Suivre ses clients dans un CRM : cadrer son besoin et respecter le RGPD en TPE

Avant l’outil : ce que vous voulez vraiment suivre

Un CRM sert à garder la mémoire de la relation commerciale : coordonnées, échanges, affaires en cours, relances à faire. Avant de comparer des solutions, décrivez en quelques lignes la façon dont vous suivez vos clients aujourd’hui, dans un tableur, une messagerie ou un carnet, et ce qui vous fait perdre le fil. Le bon point de départ est le besoin décrit par vos équipes, pas la liste des fonctionnalités d’un outil.

Ce cadrage a aussi une portée réglementaire. La CNIL demande de ne collecter et de ne traiter que les informations nécessaires à la relation commerciale : savoir précisément ce que vous voulez suivre permet de limiter les champs du CRM à ce qui est utile.

• Qui utilise le suivi : vous seul, un associé, une équipe commerciale ?
• Quelles informations faut-il retrouver en un coup d’œil : dernier échange, prochaine action, origine du contact ?
• Quelles relances ou rappels vous arrive-t-il d’oublier ?
• D’où viennent vos contacts : clients existants, demandes entrantes, prospection ?

Sources : [2]

Quelles données enregistrer, et comment en informer vos contacts

Selon la CNIL, pour gérer vos clients et prospects, vous devez informer les personnes des conditions dans lesquelles vous traitez leurs données et de leurs droits, ne collecter que les informations nécessaires à la relation commerciale, prévoir des mesures de sécurité adaptées aux risques et limiter la durée de conservation.

Dans la pratique, la CNIL invite à faire le tri : vendre un bien ou un service ne nécessite pas toujours de recueillir des données personnelles, et seules les informations nécessaires pour facturer, livrer, garantir ou entretenir une relation durable sont obligatoires. Le client peut fournir davantage d’informations s’il y consent.

• Insérez une rubrique « Protection des données » accessible et compréhensible dans vos conditions générales de vente.
• Prévoyez une mention d’information sur chaque formulaire de collecte, y compris en papier.
• Donnez aux personnes un moyen simple et rapide de vous contacter pour exercer leurs droits d’accès, de rectification, d’opposition et d’effacement.
• Évitez de conserver une copie d’une pièce justificative lorsque conserver l’information que le justificatif a été produit suffit.

Sources : [1], [2]

Le registre des traitements : une fiche pour votre fichier clients

La CNIL indique d’inscrire le fichier de clients et de prospects dans le registre des activités de traitement tenu par l’entreprise. L’obligation de tenir ce registre concerne tous les organismes, quelle que soit leur taille, dès lors qu’ils traitent des données personnelles. Les entreprises de moins de 250 salariés bénéficient d’une dérogation, mais elle est limitée : les traitements non occasionnels, comme la gestion des clients, des prospects et des fournisseurs, doivent figurer au registre. Il n’y a en revanche plus de déclaration préalable à la CNIL pour ce type de fichier depuis l’application du RGPD.

Pour un CRM, la fiche du registre doit comporter au moins les éléments suivants, pour chaque activité de traitement :

• la finalité du traitement, c’est-à-dire ce pour quoi vous collectez ces données ;
• les catégories de personnes concernées, comme les clients et les prospects ;
• les catégories de données personnelles enregistrées ;
• les catégories de destinataires, y compris les sous-traitants auxquels vous recourez, par exemple l’éditeur ou l’hébergeur de l’outil ;
• les éventuels transferts de données vers un pays tiers ou une organisation internationale ;
• les délais prévus pour l’effacement, ou à défaut les critères pour les déterminer ;
• dans la mesure du possible, une description générale des mesures de sécurité mises en œuvre.

La CNIL met à disposition un modèle de base du registre. Le registre sert aussi à se poser les bonnes questions : ai-je vraiment besoin de cette donnée, est-il pertinent de la conserver aussi longtemps, est-elle suffisamment protégée ?

Sources : [2], [3]

Relances et prospection : ce que les règles changent dans le CRM

Le CRM facilite l’envoi de messages, mais la CNIL rappelle que les règles de prospection s’appliquent aussi à vos clients actuels. Elles dépendent du mode de prospection et de la cible. Pour des messages électroniques adressés à des particuliers, un accord préalable est requis, sauf pour des produits ou services similaires proposés à une personne déjà cliente : la création d’un simple compte ne suffit pas à créer cette situation. Pour des messages adressés à des professionnels, la prospection peut reposer sur l’intérêt légitime de l’organisme lorsque l’objet de la sollicitation est en rapport avec la profession de la personne démarchée, à condition qu’elle ait été informée et puisse s’y opposer.

Dans tous les cas, chaque message doit permettre de connaître l’identité de l’émetteur et de refuser simplement de nouvelles sollicitations. Votre CRM doit donc pouvoir enregistrer une opposition ou un désabonnement et ne plus relancer la personne concernée.

• Prévoyez dans votre fiche contact un champ ou un statut qui consigne l’opposition à la prospection.
• Conservez la preuve du consentement lorsque celui-ci est nécessaire, par exemple avec une case à cocher non pré-cochée.
• Vérifiez les règles propres au téléphone avant toute campagne d’appels, notamment la liste nationale d’opposition au démarchage téléphonique.
• Méfiez-vous des bases de données vendues sur internet : la CNIL les signale comme généralement ni fiables ni collectées dans des conditions légales.

Sources : [1], [4]

Durée de conservation et droits des personnes

La CNIL recommande de prévoir la suppression des informations en cas d’inactivité prolongée de vos clients : trois ans à compter de la fin de la relation commerciale. Certaines données doivent toutefois être conservées pour des obligations légales, notamment la comptabilité ou un contentieux ; la CNIL conseille de les archiver dans une autre base dont l’accès est plus restreint. Un CRM doit donc permettre de repérer les contacts inactifs et d’en supprimer ou d’en archiver les données.

Les personnes peuvent demander l’accès à leurs données et leur rectification. La CNIL rappelle que l’organisme doit répondre aux demandes d’exercice des droits sous un mois maximum, sauf exceptions. Désignez qui, dans l’entreprise, reçoit ces demandes et sait les retrouver dans l’outil.

Sources : [1], [4]

Choisir un outil ou un prestataire : les questions à poser

Quel que soit le logiciel retenu, les obligations ci-dessus restent les vôtres. Comparez les solutions à partir de votre cadrage et des exigences de protection des données plutôt qu’à partir d’une démonstration commerciale.

• L’outil permet-il de limiter les champs saisis et de gérer des droits d’accès différents selon les utilisateurs ?
• Où sont hébergées les données, et un transfert hors de l’Union européenne est-il prévu ? Il devra figurer dans votre registre.
• Le prestataire figure-t-il parmi vos sous-traitants, et que prévoit votre relation avec lui en matière de protection des données ?
• Pouvez-vous supprimer, exporter ou archiver les données d’un contact et récupérer l’ensemble de vos données si vous changez d’outil ?
• L’outil enregistre-t-il l’opposition à la prospection et la source du consentement ?

Sources : [2], [3]

Une mise en route raisonnable pour une petite structure

1. Décrire par écrit le suivi attendu et les utilisateurs concernés.
2. Lister les données réellement nécessaires pour chaque type de contact et supprimer le reste du périmètre.
3. Ouvrir la fiche correspondante dans le registre des traitements, avec la finalité, les destinataires et la durée de conservation.
4. Rédiger la mention d’information destinée aux clients et prospects et prévoir comment ils exercent leurs droits.
5. Définir les règles de relance : qui est contacté, par quel canal, avec quel accord, et comment l’opposition est enregistrée.
6. Commencer avec un petit nombre de contacts et d’utilisateurs, puis vérifier que le suivi répond au besoin décrit avant d’élargir.

Sources : [1], [2], [3]