Carte de fidélité et RGPD : ce que le commerçant doit savoir
Quelles données collecter, combien de temps les garder, quoi afficher : les règles RGPD essentielles pour un programme de fidélité de commerce de proximité.
Un programme de fidélité collecte des données personnelles : un prénom, un numéro de téléphone, parfois un e-mail, et l’historique des passages. Le RGPD s’applique donc, même pour une petite boutique. Rassurez-vous : les règles sont simples si l’on collecte peu et qu’on reste transparent. Ce guide est informatif et ne remplace pas un conseil juridique.
Collecter le strict nécessaire
Le principe de minimisation impose de ne demander que ce qui sert le programme. Pour une carte de fidélité : un prénom (pour accueillir le client) et un moyen de le retrouver (téléphone ou e-mail). La date de naissance, l’adresse ou le genre ne sont pas nécessaires.
Informer clairement
Au moment de l’inscription, le client doit savoir qui traite ses données, pourquoi, combien de temps et comment exercer ses droits. Un lien vers une politique de confidentialité et une case à cocher suffisent. Ne cochez jamais la case à sa place.
Ne pas détourner les données
Un numéro collecté pour la carte de fidélité ne doit pas servir à envoyer des SMS publicitaires sans consentement spécifique. Les notifications d’une carte digitale sont différentes : c’est le client qui les active depuis son téléphone, et il peut les couper à tout moment.
Limiter la durée de conservation
La CNIL recommande de supprimer les données des clients inactifs après une période raisonnable (souvent trois ans sans visite pour un programme de fidélité). Conservez aussi peu d’historique que nécessaire.
Permettre la suppression
Chaque client peut demander l’accès à ses données et leur suppression. Avec Fideliteo, le client peut supprimer ses cartes et ses données lui-même, depuis son téléphone, en un clic.
Choisir un prestataire sérieux
En tant que commerçant, vous êtes responsable du traitement ; votre outil est votre sous-traitant. Vérifiez :
- où sont hébergées les données (l’Union européenne est préférable) ;
- qu’elles ne sont ni revendues ni utilisées à d’autres fins ;
- que vous pouvez exporter et supprimer vos données à tout moment.
Pour aller plus loin, la CNIL publie des fiches pratiques à destination des commerçants sur cnil.fr.