Alors que le RGPD est à nos portes, de nombreux services font le point sur leur utilisation de vos données. À nous de faire le tour de nos engagements en la matière, qui n'ont rien de nouveau.
Demain, le Règlement Général sur la Protection des Données s'appliquera (voir notre analyse). Voté il y a deux ans, après de longues discussions, il concerne tout service ayant des utilisateurs européens.
Ces derniers mois, et plus spécialement ces derniers jours, on a ainsi pu voir de nombreuses sociétés annoncer leur mise en conformité. Avec une mise à jour de leur politique de vie privée, de nouveaux paramètres ou la demande d'un consentement afin que vous puissiez « continuer à recevoir nos emails ».
Avec le RGPD, la peur du gendarme
De temps en temps, on constate que les politiques mises en œuvre contreviennent déjà aux règles élémentaires de ce texte. Et pourtant, en France, de nombreux points évoluent peu, que ce soit sur le pistage des internautes, l'envoi d'emails ou le traitement d'une bonne partie de nos données.
Mais voilà, nombreux étaient ceux qui ne respectaient pas la loi ou jouaient avec la ligne jaune. Le cas de l'expression du consentement sur les sites est un bon exemple. Presque tous multiplient les trackers avant d'obtenir l'accord de l'internaute. Les cookies sont déposés par dizaines, les données envoyées à autant de tiers sans vraiment de contrôle.
Le RGPD introduit deux évolutions qui ont pourtant toute leur importance : les sanctions sont bien plus lourdes et, en cas de contrôle, les sociétés devront prouver qu'elles ont obtenu le consentement. Ajoutez à cela que la définition de cet acte est renforcée, vous obtenez la situation actuelle.
Surtout que dans le contexte de ces dernières années, les données personnelles apparaissent comme un bien qui mérite d'être protégé. Les scandales se multiplient sur ce terrain, et même si l'on trouve encore assez souvent des cas de failles béantes ou des sites qui stockent des mots de passe en clair, personne ne veut être le prochain Cambridge Analytica local.
Minimisation et privacy by design pour Next INpact
Vous l'aurez remarqué, nous avons ces derniers temps évoqué le RGPD bien plus sur le terrain éditorial que concernant Next INpact et ses services. La raison est simple : nous avons pris de longue date des engagements forts en matière de respect de la vie privée, misant sur la minimisation et une conception impliquant un faible accès à vos données.
Nous ne reviendrons pas ici sur tout l'historique de ces engagements, de la mise en place de notre première offre sans publicité en 2009 à la création de notre propre ad server l'année dernière, pour nous assurer de toute absence de pistage sur les publicités que nous diffusons, en passant par l'utilisation de Matomo (ex-Piwik) plutôt que Google Analytics.
Cet outil, actuellement utilisé dans sa version 3.5, est configuré de manière à anonymiser les utilisateurs, conformément aux recommandations de la CNIL. Il ne nécessite donc pas de consentement spécifique, mais vous pouvez tout de même désactiver son fonctionnement sur la page relative à nos engagements déontologiques et en matière de vie privée.
S'il anonymise les éléments récolté, il nous permet de suivre les contenus les plus lus, notre audience ou même les tendances auprès de nos lecteurs (navigateurs, définitions, moteurs de recherche, OS, etc.). Nous diffusions ces données au sein d'articles permettant de savoir qui sont nos lecteurs, publiés de manière régulière.
Ainsi, vous ne trouverez que quelques cookies techniques diffusés par Next INpact :
incap : le CDN Incapsula
inpact_store : votre connexion au site
_pk : Matomo (ex-Piwik)
Il y a quelques mois, nous avons même développé la première version de notre propre outil vous permettant de savoir quels services peuvent vous pister sur les sites que vous visitez : Kimetrak.
Ainsi, sur l'ensemble des pages du site, développé entièrement par nos soins, vous ne trouverez qu'un domaine tiers (Unit Sense) qui correspond à l'outil utilisé pour la diffusion de nos publicités sans pistage. Leur affichage est adapté à la catégorie du contenu, pas à votre profil. Nous évitons le plus possible de nous reposer sur des services tiers.
Des choix qui découlent de ceux liés à notre modèle économique : nous ne dépendons pas principalement de la publicité, et refusons le contenu sponsorisé. Vendre l'attention ou l'accès aux données de nos lecteurs ne nous intéresse pas.
Il peut arriver que des intégrations de services externes viennent faire gonfler le compteur de domaines tiers, mais nous utilisons dans la mesure du possible des versions respectant votre vie privée (confidentialité avancée pour YouTube par exemple). Nous irons plus loin dans de prochaines évolutions du site.
Cet engagement pour le respect de vos données concerne aussi celles que nous vous demandons. Un simple email est nécessaire pour créer un compte ou un abonnement Next INpact, en complément d'un mot de passe et d'un pseudonyme, utilisé dans nos commentaires. Pour ces derniers nous stockons aussi votre adresse IP, ce qui est une obligation légale.
Pour le reste, nous en stockons le moins possible : votre adresse peut être utilisée pour la facturation ou l'envoi des goodies mais n'est pas conservée si cela n'est pas nécessaire. En cas de paiement récurrent nous gardons simplement une trace de l'autorisation et la date d'expiration de la carte bancaire, que vous pouvez modifier.
Bien entendu, nous disposons également de la liste de vos paiements passés pour mettre à votre disposition vos factures et calculer votre ancienneté. Nous connaissons le statut de votre abonnement Premium, votre identifiant La Presse Libre si vous avez lié un compte, la date de la création de votre compte Next INpact et celle de votre dernière connexion, ce qui nous permet de savoir combien d'utilisateurs consultent régulièrement le site :
Voilà à quoi ressemble un compte utilisateur pour un administrateur de Next INpact
Ces informations seront bientôt disponibles en intégralité dans votre profil utilisateur Next INpact. Pour nos applications mobiles, faute de pouvoir trouver une solution convenable, elles seront supprimées en attendant la mise en place d'une Progressive Web App qui collera avec l'arrivée de la nouvelle version du site. Une décision définitive sera prise d'ici l'été.
Enfin, vous pouvez supprimer votre compte à tout moment. Tous vos commentaires sont alors anonymisés.
Les lettres d'information
Pour notre communication par email, nous nous reposons principalement sur Mailchimp. Ce service est conforme au RGPD et nous y avons récemment simplifié la gestion de nos listes. Pour accéder à vos informations, un lien est placé dans votre profil Next INpact. Vous pouvez aussi utiliser le lien suivant si vous êtes connecté à votre compte :
Nous désactivons le plus de sources de pistage possible et n'activons plus, depuis quelques semaines déjà, le pixel transparent qui permettait de connaître le taux d'ouverture. Nous nous contentons du suivi des clics pour savoir si les emails sont lus et cliqués, dans quelle mesure, nettoyer nos listes, etc.
Bien entendu, vous pouvez vous désinscrire à tout moment via le lien ci-dessus, votre profil ou le lien situé en bas de chaque email que nous envoyons. Vous pouvez également y modifier la liste des emails que nous vous faisons parvenir.
Aucune publicité n'est intégrée dans nos lettres d'information. Nous ne procédons pas à des achats de listes et nous ne revendons bien entendu aucune des données personnelles en notre possession.
Quid de La Presse Libre ?
Les mêmes principes sont appliqués à La Presse Libre, notre plateforme d'abonnement à différents médias en ligne. Le service ne détient ainsi que très peu d'informations sur ses membres de par sa conception : un identifiant, un email, une empreinte du mot de passe, la liste de leurs comptes liés et des abonnements actifs chez les partenaires concernés.
Les informations de paiement sont gérées par les prestataires tels que PayZen, nous ne gardons ainsi que le jeton d'autorisation, la date (mois et année) d'expiration de la carte bancaire et le détail des précédentes factures. Ces dernières peuvent être récupérées à tout moment sur le site.
Le tout est accessible sur la page de gestion de l'utilisateur. Le compte peut y être fermé à tout moment, sous réserve de n'avoir aucun abonnement actif, bien entendu.
