Questions fréquentes

Une personne ou une société établie dans l’UE qu’une entreprise établie hors de l’UE désigne par écrit pour servir de point de contact aux autorités de contrôle de l’UE et aux personnes concernées, pour toute question relative à ses traitements de données personnelles (article 27, paragraphe 4). Le représentant agit sur mandat de l’entreprise. Il ne reprend pas la responsabilité de l’entreprise quant au respect du RGPD.

Les responsables du traitement et les sous-traitants sans établissement dans l’UE dont le traitement relève de l’article 3, paragraphe 2, du RGPD : ils offrent des biens ou des services, payants ou gratuits, à des personnes dans l’UE, ou ils suivent le comportement de personnes dans l’UE, par exemple au moyen de publicité comportementale ou de suivi en ligne. L’article 27, paragraphe 1, les oblige alors à désigner par écrit un représentant dans l’Union, sauf exemption.

La taille, à elle seule, n’est pas un motif d’exemption. L’article 27, paragraphe 2, exempte les traitements qui sont occasionnels, n’impliquent pas de traitement à grande échelle de catégories particulières de données ou de données relatives aux condamnations pénales et aux infractions, et sont peu susceptibles d’engendrer un risque pour les droits et libertés des personnes, toutes ces conditions devant être réunies. Le CEPD ne considère un traitement comme occasionnel que s’il n’est pas effectué régulièrement et sort du cadre normal des activités. Les autorités et organismes publics sont également exemptés.

Cela peut être le cas. L’article 27 s’applique aux sous-traitants comme aux responsables du traitement, et le représentant d’un sous-traitant tient le registre de l’article 30 propre à ce sous-traitant. Vendre uniquement à des entreprises ne vous place pas non plus hors du champ d’application : les employés et les utilisateurs de vos clients professionnels sont des personnes physiques, de sorte que l’article 3, paragraphe 2, peut tout de même s’appliquer.

Oui, si l’article 3, paragraphe 2, s’applique à vous. Une décision d’adéquation permet aux données personnelles de circuler de l’UE vers votre pays sans garanties supplémentaires. Elle ne change rien à la question de savoir si le RGPD s’applique à vos propres traitements, et ne supprime pas l’obligation de désigner un représentant au titre de l’article 27.

Non. Une seule désignation écrite couvre tous les États membres de l’UE et les pays de l’EEE où le RGPD s’applique.

Oui. L’article 27, paragraphe 3, exige que le représentant soit établi dans un État membre où se trouvent les personnes dont vous traitez les données. rep4eu est établi en Allemagne : vos activités dans l’UE devraient donc concerner notamment des personnes en Allemagne, ou vous devriez vous être assuré par ailleurs qu’un représentant en Allemagne satisfait à cette exigence. Nos conditions générales vous demandent de le confirmer lors de la commande.

Les autorités de contrôle peuvent vous ordonner d’en désigner un et infliger, au titre de l’article 83, paragraphe 4, point a), du RGPD, des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. En 2021, l’autorité néerlandaise a infligé à LocateFamily.com une amende de 525 000 euros pour ne pas avoir désigné de représentant.

Chaque formule comprend une lettre de désignation écrite nommant Cloudkasten GmbH comme votre représentant au sens de l’article 27 du RGPD ; notre adresse postale en Allemagne et une adresse e-mail de transfert dédiée pour votre politique de confidentialité, avec un texte prêt à l’emploi en anglais et en allemand ; le transfert et la consignation de chaque message des autorités de contrôle et des personnes concernées ; la tenue de votre registre des activités de traitement (article 30), à partir des informations que vous fournissez ; et un support par e-mail en anglais ou en allemand. Le conseil juridique et la rédaction de réponses ne sont pas inclus.

Le conseil juridique, les évaluations des risques juridiques, la rédaction de réponses aux autorités ou aux particuliers, la représentation dans des procédures, les services de délégué à la protection des données, ainsi que la rédaction de politiques de confidentialité ou de registres. Ne sont pas non plus inclus : la représentation au titre du RGPD britannique (UK GDPR), de la LPD suisse, du règlement sur les services numériques (DSA) ou du règlement sur l’intelligence artificielle (AI Act) ; les rôles liés à la sécurité des produits, comme la personne responsable CE ou GPSR ; les services d’agent enregistré et de gestion générale du courrier ; et la traduction des messages transférés. Le cabinet des avocats propose le travail juridique dans le cadre d’une mission distincte, dont le périmètre et les honoraires sont convenus par écrit au préalable.

Choisissez une formule, indiquez les informations légales de votre entreprise et un contact pour la correspondance RGPD, puis payez les frais annuels via Stripe. Nous vérifions ensuite votre entreprise dans les registres publics et, une fois la vérification réussie, émettons votre lettre de désignation. Vous ajoutez les coordonnées du représentant figurant dans la lettre à votre politique de confidentialité et à vos registres des activités de traitement.

Lorsque votre entreprise a été vérifiée et que votre lettre de désignation a été émise. La lettre indique la date de prise d’effet, qui est la date de confirmation de votre premier paiement, et la date d’échéance de votre période de 12 mois. La vérification automatisée est généralement effectuée en 24 heures et l’examen manuel en 48 heures, comptés en jours ouvrables. Ne mentionnez pas rep4eu dans votre politique de confidentialité avant d’avoir reçu la lettre.

Nous vous contactons pour régler la situation, par exemple en vous demandant des documents de constitution. Si nous ne pouvons pas vérifier votre entreprise, ou si nous refusons la désignation, le contrat prend fin et nous remboursons intégralement les frais de la période en cours, sauf si l’échec résulte d’informations fausses ou trompeuses que vous avez fournies.

Non. Un représentant est votre point de contact dans l’UE et agit sur votre mandat. Un délégué à la protection des données (DPO) au sens des articles 37 à 39 vous conseille de manière indépendante et contrôle votre conformité ; il n’est obligatoire que dans les cas énumérés à l’article 37. Le CEPD considère le rôle de représentant comme incompatible avec celui de DPO externe établi dans l’UE. Désigner rep4eu ne vous donne pas de DPO.

Non. Nous recevons, consignons et transférons les messages, et lorsqu’une autorité de contrôle nous contacte, nous confirmons que nous sommes votre représentant et convenons avec vous de la suite. Vous répondez sur le fond et restez responsable de votre conformité, comme le précisent le considérant 80 et l’article 27, paragraphe 5. Si vous souhaitez une aide juridique, le cabinet des avocats peut prendre l’affaire en charge dans le cadre d’une mission distincte, dont le périmètre et le coût sont convenus par écrit au préalable.

Non. Le service couvre uniquement l’article 27 du RGPD de l’UE. Une entreprise établie hors du Royaume-Uni qui offre des biens ou des services à des personnes au Royaume-Uni, ou y suit leur comportement, peut avoir besoin d’un représentant distinct au titre du RGPD britannique (UK GDPR), et la loi fédérale suisse sur la protection des données prévoit sa propre règle en matière de représentant (art. 14 LPD). rep4eu n’agit pas comme représentant au Royaume-Uni ou en Suisse. Les entreprises britanniques et suisses qui ont besoin d’un représentant UE peuvent faire appel à rep4eu.

rep4eu est exploité par Cloudkasten GmbH, société inscrite au registre du commerce (Amtsgericht Köln) sous le numéro HRB 92697, dont le siège social est à Erftstadt (Allemagne) et dont le gérant est Alexander Hagemann. Deux avocats admis en Allemagne participent à l’exploitation du service. Votre contrat est conclu avec Cloudkasten GmbH et ne crée pas de relation avocat-client.

Un tarif fixe par an, payable d’avance. Les formules Essential et Business ont des prix publiés, affichés sur la page des tarifs dans votre devise ; la formule Enterprise fait l’objet d’un devis individuel. Il n’y a ni frais de mise en place ni frais par message transféré. Les prix s’entendent hors TVA ; la TVA éventuelle est indiquée lors du paiement. Le travail juridique, si vous le souhaitez, est convenu et facturé séparément.

Non. Les prix s’entendent hors TVA. Lorsque la TVA s’applique, elle est indiquée lors du paiement et sur votre facture. Les entreprises établies dans un autre État membre de l’UE et disposant d’un numéro d’identification TVA valide sont facturées selon le mécanisme d’autoliquidation.

Les formules sont facturées annuellement, d’avance. Durée de 12 mois, renouvelée automatiquement. Résiliez au plus tard 1 mois avant la date de renouvellement ; votre représentation se poursuit jusqu’à la fin de la période déjà payée. Les frais correspondant à la période déjà payée ne sont pas remboursés. Vous pouvez résilier par e-mail à [email protected].

Désignez d’abord le nouveau représentant, mettez à jour votre politique de confidentialité et vos registres des activités de traitement, et seulement ensuite mettez fin à l’ancien mandat, afin qu’il n’y ait aucune période sans représentant désigné. Conservez vos anciennes lettres de désignation et la correspondance avec la documentation que vous tenez au titre du principe de responsabilité.

Ce site est disponible en plusieurs langues, mais le support est assuré par e-mail en anglais et en allemand. Le contrat est conclu en anglais : les conditions générales et la lettre de désignation sont rédigées en anglais, et le texte anglais fait foi. La lettre contient un texte pour votre politique de confidentialité en anglais et en allemand. La correspondance des autorités allemandes est traitée en allemand ; les autres messages sont transférés tels que reçus, dans la langue dans laquelle ils ont été rédigés.