RGPD programme de fidélité : ce que tu dois savoir
Chaque semaine sans règles RGPD claires, tu risques des mises en demeure – pourtant les exigences sont simples.
Le RGPD et les programmes de fidélité s'entendent mieux que beaucoup de commerçants ne le craignent. Une carte de fidélité numérique traite des données personnelles, mais les règles sont simples. Tu dois respecter cinq points : fondement juridique, consentement marketing séparé, information des clients, suppression et contrat avec le prestataire. Cet article les explique clairement. Ce n'est pas un conseil juridique – en cas de doute, fais vérifier ta mise en œuvre.
Quelles données sont collectées avec une carte de fidélité ?
Avant de penser aux fondements juridiques, regarde ce qui est réellement collecté. Avec une carte de fidélité typique dans le Wallet, c'est :
- Identifiant de la carte : un ID aléatoire auquel les tampons sont associés
- Nom ou prénom optionnel : pour l'adresse personnalisée sur la carte et dans les messages
- Date d'anniversaire optionnelle : seulement si tu proposes une offre d'anniversaire
- Historique des tampons et des échanges : quand a-t-on scanné, quand a-t-on échangé
- Données techniques : enregistrement du Wallet de l'appareil, horodatage, éventuellement détection d'appareil contre la fraude
Le principe de minimisation des données (art. 5 al. 1 lit. c RGPD) dit : ne collecte que ce dont tu as besoin pour le but visé. Si tu ne prévois pas d'action d'anniversaire, ne demande pas la date d'anniversaire. Si un prénom suffit, ne demande pas le nom de famille.
Fondement juridique : contrat, consentement ou intérêt légitime
Chaque traitement a besoin d'un fondement juridique selon l'art. 6 al. 1 RGPD. Pour les programmes de fidélité, trois sont pertinents :
| Traitement | Fondement juridique | Ce que cela signifie |
|---|---|---|
| Collecter des tampons, gérer la carte, échanger la récompense | Art. 6 al. 1 lit. b (contrat) | Le client participe au programme, le traitement est nécessaire à son exécution. Aucun consentement séparé requis. |
| Messages marketing, actions, offres | Art. 6 al. 1 lit. a (consentement) | Nécessite un consentement volontaire, informé et actif. S'ajoute à la loi sur la concurrence déloyale. |
| Protection contre la fraude, sécurité technique | Art. 6 al. 1 lit. f (intérêt légitime) | Par exemple, une détection d'appareil pour que personne ne se tamponne indéfiniment. Doit être proportionné. |
Le point le plus important : tamponner et faire de la publicité sont deux choses différentes. Celui qui crée la carte peut être tamponné. Celui qui veut recevoir de la publicité doit donner son consentement supplémentaire.
Consentement marketing : séparé, volontaire, non présélectionné
C'est ici que la plupart des erreurs se produisent. Pour qu'un consentement au marketing soit valide, il doit être :
- séparé de la participation au programme (pas de conditionnement, art. 7 al. 4 RGPD)
- actif, c'est-à-dire par une case que le client coche lui-même (une case présélectionnée n'est pas un consentement – c'est ce qu'a décidé la Cour de justice de l'Union européenne dans l'affaire Planet49)
- informé : le client doit savoir ce qu'il reçoit (par exemple, des offres par message Wallet)
- révocable à tout moment, aussi facilement qu'il a été donné
Concrètement, cela signifie : lors de la création de la carte, il y a une case obligatoire pour la politique de confidentialité et une case séparée, vide par défaut, pour les offres et actions. Le client reçoit sa carte même s'il ne coche pas la deuxième case.
Les messages qui font partie de l'exécution du programme (par exemple « Tu as maintenant 5 sur 10 tampons » ou « Ta récompense est prête ») ne sont pas du marketing et ne nécessitent pas de consentement. Un « Seulement aujourd'hui 2 pour 1 » est du marketing. Comment ces messages fonctionnent techniquement est décrit dans Envoyer des notifications aux clients.
Obligations d'information selon l'art. 13 RGPD
Au moment de la collecte des données, tu dois informer les clients. Les informations doivent être facilement accessibles – un lien sur la page d'inscription suffit. Les contenus obligatoires incluent notamment :
- Nom et coordonnées du responsable du traitement (c'est toi, le commerçant)
- Objectifs du traitement et fondement juridique respectif
- Destinataires ou catégories de destinataires (par exemple, le prestataire logiciel en tant que sous-traitant, Apple et Google pour la fonction Wallet)
- Durée de conservation ou critères pour la déterminer
- Droits des personnes concernées : accès, rectification, suppression, limitation, portabilité, opposition
- Droit de retirer le consentement
- Droit de déposer plainte auprès d'une autorité de contrôle
Un commerçant sans site web propre se trouve souvent face à un problème : où la déclaration doit-elle se trouver ? Certains prestataires génèrent automatiquement une politique de confidentialité modifiable par commerçant et l'hébergent. Le client la voit lors de la création de la carte, et tu n'as rien à écrire toi-même.
Droits des personnes concernées : accès et suppression
Les clients peuvent à tout moment demander quelles données tu as sur eux (art. 15) et exiger leur suppression (art. 17). Pour cela, tu as besoin de deux choses :
- Un moyen de trouver le client : avec une carte numérique, généralement par nom ou ID de carte dans le tableau de bord.
- Une fonction de suppression : soit le client supprime la carte lui-même du Wallet, soit tu le supprimes du tableau de bord. La suppression doit être complète, y compris dans les historiques et les analyses, sauf si des obligations de conservation s'y opposent.
De plus : les données ne doivent pas rester indéfiniment. Une approche sensée est de supprimer ou d'anonymiser les cartes qui n'ont pas été utilisées pendant longtemps après un délai défini. Indique ce délai dans ta politique de confidentialité.
Traitement des données : le contrat avec le prestataire
Si tu utilises un logiciel pour ton programme de fidélité, le prestataire traite les données clients pour toi. Juridiquement, tu es le responsable du traitement, le prestataire est le sous-traitant. L'art. 28 RGPD exige un contrat écrit pour cela – le contrat de traitement des données (ou contrat de sous-traitance).
Il y est indiqué notamment quelles données sont traitées, que le prestataire n'agit que sur tes instructions, comment il protège les données et quels sous-traitants il utilise (par exemple, les fournisseurs d'hébergement). Les prestataires sérieux présentent le contrat de traitement à la signature lors de l'inscription. Fais aussi attention au lieu d'hébergement : un hébergement dans l'UE simplifie considérablement l'évaluation.
Fais ton auto-test : ton programme de fidélité est-il conforme au RGPD ?
- Je ne collecte que les données dont j'ai vraiment besoin
- La case marketing est séparée, vide et volontaire
- La politique de confidentialité est liée lors de la création de la carte
- Les clients peuvent demander l'accès et la suppression
- J'ai signé un contrat de traitement avec le prestataire
- Mon équipe sait que les données clients sont confidentielles
Si tu ne peux pas cocher plus de deux cases, tu dois améliorer les choses.
Que se passe-t-il si tu ne changes rien
Sans règles RGPD claires, tu risques des mises en demeure de concurrents ou des plaintes auprès de l'autorité de protection des données. Les amendes peuvent être substantielles, même pour les petits commerçants. Plus important encore : les clients perdent confiance s'ils ont l'impression que leurs données ne sont pas protégées. À titre de comparaison : avec les cartes papier, la plupart des points disparaissent tant que tu ne notes rien sur la personne. Dès qu'un nom figure sur la carte, les mêmes règles s'appliquent, mais sans fonction de suppression et sans déclaration hébergée. Tu trouveras la comparaison des deux modèles dans Carte de fidélité papier vs. carte numérique.
Conclusion
Le RGPD et les programmes de fidélité ne sont pas une contradiction : tamponner fonctionne via le contrat, le marketing nécessite une case séparée, les clients sont informés et peuvent demander la suppression, et il y a un contrat de traitement avec le prestataire. Important : cet article ne remplace pas un conseil juridique – vérifie ta mise en œuvre concrète. stampa te facilite la partie technique, avec consentement marketing séparé, politique de confidentialité générée automatiquement par commerçant et contrat de traitement à la signature. Tu peux commencer gratuitement, jusqu'à 100 clients actifs et sans carte de crédit.