CRM et RGPD : l’essentiel pour une petite entreprise
Base légale, conservation, consentement, droits, sécurité : l’essentiel pour une petite entreprise. Information générale, pas un conseil juridique.
Ceci est une information générale, pas un conseil juridique. Soldlyne ne donne aucun conseil juridique. Vos obligations dépendent de votre activité et de vos clients ; pour tout ce qui compte, demandez à votre délégué à la protection des données ou à un juriste.
Un CRM contient des noms, des adresses professionnelles, des numéros de téléphone, des notes sur des personnes et l’historique de vos échanges. Presque tout cela relève des données personnelles, y compris quand la personne travaille pour une société. Le RGPD s’applique donc, quelle que soit votre taille. Bonne nouvelle : pour une petite entreprise, tout tient en quelques habitudes.
La CNIL a publié un référentiel sur la gestion des fichiers clients et prospects. C’est un guide de mise en conformité plutôt qu’une loi, et c’est ce qu’il y a de plus clair à lire sur le sujet. Les chiffres ci-dessous en sont tirés.
Sachez pourquoi vous détenez chaque donnée
Chaque usage a besoin d’une base légale au titre de l'article 6 du RGPD. Pour un CRM, trois reviennent le plus souvent :
- Le contrat, ou les mesures prises à la demande de la personne avant celui-ci : traiter la commande d’un client, envoyer un devis qu’il a demandé.
- L’intérêt légitime : suivre vos relations commerciales, dans des limites raisonnables.
- Le consentement : là où il est nécessaire, par exemple un formulaire pour recevoir votre newsletter. La CNIL indique qu’il requiert une action positive et spécifique, comme une case dédiée qui n’est pas pré-cochée.
Écrire cela dans un court document, avec ce que vous détenez et qui peut le voir, c’est l’essentiel d’un registre des traitements pour une petite entreprise.
Ne gardez pas tout éternellement
Le RGPD dit que les données ne sont conservées que le temps nécessaire à leur finalité (article 5). Le référentiel de la CNIL le traduit en chiffres :
| Qui | Combien de temps |
|---|---|
| Un client, utilisé pour la prospection | La relation commerciale, puis trois ans à compter de sa fin (par exemple un achat, la fin d’une garantie ou d’un contrat, ou le dernier contact émanant du client) |
| Un prospect qui n’a jamais acheté | Trois ans à compter de la collecte, ou du dernier contact émanant du prospect |
Le contact doit venir du prospect : une demande de documentation ou un clic sur un lien d’un email comptent, la simple ouverture d’un email ne devrait pas. Au bout de trois ans, vous pouvez lui demander s’il souhaite toujours avoir de vos nouvelles ; sans oui explicite, supprimez ou archivez là où une obligation vous l’impose.
Les pièces comptables relèvent d’autres règles, et le référentiel demande de les archiver à part.
L’habitude : tous les six mois, listez les personnes sans contact depuis trois ans, et traitez-les. Une colonne « dernier contact » dans le CRM en fait un travail de dix minutes.
Notez le consentement quand vous le recueillez
Quand quelqu’un coche une case sur votre formulaire, gardez la date, le formulaire et la page. Sans cela, vous ne pouvez pas montrer qu’il a accepté. S’il ne l’a pas cochée, ne le marquez pas comme consentant, et un formulaire ultérieur sans la case ne doit ni défaire un oui passé ni en inventer un.
La capture de leads de Soldlyne fonctionne ainsi : une personne qui a coché la case reçoit la date, le formulaire et la page d’où elle vient, et personne n’est marqué comme consentant sans cela.
Soyez prêt pour les demandes de droits
Chacun peut demander à voir ses données, à les corriger, à les effacer ou à s’opposer à leur usage (articles 15 à 21). Vous avez un mois pour répondre, en règle générale. Pour une petite entreprise, cela veut dire :
- savoir qui traite la demande (une personne nommée) ;
- pouvoir retrouver tout ce qui concerne une personne, ce qu’un historique par contact facilite ;
- pouvoir supprimer ou anonymiser une fiche ;
- ne plus la contacter quand elle s’y est opposée, sur aucun canal, ce qui suppose une liste de ceux qui ont dit non.
Écrivez vos notes comme si la personne allait les lire
Elle le peut. Le droit d’accès couvre les champs libres : « difficile, semble traverser un divorce » n’a pas sa place dans un CRM. Limitez-vous à ce qu’il faut pour la vente.
Qui d’autre touche aux données
Votre hébergeur, votre fournisseur de base de données, votre prestataire d’emails et l’éditeur de votre CRM, s’il y en a un, traitent des données pour vous. Au sens du RGPD ce sont des sous-traitants, et il vous faut un contrat avec chacun ; la plupart publient un accord de traitement standard. Regardez aussi où ils sont établis : un serveur à Francfort exploité par une société américaine pose quand même la question des transferts hors UE.
Gardez tout cela sous clé
Pas besoin d’un service sécurité. Il vous faut :
- un compte par personne, supprimé le jour où elle part ;
- aucun mot de passe partagé, et un mot de passe solide ou une connexion unique ;
- juste les accès nécessaires à chacun, et des murs entre sociétés si vous en avez plusieurs ;
- des sauvegardes, et un stockage chiffré pour ce qui ressemble à des jetons d’accès aux emails.
Ce que change un assistant
Si vous connectez votre CRM à Claude ou ChatGPT, les données qu’il lit passent par ce prestataire, selon votre contrat avec lui. Vérifiez ses conditions de la même façon, et réfléchissez à deux fois avant de connecter un compte personnel aux fiches clients d’une société.
Là où Soldlyne s’arrête
Un outil peut faciliter ces habitudes, mais il ne vous met pas en conformité à votre place. Soldlyne garde la provenance et les historiques, note le consentement, cloisonne les sociétés et ne crée jamais de contacts à partir de votre boîte. Décider de vos bases légales, de vos durées et de vos réponses aux demandes reste votre affaire. Et comme Soldlyne ne tient pas aujourd’hui sa propre liste d’opposition, c’est à vous d’agir sur une opposition.