Données5 min de lecture

Carte de fidélité et RGPD : ce qu'un commerçant doit savoir

Quelles données vous collectez vraiment, et ce que ça implique.

Ceci n'est pas un conseil juridique.Ce sont des repères pour comprendre de quoi on parle et poser les bonnes questions. Votre situation dépend de ce que vous collectez et de la façon dont vous vous en servez : pour une réponse qui vous engage, il faut un juriste, et pour la Belgique, l'Autorité de protection des données publie de la documentation à destination des indépendants.

Le papier n'y échappe pas, le carton anonyme si

C'est le malentendu le plus répandu : beaucoup de commerçants pensent que le RGPD est arrivé avec le numérique et ne concerne que les outils en ligne. C'est faux dans les deux sens, et le comprendre règle la moitié des questions.

Un cahier où vous notez les noms, les numéros de téléphone et les passages de vos clients est un fichier de données personnelles, même manuscrit, même dans un tiroir. Le règlement s'applique dès qu'un ensemble est structuré — le support ne change rien.

À l'inverse, une carte en carton avec neuf tampons et rien d'autre ne contient aucune donnée personnelle: elle ne désigne personne, elle est chez le client, et vous ne savez même pas à qui elle appartient. C'est d'ailleurs sa limite — c'est exactement pour ça qu'elle ne permet ni de savoir qui revient, ni d'écrire à quiconque.

Ce qu'une carte digitale collecte réellement

Généralement beaucoup moins qu'on ne l'imagine, et c'est une bonne nouvelle : moins vous en collectez, moins vous en avez à protéger et à justifier.

Un identifiant de contact

Un e-mail ou un numéro, selon l'outil. C'est ce qui permet au client de retrouver sa carte s'il change de téléphone, et à vous de lui écrire. C'est la donnée la plus sensible du lot, et souvent la seule qui identifie vraiment quelqu'un.

Un prénom, parfois un nom

Utile au comptoir pour retrouver quelqu'un qui n'a pas son téléphone. Demandez-vous si vous en avez besoin : si la réponse est non, ne le collectez pas.

L'historique des passages

Des dates, et un compteur. C'est le cœur du service et c'est assez peu bavard — mais rattaché à un contact, ça devient un historique de comportement, et ça se traite comme tel.

Les montants, si vous êtes en points

Là, vous passez du « il est venu » au « il a dépensé tant ». C'est plus sensible. Si vous n'avez pas besoin de ce niveau de détail, les tampons collectent strictement moins.

Notez ce qui n'y est pas : aucune donnée bancaire. Une carte de fidélité n'a pas à savoir comment votre client paie, et un outil qui vous demanderait ce genre d'information devrait vous alerter.

Qui est responsable ? Vous.

C'est le point que les commerçants découvrent le plus souvent trop tard. Ce sont vos clients, c'est vousqui décidez de collecter et pourquoi : vous êtes le responsable du traitement. L'outil que vous utilisez agit pour votre compte, selon vos instructions — c'est un sous-traitant.

Ça ne veut pas dire que vous êtes seul : votre prestataire a ses propres obligations, notamment de sécurité, et il doit pouvoir vous dire ce qu'il fait des données. Mais la personne à qui votre client s'adressera, c'est vous.

Les questions à poser à un prestataire avant de signer

Où sont hébergées les données, et sous quel régime ?
Puis-je les exporter, et sous quelle forme ?
Que deviennent-elles si j'arrête l'abonnement ?
Les utilisez-vous pour autre chose que mon service ?
Comment je réponds à un client qui demande l'effacement ?

Quatre principes, en langage de comptoir

Ne collectez que ce qui vous sert.C'est la minimisation, et c'est le principe le plus utile en pratique : une date de naissance « pour offrir quelque chose à l'anniversaire » est une donnée de plus à justifier, à protéger et à effacer. Si vous ne vous en servirez pas, ne la demandez pas.
Dites ce que vous en faites, avant.Une phrase claire au moment où le client crée sa carte vaut mieux qu'une page de conditions que personne ne lit. Et si vous comptez lui écrire, il doit le savoir à ce moment-là — pas le découvrir au premier message.
Ne vous en servez pas pour autre chose. Des coordonnées données pour une carte de fidélité servent à la carte de fidélité. Les revendre, ou les verser dans une campagne sans rapport, sort de ce à quoi la personne a consenti.
Sachez répondre à une demande.Un client peut vouloir savoir ce que vous avez sur lui, le récupérer, le faire corriger ou effacer. Ce n'est pas fréquent, mais quand ça arrive il faut pouvoir le faire — d'où la question de l'export posée plus haut.

Ce que nous faisons, et ce que nous n'avons pas encore fixé

Autant être direct, puisque c'est nous qui écrivons cet article. Chez FlexTary, les données de vos clients sont les vôtres : vous pouvez les exporter, et nous ne nous en servons pas pour autre chose que votre service. Aucune donnée bancaire ne passe par nos pages — le paiement de votre abonnement se fait chez Stripe, et nous ne recevons en retour que la marque de la carte et ses quatre derniers chiffres.

Ce qui n'est pas fixé, et que nous préférons dire plutôt que d'annoncer un chiffre que rien n'applique : la durée de conservation après résiliation. Un délai avait été annoncé, il a été retiré partout parce qu'aucun mécanisme ne l'exécutait — s'engager sur une durée qu'on ne tient pas est pire que de rester général. Nos conditions portent le point en attente, et le chiffre ne reviendra qu'avec le mécanisme qui le fait respecter.

C'est aussi une question à poser à n'importe quel prestataire : une réponse précise et vérifiable vaut mieux qu'une réponse rassurante.

Si vous ne deviez retenir qu'une chose

Le RGPD n'est pas un obstacle à la fidélisation : il vous demande de ne collecter que ce qui vous sert, de le dire, et de pouvoir revenir en arrière. Or une carte de fidélité bien réglée collecte très peu — un contact, des passages. Le commerçant qui a des ennuis, ce n'est presque jamais celui qui tient une carte de fidélité : c'est celui qui a récupéré des adresses pour une chose et s'en est servi pour une autre.