Apollo

Ce qu'est Apollo

Apollo, également appelé Apollo.io, est une plateforme américaine de veille commerciale et d'engagement entre entreprises. Sur un site web, il se déploie sous la forme d'un script de suivi des visiteurs chargé depuis les serveurs d'Apollo, et dans les courriels sortants sous la forme de pixels de suivi intégrés aux messages. Le traceur transforme un trafic anonyme en comptes et contacts nommés en déposant un cookie propriétaire, en construisant un profil de visiteur et en rapprochant ce profil de la très vaste base de contacts qu'Apollo maintient.

Quelles données et quels cookies Apollo collecte

Lorsqu'un visiteur arrive sur une page qui porte le script Apollo, le traceur dépose un cookie propriétaire dans le navigateur, génère un identifiant de visiteur anonyme et enregistre des événements comportementaux comme les pages vues, le temps passé et le parcours de navigation. Ces événements sont envoyés aux points de collecte d'Apollo par des appels track_request. Apollo rapproche ensuite le visiteur et les identifiants collectés de sa propre base de contacts, qui contient des données personnelles étendues sur des professionnels, afin de révéler l'entreprise et, si possible, les personnes précises à l'origine de la visite. Dans les courriels sortants, les pixels de suivi d'Apollo enregistrent l'ouverture d'un message et peuvent la relier à un contact connu.

Implications RGPD et ePrivacy

Les identifiants de visiteur, les événements comportementaux et les fiches de contact rapprochées qu'Apollo traite sont des données personnelles au sens du RGPD, car ils se rapportent à des personnes identifiables et servent à les profiler. Le dépôt et la lecture d'un cookie sur l'appareil du visiteur relèvent pleinement de l'article 5(3) de la directive ePrivacy, que la CNIL en France, les autorités allemandes au titre du TDDDG et l'AEPD en Espagne appliquent comme une obligation stricte de consentement préalable pour les traceurs non essentiels. Le rapprochement des données de visiteur avec une vaste base tierce constitue précisément le type de profilage à grande échelle que les régulateurs européens examinent avec le plus d'attention.

Quand le consentement est requis

Le consentement est requis avant le chargement du script Apollo, car il n'est pas strictement nécessaire à la diffusion du contenu de la page et il identifie le visiteur. Ce consentement doit être libre, spécifique, éclairé et univoque, et il doit être aussi simple de refuser que d'accepter. Tant que le visiteur n'a pas accepté, le script ne doit pas s'exécuter, aucun cookie propriétaire ne doit être déposé et aucun événement comportemental ne doit être envoyé à Apollo. L'intérêt légitime pour la base de contacts sous-jacente est fortement contesté par les régulateurs européens et ne doit pas servir de fondement à ce suivi.

Transferts de données vers les États-Unis

Apollo traite les données de visiteur, les événements comportementaux et les fiches de contact rapprochées sur une infrastructure située aux États-Unis, de sorte que les données des visiteurs et prospects européens sont transférées hors de l'Espace économique européen. Ces transferts exigent les clauses contractuelles types de l'Union européenne au sein de l'accord de traitement d'Apollo et une analyse d'impact des transferts documentée qui tient compte du droit de surveillance des États-Unis, conformément à l'arrêt Schrems II et aux orientations du Comité européen de la protection des données. L'enrichissement des données de visiteur à partir d'une base hébergée aux États-Unis renforce encore la nécessite d'une analyse de transfert solide.

Étapes pratiques pour un usage conforme

Conditionnez le script Apollo à votre plateforme de gestion du consentement afin qu'il ne se déclenche qu'après l'acceptation de la catégorie marketing ou analytique, et classez Apollo dans cette catégorie. Fournissez des informations claires sur Apollo dans votre politique cookies, y compris le cookie propriétaire déposé et sa durée de vie, le suivi comportemental effectué et le rapprochement avec la base d'Apollo. Signez l'accord de traitement d'Apollo, réalisez une analyse d'impact des transferts et appliquez la durée de conservation la plus courte possible aux enregistrements de visiteurs et de prospects. Lorsque l'identification au niveau du contact n'est pas nécessaire, évitez de l'activer et vérifiez si l'intérêt légitime peut réellement être justifié avant de vous y appuyer.