Le RGPD (r\u00e8glement UE 2016\/679) s’applique \u00e0 chaque scan d’un QR code : l’adresse IP du t\u00e9l\u00e9phone, l’heure de la requ\u00eate et le type d’appareil transitent par les serveurs de la plateforme qui g\u00e8re la redirection. Pour le DPO, la DSI ou l’acheteur public qui instruit le dossier, le choix d’une plateforme de QR codes rel\u00e8ve donc de la conformit\u00e9 autant que du marketing. Le calendrier europ\u00e9en ajoute une seconde dimension : avec le r\u00e8glement ESPR (Ecodesign for Sustainable Products Regulation, UE 2024\/1781), le Passeport num\u00e9rique des produits, le DPP, arrivera cat\u00e9gorie par cat\u00e9gorie, \u00e0 commencer par les batteries en f\u00e9vrier 2027. Cet article passe en revue ce qu’une grille d’achat exigeante demande \u00e0 une plateforme europ\u00e9enne : la r\u00e9sidence des donn\u00e9es, les garanties contractuelles, la pr\u00e9paration au DPP et la gouvernance entre les \u00e9quipes.<\/p>\n\n
Unitag suit 2,4 millions de scans par jour<\/strong> dans 189 pays. Plus de 40 millions de QR codes g\u00e9n\u00e9r\u00e9s pour des marques telles que Bonduelle, Schneider Electric et L’Or\u00e9al.<\/p>\n<\/div><\/div>\n\n Techniquement, un scan est une requ\u00eate web : le t\u00e9l\u00e9phone du consommateur appelle l’URL imprim\u00e9e dans le code, le serveur de la plateforme la re\u00e7oit, puis m\u00e8ne le lecteur \u00e0 la destination pr\u00e9vue. Cette requ\u00eate transporte des donn\u00e9es personnelles au sens du RGPD, l’adresse IP en premier lieu. Le traitement a donc lieu au moment pr\u00e9cis o\u00f9 le consommateur lit le code, sur les serveurs du prestataire, dans le pays o\u00f9 ces serveurs se trouvent.<\/p>\n Deux cons\u00e9quences en d\u00e9coulent pour l’entreprise. D’une part, elle est responsable de traitement : c’est sa marque qui figure sur l’emballage, son QR code<\/a> que le consommateur lit. D’autre part, la plateforme agit comme sous-traitant au sens de l’article 28 du RGPD : un contrat de sous-traitance, le DPA, doit encadrer la localisation des serveurs, les dur\u00e9es de conservation et les sous-traitants ult\u00e9rieurs.<\/p>\n Un exemple concret : une campagne d’affichage d\u00e9ploy\u00e9e sur trois pays produit des dizaines de milliers de requ\u00eates, chacune portant une adresse IP. Que ces donn\u00e9es servent ensuite des statistiques agr\u00e9g\u00e9es ne change rien \u00e0 la qualification initiale : le traitement a eu lieu, il doit \u00eatre encadr\u00e9. C’est pour cette raison que le DPO doit voir le dossier avant la signature, quand les clauses se n\u00e9gocient encore, plut\u00f4t qu’au moment du premier incident.<\/p>\n Un point m\u00e9rite d’\u00eatre pos\u00e9 d\u00e8s le cadrage : les statistiques<\/a> de scans, pr\u00e9cieuses pour le marketing, sont issues de ce m\u00eame traitement. Leur dur\u00e9e de conservation et leur maille d’agr\u00e9gation font partie du dossier de conformit\u00e9 au m\u00eame titre que du cahier des charges marketing.<\/p>\n \u00ab H\u00e9bergement europ\u00e9en \u00bb figure sur beaucoup de plaquettes commerciales ; la grille d’achat demande des pi\u00e8ces. Trois questions suffisent \u00e0 trier les r\u00e9ponses :<\/p>\n Un transfert hors UE d\u00e9couvert apr\u00e8s signature se r\u00e8gle en avenants, en clauses contractuelles types et en semaines d’\u00e9changes juridiques ; le v\u00e9rifier avant signature co\u00fbte une r\u00e9union. \u00c0 l’inverse, un dossier o\u00f9 la r\u00e9sidence des donn\u00e9es est contractuelle passe la revue du DPO sans r\u00e9serve, et l’acheteur public peut le verser tel quel \u00e0 son analyse des offres.<\/p>\n Pour l’acheteur public, ces questions se transposent directement en crit\u00e8res d’analyse des offres : la localisation contractuelle des donn\u00e9es se v\u00e9rifie sur pi\u00e8ce, la liste des sous-traitants se demande en annexe, et la proc\u00e9dure de changement d’h\u00e9bergeur se lit dans le projet de contrat. Un candidat qui r\u00e9pond par des captures d’\u00e9cran de son site plut\u00f4t que par des clauses fournit, sans le vouloir, un crit\u00e8re de d\u00e9partage.<\/p>\n Unitag h\u00e9berge sa plateforme et les donn\u00e9es de scan en Europe, op\u00e8re depuis Toulouse et Londres depuis 2011, et sert environ 1 000 clients dans 189 pays. Ces engagements figurent au contrat, DPA compris ; le p\u00e9rim\u00e8tre complet est d\u00e9crit sur notre page entreprise<\/a>.<\/p>\n Pour un appel d’offres ou une simple mise en concurrence, six lignes couvrent l’essentiel du volet conformit\u00e9. Chacune appelle une r\u00e9ponse de niveau contractuel : une clause, une annexe, un engagement dat\u00e9. Les lignes \u00e0 inscrire dans la grille :<\/p>\n La derni\u00e8re ligne p\u00e8se plus lourd qu’il n’y para\u00eet. Un QR code imprim\u00e9 sur un emballage circule pendant des ann\u00e9es ; si l’URL appartient au prestataire, la fin du contrat condamne les codes en circulation \u00e0 la r\u00e9impression. Sur votre propre domaine, les codes d\u00e9j\u00e0 imprim\u00e9s continuent de fonctionner quel que soit l’outil qui les g\u00e8re : c’est la garantie de continuit\u00e9 la plus solide qu’une grille d’achat puisse exiger.<\/p>\n Deux autres lignes appellent un commentaire. Les dur\u00e9es de conservation, d’abord : la bonne r\u00e9ponse d\u00e9pend de l’usage. Le marketing veut un historique long pour comparer les saisons ; le DPO veut une dur\u00e9e justifi\u00e9e et document\u00e9e. Les deux se r\u00e9concilient par l’agr\u00e9gation : conserver longtemps des statistiques par pays et par appareil, sans garder les donn\u00e9es brutes au-del\u00e0 du n\u00e9cessaire. Les droits d’acc\u00e8s, ensuite : dans un groupe, la question \u00ab qui peut modifier la destination d’un code en circulation ? \u00bb m\u00e9rite une r\u00e9ponse \u00e9crite, journal des modifications \u00e0 l’appui.<\/p>\n La grille vaut d’ailleurs au-del\u00e0 du packaging. Les m\u00eames questions s’appliquent aux QR codes des affiches, des documents imprim\u00e9s et des cartes de visite digitales : ces usages produisent les m\u00eames donn\u00e9es de scan, souvent hors du champ de vision du DPO parce qu’ils sont n\u00e9s dans une \u00e9quipe, sans appel d’offres. Les int\u00e9grer au recensement initial \u00e9vite d’ouvrir un deuxi\u00e8me dossier dans un an.<\/p>\n Nous avons d\u00e9taill\u00e9 la version compl\u00e8te de cette grille, sections techniques et commerciales comprises, dans notre article \u00c9valuer un fournisseur de QR codes<\/a>.<\/p>\n Le r\u00e8glement ESPR est entr\u00e9 en vigueur le 18 juillet 2024 et fait du Passeport num\u00e9rique des produits l’instrument central de la politique europ\u00e9enne d’\u00c9coconception. Chaque cat\u00e9gorie de produits recevra, par acte d\u00e9l\u00e9gu\u00e9, la liste des informations \u00e0 publier ; la premi\u00e8re \u00e9ch\u00e9ance ferme concerne les batteries, en f\u00e9vrier 2027, au titre du r\u00e8glement UE 2023\/1542. La France a pr\u00e9par\u00e9 le terrain avec la loi AGEC (2020), et la fili\u00e8re viticole publie d\u00e9j\u00e0 ses \u00e9tiquettes digitales en application du r\u00e8glement UE 2021\/2117, applicable depuis d\u00e9cembre 2023.<\/p>\n Ces pr\u00e9c\u00e9dents sectoriels suivent le m\u00eame sch\u00e9ma : une obligation d’information, un support imprim\u00e9 limit\u00e9, un QR code pour porter le reste. La fili\u00e8re viticole a d\u00e9plac\u00e9 la liste des ingr\u00e9dients et la d\u00e9claration nutritionnelle vers l’\u00e9tiquette digitale ; la loi AGEC a install\u00e9 le r\u00e9flexe de l’information consommateur en France ; le passeport batteries fixera, d\u00e8s f\u00e9vrier 2027, le premier gabarit complet de DPP. Une entreprise multi-gammes a int\u00e9r\u00eat \u00e0 croiser ces calendriers avec son catalogue : certaines r\u00e9f\u00e9rences seront concern\u00e9es t\u00f4t, d’autres profiteront du m\u00eame socle technique sans contrainte imm\u00e9diate.<\/p>\n Pour l’acheteur, la cons\u00e9quence tient en une phrase : la plateforme retenue aujourd’hui doit pouvoir porter demain un QR Code augment\u00e9 GS1, c’est-\u00e0-dire une URL au standard GS1 Digital Link<\/a>, lisible par les scanners de caisse et capable de mener au passeport r\u00e9glementaire comme \u00e0 la page de marque. GS1 a fix\u00e9 l’horizon Sunrise 2027 : \u00e0 la fin 2027, les distributeurs devront \u00eatre en mesure d’accepter en caisse des QR codes au standard GS1 Digital Link, en compl\u00e9ment du code-barres traditionnel, qui reste lu pendant toute la transition. Rien n’impose de pr\u00e9cipitation ; tout invite \u00e0 choisir d\u00e8s maintenant une plateforme qui n’obligera pas \u00e0 r\u00e9imprimer les emballages quand ces \u00e9ch\u00e9ances se pr\u00e9ciseront.<\/p>\n Unitag est r\u00e9f\u00e9renc\u00e9 en tant que GS1 Solution Provider ; son R\u00e9solveur Digital Link, certifi\u00e9 par GS1, fonctionne sur votre propre domaine et repose sur le m\u00eame h\u00e9bergement europ\u00e9en que le reste de la plateforme.<\/p>\n\n La plateforme Unitag, vue c\u00f4t\u00e9 conformit\u00e9<\/strong><\/p>\n H\u00e9bergement europ\u00e9en, sous-organisations, droits par \u00e9quipe et journal des modifications : l’offre entreprise en d\u00e9tail.<\/p>\n <\/div>\n D\u00e9couvrir l’offre entreprise \u2192<\/a><\/p>\n<\/div><\/div>\n\n Dans un groupe multi-marques ou pr\u00e9sent dans plusieurs pays, les QR codes naissent partout : le marketing France lance une campagne, la filiale allemande imprime un catalogue, la DSI g\u00e9n\u00e8re des codes en s\u00e9rie pour le packaging. Sans cadre commun, le DPO finit par d\u00e9couvrir des comptes ouverts sur des adresses personnelles et des donn\u00e9es de scan dispers\u00e9es chez trois prestataires, sans DPA pour deux d’entre eux.<\/p>\n La r\u00e9ponse rel\u00e8ve de l’organisation autant que de la technique : une plateforme unique qui organise les QR codes de l’entreprise entre les \u00e9quipes. Chez Unitag, les sous-organisations attribuent \u00e0 chaque marque, \u00e0 chaque pays ou \u00e0 chaque agence son espace et ses droits ; les filtres par langue, par appareil et par pays m\u00e8nent chaque lecteur \u00e0 la bonne destination ; les statistiques<\/a> remontent dans une vue commune, \u00e0 la maille dont chaque \u00e9quipe a besoin. Le DPO conserve un point de contr\u00f4le unique, et la DSI un seul contrat \u00e0 auditer, sans retirer au marketing sa libert\u00e9 de campagne.<\/p>\n Le partage du travail suit alors les lignes r\u00e9elles de l’organisation. La DSI cr\u00e9e les codes en s\u00e9rie pour le packaging, par lots, avec la syntaxe GS1 Digital Link quand les produits passent en caisse ; le marketing g\u00e8re ses campagnes dans l’interface, avec ses conventions d’UTM ; chaque filiale lit ses propres statistiques sans voir celles des autres. Cette r\u00e9partition n’a rien de th\u00e9orique : c’est elle qui \u00e9vite le retour des comptes parall\u00e8les, cause premi\u00e8re de la dispersion que le DPO cherche justement \u00e0 r\u00e9sorber.<\/p>\n Cette organisation par sous-organisations et droits diff\u00e9renci\u00e9s est d\u00e9taill\u00e9e sur notre page entreprise<\/a>, avec le cadre d’accompagnement associ\u00e9 : cadrage initial, audit de l’existant, d\u00e9ploiement \u00e9quipe par \u00e9quipe et interlocuteur d\u00e9di\u00e9.<\/p>\n Aucune des \u00e9ch\u00e9ances \u00e9voqu\u00e9es ici ne justifie l’urgence ; toutes r\u00e9compensent la m\u00e9thode. Trois gestes lancent le dossier sans mobiliser un projet entier. Recenser les QR codes d\u00e9j\u00e0 publi\u00e9s par les \u00e9quipes, avec le prestataire et le domaine de chacun : l’inventaire r\u00e9serve presque toujours des surprises. Poser par \u00e9crit aux prestataires en place les six questions de la grille ci-dessus : les r\u00e9ponses r\u00e9ellement contractuelles sont rares, et l’\u00e9cart se voit vite. Enfin, associer le DPO au cadrage d\u00e8s la premi\u00e8re r\u00e9union plut\u00f4t qu’\u00e0 la relecture finale : c’est la fa\u00e7on la plus s\u00fbre d’\u00e9viter l’avenant de derni\u00e8re minute.<\/p>\n Si le dossier d\u00e9bouche sur une mise en concurrence, notre page entreprise<\/a> d\u00e9crit le p\u00e9rim\u00e8tre exact de la plateforme, et l’\u00e9quipe, install\u00e9e \u00e0 Toulouse et \u00e0 Londres, r\u00e9pond en fran\u00e7ais comme en anglais. La grille de cet article peut servir de trame au cahier des charges ; les sections techniques (r\u00e9solveur, API, filtres) s’y ajouteront selon votre p\u00e9rim\u00e8tre.<\/p>\n Une plateforme europ\u00e9enne pour les QR codes de votre entreprise<\/p>\n H\u00e9bergement europ\u00e9en, conformit\u00e9 au RGPD, r\u00e9solveur certifi\u00e9 par GS1 : parlons de votre dossier.<\/p>\n Parlez-nous de votre projet \u2192<\/a><\/p>\n<\/div>\n\n Le RGPD (r\u00e8glement UE 2016\/679) s’applique \u00e0 chaque scan d’un QR code : l’adresse IP du t\u00e9l\u00e9phone, l’heure de la requ\u00eate et le type d’appareil transitent par les serveurs de la plateforme qui g\u00e8re la redirection. Pour le DPO, la DSI ou l’acheteur public qui instruit le dossier, le choix d’une plateforme de QR codes…<\/p>\n","protected":false},"author":6,"featured_media":509,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_kad_post_transparent":"","_kad_post_title":"","_kad_post_layout":"","_kad_post_sidebar_id":"","_kad_post_content_style":"","_kad_post_vertical_padding":"","_kad_post_feature":"","_kad_post_feature_position":"","_kad_post_header":false,"_kad_post_footer":false,"_kad_post_classname":"","footnotes":""},"categories":[54,72],"tags":[],"class_list":["post-468","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog-fr","category-packaging-fr"],"_links":{"self":[{"href":"https:\/\/www.unitag.io\/blog\/wp-json\/wp\/v2\/posts\/468","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.unitag.io\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.unitag.io\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.unitag.io\/blog\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/www.unitag.io\/blog\/wp-json\/wp\/v2\/comments?post=468"}],"version-history":[{"count":2,"href":"https:\/\/www.unitag.io\/blog\/wp-json\/wp\/v2\/posts\/468\/revisions"}],"predecessor-version":[{"id":520,"href":"https:\/\/www.unitag.io\/blog\/wp-json\/wp\/v2\/posts\/468\/revisions\/520"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.unitag.io\/blog\/wp-json\/wp\/v2\/media\/509"}],"wp:attachment":[{"href":"https:\/\/www.unitag.io\/blog\/wp-json\/wp\/v2\/media?parent=468"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.unitag.io\/blog\/wp-json\/wp\/v2\/categories?post=468"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.unitag.io\/blog\/wp-json\/wp\/v2\/tags?post=468"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Un scan est un traitement de donn\u00e9es<\/h2>\n
L’h\u00e9bergement europ\u00e9en se v\u00e9rifie dans le contrat<\/h2>\n
\n
La grille du DPO et de l’acheteur public<\/h2>\n
\n
Le DPP donne l’horizon de la d\u00e9cision<\/h2>\n
La gouvernance entre \u00e9quipes fait partie de la conformit\u00e9<\/h2>\n
Par o\u00f9 commencer<\/h2>\n
Pour aller plus loin<\/h2>\n
\n