Réglementations relatives à la confidentialité et à la protection des données

Informations sur le RGPD (règlement général sur la protection des données), le CCPA (California Consumer Privacy Act) et d’autres exigences internationales en matière de confidentialité. Découvrez comment ces réglementations affectent votre entreprise et Adobe Target.

Présentation du règlement général sur la protection des données (RGPD)

Le 25 mai 2018, le RGPD de l’Union européenne est entré en vigueur. Pour en savoir sur ce qu’implique ce règlement pour vous, consultez le RGPD et votre entreprise.

Lorsqu’Adobe fournit des logiciels et des services à une entreprise, elle agit en tant qu’entité de traitement des données pour toutes les données personnelles qu’elle traite et stocke dans le cadre de la prestation de ces services. En tant qu’entité de traitement des données, Adobe traite les données personnelles conformément aux autorisations et aux instructions de votre société (par exemple, tel qu’énoncé dans votre accord avec Adobe).

En tant que contrôleuse ou contrôleur de données, vous déterminez les données personnelles qu’Adobe traite et stocke pour vous. Si vous utilisez les solutions Adobe Experience Cloud, Adobe peut héberger des données personnelles pour vous, en fonction des solutions que vous utilisez et des informations que vous choisissez d’envoyer sur votre compte Adobe Experience Cloud. Pour obtenir une liste détaillée d’exemples, voir Confidentialité Adobe Experience Cloud.

Adobe Experience Cloud fournit aux responsables du traitement des données des API conformes au RGPD qui permettent d’effectuer les tâches suivantes :

Pour obtenir plus d’informations, voir :

Présentation du CCPA (California Consumer Privacy Act)

Le CCPA (California Consumer Privacy Act) accorde aux clients de Californie de nouveaux droits concernant leurs informations personnelles et impose des responsabilités en matière de protection des données à certaines entités dont les activités sont basées en Californie. Le CCPA est entré en vigueur le 1er janvier 2020.

À un niveau général, la loi accorde aux Californiens plusieurs droits principaux, notamment les droits de :

Si vous vous prépariez l’année dernière pour le règlement européen sur la protection des données (RGPD), vous connaissez peut-être certains de ces droits et pouvez réutiliser une grande partie du travail déjà accompli.

Fonctionnalité de souscription (opt-in) Adobe Target et Adobe Experience Platform

Target fournit une prise en charge de la fonctionnalité de souscription par le biais des balises dans Adobe Experience Platform afin de vous aider à appliquer votre stratégie de gestion du consentement. La fonctionnalité d’opt-in permet aux clients de décider comment et à quel moment la balise Target est déclenchée. Il existe également une option via Adobe Experience Platform pour préapprouver la balise Target. Pour permettre l’utilisation de la fonctionnalité d’accord préalable dans la bibliothèque at.js de Target, vous devez utiliser targetGlobalSettings et ajouter le paramètre optinEnabled=true . Dans Adobe Experience Platform, sélectionnez « activer » dans la liste déroulante d’accord préalable RGPD dans la vue d’installation de l’extension. Voir ​ Implémentation de Target à l’aide de Adobe Experience Platform pour plus d’informations.

L’extrait de code suivant montre comment activer le paramètre optinEnabled=true :

window.targetGlobalSettings = {
  optinEnabled: true
};

L’utilisation de Adobe Experience Platform pour gérer l’opt-in est l’approche recommandée. Il existe un contrôle granulaire plus poussé dans Adobe Experience Platform. Le but est de masquer, avant le déclenchement de Target, certains éléments de votre page pouvant servir pour votre stratégie de consentement.

Lors de l’utilisation de la fonctionnalité d’opt-in, trois scénarios sont à envisager :

FAQ sur les réglementations relatives à la confidentialité et à la protection des données

Questions fréquentes sur le RGPD (règlement général sur la protection des données) de l’Union européenne, la loi CCPA (California Consumer Privacy Act) et d’autres exigences internationales en matière de confidentialité spécifiques à Target.

Quelle est la politique d’Adobe concernant ces réglementations ?

Adobe remplit déjà ou est en train de mettre en œuvre ses obligations en tant que responsable du traitement des données. Adobe dispose d’une base solide de contrôles certifiés de sécurité et de confidentialité dès la conception et a apporté des améliorations aux produits avant l’échéance de mai 2018. Les entreprises clientes ont la responsabilité de mettre en œuvre ces améliorations et de mettre à jour les politiques et procédures nécessaires.

Ma société, le contrôleur de données, doit-elle envoyer une requête RGPD pour chaque solution Adobe Experience Cloud qu’elle utilise ?

Non, Adobe fournit un moyen centralisé d’aider les responsables du traitement des données à répondre aux exigences du RGPD et du CCPA. Les contrôleurs de données n’ont pas besoin d’accéder directement à chaque solution.

Toutes les requêtes RGPD et CCPA à travers les solutions Experience Cloud, y compris Target, sont effectuées via une API Adobe centrale, actuellement nommée API conforme au RGPD. L’API effectue ensuite la requête à travers la suite de solutions Experience Cloud du contrôleur de données.

Quelles informations Adobe permet-il aux clients de supprimer en réponse à une demande d’un titulaire de données/utilisateur ?

Les informations relatives à un visiteur individuel dans Target sont contenues dans le profil du visiteur Target. Target permet aux clients de supprimer toutes les données associées à un ID dans leur profil du visiteur. Pour obtenir des exemples de données de profil stockées dans Target, voir Profil du visiteur.

Les données agrégées ou rendues anonymes (par exemple, les données des rapports) qui n’identifient pas une personne spécifique, ou les données qui ne sont pas liées à une personne spécifique (par exemple, les données en matière de contenu), ne sont pas concernées par la demande de suppression soumise par un utilisateur.

Les profils des visiteurs Target inactifs depuis 90 jours sont supprimés par défaut, sans aucune intervention nécessaire.

Quels ID sont pris en charge pour aider les clients à remplir une demande d’accès et de suppression en vertu du RGPD ou du CCPA pour Target ?

Target prend en charge les types d’ID suivants pour localiser un profil client :

Comment Target gère-t-il la gestion du consentement ?

Le RGPD et le CCPA ne changent pas lorsque vous devez obtenir un consentement, mais c’est le cas quand il est question de la façon de l’obtenir. La stratégie de consentement de chaque client dépend de sa collecte de données et de ses pratiques d’utilisation, ainsi que de sa politique de confidentialité. La gestion du consentement n’est pas prise en charge par et ne doit pas être réalisée via Target pour le RGPD et le CCPA.

Adobe n’offre pas actuellement de solution de Gestion des consentements, mais divers outils sont en cours d’élaboration sur le marché pour répondre à certaines des nouvelles exigences. Pour de plus amples renseignements sur les outils de confidentialité en général, y compris les gestionnaires de consentement, consultez le 2017 Privacy Tech Vendor Report (rapport sur les fournisseurs offrant des technologies de confidentialité) sur le site web de l’Association internationale des professionnels de la protection de la vie privée (IAPP).

Target prend en charge la fonctionnalité d’accord préalable via Adobe Experience Platform pour prendre en charge votre stratégie de gestion du consentement. La fonctionnalité d’opt-in permet aux clients de décider comment et à quel moment la balise Target est déclenchée. Il existe également une option via Adobe Experience Platform pour préapprouver la balise Target. L’utilisation de Adobe Experience Platform pour gérer l’opt-in est l’approche recommandée. Il existe un contrôle granulaire plus poussé dans Adobe Experience Platform. Le but est de masquer, avant le déclenchement de Target, certains éléments de votre page pouvant servir pour votre stratégie de consentement.

Pour plus d’informations sur le RGPD, le CCPA et Adobe Experience Platform, consultez La bibliothèque JavaScript Adobe Privacy et le RGPD. Consultez également la section Fonctionnalité de souscription (opt-in) Adobe Target et Adobe Experience Platform ci-dessus.

AdobePrivacy.js envoie-t-il des informations à l’API conforme au RGPD ?

AdobePrivacy.js n’envoie ces informations l’API . C’est au client de les soumettre. La bibliothèque ne fournit que les ID stockés dans le navigateur pour ce visiteur spécifique.

Que supprime removeIdentities ?

removeIdentities supprime uniquement ces identités du navigateur, et cela ne dépend que de leur mise en œuvre ou non par la solution Adobe.

Par exemple, Target supprime les cookies qui stockent ses identifiants, mais Adobe Audience Manager (AAM) ne supprime pas l’identifiant demdex stocké dans un cookie tiers.

Quelles informations doit contenir une requête RGPD ou CCPA de Target ?

Outre les exigences de Central Privacy Service, un message RGPD ou CCPA valide pour Target contient :

{
    "jobId":"12345AD43E",
    ...
    "products":["Target",...],
    "companyContexts":[
        {
            "namespace":"imsOrgID",
            "value":"123456789@AdobeOrg"
        },
        ...
    ],
    "userContexts":[
        {
            "namespace":"ECID",
            "namespaceId":4,
            "type":"standard",
            "value":"53792210477379708453829363835595041181"
        }
        And/OR:
        {
            "namespace":"TNTID",
            "namespaceId":9,
            "type":"standard",
            "value":"1234567890"
        }
        And/OR:
        {
            "namespace":"THIRDPARTYID",
            "type":"target",
            "value":"thirdPartyIdName"
        },
        ...
    ]
}

Quels types de réponse puis-je attendre de Target via l’API conforme au RGPD ?

Quelle réponse Target envoie-t-il à l’API conforme au RGPD pour une demande d’accès ?

Les réponses aux demandes d’accès aux données contiennent un résumé du profil Target pour le visiteur en question. Ce retour est envoyé à l’API conforme au RGPD d’Experience Cloud, qui envoie à son tour une réponse aux contrôleurs des données.

Un exemple de réponse de l’API à Target pour la demande d’accès pourrait ressembler à ceci :

{
    "jobId":"12345AD43E",
    ...
    "products":["Target",...],
    "companyContexts":[
        {
            "namespace":"imsOrgID",
            "value":"123456789@AdobeOrg"
        },
        ...
    ],
    "userContexts":[
        {
            ~"namespace":"ECID",
            "namespaceId":4,
            "type":"standard",
            "value":"53792210477379708453829363835595041181"
        }
        And/OR:
        {
            ~"namespace":"tntId",
            "namespaceId":9,
            "type":"standard",
            "value":"1234567890"
        }
        And/OR:
        {
            "namespace":"thirdPartyId",
            "type":"target",
            "value":"thirdPartyIdName"
        },
        ...
    ]
}

Lorsque plusieurs valeurs sont fournies pour identifier des profils, chaque identifiant valide dispose d’un fichier de profil. Un ou plusieurs fichiers de profil sont envoyés au Azure Blob RGPD via l’API centrale RGPD, sous le format d’une réponse JSON de profil cible.

Voici un exemple de réponse JSON de profil Target :

{"profileAttributes":

"Sample_Parameter":{"value":"Gold Loyalty Status","modifiedAt":"2018-04-11T21:44:14.000-04:00"},

"user.ReturnTimeOfDay":{"value":"44.0","modifiedAt":"2018-04-11T21:44:14.000-04:00"},

"firstSessionStart":{"value":"1523497450602","modifiedAt":"2018-04-11T21:44:10.000-04:00"},

"user.sessionCountScript":{"value":"1","modifiedAt":"2018-04-11T21:44:14.000-04:00"}
   }
}

Le tableau suivant contient la description des champs illustratifs JSON du profil :

Target prend-il en charge l’obscurcissement des adresses IP ?

Target prend en charge l’obscurcissement des adresses IP si vous choisissez de l’utiliser dans le cadre de votre stratégie de mise en œuvre du RGPD ou du CCPA. Pour plus d’informations, consultez la page Confidentialité.

Dois-je faire quelque chose pour empêcher que mes données ne soient partagées ou vendues à des tiers ?

Target ne permet pas aux clients de partager ou de vendre à des tiers des données directement à partir de Target. Il n’y a donc pas d’opposition à la vente pour Target.