Guide KVKK pour les agences numériques

Conformité numérique et KVKK • Guide 2025

Les agences numériques traitent de nombreuses données personnelles dans la gestion des campagnes, l’intégration CRM et le remarketing. Au regard de la KVKK, elles agissent donc généralement comme «sous-traitants ». Cependant, de nombreuses agences endossent sans le savoir le rôle de responsable du traitement et s’exposent à des risques juridiques.

Résumé : Principe de base pour les agences : « Si vous traitez des données pour le compte d’un client, vous êtes sous-traitant ; si vous décidez pour vos propres finalités, vous êtes responsable du traitement. »

1. Données de campagne et champ d’application de la KVKK

• Collecte par formulaire : Les données recueillies par formulaire web, comme le nom, l’adresse e-mail et le téléphone, relèvent de la KVKK.
• Remarketing : Les adresses IP et données comportementales issues du suivi par pixels et cookies sont considérées comme des données personnelles.
• Plateformes d’analyse : Vérifier les transferts et le partage des données traitées dans Google Ads, Meta, LinkedIn et les outils similaires.
• Accès de l’agence aux interfaces : Si l’agence accède aux systèmes du client, ses activités de traitement doivent être consignées.

« Chaque clic produit une donnée ; chaque donnée crée une obligation. »

2. Les agences en tant que sous-traitants

Domaine	Rôle de l’agence	Obligation
Gestion de la campagne	Agit sur les instructions du responsable du traitement	Signer un accord de sous-traitance (DPA)
Intégration du CRM	Traite les données sans en être propriétaire	Stocker les journaux d'accès
Analyses et rapports	Traite les données recueillies et produit des rapports	Appliquer l’anonymisation ou le masquage

3. Points de conformité des formulaires et campagnes

• Obtenir les instructions écrites du client au début de la campagne.
• Les deux parties doivent signer un accord de sous-traitance (DPA).
• Les formulaires doivent comporter une notice d’information et une case de consentement explicite.
• Les données doivent être supprimées ou livrées au client à la fin de la campagne.

« La suppression des données est la dernière étape d’une gestion sécurisée des campagnes. »

4. Exemple du protocole de conformité B10

B10 Digital Agency applique un «protocole de conformité du traitement des données » standard dans toutes ses collaborations de campagne. Il définit de manière transparente la relation entre agence et marque :

Section	Contenu
1. Définitions	Définitions du responsable du traitement, du sous-traitant et des catégories particulières de données personnelles
2. Objet	Limiter les activités de traitement des données dans les processus de campagne
3. Obligations	Mesures de sécurité des données de l'Agence et obligation de supprimer
4. Audit	Droit de la marque d’auditer les processus de l’agence
5. Notification des violations de données	Obligation d'aviser le responsable du traitement dans les 72 heures

Recommandation B10 : Chaque dossier de campagne doit contenir un DPA, un schéma des flux de données et un texte de consentement. Ces documents doivent être archivés au format numérique et disponibles pour les audits.

5. Créer une culture de conformité en agence

• Toutes les équipes doivent recevoir une formation de sensibilisation KVKK,
• La politique relative aux données doit être signée lors de l’intégration d’un nouveau client.
• Les données partagées ne doivent être accessibles qu'aux personnes autorisées,
• Les politiques de conservation des données dans les services cloud devraient être régulièrement revues.

Mettez votre agence en conformité avec la KVKK.
B10 Digital Agency assure une sécurité durable des données grâce à des protocoles KVKK, des textes de consentement et des DPA adaptés aux agences numériques.

Demander un protocole de conformité KVKK Une agence peut-elle être responsable du traitement ?

Oui, mais uniquement si vous traitez des données pour vos propres finalités, par exemple pour un service d’analyse marketing. Si vous les traitez pour le compte du client, vous êtes sous-traitant.

Devons-nous supprimer les données du formulaire à la fin de la campagne?

Oui. Selon l’article 7 de la KVKK, les données doivent être supprimées, détruites ou anonymisées lorsque la finalité du traitement prend fin.

Les données de remarketing sont-elles des données personnelles ?

Oui. Les adresses IP, identifiants de cookies et données de comportement sont considérés comme des données personnelles. Leur utilisation doit donc être clairement décrite dans la politique relative aux cookies.

Mots-clés : KVKK • agence numérique • sous-traitant • remarketing • DPA • B10 Digital Agency