droits au titre du RGPD, s'opposer au traitement, faire supprimer des données ou limiter l'exploration de leur site web par des moyens techniques tels que robots.txt. Lorsqu'un domaine est supprimé, sa réinclusion est empêchée. Dans la mesure où des données ont déjà été communiquées à des clients, la suppression est soutenue par des listes de déduplication ou des mécanismes comparables à destination des clients.
Question 3.17 : Qui traite les données et quelles garanties existent ?
CompanySpotter traite les données en tant que responsable du traitement. Dans la mesure nécessaire à l'exécution de ses Services, CompanySpotter fait appel à des prestataires de services soigneusement sélectionnés, par exemple pour l'hébergement, l'informatique, la sécurité, le traitement technique, l'analyse et les processus opérationnels de support.
Les prestataires auxquels CompanySpotter fait appel ne traitent les données que dans la mesure nécessaire à leur mission et sur la base d'accords contractuels appropriés. Dans la mesure où ces prestataires agissent en qualité de sous-traitants pour CompanySpotter, des accords sont conclus conformément aux dispositions de l'article 28 du RGPD, comprenant notamment des dispositions relatives aux instructions, à la confidentialité, à la sécurité, à l'assistance dans l'exercice des droits des personnes concernées et à la suppression ou à la restitution des données à l'issue des services.
L'accès au sein de CompanySpotter et chez les prestataires engagés est limité aux personnes qui ont besoin de cet accès pour leurs activités. L'accès à la plateforme par les clients est limité aux utilisateurs autorisés au sein de l'organisation du client et intervient sur la base d'un contrat et de conditions.
Le traitement est organisé au moyen de mesures techniques et organisationnelles destinées à garantir la confidentialité, l'intégrité et la limitation des accès. Celles-ci comprennent notamment l'accès fondé sur les rôles, des accords contractuels avec les prestataires et les clients, la limitation de l'accès aux utilisateurs autorisés, des mécanismes de contrôle appropriés, la minimisation des données et des processus d'opposition, de suppression et de répercussion vers les clients.
Pour le traitement des données que les clients obtiennent de CompanySpotter puis utilisent ou exportent eux-mêmes, les clients agissent en tant que responsables du traitement indépendants.
Dans la mesure où des données à caractère personnel relevant de la responsabilité de CompanySpotter sont transférées en dehors de l'Espace économique européen, cela n'a lieu que lorsqu'il existe une base valable et des garanties appropriées conformément au chapitre V du RGPD.
Question 3.18 : Une prise de décision automatisée a-t-elle lieu ?
Non. Dans le cadre de ce traitement, aucune prise de décision automatisée n'a lieu qui serait exclusivement fondée sur un traitement automatisé et qui produirait des effets juridiques à l'égard des personnes concernées ou les affecterait autrement de manière significative au sens de l'article 22 du RGPD.
CompanySpotter utilise des techniques automatisées pour explorer des sites web, reconnaître, structurer et classifier des données. Ces processus sont orientés vers l'analyse des organisations et des sites web et non vers la prise de décisions concernant des personnes physiques.
Question 3.19 : La mise en balance des intérêts est-elle expliquée lors de la fourniture d'informations ?
Oui. CompanySpotter explique l'utilisation de l'intérêt légitime comme base juridique dans les informations qu'elle fournit aux personnes concernées et aux organisations.
Dans les informations générales, il est indiqué que le traitement, dans la mesure où des données à caractère personnel sont concernées, a lieu sur la base de l'article 6, paragraphe 1, point f), du RGPD. Il y est précisé quels intérêts CompanySpotter et ses utilisateurs poursuivent, à quelles fins les données sont traitées et quels droits les personnes concernées possèdent.
En outre, la notification active adressée aux organisations renvoie à la base juridique de l'intérêt légitime, aux finalités du traitement et aux droits des personnes concernées. Le message adressé aux Entreprises contient également un lien vers la page web sur laquelle figurent la Déclaration de confidentialité et la présente mise en balance des intérêts.
Question 3.20 : Quelles possibilités d'opposition ou quels droits d'intervention les personnes concernées ont-elles ?
Les personnes concernées et les organisations peuvent exercer leurs droits auprès de CompanySpotter, notamment via le lien unique contenu dans la notification, via la fonctionnalité de suppression sur le site web et via le canal de contact pour les demandes en matière de protection de la vie privée.
Les personnes concernées peuvent s'opposer au traitement en vertu de l'article 21 du RGPD. Lorsqu'une opposition est formulée, CompanySpotter évalue s'il existe des motifs légitimes impérieux justifiant la poursuite du traitement. Si tel n'est pas le cas, le traitement est arrêté ou limité. En pratique, cela fonctionne comme une possibilité d'opt-out.
Les personnes concernées peuvent en outre demander l'accès, la rectification, l'effacement et la limitation du traitement. L'opt-out est organisé de manière très facilement accessible. Le lien unique reste actif, de sorte que les organisations et les personnes concernées peuvent également consulter ultérieurement elles-mêmes quelles données sont traitées et les supprimer ou les limiter en tout ou en partie.
Lorsqu'un domaine est supprimé, la réinclusion est empêchée. Le cas échéant, les clients sont informés via des listes de déduplication ou des mécanismes comparables.
Question 3.21 : Existe-t-il un processus permettant de respecter l'opposition ou l'effacement ?
Oui. Il existe un processus permettant de recevoir, d'évaluer et d'exécuter les oppositions et les demandes d'effacement.
Les demandes peuvent être introduites via le lien unique contenu dans la notification, via la fonctionnalité de suppression sur le site web ou via le canal de contact de CompanySpotter en matière de protection de la vie privée. Si nécessaire, CompanySpotter demande des informations complémentaires afin d'identifier raisonnablement le demandeur ou le domaine concerné et de déterminer sur quelles données porte la demande.
Lorsque la demande est accueillie, les données concernées sont supprimées ou limitées, en tout ou en partie. En cas de suppression complète, le domaine est supprimé du jeu de données et sa réinclusion est empêchée. Dans la mesure où des données ont déjà été mises à disposition de clients, cela leur est communiqué au moyen de listes de déduplication ou de mécanismes comparables, afin qu'ils puissent prendre les mesures appropriées dans le cadre de leur propre responsabilité.
CompanySpotter consigne le traitement des demandes dans la mesure nécessaire à son obligation de responsabilité.
Question 3.22 : Existe-t-il un processus permettant de respecter la rectification ?
Oui. Il existe un processus permettant de recevoir, d'évaluer et de suivre les demandes de rectification.
Les demandes de rectification peuvent être introduites via le lien unique contenu dans la notification, via le site web ou via le canal de contact de CompanySpotter en matière de protection de la vie privée. Lorsqu'une personne concernée ou une organisation affirme que des données sont inexactes ou incomplètes, CompanySpotter évalue la demande à la lumière de la nature des données, du site web source, du contexte du traitement et de la manière dont les données ont été incluses dans le jeu de données axé sur les entreprises.
Dans la mesure où CompanySpotter peut elle-même établir que les données sont inexactes ou incomplètes, celles-ci sont corrigées, complétées, limitées ou supprimées dans un délai raisonnable. Étant donné que CompanySpotter collecte des données à partir de sites web d'organisations, l'actualisation peut également dépendre de l'adaptation du site web source concerné. Lorsque des données sont modifiées sur le site web source, ces modifications sont traitées via le cycle d'actualisation régulier.
Le cas échéant, CompanySpotter peut prendre des mesures provisoires, telles que la limitation de la visibilité, un marquage interne ou une suppression temporaire.
Conclusion finale de la mise en balance des intérêts
Après mise en balance de tous les facteurs pertinents, les intérêts légitimes de CompanySpotter et de ses utilisateurs professionnels prévalent sur les intérêts, les droits fondamentaux et les libertés fondamentales des personnes concernées, dans la mesure où le jeu de données axé sur les entreprises contient des données à caractère personnel.
Cette conclusion repose sur le contexte professionnel et axé sur les entreprises du traitement. Le traitement est orienté vers les organisations, les sites web et la présence professionnelle en ligne. Les données à caractère personnel ne sont pas traitées comme une finalité autonome et les personnes physiques ne constituent pas l'objet principal du traitement. Dans la mesure où des données à caractère personnel apparaissent, elles présentent un lien fonctionnel avec l'accessibilité professionnelle, la représentation ou la présence en ligne de l'organisation.
Le traitement est limité à ce qui est nécessaire à la fonctionnalité de la plateforme. Les canaux de contact professionnels généraux priment sur les coordonnées nominatives. Le traitement ne vise pas des catégories particulières de données à caractère personnel, des données à caractère personnel relatives à des infractions pénales ou une prise de décision automatisée produisant des effets juridiques.
L'impact résiduel pour les personnes concernées est limité par un ensemble de garanties, notamment le respect des instructions techniques des sites web, la notification active avant inclusion, l'absence d'inclusion en cas de notification non livrable, un délai d'attente avant publication, une consultation et un contrôle permanents via un lien unique, une suppression partielle ou complète simple, le blocage de la réinclusion après opt-out, des processus d'opposition, d'effacement et de rectification, des accords contractuels avec les clients et la répercussion vers les clients au moyen de listes de déduplication.
Compte tenu de cette nature, de ce contexte, de la limitation des finalités, de la nécessité, de la proportionnalité et des garanties, le traitement fondé sur l'article 6, paragraphe 1, point f), du RGPD est justifié.
4. Documentation et actualisation
Question 4.1 : L'évaluation est-elle documentée ?
Oui. L'évaluation de l'intérêt légitime, de la nécessité du traitement et de la mise en balance des intérêts est consignée dans la présente note explicative.
La présente note explicative décrit l'organisation factuelle du traitement par CompanySpotter, notamment la collecte de données à partir de sites web d'organisations, la structuration et l'actualisation de données axées sur les entreprises, le traitement de canaux de contact professionnels et la mise à disposition de données aux utilisateurs professionnels dans le domaine business-to-business.
La présente note explicative décrit en outre les garanties pertinentes appliquées par CompanySpotter, notamment le caractère du traitement axé sur les organisations, la minimisation des données, la notification active avant inclusion, le contrôle permanent via un lien unique, la possibilité de limitation ou de suppression, le blocage de la réinclusion après opt-out et la répercussion vers les clients au moyen de listes de déduplication.
La présente note explicative publique contient la mise en balance des intérêts au titre de l'article 6, paragraphe 1, point f), du RGPD. Les risques techniques et organisationnels, y compris les risques pour la confidentialité, l'intégrité et la disponibilité des données, sont évalués séparément dans le cadre de la gouvernance de CompanySpotter en matière de protection de la vie privée, de sécurité et de conformité.
Question 4.2 : L'évaluation a-t-elle été examinée ?
La présente évaluation est examinée périodiquement dans le cadre de la gouvernance de CompanySpotter en matière de protection de la vie privée et de conformité. Lorsque cela est nécessaire, une expertise en matière de droit de la protection des données est associée à cet examen, notamment celle du délégué à la protection des données de CompanySpotter.
L'évaluation vise à vérifier si la base juridique choisie, la description du traitement, le test de nécessité, la mise en balance des intérêts et les garanties décrites restent conformes au RGPD, aux lignes directrices actuelles, aux pratiques de contrôle pertinentes et à l'organisation factuelle des Services.
Il est également évalué si une documentation ou une évaluation supplémentaire est nécessaire, par exemple en lien avec des risques techniques et organisationnels, des modifications du traitement, des changements dans les technologies utilisées ou d'autres circonstances susceptibles d'être pertinentes pour la protection des personnes concernées.
Question 4.3 : L'évaluation est-elle révisée périodiquement ?
Oui. CompanySpotter révise la présente note explicative lorsque le traitement effectif, les technologies utilisées, les catégories de données, les catégories de destinataires, les durées de conservation, les mécanismes d'opt-out ou d'autres garanties pertinentes changent de manière substantielle.
Une révision peut en outre intervenir à la suite de modifications de la législation et de la réglementation, de la jurisprudence, de lignes directrices des autorités de contrôle ou de signaux issus de la pratique, tels que des tendances dans les demandes d'opposition ou de suppression, des plaintes, des incidents ou des constatations issues de contrôles internes.
Les signaux provenant d'organisations et de personnes concernées, notamment les demandes, oppositions, plaintes et retours via le canal de suppression ou de contact, sont pris en compte dans la révision périodique de la présente évaluation. Il est ainsi tenu compte non seulement de l'évaluation juridique formelle, mais également du fonctionnement pratique des garanties appliquées.
Le résultat d'une révision est documenté et, le cas échéant, intégré dans une version adaptée de la présente note explicative.
Conclusion finale
CompanySpotter conclut que le traitement de données axées sur les entreprises et des éventuelles données à caractère personnel apparaissant dans ce contexte peut être fondé sur l'intérêt légitime au sens de l'article 6, paragraphe 1, point f), du RGPD.
Cette conclusion repose sur l'articulation entre l'intérêt professionnel concret, la nécessité du traitement pour les Services et les garanties mises en place afin de protéger les personnes concernées. CompanySpotter traite principalement des données relatives aux organisations, aux sites web et à la présence professionnelle en ligne. Les éventuelles données à caractère personnel ne sont traitées que dans la mesure où elles présentent un lien fonctionnel avec ce contexte professionnel et sont nécessaires aux finalités des Services axées sur les entreprises.
CompanySpotter applique un modèle de transparence et de contrôle dans lequel les organisations sont activement informées avant leur inclusion dans la base de données publique et peuvent, via un lien unique restant actif, consulter quelles données sont traitées et les supprimer ou les limiter en tout ou en partie.
En combinaison avec la minimisation des données, le respect des instructions techniques des sites web, le blocage de la réinclusion après opt-out, les listes de déduplication à destination des clients, les garanties contractuelles et les processus d'opposition, d'effacement et de rectification, l'impact résiduel possible sur les personnes concernées est limité et proportionné. Les intérêts légitimes de CompanySpotter, de ses utilisateurs professionnels et d'autres tiers prévalent ainsi sur les intérêts, les droits fondamentaux et les libertés fondamentales des personnes concernées, ainsi que sur l'atteinte éventuelle à ceux-ci.