Carte de fidélité et RGPD : ce qu'un commerçant doit savoir

La scène arrive toujours au même moment : le client a scanné le QR, il a l'écran d'ajout sous les yeux, et il lève la tête. « Vous gardez quoi, exactement ? » Si vous hésitez, il n'ajoute pas la carte. La bonne nouvelle, c'est que la réponse tient en une phrase, à condition de l'avoir préparée.

Sur Digikart, une carte de fidélité contient un identifiant de carte, qui ne dit rien de son porteur, un solde de tampons ou de points, et les dates de passage. Si vous comptez en points selon le montant dépensé, le montant de chaque passage est enregistré avec lui, et il ressort dans vos statistiques et dans votre export. S'y ajoutent le portefeuille utilisé, Apple ou Google, et, une fois la carte installée, l'enregistrement de l'appareil auprès du service de notifications. Trois champs peuvent s'y ajouter, et seulement si le client les remplit lui-même : son prénom, son téléphone (pour être reconnu à une caisse sans scanner) et sa date de naissance, qui n'apparaît que si vous avez activé la récompense d'anniversaire. Chacun est affiché « facultatif » sur l'écran d'inscription. Aucune donnée bancaire n'est collectée, et le détail des articles achetés n'est jamais enregistré : même relié à une caisse, seuls la référence du ticket et son montant remontent.

La comparaison avec la grande distribution éclaire le sujet. La CNIL rappelle que dans un programme de fidélité, le code-barres d'un produit acheté, associé aux informations d'identification du client, devient une donnée personnelle que le client peut réclamer. Une carte à tampons ne va pas jusque-là : elle compte des passages et, au plus, leur montant, jamais le contenu du panier. Moins vous collectez, moins vous avez à expliquer, à conserver et à protéger.

Le RGPD demande que chaque traitement de données repose sur une base légale, choisie parmi celles qu'il prévoit. Le mot fait peur, la réalité beaucoup moins : pour une carte de fidélité, la base la plus naturelle est l'exécution du contrat. La CNIL admet le contrat à condition que le traitement soit objectivement nécessaire à son exécution, et c'est le cas ici : le client a demandé la carte, vous lui promettez une récompense au bout de dix passages, compter ses passages est nécessaire pour tenir cette promesse. Il n'y a pas de case à cocher pour ça. Les champs facultatifs sortent de ce cadre : le téléphone et la date de naissance ne servent pas à compter, ils reposent sur ce que le client accepte de donner, et il peut vous demander de les retirer sans perdre sa carte.

Ce qui change de nature, c'est tout ce qui sort du programme. Envoyer un message commercial qui n'a rien à voir avec la carte, c'est de la prospection. La CNIL est nette sur ce point pour les coordonnées électroniques : il faut recueillir le consentement du client, et en garder la preuve. Louer ou partager votre fichier avec un partenaire relève de la même logique, en plus sérieux encore.

La règle pratique tient en une ligne. Tout ce qui sert la carte (compter, prévenir qu'une récompense est prête, rappeler un solde) voyage avec la carte. Tout ce qui parle d'autre chose mérite une question posée au client, séparément, et une trace de sa réponse.

C'est l'obligation la plus simple à tenir et la plus souvent oubliée. La CNIL écrit noir sur blanc qu'il faut prévoir « une mention d'information sur chaque formulaire de collecte », et l'exemple qu'elle donne est exactement le nôtre : le bulletin de demande de carte de fidélité posé sur le comptoir du magasin.

Avec une carte Wallet, ce comptoir est devenu la page d'inscription qui s'ouvre après le scan du QR. Cette page n'affiche pas votre mention à votre place : elle reste à votre charge, sur l'affiche posée près de la caisse et sur votre site. La mention doit dire qui vous êtes, pourquoi vous collectez ces informations, sur quelle base, qui y a accès, combien de temps vous les gardez, que les champs sont facultatifs, comment le client peut exercer ses droits, avec une adresse de contact, et qu'il peut saisir la CNIL. Neuf lignes, pas neuf pages.

Concrètement : quelques lignes sur votre affiche de comptoir, la même chose sur votre site si vous en avez un, et une phrase que vos employés savent dire. Ce n'est pas un contrat d'avocat, c'est un texte que le client doit pouvoir lire en dix secondes avec son téléphone dans une main.

Le RGPD ne fixe aucune durée universelle. La CNIL rappelle qu'il revient au responsable du fichier de la déterminer en fonction de la finalité du traitement, c'est-à-dire de ce à quoi les données servent. Elle donne tout de même un repère. Pour les données d'un client utilisées à des fins de prospection commerciale, son référentiel retient une conservation pendant la relation commerciale, puis pendant trois ans à compter de la fin de cette relation. Et sa fiche destinée aux commerçants reprend la même durée pour la relation client : prévoir la suppression des informations en cas d'inactivité prolongée de vos clients, trois ans à compter de la fin de la relation commerciale.

Pour une carte de fidélité, la fin de la relation commerciale, c'est le dernier passage. Un client qui n'est pas revenu depuis trois ans n'a plus de raison de figurer dans votre tableau de bord. La durée reste la vôtre, mais il faut en fixer une et s'y tenir : une durée écrite et respectée vaut mieux qu'un fichier qui ne se vide jamais.

Le faire prend cinq minutes une fois par an. Dans Digikart, la liste de vos clients affiche la date de dernière visite : vous repérez les inactifs, vous les supprimez. La suppression efface la fiche, le solde et l'historique des passages, et retire l'enregistrement de l'appareil auprès du service de notifications. Deux précisions utiles : la carte déjà installée reste visible dans le téléphone du client, parce que ni Apple ni Google ne permettent de la retirer à distance, mais elle n'est plus scannable et ne se met plus à jour ; et si vous êtes relié à une caisse, les lignes d'encaissement sont conservées pour la comptabilité, sans plus renvoyer à personne une fois la fiche supprimée.

Deux droits sortent du lot parce que ce sont ceux que les clients utilisent vraiment. Le droit d'accès : savoir ce que vous détenez sur eux. Le droit à l'effacement : demander que ça disparaisse. La CNIL indique qu'il faut répondre dans les meilleurs délais, et au maximum dans un mois, un délai qui peut être porté à trois mois pour une demande complexe, à condition de prévenir la personne dans le premier mois.

Répondre ne se limite pas à recopier le contenu de la fiche. La CNIL liste ce que la réponse doit contenir : les finalités du traitement, les catégories de données concernées, les destinataires, la durée de conservation, les autres droits de la personne et son droit de saisir la CNIL. Elle précise aussi qu'on ne peut pas se contenter de dire au client qu'on détient les données qu'il a lui-même fournies.

Il y a enfin une confusion à connaître, parce qu'elle arrive souvent. Un client qui supprime la carte de son Wallet a retiré la carte de son téléphone, pas sa ligne de votre fichier. S'il veut l'effacement, il doit vous le demander, et c'est vous qui supprimez. Autant le lui dire au moment où il ajoute la carte.

Une carte Wallet peut afficher un message sur le téléphone de son porteur. Pas de SMS, pas d'email, pas de numéro à connaître : le message passe par la carte elle-même. C'est très pratique, et c'est précisément là qu'on dérape.

Le canal n'est pas la question, le contenu l'est. « Votre récompense est prête » concerne la carte que le client a demandée. « Grande braderie samedi » est une publicité. Entre les deux, la tolérance est mince, et une notification de trop ne se termine pas par une plainte : elle se termine par une carte supprimée, ce qui est bien pire pour vous.

Le client garde la main de son côté : il peut couper les notifications de cette carte dans les réglages de son téléphone, ou retirer la carte. Dites-le-lui, ça rassure plus que ça ne fait fuir. Côté outil, nos conditions générales le posent clairement : le commerçant est seul responsable du contenu des notifications qu'il envoie.

C'est l'obligation qui surprend le plus les petits commerces. La CNIL est explicite : tenir un registre des traitements concerne tous les organismes, publics comme privés, quelle que soit leur taille, dès lors qu'ils traitent des données personnelles. Un commerce de quartier avec une carte de fidélité est dedans.

Il existe un allègement en dessous de 250 salariés : n'ont à y figurer que les traitements non occasionnels, ceux qui peuvent présenter un risque pour les personnes, et ceux qui portent sur des données sensibles. La CNIL cite d'ailleurs la gestion des clients comme exemple de traitement non occasionnel. Votre fichier de fidélité y entre donc.

Dans les faits, c'est un tableau. Une ligne par traitement, avec sa finalité, les personnes concernées, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité. La CNIL met un modèle à disposition, pensé pour les TPE et les PME. Personne ne vous le réclamera, jusqu'au jour où quelqu'un vous le réclame.

Le partage est simple à retenir. L'outil héberge, chiffre et sécurise. Vous, vous décidez ce que vous collectez, ce que vous dites à vos clients, ce que vous envoyez et ce que vous gardez. Un logiciel ne peut pas être conforme à votre place, parce que la moitié des décisions vous appartient.

Ce que Digikart fait de son côté est écrit sur la page politique de confidentialité : serveurs hébergés en France chez OVH, aucune donnée vendue à des tiers, aucun cookie publicitaire ni de pistage tiers, mots de passe jamais stockés en clair, communications chiffrées, sauvegardes quotidiennes. Un commerçant peut supprimer son compte et ses données depuis son espace.

Ce qui vous revient est dans nos conditions générales, article 8 : informer vos clients finaux du traitement de leurs données et recueillir les consentements requis. Ce n'est pas une façon de se défausser, c'est la réalité du terrain. C'est vous qui êtes en face du client, c'est vous qui choisissez la récompense, le message et la durée. Le reste des questions pratiques est traité dans la FAQ.