Web push et RGPD : ce dont vous êtes responsable

Ce guide n’est pas un conseil juridique. Je suis fondateur, pas juriste, et votre situation dépend de votre pays, de votre marché et de ce que vous envoyez. Parlez-en à la personne qui s’occupe de la protection des données chez vous.

Ce que je peux faire, c’est décrire les pièces du mécanisme, parce que beaucoup de gens supposent que la boîte de dialogue d’autorisation du navigateur règle tout. Ce n’est pas le cas.

Ce que couvre la demande du navigateur

Quand un visiteur clique sur autoriser, il donne au navigateur la permission d’afficher les notifications de votre site. C’est un choix clair et actif, et c’est une bonne base.

Cela ne dit pas au visiteur qui vous êtes au sens juridique, ce que vous allez envoyer, quelles données vous conservez sur lui, ni qui d’autre les traite. Le navigateur ne peut rien savoir de tout cela. Ces parties-là sont à vous.

Un abonnement push est une donnée personnelle

Quand quelqu’un s’abonne, le navigateur crée un abonnement : l’adresse d’un endpoint sur le service push de l’éditeur du navigateur, et des clés pour chiffrer les messages qui lui sont destinés. Cet abonnement identifie un navigateur sur un appareil.

Le plus sûr est de le traiter comme une donnée personnelle, avec tout ce que vous y rattachez : les pages que l’abonné a lues, les segments dont il fait partie, sa langue ou son pays, le moment où il a cliqué.

Cela veut dire que les obligations habituelles du RGPD s’y appliquent.

Ce dont vous êtes responsable

Une base légale. Pour les notifications marketing, c’est en général le consentement, que l’opt-in vous donne quand il est éclairé. Éclairé est le mot important. Une invite qui dit ce que les gens vont recevoir vaut mieux qu’une invite qui dit simplement « Autoriser ».

La transparence. Votre politique de confidentialité doit indiquer que vous utilisez les notifications du navigateur, ce que vous envoyez, quelles données vous conservez sur les abonnés, pendant combien de temps, et quels fournisseurs interviennent.

Un retrait facile. Les gens doivent pouvoir arrêter aussi facilement qu’ils ont commencé. En pratique, bloquer les notifications dans le navigateur arrête la livraison. Assurez-vous que votre politique explique comment, et retirez les abonnements qui reviennent comme expirés ou disparus.

La minimisation. Gardez ce dont vous avez besoin pour envoyer des messages pertinents et les mesurer. Évitez de collecter des choses « au cas où ».

Les sous-traitants. Votre fournisseur push traite les données des abonnés pour votre compte, donc vous avez besoin d’un accord de traitement des données avec lui, et vous devriez savoir quels sous-traitants ultérieurs il utilise.

La conservation et la suppression. Décidez combien de temps vous gardez les données des personnes qui se sont désabonnées ou dont l’abonnement a cessé de fonctionner, et soyez capable de supprimer un abonné quand on vous le demande.

L’éditeur du navigateur fait partie de la chaîne

Les messages web push sont livrés via le service push exploité par l’éditeur du navigateur. Le standard Web Push chiffre le contenu du message entre votre serveur et le navigateur de l’abonné, donc le service push transporte un message qu’il ne peut pas lire. Il voit quand même qu’un message est livré à un endpoint.

C’est ainsi que fonctionne le web push chez tous les fournisseurs, et c’est bon à savoir quand vous décrivez le flux dans votre politique de confidentialité.

Ce qu’il faut éviter

• Les invites conçues pour ressembler à des boîtes de dialogue système, ou qui cachent ce que les gens acceptent.
• Envoyer des catégories de contenu auxquelles les gens ne se sont pas inscrits. Un abonné aux résultats de matchs n’a pas accepté de recevoir des offres commerciales.
• Construire des profils détaillés dont vous n’avez pas besoin pour envoyer des messages pertinents.
• Garder les abonnements morts indéfiniment parce que la liste paraît plus grosse.

Ce que fait EngageNudge

EngageNudge est construit en Suède, pensé d’abord pour l’UE, avec la minimisation des données par défaut. Les endpoints d’abonnement push sont stockés chiffrés. Les données de chaque client sont isolées, et les clients utilisent leurs propres clés VAPID.

Pour la localisation, nous enregistrons le pays et la région au moment de l’abonnement, pas les adresses IP ni les user agents bruts. Les abonnements qui reviennent comme expirés ou disparus sont nettoyés automatiquement et ne sont jamais facturés. Les chemins d’export de l’audience et de suppression sont documentés, et le DPA et la liste des sous-traitants sont publics sur ce site.

Rien de tout cela ne remplace votre propre politique de confidentialité ou votre analyse juridique. Cela veut dire que l’outil ne vous complique pas la tâche.