Conformité au RGPD

Bases de données B2B conformes au RGPD : comment nous traitons chaque enregistrement

Bancomail applique l'intérêt légitime à la collecte, à la mise à jour et à la cession des données, formalisé dans un LIA et supervisé par le DPO. L'analyse réglementaire est menée par son service juridique interne et mise à jour selon les décisions de l'Autorité. Tous les enregistrements reçoivent le même traitement, avec le plus haut niveau de protection, même lorsque la loi ne l'exige pas. Chaque enregistrement est tracé et, sur plus de 11 000 000 d'enregistrements, Bancomail garantit information, accès, rectification, effacement et opposition.

Le parcours d'un enregistrement

Ce que nous garantissons à chaque étape

1
CollecteSource et date enregistrées
2
Note d'informationFournie à tous, entreprises comprises
3
Opposition et suppressionQui s'oppose est supprimé
4
CessionTracée : à qui, quand

11 millionsd'enregistrements dans la base de données

75%entreprises, associations et organismes

25%contacts rattachables à une personne physique

Traçabilité complètesource, date, information, cessions

Pourquoi nous sommes conformes, en bref

Nous ne faisons aucune différence de traitement : chaque enregistrement, qu'il s'agisse d'une entreprise ou d'une personne physique, reçoit le plus haut niveau de protection, avec une base juridique documentée.

Nous traitons tout le monde de la même façon

75 % des enregistrements sont des entreprises et organismes, que le Règlement exclut ; 25 % identifient une personne physique. Par déontologie et pour leur protection, l'information et les droits valent pour tous.

Une base juridique documentée

Intérêt légitime pour la collecte, la mise à jour et la cession, mis par écrit dans le LIA avec un test de mise en balance objectif, sur la base de l'analyse de notre service juridique interne.

Tracés et supervisés

Pour chaque enregistrement, nous documentons la source, la date de collecte, l'information fournie et les cessions. Un DPO supervise les procédures.

Un contrôle interne constant de la conformité

La conformité est assurée en interne : l'analyse du cadre réglementaire est menée et tenue à jour par notre service juridique.

Service juridique interne

Un service juridique interne suit notre conformité

Avec notre service juridique et en accord avec les acteurs les plus reconnus du marketing direct, nous menons et tenons à jour une analyse précise et rigoureuse du cadre du RGPD pour notre domaine, à la lumière des décisions de l'Autorité.

Service juridique interne
Échanges avec les acteurs du marketing direct
Mise à jour selon les décisions de l'Autorité

Notre base juridique : l'intérêt légitime

Nous l'appliquons à la collecte, à la mise à jour et à la cession des données, avec une information des personnes concernées et des droits garantis.

Considérant 47

Le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime.

Pour les contacts rattachables à une personne physique, c'est la base de notre traitement : la donnée reste une donnée personnelle, avec information et droits garantis.

Texte original du considérant 47 (conclusion)

The processing of personal data for direct marketing purposes may be regarded as carried out for a legitimate interest.

Le point de vue

Qui publie ses coordonnées veut être contacté

Lorsqu'une entreprise rend publiques les coordonnées de l'un de ses référents, sur un site, dans un annuaire, dans une annonce ou sur un profil professionnel, elle le fait pour qu'il soit contacté au sujet de l'activité de l'entreprise. Ce choix définit la finalité de la communication des données et l'attente raisonnable de celui qui les a publiées : être contacté par ceux qui ont affaire à cette activité, clients et fournisseurs compris.

L'évaluation de l'intérêt légitime repose sur trois vérifications

Finalité

Mettre en relation des activités aux intérêts complémentaires.

Nécessité

Nous ne traitons que des données de contact professionnelles déjà publiques ou communiquées.

Mise en balance

Les coordonnées sont publiées pour être contacté. La personne concernée est informée et peut s'opposer à tout moment.

Une précision

L'intérêt légitime est la base sur laquelle nous traitons et cédons les données. Ce n'est pas un feu vert pour envoyer des e-mails promotionnels : qui écrit aux contacts suit les règles du canal. Vous trouverez les recommandations dans l'encadré « Si vous utilisez nos contacts ».

Ce que contient la base de données : deux cas

Plus de 11 000 000 d'enregistrements d'entreprises, d'associations et de professionnels indépendants. La loi les encadre différemment, mais nous ne les distinguons pas : nous les traitons de la même façon, avec le plus haut niveau de protection.

Cas précis : entreprises et organismes Cas mixte : contacts rattachables à une personne physique

75%Cas précis

Entreprises, associations et organismes

SA, SARL, SNC, SAS et autres formes, avec des adresses génériques (info@) ou de service (marketing@, sales@). Les cabinets associés entrent dans ce cas.

25%Cas mixte

Contacts qui identifient une personne physique

Deux modèles : [email protected] et [email protected]. Le second est typique des professionnels indépendants exerçant seuls.

Ce que dit la loi, ce que nous faisons

	Cas précis · 75%	Cas mixte · 25%
Protection du RGPD	Non applicable : le Règlement ne couvre pas les données des personnes morales (considérant 14)	Oui : ce sont des données personnelles (art. 4 RGPD), même si elles sont publiées comme coordonnées professionnelles
Base du traitement	Non applicable : données de personnes morales hors du champ du Règlement	Intérêt légitime (considérant 47)
Note d'information	Fournie à tous les enregistrements, y compris les entreprises que le Règlement exclut, par déontologie et pour leur protection (pour les personnes physiques, au titre de l'art. 14 RGPD)
Droits garantis	Information, accès, rectification, effacement et opposition, pour tous les enregistrements
Traçabilité	Traçabilité complète : source, date de collecte, information fournie et cessions documentées pour chaque enregistrement
Comment nous les traitons	De la même façon : même information, mêmes droits, même opposition, même traçabilité

Considérant 14 : pourquoi les entreprises restent hors du Règlement

Le Règlement protège les personnes physiques et ne couvre pas le traitement des données des personnes morales, y compris la dénomination, la forme juridique et les coordonnées. Cette exclusion était déjà prévue par la révision du Code italien de la vie privée (décret « Salva Italia »). Elle concerne la protection des données, pas les règles d'envoi des communications, qui relèvent d'un autre plan. Par déontologie et pour davantage de garanties, nos procédures assurent depuis toujours à ces entités aussi les droits d'information, d'accès, de rectification, d'effacement et d'opposition.

The protection afforded by this Regulation should apply to natural persons, whatever their nationality or place of residence, in relation to the processing of their personal data. This Regulation does not cover the processing of personal data which concerns legal persons and in particular undertakings established as legal persons, including the name and the form of the legal person and the contact details of the legal person.

Cas mixte : intérêt légitime et règles du canal

L'intérêt légitime au traitement repose sur la finalité de la communication des données et sur l'attente raisonnable de qui publie ses coordonnées (voir Le point de vue, ci-dessus), sans que la donnée sorte de la protection du Règlement : elle reste une donnée personnelle, avec information et droits garantis.

Les règles du canal de communication constituent un niveau distinct et concernent qui écrit : une demande d'informations et une proposition commerciale ne sont pas la même chose, et la seconde, envers un contact rattachable à une personne physique, suit les règles des communications promotionnelles.

La position du Garante et le critère que nous suivons

Les positions sur ce sujet peuvent varier et la matière reste ouverte à différentes lectures. Celle que nous présentons est la position que le Garante (autorité italienne de protection des données) a rendue opérationnelle par ses décisions, et c'est le critère auquel nous nous alignons : respecter la finalité pour laquelle la donnée a été rendue publique, en évaluant chaque situation au cas par cas, avec cohérence entre la manière dont les données ont été rendues publiques et la manière dont elles sont utilisées.

Ce que nous faisons pour être en règle

Sept engagements concrets, de l'origine de la donnée à sa cession. Cette page est un extrait de notre analyse, qui se réfère au cadre juridique italien (Code de la vie privée et RGPD).

Origine des données

Trois catégories de sources, toutes déclarées

Entreprises et professionnels, italiens et étrangers, qui ont indiqué leurs coordonnées directement ou dans des sources publiques. Le détail des sources et des contrôles figure ci-dessous.

Note d'information

Une information pour chaque enregistrement

Y compris ceux des entreprises. Elle indique le responsable du traitement, la source de la donnée, la finalité, la base juridique, les destinataires et les modalités d'exercice des droits, et elle est fournie périodiquement.

Opposition

Qui s'oppose est supprimé

Nous supprimons de la base de données quiconque s'oppose et veillons à ce que l'opposition soit toujours respectée : il n'y revient plus, même s'il réapparaît dans une nouvelle source.

Droits

Les mêmes droits pour tous

Information, accès, rectification, effacement et opposition, sur l'ensemble des 11 millions d'enregistrements, même là où la loi ne les impose pas.

Traçabilité

Traçabilité complète

Depuis la création de Bancomail, nous traçons les données que nous cédons. Chaque enregistrement porte les données de collecte (date, source) et les références, nominatives et temporelles, de ceux qui l'ont reçu.

DPO

Un DPO, même s'il n'est pas obligatoire

Le Règlement ne nous l'impose pas, mais nous avons désigné un délégué à la protection des données (DPO) pour superviser les procédures et relever d'éventuels problèmes. Écrivez à [email protected].

LIA

L'intérêt légitime est mis par écrit

Le Legitimate Interest Assessment est un audit interne : il consigne l'évaluation de l'équipe Base de données et du DPO sur notre intérêt légitime et sur celui des clients, avec un test de mise en balance objectif qui vérifie que les intérêts individuels ne prévalent pas.

Traçabilité complète : pour chaque enregistrement, nous sommes en mesure de documenter

Source
Date de collecte
Information fournie
Cessions effectuées

La traçabilité de la source et de la date de collecte répond au principe de responsabilité (art. 5, par. 2 RGPD) et nous permet d'indiquer l'origine des données à toute personne concernée qui la demande (art. 14, par. 2, point f, et art. 15, par. 1, point g RGPD).

D'où viennent les données et comment nous les contrôlons

Communication spontanée

Par la personne concernée, informée, via des formulaires d'inscription.

Fournisseurs vérifiés

Cession par des fournisseurs conformes aux exigences légales.

Sources publiques

Registres des chambres de commerce, ordres professionnels, associations sectorielles, open data et fiches que les activités publient elles-mêmes sur des annuaires et plateformes pour être contactées.

Parmi les fiches publiées sur les annuaires et plateformes en ligne, nous n'acceptons que les activités qui ont leur propre site web, à partir duquel nous complétons e-mails et profils sociaux. Après son entrée, chaque enregistrement est classé, géoréférencé, normalisé et recoupé avec des sources publiques comme les chambres de commerce, en conservant sa source et sa date de collecte. Les adresses e-mail sont validées périodiquement et leur fonctionnement est garanti contractuellement pendant 60 jours à compter de la livraison.

Avec l'achat

Le dossier de conformité

Le processus est décrit dans notre dossier de conformité, signé par notre directeur général et visé par le DPO. Il couvre le responsable du traitement et le DPO, les sources et la validation, l'information, le registre des oppositions, la base juridique avec la synthèse de l'évaluation de l'intérêt légitime et la cession, avec une checklist qui répond aux vérifications les plus courantes. Nous l'envoyons avec l'achat, ou sur demande.

Signé par le directeur général
Visé par le DPO
Avec checklist des vérifications

Pour ceux qui écrivent

Si vous utilisez nos contacts

Nous garantissons le traitement des données ; les règles d'envoi dépendent du canal et du pays et restent à la charge de l'expéditeur. Quatre recommandations :

Présentez-vous avant de proposer : le premier contact est une note d'information transparente, sans demande de consentement ni offre.
La permission vient ensuite : pour l'e-mail promotionnel en Italie, le consentement préalable est nécessaire, même envers les entreprises. Le consentement ne peut pas être cédé avec la liste.
Vérifiez le pays des destinataires : les règles changent d'un pays à l'autre.
Votre information reste la vôtre : avec la cession, vous devenez le nouveau responsable du traitement. La nôtre ne remplace pas la vôtre, que vous devez fournir aux destinataires ; sur demande, nous attestons pour votre commande que la nôtre a été envoyée avant la cession.

Règles du permission marketing Modèles de note d'information

Questions fréquentes sur notre conformité

Quelle est la base juridique pour céder les données d'une base d'e-mails B2B ?

L'intérêt légitime (considérant 47), formalisé dans un LIA sous la supervision du DPO.

Les entreprises sont-elles protégées par le RGPD ? Les données des personnes morales dans les bases B2B

Non : le considérant 14 exclut les données des personnes morales. Nous leur garantissons malgré tout information, accès, rectification, effacement et opposition.

Une adresse e-mail comme [email protected] est-elle une donnée personnelle au sens du RGPD ?

Oui, si elle identifie une personne physique, même lorsqu'elle sert de coordonnée professionnelle. Nous la traitons comme une donnée personnelle de contact professionnel : intérêt légitime, information au titre de l'art. 14 et droit d'opposition.

Une base de données B2B conforme au RGPD traite-t-elle différemment les entreprises et les personnes physiques ?

Non. Le Règlement exclut les personnes morales, mais par déontologie et pour leur protection nous traitons tous les enregistrements de la même façon : information pour tous, mêmes droits, même opposition, même traçabilité.

Que se passe-t-il si un contact s'oppose au traitement de ses données ?

Il est supprimé de la base de données et n'y revient plus, même s'il réapparaît dans une nouvelle source. Chaque envoi de l'information est enregistré pour chaque enregistrement, avec la date et le résultat.

Quelle documentation de conformité RGPD reçois-je avec l'achat d'une base de données B2B ?

Avec l'achat, nous vous fournissons le dossier de conformité, signé par notre directeur général et visé par le DPO, avec une checklist des vérifications les plus courantes.

Qui garantit la conformité RGPD de Bancomail : service juridique et DPO ?

Un service juridique interne mène et tient à jour l'analyse réglementaire, avec les principaux acteurs du marketing direct. Le DPO supervise les procédures de traitement : [email protected].

Puis-je envoyer tout de suite des e-mails aux contacts d'une base de données B2B achetée ?

Cela dépend du canal et du pays. Pour l'e-mail promotionnel en Italie, le consentement préalable est nécessaire, même envers les entreprises : voir l'encadré « Si vous utilisez nos contacts ».

Cette page décrit les procédures de Bancomail et offre un cadre général : elle ne constitue pas un conseil juridique. Les règles évoluent et chaque pays a ses spécificités ; le choix du canal et des modalités d'envoi revient à l'expéditeur, qui doit vérifier les règles du pays des destinataires.