Le point de départ : deux responsables, pas un
Au sens du RGPD, la tête de réseau et chaque franchisé sont des responsables de traitement distincts. Chacun décide des finalités et des moyens pour les données qu'il collecte, et chacun répond en son nom auprès de la CNIL.
Pourquoi ça change tout pour un outil d'IA
Un outil qui agrège les ventes du réseau pour comparer les PdV ne « mélange » pas des données appartenant à un même responsable : il croise les données de dizaines de responsables. Sans cadre, c'est un transfert illicite. Avec cadre, c'est un service documenté et contractualisé.
Ce qu'il faut écrire avant de commencer
Quelle donnée est utilisée, par qui, pour quelle finalité. Qui en reste responsable. Qui peut l'exporter. Combien de temps elle est conservée. Comment un franchisé qui part récupère ou efface les siennes. Nous le mettons dans la proposition, avant toute signature.
Deux pièges courants
Un : croire qu'un contrat de franchise suffit à couvrir le traitement par un outil tiers. Deux : laisser l'outil se « nourrir » sans distinguer la donnée franchiseur de la donnée franchisé. Les deux coûtent cher si une plainte arrive.
Notre position
Nous cloisonnons dès le cadrage. Nous travaillons avec votre DPO, et nous ne prétendons pas garantir la conformité à votre place : elle reste de votre responsabilité et de la sienne.