En une grosse année, Chandago a établi de solides fondements. Discrète, la startup bordelaise fondée en août 2017 emploie aujourd'hui une équipe de 17 personnes sous la direction de deux anciens de Weborama, Emmanuelle Dubourg et Bruno Delcombel-Delbos. "On travaille sur la protection des données personnelles des internautes et le problème de relation de confiance entre ces mêmes internautes et les acteurs du numérique", résume à grands traits Emmanuelle Dubourg.

C'est peu dire que le sujet est encore très mal appréhendé par le grand public. Quant aux éditeurs du web, ils s'y sont intéressés par la force des choses, contraints par le déploiement depuis le mois de mai du Règlement européen sur la protection des données, le fameux RGPD. "Pour de très nombreux internautes, le RGPD se résume à la litanie des mails qu'ils ont reçu ces derniers mois. Ils n'ont pas fait le lien avec la question de leurs données personnelles", relèvent Emmanuelle Dubourg et Bruno Delcombel-Delbos. Les scandales ont pourtant une fâcheuse tendance à se multiplier : Cambridge Analytica, puis des fuites de données chez Yahoo, Facebook en septembre dernier... Si bien que certains internautes se posent des questions et demandent davantage de transparence.

"Plus d'égalité et de transparence"

"Dans le monde physique, on ne laisse pas sa carte d'identité sur un banc en partant. Sur le web, il faut agir de la même manière", illustre Emmanuelle Dubourg. La plupart des internautes laissent pourtant des traces numériques, les mots-clés dans des moteurs de recherche, des interactions sur les réseaux sociaux, des éléments dans des formulaires... exploitées par les acteurs du numériques pour placer ces mêmes utilisateurs dans des cases. Informations précieuses ensuite revendues, notamment à des annonceurs. Google, Facebook, Amazon, mais aussi les services de location de trottinettes en libre-service par exemple, ont un modèle économique appuyé sur cette mécanique.

Souhaitant offrir "plus d'égalité et de transparence" sans chambouler les modèles économiques des acteurs du web, Chandago tombe au bon moment avec la mobilisation induite par le RGPD. La startup bordelaise a développé une consent management platform (CMP), logiciel de recueil et de gestion des consentements laissés par les internautes relatifs à l'utilisation qui peut être faite de leurs données personnelles. Baptisée AppConsent, elle stocke les consentements dans une blockchain privée, technologie utilisée par les cryptomonnaies comme le Bitcoin... mais pas que (lire la définition ici). "En cas d'audit par le régulateur, l'éditeur web peut démontrer, en utilisant notre plateforme, la façon dont le consentement a été collecté, le contexte, la question qui a été posée à l'internaute, quel jour et à quelle heure...", précise Bruno Delcombel-Delbos.

L'équipe de Chandago est composée de 17 personnes (photo Thibaud Moritz / Agence Appa)

Des contraintes dans un marché qui n'en connaissait aucune

Il reste que le recueil du consentement se résume à une fenêtre qui s'interpose entre l'internaute et un service web, une application, un article de presse... Souvent avec un grand "OK" sur lequel cliquer, et un lien beaucoup plus petit pour ceux qui veulent se pencher réellement sur l'utilisation de leurs données personnelles, renvoyant la plupart du temps vers un texte aussi technique qu'abscons. "80 % des internautes veulent fermer tout de suite cette fenêtre et accéder immédiatement au service ou à la page. Or, le RGPD implique qu'il soit aussi facile pour l'internaute de donner ou de retirer son consentement, c'est l'essence même du texte", rappelle Bruno Delcombel-Delbos, qui relève "une certaine inertie de la part des acteurs du numérique. Ce qui est assez logique car la protection des données touche à leur modèle économique."

Parallèlement, la méconnaissance du sujet est très forte côté grand public : "Beaucoup de gens confondent par exemple la protection de leurs données personnelles et la protection de leur compte par mot de passe sur leur réseau social favori. Il reste à faire un gros travail d'éducation et de pédagogie", ajoute Emmanuelle Dubourg. Travaillant pour le moment pour des acteurs tels que le groupe Figaro, CCM Benchmark ou encore FidMe, l'application bordelaise de fidélisation éditée par Snapp' Group, Chandago s'est aussi donné du temps.

"On est très conscient que le RGPD fait entrer des contraintes dans un marché qui n'en connaissait aucune jusqu'à présent, affirme le duo. Et puisqu'on travaille sur la confiance entre internautes et éditeurs, nous voulions arriver sur ce marché naissant avec une plateforme robuste, technologiquement solide, pour pouvoir prouver rapidement et inspirer confiance. On a donc cherché à anticiper beaucoup d'étapes avec une équipe dédiée à l'expérience utilisateur, une autre sur la R&D, une autre sur le marketing..."

Maurice Lévy est entré au capital

L'arrivée récente au capital de Maurice Lévy va aussi consolider l'ensemble et garantir de la stabilité. L'ancien président du directoire du géant de la communication Publicis détient désormais plus de 50 % des parts de Chandago, les cofondateurs restant au capital et assurant toujours la direction opérationnelle de la startup. L'opération a été réalisée dans le cadre d'une augmentation de capital, Maurice Lévy investissant via son propre family office, Ycor, lancé il y a quelques semaines et doté d'une trentaine de millions d'euros.

"Lui portait une réflexion similaire à la nôtre sur la protection des données et le déséquilibre entre internautes et acteurs du numérique. Nous, nous avions identifié qu'il nous fallait nous entourer avec des compétences rares sur le marché. Au bout de 30 minutes, lors de notre rencontre, on a compris qu'on partageait les mêmes idées. Ce n'est pas qu'un actionnaire, c'est un mentor et c'est une étape qui arrive au bon moment dans notre développement. Maurice Lévy a une capacité à nous ouvrir des portes pour élargir notre réflexion, sur un domaine où la pédagogie va avoir beaucoup de place", expliquent les deux fondateurs.

Chandago songe déjà à la création d'une plateforme ouverte aux internautes, un "privacy center", où ces derniers pourraient piloter l'ensemble de leurs consentements.

Si l'Europe a été la seule pour le moment à adopter une réglementation aussi contraignante, le duo anticipe un durcissement général ailleurs dans le monde dans les pays démocratiques : "Il existe une vraie demande citoyenne en Californie par exemple, et c'est la même chose au Japon. Il est probable qu'aux Etats-Unis, une réglementation proche de celui que l'on connaît en Europe voit le jour en 2019." Quant au marché français, c'est la CNIL, la Commission nationale de l'informatique et des libertés, qui est chargée de la collecte des plaintes. En six mois, elle en a reçu près de 6.000. Elle, comme ses homologues européennes, est désormais capable grâce au RGPD d'infliger aux entreprises qui l'enfreignent une amende maximale de 20 millions d'euros ou de 4% de leur chiffre d'affaires mondial annuel. Le signal envoyé au marché dépendra donc des premières amendes qui seront concrètement appliquées.