Carte de fidélité et RGPD : ce que doit savoir un commerçant

Oui, dès qu’elle permet d’identifier une personne. Un nom associé à un historique de passages, un numéro de téléphone ou une adresse email sont des données personnelles. La carte tampon anonyme glissée dans un portefeuille n’est pas concernée ; le carnet où vous notez « Mme Martin, 06… » l’est, au même titre qu’un fichier numérique.

En tant que commerçant, vous êtes le responsable du traitement : c’est vous qui décidez pourquoi et comment les données sont utilisées. Le prestataire qui fournit l’outil de fidélité agit en principe comme sous-traitant, pour votre compte. Cette répartition compte, car c’est à vous de répondre aux clients et à la CNIL.

La taille du commerce ne dispense pas des principes de base : une finalité claire (gérer le programme, envoyer des offres si le client l’accepte), des données limitées au nécessaire, une durée de conservation définie, une information transparente et une sécurité raisonnable. Ces cinq points couvrent l’essentiel de ce qu’on attend d’une boutique ou d’un salon.

Ce guide donne des repères pratiques ; il ne remplace pas un conseil juridique. Les textes et les recommandations évoluent : en cas de doute sur votre situation, référez-vous aux fiches et référentiels publiés sur cnil.fr.

Le principe de minimisation est simple : ne demandez que ce qui sert vraiment le programme. Pour une carte de fidélité, un prénom et un moyen de contact suffisent le plus souvent. Le nom de famille, l’adresse postale ou la profession n’apportent rien si vous n’envoyez pas de courrier et ne livrez pas à domicile.

La date de naissance est un cas fréquent. Pour offrir un geste d’anniversaire, le jour et le mois suffisent : l’année de naissance n’ajoute qu’une donnée de plus à protéger. Rendez ce champ facultatif, en expliquant à quoi il sert.

Méfiez-vous des champs libres. Une note du type « cliente difficile » ou une remarque sur l’état de santé d’un client n’a pas sa place dans une fiche de fidélité. Le client peut demander à voir tout ce qui le concerne : écrivez uniquement ce que vous seriez à l’aise de lui montrer.

Certains métiers demandent une vigilance particulière. En pharmacie ou en parapharmacie, le détail des produits achetés peut révéler des informations de santé, qui sont des données sensibles. Un programme fondé sur les passages ou les montants, sans le détail des produits, limite ce risque.

Le client doit savoir, au moment où il s’inscrit, qui collecte ses données, dans quel but, pendant combien de temps, qui y a accès (vous et votre prestataire technique) et comment exercer ses droits. Il doit aussi être informé qu’il peut adresser une réclamation à la CNIL.

En pratique, une mention courte sur le formulaire d’inscription renvoie vers une politique de confidentialité plus complète. Exemple de formulation : « Vos données servent à gérer votre carte de fidélité [nom du commerce]. Elles sont conservées tant que vous utilisez la carte. Pour les consulter ou les supprimer : [contact]. »

Les conditions du programme (comment on gagne des points, quand une récompense expire) doivent aussi être accessibles. Un client qui comprend les règles fait moins de réclamations, et vous disposez d’une base claire en cas de désaccord.

Si l’inscription se fait au comptoir, une petite affichette près du QR code rappelle l’essentiel et indique où trouver le détail. Elle rassure les clients qui hésitent à laisser leur numéro.

Envoyer des offres par SMS ou par email à des particuliers relève de la prospection commerciale. Le principe posé par le Code des postes et des communications électroniques est le consentement préalable : le client doit avoir accepté de recevoir ces messages, par une case non pré-cochée et distincte de l’inscription à la carte.

Il existe une exception, souvent appelée « soft opt-in » : vous pouvez écrire à un client existant pour des produits ou services analogues à ceux qu’il a déjà achetés chez vous, à condition qu’il ait été informé et mis en mesure de s’y opposer simplement lors de la collecte de ses coordonnées. Son périmètre est étroit ; dans le doute, demandez un accord explicite.

Chaque message commercial doit indiquer clairement qui l’envoie et offrir un moyen simple et gratuit de ne plus en recevoir : la mention « STOP » pour un SMS, un lien de désinscription pour un email. Une demande d’arrêt doit être prise en compte sans délai, sur tous vos outils.

Conservez la preuve du consentement : date, canal, texte de la case cochée. Et gardez en tête que Bloctel concerne le démarchage par appel téléphonique ; il ne remplace pas le consentement exigé pour les SMS et emails promotionnels.

Les données ne peuvent pas être gardées indéfiniment. Dans son référentiel sur la gestion commerciale, la CNIL indique que les données des clients sont conservées pendant la durée de la relation commerciale, et qu’elles peuvent être utilisées à des fins de prospection pendant trois ans à compter de la fin de cette relation.

La fin de la relation se compte à partir du dernier contact émanant du client : un achat, un passage scanné, une réponse à un message. Un client venu pour la dernière fois en mars 2026 peut donc, en principe, recevoir vos offres jusqu’en mars 2029 s’il y a consenti, puis ses données doivent être supprimées ou anonymisées.

Avant cette échéance, vous pouvez le recontacter une dernière fois pour lui demander s’il souhaite rester inscrit. Sans réponse positive, supprimez. Gardez à part la liste des personnes qui se sont opposées à la prospection, pour ne pas les réinscrire par erreur.

Fixez une règle simple et notez-la : par exemple, une purge annuelle des cartes sans aucun passage depuis trois ans. Les pièces comptables obéissent à d’autres durées légales ; elles ne justifient pas de garder le fichier de fidélité. Vérifiez les durées à jour sur cnil.fr avant de figer votre politique.

Chaque client peut demander une copie des données qui le concernent (droit d’accès), les faire corriger, les faire effacer, s’opposer à la prospection ou demander la limitation de leur utilisation. Pour la prospection commerciale, l’opposition n’a pas à être justifiée.

Vous disposez d’un mois pour répondre, délai qui peut être prolongé de deux mois pour une demande complexe, à condition d’en informer la personne. Pour un petit commerce, la plupart des demandes se traitent en quelques minutes si l’outil permet de retrouver et d’exporter une fiche client.

Vérifiez l’identité de façon proportionnée : si la demande arrive depuis l’email ou le numéro enregistré, cela suffit souvent. Exiger systématiquement une pièce d’identité n’est pas recommandé lorsqu’il n’existe pas de doute raisonnable.

Formez l’équipe : une demande peut être faite oralement en caisse (« je ne veux plus de vos SMS »). Notez-la et traitez-la le jour même. Pensez à supprimer aussi les copies : tableur, carnet, export ancien sur un ordinateur.

Le RGPD impose de tenir un registre des traitements. Les structures de moins de 250 salariés bénéficient d’un allègement, mais il ne vaut que pour les traitements occasionnels. Un programme de fidélité étant utilisé en continu, il a vocation à figurer dans votre registre.

La CNIL propose un modèle de registre simplifié adapté aux TPE. Pour la carte de fidélité, une fiche suffit : finalités, catégories de données, personnes concernées, destinataires (dont le prestataire), durées de conservation et mesures de sécurité. Une demi-heure de travail, à mettre à jour quand vous changez d’outil.

Côté sécurité, l’essentiel tient au quotidien : un accès au tableau de bord protégé par un mot de passe solide, un compte par personne quand c’est possible, un téléphone ou une tablette de caisse verrouillé, pas de fichier clients exporté sur une clé USB qui traîne.

Vérifiez que votre prestataire vous propose un contrat de sous-traitance conforme à l’article 28 du RGPD et indique où les données sont hébergées. Un hébergement dans l’Union européenne évite d’avoir à encadrer un transfert hors UE. En cas de fuite présentant un risque, une notification à la CNIL est attendue dans les 72 heures.

Quelques questions à poser avant de vous engager : où sont hébergées les données ? Le consentement aux messages est-il recueilli séparément de l’inscription ? Puis-je exporter et supprimer la fiche d’un client facilement ? Le prestataire fournit-il un contrat de sous-traitance ?

PixelCard est hébergé en Europe et donne accès, depuis le tableau de bord, à la fiche client, à son historique et à un export RGPD, ce qui facilite la réponse à une demande d’accès ou de suppression. La carte s’ouvre dans le navigateur, sans application à installer, et la formule Découverte est gratuite jusqu’à 40 clients.

Un outil ne rend pas conforme à lui seul : la mention d’information, la durée de conservation choisie et la réponse aux demandes restent de votre ressort. L’outil vous fait gagner du temps sur l’exécution.