Choisir une agence
Agence marketing et renseignements personnels : que demande la Loi 25 ?
Par Nordify Marketing · Publié le · Mis à jour le
Quand votre agence voit les demandes et le CRM, elle manipule des renseignements personnels dont vous restez responsable. La Loi 25 permet de les lui communiquer pour exécuter son mandat, à condition que le contrat soit écrit et prévoie confidentialité, usage limité et destruction à la fin. Vérifiez aussi qui est le responsable chez vous.
Réserver un appel
Pourquoi votre agence manipule-t-elle des renseignements personnels ?
Parce qu’elle voit ce que vos clients potentiels envoient : noms, courriels, numéros de téléphone, parfois des détails sur un projet ou une situation. Dès qu’elle a accès aux demandes, au formulaire ou au CRM, elle traite des renseignements pour votre compte. Vous en restez responsable, même si c’est elle qui les touche.
Le cadre général de la Loi 25 pour la publicité Facebook est dans notre guide sur la Loi 25 et la publicité Facebook au Québec. Celui-ci traite d’un point précis : la relation avec l’agence.
Concrètement, l’agence touche aux renseignements à trois endroits : le formulaire de demande, le CRM où elles sont rangées, et les audiences qu’on construit à partir de vos listes. Chacun est à nommer dans le contrat.
Que doit contenir l’entente avec l’agence ?
Un mandat ou un contrat confié par écrit qui précise les mesures que l’agence doit prendre : garder les renseignements confidentiels, les utiliser seulement pour le mandat, et ne pas les conserver après la fin du contrat. C’est ce que la Commission d’accès à l’information indique sur son site pour la communication sans consentement.
Trois éléments à vérifier dans le contrat :
- la confidentialité : qui y a accès chez l’agence, et dans quelles conditions ;
- l’usage limité : seulement pour exécuter le mandat, pas pour d’autres clients ni d’autres projets ;
- la fin du contrat : restitution ou destruction des renseignements.
Ces points peuvent figurer dans le contrat principal ou dans une annexe. Pour l’ensemble des clauses, voyez le guide sur le contrat d’agence marketing. Ce texte ne remplace pas un avis juridique.
Qui est le responsable de la protection des renseignements chez vous ?
Par défaut, la personne qui exerce la plus haute autorité dans l’entreprise, souvent le propriétaire. Elle peut déléguer le rôle par écrit. Son titre et ses coordonnées doivent être publiés sur votre site. Quand votre agence a un incident, c’est cette personne qui doit en être avisée sans délai.
Un petit entrepreneur se dit souvent : « je n’ai pas de responsable, je suis tout seul ». C’est justement vous. Vérifiez que votre site présente cette information, et que l’agence sait à qui s’adresser en cas de problème.
Posez à l’agence une question simple : qui, chez vous, est avisé en premier si des données sont perdues ou consultées par erreur, et en combien de temps le savez-vous ? La Commission indique que le prestataire doit aviser sans délai. La réponse de l’agence en dit long sur son sérieux.
Quelles questions poser à une agence avant de lui ouvrir le CRM ?
Où sont stockées les données et par quels outils, qui y a accès, comment se fait la gestion des accès à l’arrivée et au départ d’un employé, que se passe-t-il à la fin du contrat, et qui avise qui en cas d’incident. Une agence à l’aise avec ces questions a déjà réfléchi à ses pratiques.
Une courte liste à poser avant de signer :
- Où les renseignements sont-ils stockés, et dans quels pays ?
- Qui y a accès chez vous, nommément ou par rôle ?
- Comment les accès sont-ils retirés quand quelqu’un quitte l’équipe ?
- Que faites-vous des données si le contrat prend fin ?
- À qui annoncez-vous un incident, et quand ?
La première question compte à cause de la Commission : une évaluation est requise avant de confier des renseignements à une personne ou à un organisme hors du Québec. Si l’agence utilise des outils étrangers, parlez-en. Notre agence Facebook Ads répond à ces questions par écrit.
Questions fréquentes
L’agence doit-elle obtenir le consentement de mes clients pour voir leurs demandes ?
Pas pour exécuter un mandat nécessaire, si le contrat écrit prévoit les mesures de protection. La personne qui remplit le formulaire doit toutefois être informée de l’usage de ses renseignements.
Mon agence peut-elle réutiliser mes données pour d’autres clients ?
Non, l’usage doit se limiter au mandat. Faites-le écrire dans le contrat.
Que dois-je afficher sur mon site au sujet du responsable ?
Le titre et les coordonnées de la personne responsable. La Commission n’a pas à en être informée.
Qui m’avise si l’agence subit un incident ?
Le prestataire doit aviser sans délai le responsable. Demandez par écrit comment l’agence s’y prend.
Dans le même thème
- Préparer son premier appel avec une agenceOffre, marges, clients actuels, capacité, essais passés : ce qu’il faut avoir en tête pour une vraie recommandation.
- Budget publicitaire et honoraires d’agenceCe qu’on paie à Meta, ce qu’on paie à l’agence, et pourquoi les deux doivent rester séparés et vérifiables.
- Faire le bilan avec son agenceLivrables, qualité des demandes, réactivité, clarté : évaluer une agence sans se fier à une impression.
- Publicité pour plusieurs succursalesUne page ou plusieurs, un territoire par succursale, et chaque demande attribuée à la bonne dans le CRM.
- Le temps à consacrer à son agenceRelire les scripts, tourner une journée, rappeler les demandes : ce qu’une agence attend de vous, et ce qu’elle prend en charge.
- Agence de production ou agence média ?Une livre des vidéos, l’autre diffuse de la publicité : le trou entre les deux et comment savoir ce que fait chacune.
Pour aller plus loin
- Agence Facebook Ads à QuébecComment choisir une agence de publicité Facebook à Québec, et comment on travaille avec les entreprises de la région.
- Loi 25 et publicité FacebookPixel Meta, témoins, consentement, formulaires de leads et relances : ce que la Loi 25 change pour la publicité Facebook d’une PME québécoise.
- Faire le bilan avec son agenceLivrables, qualité des demandes, réactivité, clarté : évaluer une agence sans se fier à une impression.
- Publicité pour plusieurs succursalesUne page ou plusieurs, un territoire par succursale, et chaque demande attribuée à la bonne dans le CRM.
Une question sur votre cas ?
Dites-nous comment vos clients vous trouvent aujourd’hui. On vous dit franchement si la publicité Meta peut vous aider, et comment.
Un professionnel de notre équipe vous appellera
Appel découverte
- Comprendre votre entreprise et vos objectifs
- Voir ce qui freine votre croissance en ce moment
- Vous montrer comment la publicité Facebook et Instagram peut vous amener plus de clients
Comment vérifier, après la signature, que tout est respecté ?
Au bilan périodique, demandez qui a accès au CRM aujourd’hui, que les accès des anciens employés sont fermés et que rien n’a changé dans les outils utilisés. Les pratiques se relâchent avec le temps. Un point de contrôle par trimestre ou après un changement d’équipe suffit.
Inscrivez la question à l’ordre du jour de vos rencontres avec l’agence, à côté des résultats : voyez le guide sur le bilan après les premières semaines.
Et si votre entreprise a plusieurs succursales, la question se complique : chaque équipe n’a pas besoin de voir toutes les demandes. Le guide sur la publicité pour plusieurs succursales en parle.