Carte de fidélité et RGPD : ce que doit faire un commerçant
Une carte de fidélité, c’est un fichier client : des prénoms, des contacts, des passages. Le RGPD s’applique dès le premier client inscrit. Pour un commerce de proximité, être en règle tient pourtant en quelques habitudes.
Ce guide est une aide, pas un avis juridique. La référence est le référentiel de la CNIL sur la gestion des activités commerciales ; en cas de doute, consultez la CNIL ou un professionnel.
Votre fichier, votre responsabilité
Au sens du RGPD, vous êtes responsable du traitement : c’est vous qui décidez de collecter les données de vos clients, et pourquoi. L’outil qui stocke votre fichier est votre sous-traitant : il doit s’engager par écrit sur la sécurité et l’usage des données, dans un contrat de sous-traitance (article 28 du RGPD).
Ne collecter que l’utile
Un programme de fidélité fonctionne avec très peu : un prénom, un moyen de contact, et éventuellement une date d’anniversaire si vous souhaitez la fêter. Pas d’adresse postale ni de pièce d’identité sans raison précise. Moins vous collectez, moins vous avez à protéger.
Informer le client à l’inscription
Au moment où il ajoute sa carte, le client doit savoir qui collecte ses données, pour quoi faire, combien de temps elles sont gardées, et comment exercer ses droits (article 13 du RGPD). Une courte mention sur la page d’inscription suffit, avec un lien vers le détail.
Envoyer des offres : l’accord du client
- Un accord explicite pour la prospection par SMS ou e-mail : une case à cocher, jamais pré-cochée.
- Une exception pour vos clients, pour des produits semblables à ceux qu’ils ont achetés, à condition qu’ils aient pu refuser dès l’inscription.
- Un moyen de se désinscrire dans chaque message commercial, gratuit et simple (par exemple « STOP au … » pour un SMS), respecté sans délai.
Appliquez la même logique aux notifications envoyées sur la carte du Wallet : un client doit pouvoir les refuser simplement.
Combien de temps garder les données
La CNIL recommande de conserver les données pendant la relation commerciale, puis trois ans après le dernier contact du client, avant de les supprimer ou de les anonymiser. Un client qui n’est pas venu depuis trois ans ne doit plus rester dans votre fichier actif : la conservation trop longue de clients inactifs fait partie des manquements que la CNIL sanctionne.
Sécuriser l’accès au fichier
Un accès par personne, jamais un mot de passe partagé, limité à ce dont chacun a besoin (le scan des cartes, par exemple), et retiré le jour où la personne quitte l’équipe.
Ce qu’il faut demander à votre prestataire
- Son contrat de sous-traitance (article 28 du RGPD).
- Le pays d’hébergement des données et, hors Union européenne, le cadre qui protège les transferts.
- La possibilité d’exporter votre fichier à tout moment, et ce que deviennent les données à la fin du contrat.
Répondre aux demandes et tenir un registre
Un client peut demander ses données, leur correction ou leur suppression : vous avez un mois pour répondre. Prévoyez comment retrouver, exporter et supprimer la fiche d’un client.
Enfin, tenez un registre, même d’une page : les données collectées, pourquoi, qui y a accès, combien de temps vous les gardez. La CNIL en propose un modèle.
Pour faire le point en deux minutes, répondez à la check-list RGPD du fichier client : dix questions, et les actions à mener.
Questions fréquentes
Un petit commerce est-il concerné par le RGPD ?
Oui, dès qu’il conserve des données sur des personnes : nom, téléphone, e-mail, historique de passages. La taille du commerce ne change pas les principes.
Faut-il le consentement du client pour lui donner une carte de fidélité ?
La carte elle-même repose sur le service que le client demande en s’inscrivant. C’est l’envoi d’offres commerciales qui demande son accord, sauf exception pour vos propres clients et des produits semblables.
Combien de temps garder les données d’un client ?
Pendant la relation commerciale, puis trois ans après son dernier contact, selon les recommandations de la CNIL. Au-delà, supprimez ou anonymisez.
Que faire si un client demande à être supprimé ?
Supprimez sa fiche et confirmez-le-lui, dans un délai d’un mois. D’où l’intérêt d’un fichier client où chaque fiche se retrouve et se supprime facilement.