CRM et RGPD : obligations et bonnes pratiques

Formulaire de contact : quelles cases faut-il vraiment afficher ?

Une case obligatoire « J’accepte le RGPD » n’est pas nécessaire pour répondre à une demande. Le RGPD n’est pas un contrat que l’internaute doit accepter. Vous devez l’informer de l’utilisation de ses données et disposer d’une base légale adaptée.

Préparer le devis demandé par un particulier peut relever de mesures précontractuelles. Pour l’interlocuteur salarié d’une entreprise, le contrat envisagé avec son employeur ne constitue pas automatiquement un contrat avec lui : l’intérêt légitime peut notamment justifier les échanges professionnels, après analyse.

La collecte sur votre site web alimente souvent directement votre CRM : le RGPD s’applique dès cette étape. Sur un formulaire simple, demandez ce qui permet de répondre : le nom, l’e-mail, l’objet et le message. Le téléphone peut rester facultatif lorsqu’une réponse par e-mail suffit. L’adresse postale complète n’a pas à devenir obligatoire pour une simple question.

Une information visible sous le formulaire

Le lien doit conduire à une information complète : identité du responsable du traitement, finalités, bases légales, destinataires, durées ou critères de conservation, droits, contact, réclamation auprès de la CNIL et transferts éventuels hors Espace économique européen. La mention courte facilite la lecture ; elle ne remplace pas cette information.

Si vous souhaitez aussi envoyer votre newsletter et vos offres

Une case « newsletter et offres » n’est pas une autorisation générale à tous les usages marketing. Plusieurs opérations peuvent être couvertes par un même consentement si elles servent une même finalité précisément définie. En revanche, des finalités distinctes fondées sur le consentement doivent pouvoir être choisies séparément. Le seul changement d’un filtre de sélection ne crée pas automatiquement une nouvelle finalité.

Pour distinguer une newsletter générale et des offres personnalisées à partir des achats, voici un exemple de parcours reposant sur des choix séparés. Les cases sont facultatives et décochées par défaut. Le refus ne bloque pas la demande de devis.

La première option permet de recevoir la newsletter générale. La deuxième autorise l’utilisation des achats pour envoyer les offres personnalisées décrites. La troisième concerne l’observation des ouvertures. La personne peut ainsi choisir la newsletter sans les offres personnalisées, ou recevoir les offres sans le suivi. Si vous utilisez aussi les SMS, prévoyez un choix clairement identifié pour ce canal.

Cette présentation n’impose pas trois consentements à toutes les entreprises. Certains envois à des clients sur des produits analogues peuvent relever d’une exception au consentement préalable. L’utilisation de l’historique doit aussi avoir sa justification. Ces conditions sont détaillées dans la partie consacrée à la relation client.

Sources : recueillir un consentement valable et informer les personnes, CNIL ; lignes directrices 05/2020 du CEPD, paragraphes 42 à 50 et 55 à 61.

Quand c’est vous qui contactez le prospect

Le commercial a trouvé une société qui correspond à votre cible. Il récupère le nom de son responsable achats, l’ajoute au CRM et prépare un premier message. Avant la séquence de relance, il reste une question : pourquoi cette personne peut-elle être contactée, sur ce canal ?

Une adresse publiée sur un site, un profil professionnel ou un fichier acheté ne donne pas, à lui seul, une autorisation de prospection. En B2B, le message doit notamment avoir un rapport avec les fonctions de son destinataire. Pour un particulier, l’e-mail ou le SMS commercial exige en principe un accord préalable, sous réserve des exceptions applicables.

La fiche doit permettre de retrouver la provenance des coordonnées, la date de collecte, la fonction visée et la justification du contact. « Import salon » ou « fichier commercial » est trop vague pour expliquer ensuite à une personne d’où vient son adresse. À la première communication, donnez-lui l’information requise et un moyen simple de s’opposer ; en collecte indirecte, le délai maximal est en principe d’un mois, sauf exception.

Cette mention ne rend pas licite une campagne qui ne l’est pas. Elle accompagne une prise de contact dont le fondement a déjà été vérifié.

Sources CNIL : prospection électronique, information en collecte indirecte et respect des oppositions.

B2B, B2C, magasin ou salon : le canal compte aussi

Le nom d’un dirigeant, l’adresse nominative d’un acheteur et le portable d’un technicien sont des données personnelles. Le B2B ne sort donc pas du RGPD. En revanche, la prospection professionnelle dispose d’un régime spécifique lorsque la sollicitation est pertinente pour l’activité de la personne, avec information et opposition simple.

Proposer une solution de gestion à un responsable informatique peut relever de ce cadre. Utiliser son adresse professionnelle pour promouvoir une offre destinée à sa vie privée ne devient pas pertinent par le seul fait que l’adresse appartient à une entreprise.

Une carte de fidélité ou un badge ne règle pas tout

En magasin, séparez la vente, le programme de fidélité et les communications futures. Le client peut demander un ticket dématérialisé sans vouloir s’abonner à votre newsletter. Une commande papier doit aussi permettre de retrouver l’information et les choix effectivement exprimés.

Sur un salon, l’échange d’une carte de visite peut justifier la reprise de la conversation attendue. Il ne constitue pas une autorisation générale à toutes les campagnes, et une liste de visiteurs ne vaut pas preuve de consentement à une newsletter B2C.

Pour les fichiers achetés ou transmis, vérifiez la provenance, les droits d’utilisation et les preuves. Lors d’une collecte indirecte, l’information doit intervenir dès que possible, notamment au premier contact, et au plus tard sous un mois, sauf exception applicable.

Sources CNIL : e-mail et SMS, courrier postal, téléphone, partenaires, événements B2C et information indirecte.

Un prospect refuse votre devis : que garder ?

Clôturez le devis et l’opportunité, notez le motif utile, puis arrêtez les relances de ce dossier. « Budget reporté » ou « autre prestataire retenu » suffit souvent. Les appréciations sur la personne n’aident pas à décider de la suite.

Le refus d’un devis n’est pas automatiquement une opposition à toute prospection. « Nous ne donnons pas suite à cette offre » et « merci de ne plus nous contacter » n’ont pas la même portée. Il faut lire la demande réelle et l’appliquer.

La CNIL recommande de retenir trois ans depuis la collecte ou le dernier contact venant du prospect pour les données utilisées en prospection. Ce repère n’accorde pas un droit automatique à trois ans de sollicitations : l’utilisation doit rester licite, utile et respectueuse des oppositions.

Le devis lui-même suit son calendrier documentaire. Service Public indique cinq ans pour les devis des sociétés dans son tableau des documents commerciaux. Cette conservation ne justifie pas de laisser tout le dossier disponible pour les campagnes.

Sources : référentiel CNIL de gestion commerciale, partie 7 et documents commerciaux des sociétés, Service Public.

Après un achat en ligne, que pouvez-vous envoyer ?

Vous n’avez pas à demander un accord marketing pour confirmer une commande, annoncer une livraison ou transmettre une facture. Ces messages répondent au service demandé ou à vos obligations. L’information sur les données doit être intégrée au parcours d’achat, mais l’acceptation des CGV reste distincte des options commerciales.

Sur l’écran de création du compte, une case obligatoire « J’accepte le RGPD » n’est pas nécessaire pour gérer les données utiles au service demandé. Si vous proposez une inscription à vos newsletters et offres sur consentement, présentez-la comme une option facultative, décochée par défaut. Le suivi commercial des e-mails appelle son propre examen, détaillé plus loin. Les choix faits sur le site doivent ensuite être appliqués dans le CRM.

Le client qui se désabonne de vos offres peut donc continuer à recevoir les messages nécessaires à sa commande. À condition que vous ne transformiez pas ces messages de service en supports publicitaires.

Pour les offres futures, deux situations sont à distinguer

Vous pouvez recueillir un consentement pour les newsletters et offres annoncées. Une exception permet aussi, sous conditions, de proposer à un client effectif des produits ou services analogues à ceux qu’il a achetés auprès de la même entreprise. Il faut l’avoir informé de cette utilisation et lui permettre de s’opposer dès la collecte et lors de chaque envoi.

Un client qui achète des consommables peut ainsi recevoir des offres sur des consommables analogues, si toutes les conditions de l’exception sont réunies. Cela ne couvre pas automatiquement des offres sans rapport ou celles d’une autre société du groupe. Et cela n’autorise pas implicitement le pixel contenu dans le message.

Choisissez un parcours que vous pourrez appliquer clairement. Si vous proposez une inscription sur consentement, ne traitez pas le refus comme une occasion de basculer discrètement vers une autre base pour le même usage.

Compte créé et panier abandonné ne sont pas des achats

La création d’un compte ne suffit pas pour utiliser l’exception réservée aux clients existants. Un numéro de client attribué automatiquement par votre logiciel ne change pas ce constat.

Pour un particulier qui n’a jamais acheté, la relance « votre panier vous attend » relève de la prospection : elle ne doit pas partir automatiquement sans consentement applicable. Si elle repose aussi sur des traceurs de navigation, leur utilisation doit être examinée séparément. Pour les autres situations, notamment un client existant ou une relation B2B, vérifiez le régime réellement applicable.

Sources : communications commerciales, transactionnelles et relationnelles, prospection électronique et traceurs de reciblage, CNIL.

Adapter une offre aux achats et suivre sa lecture sont deux usages différents

Un client commande des cartouches pour une machine. Vous utilisez ses commandes précédentes pour lui proposer les références compatibles. Vous souhaitez ensuite savoir s’il ouvre votre offre, afin de décider d’une relance.

La sélection des produits repose sur l’historique d’achat. L’observation de l’ouverture repose sur un traceur. L’accord pour recevoir une offre adaptée aux achats n’autorise pas implicitement le suivi de sa lecture.

Un ciblage simple à partir des commandes peut, selon les circonstances, relever de l’intérêt légitime après analyse. Il faut l’annoncer, limiter les données utilisées et permettre l’opposition. Un profilage intrusif ou portant sur des informations sensibles appelle une autre analyse.

Un filtre différent ne signifie pas forcément une finalité différente

La finalité décrit l’objectif de l’utilisation des données. Le filtre décrit la sélection effectuée dans le CRM. Choisir les acheteurs de T-shirts plutôt que ceux de pantalons ne crée donc pas, à lui seul, un besoin de consentement supplémentaire à chaque campagne.

Il faut cependant distinguer l’abonnement à une newsletter générale de l’analyse des achats destinée à personnaliser les offres. Si cette personnalisation constitue une finalité distincte reposant sur le consentement, elle doit pouvoir être acceptée ou refusée séparément. Le CEPD illustre ce choix avec une newsletter de mode : la personnalisation est optionnelle, et son retrait permet de revenir à des promotions non personnalisées.

Une newsletter envoyée avec le même contenu à toute la liste n’est pas anonyme : l’adresse de chaque abonné reste une donnée personnelle. « Non personnalisée » et « anonyme » ne décrivent pas la même situation.

Si vous voulez seulement savoir qui ouvre les offres

C’est déjà du suivi individualisé, même si vous ne changez pas le texte des messages. Pour mesurer l’intérêt commercial ou organiser une relance à partir des ouvertures, il faut normalement un consentement préalable couvrant cet usage, sous réserve du régime particulier des anciennes adresses expliqué plus loin.

À l’inverse, si vous n’utilisez aucun suivi optionnel, vous n’avez pas à demander un accord pour un dispositif absent. Attention toutefois : ne jamais consulter le tableau des ouvertures ne signifie pas que le logiciel ne collecte rien. Il faut vérifier le fonctionnement réel de l’outil.

Une case unique peut-elle parfois couvrir l’envoi et le suivi ?

La CNIL admet certains regroupements pour des finalités connexes. C’est notamment le cas d’une prospection expressément personnalisée grâce à des pixels qui contribuent directement à cette personnalisation. Ce n’est pas une autorisation de glisser n’importe quelle mesure d’audience derrière la mention « newsletter et offres ».

Pour une newsletter générale, des offres sélectionnées sur l’historique et un suivi des ouvertures destiné aux relances, des choix séparés sont une présentation lisible. Si le suivi est refusé, le système doit pouvoir envoyer une version sans ce suivi.

Sources : intérêt légitime, historique des achats et prospection, recommandation pixels, notamment les parties 3 et 4, CNIL ; CEPD, consentement, exemple 9 et paragraphe 57.

Vous envoyez déjà des e-mails suivis sans avoir demandé l’accord

Une base de dix ans ne bénéficie pas automatiquement d’une autorisation de suivi. Commencez par identifier les outils qui ajoutent des pixels, les informations enregistrées et les usages qui en sont faits : mesure de campagne, scoring, relances ou personnalisation.

Si vous ne pouvez pas justifier le suivi marketing, désactivez-le pour les destinataires concernés. L’envoi des messages peut continuer uniquement s’il est lui-même autorisé. Le droit de prospecter et le droit de suivre restent deux contrôles différents.

Le régime particulier des anciennes adresses

La FAQ CNIL prévoit une disposition particulière pour les adresses collectées avant le 14 avril 2026. Elle suppose notamment une information claire et une possibilité d’opposition dans le délai prévu, en principe avant le 14 juillet 2026. La poursuite repose sur l’absence d’opposition, des conditions inchangées et l’absence de besoin d’un nouveau consentement.

Un prolongement raisonnable du délai initial peut être admis pour des difficultés objectivement justifiées et documentées. Il ne faut pas le présumer. Envoyer aujourd’hui une simple information ne recrée pas le régime transitoire.

Comment recueillir le choix maintenant ?

Lorsque vous pouvez licitement contacter la personne, proposez-lui une page de préférences. Le message qui invite à choisir ne doit pas contenir le suivi optionnel que vous cherchez à autoriser. L’ouverture de la page ou le préchargement d’un lien ne doit pas enregistrer un accord : une action positive doit confirmer le choix.

Sans réponse, n’activez pas le suivi. Conservez aussi les refus pour ne pas redemander à chaque message. La CNIL cite six mois sans nouvelle sollicitation comme une bonne pratique ; ce n’est pas une date de réactivation automatique.

Les exemptions de délivrabilité ou d’authentification restent précisément encadrées. Un tableau « clients ayant ouvert l’offre, à rappeler » ne devient pas une fonction technique exemptée parce que le logiciel utilise le mot « délivrabilité ».

Sources : FAQ CNIL, notamment les questions 5, 15 et 22 à 27 ; repères du ministère de l’Économie sur les courriels commerciaux.

Donner la main au contact sur ses préférences et ses données

Le client ouvre votre page de désabonnement. Il veut arrêter les offres, mais garder les informations sur sa commande. Un prospect, lui, souhaite seulement savoir quelles données vous détenez. Ils n’ont pas besoin du même écran, ni de la même réponse.

Les prospects doivent aussi pouvoir se désabonner et exercer leurs droits. Si vous créez une page de préférences ou un portail, ne le réservez pas aux personnes disposant d’un compte client. Le RGPD n’impose pas un modèle unique de portail. Un contact clairement indiqué et une procédure efficace restent nécessaires.

Se désabonner de tout ou choisir certaines communications

Proposez un arrêt simple de toutes les communications commerciales concernées. Vous pouvez aussi permettre de conserver la newsletter, de couper les offres ou de retirer le suivi, si ces catégories correspondent à vos usages. Ce choix détaillé ne doit pas devenir un parcours destiné à décourager le désabonnement.

Évitez d’imposer une connexion à un compte ou la création d’un mot de passe pour se désabonner. Un lien sécurisé peut conduire aux seuls réglages de communication nécessaires. L’accès à un dossier personnel complet appelle, lui, une protection adaptée.

Si newsletter et offres ont été regroupées à l’inscription, le centre de préférences peut offrir des choix plus fins. Il ne doit pas élargir discrètement ce qui était autorisé. Un retrait du suivi doit également arrêter les scénarios qui exploitent les événements concernés.

Consulter ses informations et demander une copie

Prévoyez un accès aux coordonnées modifiables, aux préférences et aux explications sur les usages et la conservation. Pour une demande de copie, la recherche peut aller au-delà de la fiche visible : données de suivi, commentaires, échanges et autres informations personnelles détenues. Les droits des tiers doivent être protégés.

Vérifiez l’identité de façon proportionnée. Une pièce d’identité n’est pas à réclamer systématiquement ; des justificatifs supplémentaires peuvent être nécessaires en cas de doute raisonnable. Transmettez la réponse par un moyen suffisamment sécurisé.

L’accès et la portabilité ne sont pas interchangeables. La portabilité s’applique sous conditions, notamment aux données fournies dans le cadre d’un traitement automatisé fondé sur le consentement ou le contrat. Elle ne donne pas automatiquement droit à l’export de toute la base CRM.

Sources CNIL : retrait du consentement, opposition à la prospection, répondre au droit d’accès et portabilité.

Un client ne commande plus : sa fiche ne doit pas rester active sans fin

Avant de supprimer, regardez ce qui reste en cours : abonnement, maintenance, garantie, SAV, impayé ou litige. Une absence de commande récente n’implique pas nécessairement la fin de toute relation. En revanche, une garantie longue ne justifie pas de conserver toutes les notes du commercial.

Pour la prospection d’un ancien client, le repère CNIL est la durée de la relation commerciale, puis trois ans après sa fin. Le compte en ligne, les documents comptables et les archives nécessaires répondent à d’autres besoins.

La limitation de la conservation est une obligation du RGPD. Toutes les durées du tableau n’ont cependant pas le même statut. Certaines sont fixées par les textes ; d’autres sont des recommandations dont un écart doit être justifié et documenté. Les obligations sectorielles et les contentieux doivent être examinés à part.

Un compte donnant encore accès à des contenus numériques achetés ou à un service dû ne doit pas être supprimé mécaniquement au bout de deux ans. Conservez les données nécessaires à ce droit et examinez séparément les usages commerciaux.

Sources : durées commerciales et comptes inactifs, accès aux contenus achetés, phases de conservation et conservation documentaire des entreprises.

Désabonnement et suppression demandent deux traitements différents

« Je ne veux plus recevoir vos offres » impose l’arrêt de la prospection visée. Cela ne supprime pas une commande en cours ou les factures à conserver. L’opposition commerciale n’a pas à être justifiée.

Gardez une trace minimale dans une liste d’opposition, uniquement pour éviter une nouvelle sollicitation. La CNIL recommande au moins trois ans pour les informations nécessaires à cette prise en compte. Effacer la fiche sans mécanisme d’exclusion peut conduire à réimporter la personne la semaine suivante.

« Supprimez mes données » nécessite une recherche plus large. Répondez en principe sous un mois. Une prolongation motivée de deux mois peut être possible selon la complexité et le nombre des demandes, avec information dans le premier mois.

Supprimez ce qui doit l’être et expliquez les catégories que vous conservez encore pour une obligation ou un autre motif légal applicable. Une demande d’effacement ne fait pas disparaître l’obligation d’archiver une facture.

Sources CNIL : liste d’opposition, effacement et limites ; RGPD, droits des personnes.

Les collaborateurs : qui peut voir et faire quoi ?

Un commercial doit préparer sa relance. Un technicien cherche une adresse d’intervention. La comptabilité vérifie un règlement. Ils travaillent sur le même client, mais n’ont pas besoin de voir toutes les mêmes informations.

Définissez les accès à partir des missions. La lecture, la modification, l’export, l’envoi de campagnes et la suppression sont des permissions à examiner séparément. Pouvoir consulter une fiche ne devrait pas suffire à extraire toute la base.

Exemple d’organisation à adapter à vos équipes, à partir du principe de moindre privilège : CNIL, gérer les habilitations.

Changer de poste ou quitter l’entreprise change les accès

Prévoyez une validation à l’arrivée, une adaptation au changement de mission et un retrait des droits devenus inutiles au départ. La CNIL recommande une revue régulière des habilitations, au moins annuelle. Elle ne remplace pas le retrait d’un accès devenu injustifié en cours d’année.

Utilisez des comptes individuels. Les accès d’administration et les authentifications doivent être protégés selon les risques, notamment par des mesures renforcées lorsque nécessaire. Les comptes techniques et les connecteurs doivent eux aussi être limités à leur besoin.

Un menu masqué ne suffit pas à protéger la donnée

Dans Odoo, faites vérifier les droits sur les modèles, les règles d’accès aux enregistrements et les champs concernés. Testez aussi les exports, les API, les pièces jointes et le portail. En multi-sociétés, un utilisateur ne doit pas voir le dossier d’une autre entité par un chemin oublié.

Les actions sensibles doivent être traçables selon les risques : consultation, modification, export ou suppression, avec l’utilisateur et la date. Protégez ces journaux et limitez leur conservation. La CNIL recommande généralement six mois à un an pour les événements de sécurité, avec des adaptations justifiées. Ces traces ne doivent pas devenir un outil de surveillance détourné des salariés.

Sources CNIL : habilitations, guide de sécurité et traçabilité des opérations. Les contrôles Odoo proposés sont des points de recette à adapter à votre configuration.

La base actuelle et les futurs traitements se préparent ensemble

Lors d’une reprise de CRM, les colonnes « client », « abonné » et « actif » paraissent rassurantes. Elles ne disent pas forcément comment les coordonnées ont été obtenues ni ce qui a été accepté. La migration est le moment de retrouver ces informations, avant que les automatismes ne repartent.

Une preuve manquante ne signifie pas que tous les traitements sont interdits : une facture peut devoir être conservée alors que l’éligibilité commerciale n’est pas démontrée. Examinez chaque usage. Si un nouvel accord doit être recueilli, le moyen utilisé pour le demander doit lui-même être licite.

Avant d’activer un nouvel usage

Votre équipe veut ajouter du scoring, transmettre des contacts à un partenaire ou connecter un nouvel outil de personnalisation. Revenez à la finalité, à la base légale et aux destinataires. Analysez, si nécessaire, la compatibilité avec la collecte initiale et informez les personnes avant le nouveau traitement. Un accord limité à l’ancienne finalité ne s’étend pas automatiquement.

Modifier la politique de confidentialité ne vaut pas consentement. Si le nouvel usage exige un accord, recueillez-le avant de l’activer. Les anciens refus doivent rester appliqués, et un nouvel accord ne régularise pas les collectes illicites passées.

Pour les nouvelles fiches, prévoyez dès la création la provenance, le responsable de traitement, les usages permis, les preuves et les dates utiles. Faites évoluer les formulaires, le registre des traitements et les consignes des équipes avec le paramétrage. En cas de risque élevé, examinez la nécessité d’une analyse d’impact.

Sources : RGPD, finalités et bases légales, articles 13 et 14, information avant un traitement ultérieur, portée du consentement et analyse d’impact.

CRM & RGPD : ce qu’il faut pouvoir retrouver dans vos fiches contacts

La conformité RGPD de votre CRM doit pouvoir se vérifier dans les fiches contacts. Lorsqu’une personne pose une question sur ses données, l’équipe doit retrouver une réponse précise. Qui les utilise ? Pour quel usage ? Sur quelle base ? Quel choix a été exprimé et quelle preuve le confirme ? Jusqu’à quand les conserver ?

Une organisation utile consiste à prévoir un tableau de préférences et de justifications dans la fiche contact. Il peut comprendre la société responsable, la finalité, le canal, l’adresse ou le numéro, la base légale, l’état du choix, la date et la preuve. Pour les anciennes adresses suivies, il faut aussi pouvoir justifier le régime retenu.

Les choix doivent suivre les envois et les imports

Contrôlez l’éligibilité au moment de l’envoi, pas seulement lors de la préparation d’une liste. Si la personne se désabonne après l’export, l’information doit encore parvenir à l’outil qui expédie la campagne.

Prévoyez aussi le calcul des échéances, le tri des archives et la suppression des données devenues inutiles. Une revue mensuelle des échéances et une revue annuelle des règles constituent une organisation possible, sans être des fréquences universelles imposées par le RGPD.

Les doublons méritent une règle prudente

Le même e-mail peut appartenir à deux fiches qui représentent la même personne, mais aussi à une adresse partagée utilisée par plusieurs salariés. Un rapprochement ne doit donc pas fusionner aveuglément les identités ni transformer un refus en accord.

Lorsqu’un acheteur quitte une société, son successeur reprend le dossier utile à l’activité. Il n’hérite pas des consentements personnels de son prédécesseur. Une base multi-sociétés doit également distinguer les responsables de traitement et leurs périmètres.

Dans Odoo comme dans un autre ERP, vérifiez les modules et connecteurs réellement installés. Tous les chemins d’envoi ne se règlent pas nécessairement au même endroit. Le contrôle porte sur les messages et les événements effectivement produits.

Les notes du CRM font aussi partie du sujet. « Demande reportée au prochain exercice » est une information métier. Un commentaire subjectif sur la vie privée du contact n’a pas la même place dans le dossier.

Sources : preuve des choix, commentaires dans les dossiers et guide LINC pour développer en conformité avec le RGPD.