On vend à des clients de l'UE, ils exigent la conformité GDPR : si on est en Russie, c'est obligatoire ?

Avancez étape par étape. 1) Clarifiez si vous êtes responsable du traitement ou sous-traitant pour les données de votre client ; dans la plupart des modèles SaaS B2B, vous êtes simplement sous-traitant. 2) Préparez un DPA standard en utilisant les modules de Clauses Contractuelles Types déjà publiés par la Commission européenne. 3) Mettez une mention d'information transparente sur votre site. Ces trois étapes suffisent généralement pour passer les formulaires d'audit des clients corporate.

On a vécu une situation similaire avec notre service B2B à Saint-Pétersbourg. Quand on a voulu prendre un cabinet de conseil international, on nous a sorti des chiffres genre 300 000 roubles. Finalement on s'en est sortis pour environ 60 000 roubles en faisant juste préparer un DPA avec SCC par un juriste indépendant basé dans l'UE. La plupart des clients corporate acceptent sans faire traîner dès qu'ils voient les clauses standard.

Un point important aussi, c'est l'obligation de désigner un représentant dans l'UE au titre de l'article 27 du RGPD. Si vous servez régulièrement des résidents de l'UE, vous pourriez devoir indiquer un représentant dans l'Union. Mais si votre traitement est occasionnel, à faible volume et à faible risque, vous pouvez rester dans le cadre de cette exception. Je vous conseille de confirmer ce détail au stade du contrat.

Votre client à Paris installe-t-il votre logiciel sur ses propres serveurs ou l'utilise-t-il via votre plateforme cloud ? Si vous ne faites que fournir une clé de licence et qu'il tourne sur leur propre infra, vous ne touchez peut-être jamais aux données personnelles des utilisateurs. Dans ce cas, au lieu d'un DPA, une attestation technique certifiant que vous ne traitez pas de données peut suffire.

Tout le monde croit qu'une fois le DPA signé le problème est réglé, mais pour les transferts de données vers des pays tiers des mesures techniques supplémentaires sont aussi exigées. Quand il y a un flux de données vers la Russie, les entreprises de l'UE craignent le contrôle du régulateur. Signer un papier ne suffit peut-être pas ils peuvent aussi demander en détail le chiffrement sur le serveur et les logs d'accès.

Ne paniquez pas tout de suite. Répondez officiellement au client : « nous sommes en cours de mise en conformité RGPD et nous pouvons signer notre contrat de traitement des données incluant les Clauses Contractuelles Types ». Pour la plupart des entreprises, cette déclaration d'intention et un projet de contrat prêt suffisent à obtenir la validation de l'achat.

la loi locale en russie dit de garder les données de ses propres citoyens à l'intérieur, ça n'empêche pas de protéger les données des européens selon les standards européens. nous on garde les données des clients européens sur un serveur virtuel totalement isolé, tranquilles.

les gros clients corporate envoient ces questionnaires à tout le monde comme procédure automatique. n'ayez pas peur. voyez avec votre chargé de compte et demandez « c'est vous qui fournissez votre texte de contrat standard ou c'est nous qui le proposons » en général ils donnent leurs propres modèles prêts et ça accélère les choses.

Pensez-vous que cela fonctionne à toutes les échelles ? Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

Bien sûr, cela change si votre situation est différente.

Sujet très actuel.

Chez moi, c'est l'inverse qui s'est passé, c'est pourquoi j'écris. La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Bien sûr, cela change si votre situation est différente.

Pensez-vous que cela fonctionne à toutes les échelles ? Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Voilà, désolé si je me suis étendu.

Je me permets une petite mise en garde. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

J'ai vécu exactement la même chose il y a deux ans. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Si vous avez des questions écrivez-moi je répondrai au mieux.

Je pense différemment. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Je suis aussi curieux de savoir si d'autres font autrement.

Je suis d'accord.

Chez nous aussi. franchement les solutions qui fonctionnent à petite échelle s'effondrent en grandissant j'ai appris cela trop tard.

Si vous partez dans cette direction, réglez cela dès le départ. Avant de décider, regardez quelles données vous avez en main.