Comment structurer une entreprise de courtage en données, de génération de leads ou d'intelligence client

Les banques et les autorités de licence examinent l'activité. Les acheteurs de données examinent l'inventaire. Un annuaire de contacts professionnels, un moteur de prospects grand public, un service de rapprochement d'identités et un modèle de notation sont des produits différents, même si un seul tableau de bord fait la façade des quatre. Chacun tient ou tombe selon l'origine de ses champs et ce que la source permettait. Un producteur alimentaire rencontre la même question, traitée dans le guide de la transformation des produits de la mer, qui distingue l'autorisation du ministère de la licence.

Commencez par un registre. Pour chaque champ que vous comptez vendre, consignez la source, ce que la personne ou la source a accepté, et si la réutilisation envisagée est compatible avec cette origine. L'équipe conformité d'un acheteur, une banque et toute demande d'une autorité partiront de ce registre.

Si vous ne pouvez pas renseigner le registre pour un champ, ce champ n'est pas prêt à être vendu. Aucune licence n'y change rien.

La loi s'applique au traitement de données personnelles effectué en tout ou partie par des systèmes électroniques, que ce soit à l'intérieur ou à l'extérieur des UAE. Cette formulation compte pour une société qui collecte à l'étranger et vend aux UAE, ou l'inverse.

Le traitement sans le consentement du propriétaire des données est interdit, sauf s'il est nécessaire pour protéger un intérêt public ou pour mener des procédures et exercer des droits légaux. Pour un courtier, cela fait peser la charge sur la source : une liste achetée auprès d'un tiers n'est licite que dans la mesure du consentement sur lequel elle repose. La loi fédérale n° 15 de 2020 sur la protection des consommateurs ajoute que les fournisseurs ne peuvent pas utiliser les données des consommateurs à des fins de marketing.

Les titulaires des données peuvent demander la rectification de données personnelles inexactes et demander la restriction ou l'arrêt du traitement. Une entreprise qui revend un fichier au niveau des personnes doit disposer d'un circuit opérationnel pour ces demandes, ainsi que d'un moyen de les transmettre aux acheteurs.

La loi fixe également des exigences pour le transfert et le partage de données personnelles au-delà des frontières. Les services d'enrichissement qui envoient des fichiers à des sous-traitants offshore, ainsi que les acheteurs qui exportent des données à l'étranger, relèvent de ce champ.

Vérifiez auprès du UAE Data Office les règlements d'application en vigueur et les éventuelles règles sectorielles avant de finaliser le produit.

Vendre des Leads signifie que quelqu'un sera contacté. La TDRA indique s'efforcer de limiter les SMS de marketing intrusifs au moyen d'une politique réglementaire dédiée, encourage les titulaires de licence à proposer des mécanismes clairs d'opt-in et d'opt-out, contrôle la conformité par des rapports réguliers et impose des mesures strictes à l'encontre des expéditeurs dépourvus de consentement préalable.

Pour une société de génération de Leads, c'est donc le registre des consentements qui constitue l'actif. Un Lead sans preuve de consentement pour le canal par lequel il sera contacté représente un passif pour l'acheteur. Recueillez le consentement au moment de la collecte, conservez-le avec le Lead et vendez-le avec le Lead.

Par ailleurs, la TDRA délivre un No Objection Certificate pour l'exercice d'une activité électronique, couvrant l'activité économique en ligne par l'intermédiaire de sites web, d'applications ou de comptes de réseaux sociaux. Si vous exploitez un site ou une application destinés aux consommateurs pour collecter des Leads, demandez à la TDRA si ce certificat s'applique à vous.

Déterminez qui est le responsable du traitement et qui est le sous-traitant avant la rédaction du contrat. Une société qui décide des finalités et des moyens du traitement des données assume des obligations différentes de celles d'une société qui traite uniquement sur instruction d'un client. Un service d'enrichissement travaillant sur les fichiers d'un client n'a pas le même rôle que le propriétaire de la base de données propriétaire qu'il enrichit.

Si un même groupe exploite plusieurs produits, une séparation selon le risque lié aux données est généralement plus claire. Un produit firmographique, une activité de Leads grand public et un service de traitement ont chacun leur propre mode de défaillance, et une demande d'exercice de droits ou un défaut de source dans l'un ne doit pas compromettre la commercialisabilité des autres. Le choix entre une société mainland et une free zone vient ensuite : une entité du DIFC, par exemple, fait entrer en jeu la loi du DIFC sur les données ; déterminez donc d'abord quel cadre le modèle de données peut satisfaire.

L'entité qui signe les contrats clients doit être celle qui est en mesure de répondre des données. C'est elle qui gère le processus relatif aux droits, fait respecter les limites de réutilisation et se porte garante des sources. Les structures bâties autour d'un prix de constitution bas échouent généralement dès le premier questionnaire d'un acheteur demandant qui garantit les sources.

Ici, les personnes comptent plus que les locaux. Vous avez besoin d'un responsable désigné pour la protection des données, d'une personne chargée de la sécurité et de la conservation, et d'une personne qui gère la diligence raisonnable à l'égard des clients. Une petite société peut cumuler des rôles, mais chacun doit être attribué.

Une banque qui examine le dossier d'une société de données veut voir ce qui est vendu, à qui et à quelles conditions. Des contrats qui restreignent la réutilisation, une notice de confidentialité conforme au registre et un plan de gestion des violations sont ce qui transforme un responsable de la conformité prudent en client. Le travail de préparation à l'ouverture d'un compte bancaire d'entreprise porte sur la manière dont ces documents s'articulent avec l'activité de la licence et le profil du compte. Le coût dépend de la voie choisie et du niveau de gouvernance requis par le produit. Velarozone procède ainsi : le registre est construit en premier, et les honoraires de service propres à Velarozone sont détaillés dans la lettre de mission.