Carte de fidélité digitale et RGPD : ce qu'un commerçant doit respecter en France
Par l'équipe Revenizi · Mis à jour le · 7 min de lecture
En bref
Une carte de fidélité digitale est conforme au RGPD si le commerçant collecte le strict nécessaire (prénom, téléphone ou e-mail), informe le client, recueille un accord séparé et non pré-coché pour les messages commerciaux, permet de se désinscrire facilement et ne conserve pas les données indéfiniment : la CNIL recommande la durée de la relation commerciale, puis trois ans.
Ce que vous pouvez collecter
Le principe du RGPD est la minimisation : ne collecter que ce qui sert. Pour une carte de fidélité, le prénom et un moyen de retrouver le client (numéro de téléphone ou e-mail) suffisent. La date de naissance n'est utile que si vous offrez réellement quelque chose pour l'anniversaire.
Ce que vous devez dire au client
- Qui collecte les données (votre commerce).
- Pourquoi (gérer la carte de fidélité, et éventuellement envoyer des offres).
- Combien de temps elles sont conservées.
- Comment exercer ses droits : accès, rectification, suppression.
Une courte mention sur la page d'inscription, avec un lien vers une politique de confidentialité, suffit.
Les messages commerciaux
Envoyer des offres par e-mail ou par message à un particulier demande son accord préalable, recueilli par une case non pré-cochée et distincte de l'inscription à la carte (article L34-5 du Code des postes et des communications électroniques). Chaque message doit permettre de se désinscrire simplement.
Les notifications d'une carte Wallet fonctionnent différemment : elles s'affichent sur la carte que le client a lui-même ajoutée, et il peut les couper à tout moment depuis les réglages de la carte. Restez raisonnable : une à deux par mois, utiles et liées à sa carte.
Combien de temps garder les données
Le référentiel de la CNIL sur la gestion commerciale recommande de conserver les données d'un client pendant la relation commerciale, puis trois ans à des fins de prospection. Un client qui n'est pas venu depuis plus de trois ans doit donc être supprimé ou anonymisé.
La check-list RGPD de votre carte de fidélité
- Formulaire d'inscription limité au prénom et au téléphone ou à l'e-mail.
- Case d'accord pour les offres, non pré-cochée et facultative.
- Mention d'information et lien vers la politique de confidentialité.
- Données hébergées dans l'Union européenne.
- Désinscription possible à tout moment, export et suppression d'une fiche en un clic.
- Nettoyage des clients inactifs depuis plus de trois ans.
Questions fréquentes
- Faut-il déclarer sa carte de fidélité à la CNIL ?
- Non, la déclaration préalable n'existe plus depuis le RGPD. En revanche, vous devez tenir un registre de vos traitements et respecter les règles d'information et de consentement.
- Peut-on obliger un client à accepter les offres pour avoir la carte ?
- Non. L'accord pour les messages commerciaux doit être séparé et facultatif : le client doit pouvoir avoir la carte sans recevoir d'offres.
- Où sont hébergées les données d'une carte de fidélité Revenizi ?
- Dans l'Union européenne (Francfort), avec des accès chiffrés.