Les données concernées
Dès que vous collectez un prénom, nom, téléphone ou email d'un client pour lui demander un avis, vous traitez des données personnelles au sens du RGPD. Même si c'est juste pour envoyer un SMS une fois.
Les 5 obligations incontournables
1. Obtenir un consentement explicite
Avant d'enregistrer les coordonnées du client, vous devez obtenir son accord clair et sans ambiguïté. Une case pré-cochée ne suffit pas. Formulation type : "J'accepte de recevoir une demande d'avis Google par SMS", avec case à cocher manuelle.
2. Informer le client sur l'usage
Vous devez indiquer clairement :
- Quelles données sont collectées (prénom, téléphone)
- Pourquoi (envoi d'une demande d'avis)
- Combien de temps elles sont conservées
- Qui y a accès (vous, votre prestataire)
- Comment s'y opposer
3. Limiter la durée de conservation
Recommandation CNIL : les données servant à la demande d'avis doivent être supprimées après 3 ans maximum sans nouvelle interaction.
4. Garantir l'hébergement sécurisé
Vos données doivent être stockées sur des serveurs sécurisés, de préférence en Europe voire en France. Attention aux outils américains : le Privacy Shield a été invalidé en 2020. Outils 100% français comme ReputLocal (serveurs en France) éliminent ce risque.
5. Respecter les droits des clients
Vos clients peuvent à tout moment demander l'accès à leurs données, les faire rectifier, les faire supprimer, s'opposer au traitement. Vous devez répondre sous 30 jours maximum.
Ce que vous ne pouvez PAS faire
- ❌ Récupérer un numéro de téléphone sans prévenir le client
- ❌ Envoyer des SMS sans consentement préalable
- ❌ Revendre les coordonnées à des tiers
- ❌ Stocker indéfiniment sans purge automatique
- ❌ Envoyer des relances massives sans désinscription
Les sanctions en cas de non-conformité
- TPE : 500 € à 5 000 €
- PME : 5 000 € à 50 000 €
- Grandes entreprises : jusqu'à 4% du CA mondial
À cela s'ajoutent les dommages de réputation (nom publié par la CNIL).
Comment être conforme facilement
ReputLocal est RGPD-ready par défaut :
- Formulaire de consentement intégré à la collecte
- Hébergement en France
- Purge automatique après 3 ans
- Export des données sur demande en 1 clic
- Suppression immédiate sur demande du client