Thread by @MickaelWalter

Comme pas mal de monde à #rennes, j'ai reçu un SMS de la part de l'équipe de campagne de Carole Gandon. Je me suis posé la question de comment ce SMS a pu arriver. Un thread ⬇️

Déjà le lien contient un tracker. Pas très sympa. De plus, après avoir contacté l'équipe de Carole Gandon, plusieurs sources indiquent que son équipe de campagne a fait appel à Adrexo
ouest-france.fr/elections/muni…

Ils disent ne pas avoir accès aux données personnelles des électeurs et je les crois sur ce point. J'ai donc pris contact avec le DPO désigné dans la politique de confidentialité d'Adrexo pour exercer mes droits au titre du RGPD
adrexo.fr/politique-de-c…

À noter l'adresse e-mail du DPO fait partie du domaine hopps-group[.]com. Ça fait sens vu qu'Adrexo est une filiale de Hopps Group. Au même titre que... Colis Privé

D'ailleurs, il y a certainement eu un cafouillage dans la configuration de l'alias de l'adresse e-mail du DPO puisque je reçois instantanément 2 réponses : un mail d'absence et une alerte d'inexistance d'une adresse... colisprive[.]com

Ça laisse de forts soupçons sur l'origine de ces informations étant donné que lorsqu'on commande sur Amazon (par exemple), le numéro de téléphone et l'adresse postale sont communiquées au transporteur qui est souvent Colis Privé

À ce stade, je ne peux pas dire que les bases de données sont partagées entre les deux filiales. Mais ça me laisse dubitatif. Notamment vis-a-vis de la conformité RGPD.

Je vais prendre un peu de temps pour éplucher les CGU et poursuivre ma demande d'information au titre du RGPD et je vous tiendrai au courant quand j'aurai un peu de temps libre...

L'adresse indiquée pour le DPO semble être un répondeur automatique, même si au vu des rebonds des personnes réelles ont l'air d'écouter l'alias, on part donc déjà sur une 2e adresse e-mail

Ça fait suite justement à un e-mail automatique reçu de cette deuxième adresse. Le processus est très flou. Ce qui est rassurant (ou déprimant à vous de voir), c'est que dans ce cas on a une réponse, même si elle est automatique.

Si vous voulez des exemples de la galère que peut représenter une demande en 3 min, vous avez cette magnifique conférence de Guiral Lacotte : static.sstic.org/rumps2020/SSTI…

Mention spéciale aux entreprises qui ont spécifié des adresses obsolètes ou inexistantes pour contacter les DPO.

Les CGV de Colis Privé le précisent : les infos du Destinataire (à ne pas confondre avec le client) ne sauraient être partagées ou exploitées en-dehors de la prestation de livraison. Sauf s'il existe des conditions particulières, j'espère qu'elles ne viennent pas de là

Article 11.3 des CGV de Colis Privé :
colisprive.fr/entreprises/cg…

C'est peut-être le bon moment pour préciser que je ne suis pas juriste. Si je fais une erreur grossière et qu'un avocat passe ici, qu'il n'hésite pas à me corriger.

À ma connaissance, je n'ai jamais utilisé aucun autre service de l'écosystème HOPPS Group que Colis Privé (via Amazon typiquement). Je suis donc très curieux de connaître l'origine de mes DCP (c'est Twitter, on abrège).

Et je suis le genre de personne à systématiquement m'assurer que la case "communication commerciale" est bien décochée quand je m'inscris.

Ce sera tout pour aujourd'hui. Je continuerai peut-être à vous tenir à jour sur l'avancement de l'expérience.