Fichier clients et RGPD : le guide simple pour les indépendants

Nom, téléphone, e-mail, date du dernier rendez-vous, quelques notes : dès que vous gardez ces informations, vous tenez un fichier clients. Et le fichier clients RGPD ne concerne pas que les grandes entreprises : le règlement européen sur la protection des données s'applique aussi au coiffeur qui note les préférences de ses clientes, au coach qui envoie une offre de rentrée ou à l'artisan qui garde ses devis. Bonne nouvelle : pour une petite activité, l'essentiel tient en quelques gestes simples.

Ce guide s'appuie sur les documents publiés par la CNIL, l'autorité française de protection des données. Il vous donne une méthode en six étapes, les durées de conservation à connaître, les règles pour envoyer des offres par e-mail ou SMS, et des modèles à copier. Il ne remplace pas un conseil juridique : pour un cas particulier, renseignez-vous auprès de la CNIL ou d'un professionnel du droit.

Votre fichier clients est-il concerné par le RGPD ?

Oui, dès qu'il contient des informations sur des personnes identifiables : un nom, un numéro de téléphone, une adresse e-mail, un historique de rendez-vous. Peu importe le support. Un carnet papier, un tableur, les contacts de votre téléphone ou un logiciel de réservation sont concernés de la même façon.

Le RGPD ne vous interdit pas de garder ces informations. Il vous demande de savoir pourquoi vous les gardez, de n'en garder que ce qui est utile, de prévenir vos clients, de respecter leurs droits et de protéger le fichier. Dans son guide pratique pour les TPE et PME, publié avec Bpifrance en 2018, la CNIL résume la démarche en quatre étapes : recenser ses fichiers, faire le tri dans ses données, respecter les droits des personnes et sécuriser ses données.

Étape 1 : faites la liste de vos fichiers et de leur objectif

La CNIL propose une check-list pour les petites entreprises qui commence par là : identifier tous les fichiers de l'entreprise, puis noter l'objectif de chacun. Pour un indépendant, la liste est souvent courte :

• Clients : prise de rendez-vous, suivi des prestations, facturation.
• Prospects : personnes qui ont demandé un devis ou un renseignement sans acheter.
• Fidélisation : envoi d'offres, de nouvelles, de relances.
• Comptabilité : factures et pièces comptables.

Ce petit inventaire est la base du « registre des traitements ». Le guide de la CNIL recommande d'y noter, pour chaque activité, l'objectif, les catégories de données, qui y a accès et combien de temps elles sont gardées. Pour une petite activité, un tableau d'une page suffit souvent, et la CNIL met un modèle à disposition.

Étape 2 : ne gardez que les informations vraiment utiles

C'est le point que la check-list de la CNIL formule le plus clairement : pour chaque fichier, faites la liste des informations enregistrées et vérifiez qu'elles sont toutes indispensables à votre objectif. Dans le cas contraire, supprimez-les et ne les demandez plus.

En pratique, pour prendre un rendez-vous, le nom, un moyen de contact et la prestation suffisent souvent. La date de naissance, l'adresse postale ou la profession ne sont utiles que si vous avez une vraie raison de les demander (une intervention à domicile, par exemple).

Attention aux notes « libres »

Les commentaires sur une fiche client sont pratiques, mais ce sont des données comme les autres. Le référentiel de la CNIL sur la gestion des activités commerciales rappelle que certaines informations sont dites sensibles : origine, opinions politiques, religieuses ou philosophiques, appartenance syndicale, vie ou orientation sexuelle, santé. Elles ne doivent pas être collectées sans le consentement de la personne. Écrivez des notes factuelles, utiles à la prestation, que vous accepteriez de montrer au client.

Si vous êtes professionnel de santé ou praticien bien-être, le sujet des données de santé mérite une attention particulière : renseignez-vous sur les règles propres à votre activité auprès de la CNIL et de votre ordre ou de votre organisation professionnelle.

Étape 3 : informez vos clients au moment où vous collectez

Vos clients doivent savoir ce que vous faites de leurs données. Selon le guide de la CNIL pour les TPE et PME, l'information doit notamment préciser l'objectif de la collecte, la base légale (contrat, consentement, obligation légale ou intérêt légitime), qui a accès aux données, combien de temps vous les gardez, comment exercer ses droits, et si des données partent hors de l'Union européenne.

Adaptez les crochets à votre situation, et vérifiez le texte final avec les ressources de la CNIL si vous avez un doute.

Étape 4 : demandez l'accord avant d'envoyer des offres

C'est la règle qui piège le plus d'indépendants. D'après la CNIL, envoyer de la publicité par e-mail, SMS ou fax à un particulier demande en principe son consentement préalable, et ce consentement doit être libre, spécifique, éclairé et univoque. Accepter vos conditions générales ne vaut pas accord pour recevoir des offres. La CNIL recommande une case à cocher, non cochée par défaut.

Il existe une exception utile pour les commerces de proximité : si la personne est déjà cliente et que vous lui proposez des produits ou services analogues à ceux qu'elle a déjà achetés, le consentement n'est pas nécessaire. Mais deux conditions restent obligatoires : elle doit pouvoir refuser simplement et gratuitement au moment où vous collectez ses coordonnées, puis à tout moment, notamment dans chaque message.

Ces règles visent la prospection, c'est-à-dire la publicité et les promotions. Un rappel de rendez-vous sert, lui, au service que le client a demandé. Pour relancer vos clients dans les règles et sans les lasser, notre guide pour relancer un client propose des messages et des rythmes adaptés.

Étape 5 : fixez une durée de conservation et tenez-la

La check-list de la CNIL le dit sans détour : identifiez combien de temps vous devez garder chaque type d'information, et ne la conservez pas au-delà. Pour la prospection, le référentiel de la CNIL sur la gestion des activités commerciales donne des repères précis.

• Clients : les données peuvent être utilisées pour la prospection pendant la relation commerciale, puis pendant 3 ans après sa fin (par exemple, à compter du dernier achat).
• Prospects non clients : 3 ans à compter de la collecte ou du dernier contact venant de la personne. Le simple fait d'ouvrir un e-mail ne compte pas comme un contact ; un clic sur un lien, oui.
• Au bout de 3 ans : vous pouvez demander à la personne si elle souhaite continuer à recevoir vos messages. Sans réponse positive et claire, les données sont supprimées ou archivées.

Les factures et pièces comptables suivent leurs propres obligations de conservation : vérifiez-les avec votre comptable. Le plus simple est de fixer un rendez-vous annuel de nettoyage, par exemple chaque mois de janvier, pour trier les contacts inactifs.

Étape 6 : protégez l'accès au fichier

Un fichier clients perdu ou consulté par un tiers est un vrai problème, pour vos clients comme pour vous. Le référentiel de la CNIL liste de nombreuses mesures de sécurité ; voici celles qui comptent le plus pour un indépendant :

• un mot de passe solide et propre à chaque outil, jamais partagé sur un post-it ;
• le verrouillage automatique de l'écran du téléphone et de l'ordinateur ;
• un accès réservé aux personnes qui en ont besoin, retiré dès qu'un collaborateur part ;
• des sauvegardes régulières, stockées ailleurs que sur l'appareil principal ;
• pas de fichier clients envoyé en pièce jointe non protégée.

En cas de fuite susceptible de présenter un risque pour les personnes, le guide de la CNIL indique qu'elle doit être signalée à la CNIL dans les 72 heures, et que les personnes concernées doivent être prévenues si le risque est élevé.

Que faire quand un client demande à voir ou à effacer ses données ?

Vos clients ont des droits : accès, rectification, opposition, effacement, portabilité et limitation. Le guide de la CNIL demande d'y répondre dans des délais courts, un mois au maximum. Prévoyez une adresse e-mail pour ces demandes et une façon simple de retrouver toutes les informations d'une personne.

Exemples par métier

Esthéticienne : gardez les informations utiles au soin (une allergie signalée par la cliente, par exemple) seulement avec son accord, et proposez vos offres de fidélité aux clientes existantes avec un lien pour se désinscrire. Coach sportif : séparez les contacts venus à une séance d'essai (clients) de ceux qui ont seulement demandé un tarif (prospects). Avocat : le secret professionnel s'ajoute au RGPD ; limitez l'accès aux dossiers et à l'agenda. Artisan : un devis non signé crée un prospect, pas un client : comptez trois ans à partir du dernier échange. Pour transformer un fichier propre en clients fidèles, notre guide pour fidéliser ses clients donne des méthodes concrètes.

Comment Calendrio vous aide à tenir un fichier clients propre

Dans Calendrio, chaque client a une fiche avec son historique de rendez-vous et vos notes privées : tout est au même endroit, ce qui facilite une demande d'accès ou de correction. Vous pouvez classer vos clients par catégorie et marquer un contact comme « perso » pour l'exclure des campagnes.

Chaque campagne e-mail ou SMS envoyée depuis Calendrio contient automatiquement un lien pour ne plus recevoir de messages ; un client désinscrit est signalé sur sa fiche et ne reçoit plus vos campagnes. Les offres sont présentées sur la page Tarifs, avec un essai gratuit d'un mois, sans carte bancaire et sans engagement.