RGPD et programme de fidélité : ce qu'un restaurateur a le droit de faire

Dès qu'un programme de fidélité enregistre un numéro de téléphone, il traite des données personnelles — et vous devenez responsable de traitement au sens du RGPD. Ce n'est pas un problème : c'est un cadre, et il est nettement plus simple à respecter qu'on ne le croit pour un restaurant.

Quelles données collecter — et surtout lesquelles éviter

Le principe directeur du RGPD s'appelle la minimisation : vous ne collectez que ce qui est nécessaire à la finalité annoncée. Pour une carte de fidélité, cette finalité est « gérer le programme de fidélité de l'établissement ».

Ce dernier point surprend souvent. Enregistrer « client halal » ou « client sans gluten » dans une fiche, ce n'est pas une préférence anodine : la première information peut révéler une appartenance religieuse, la seconde une pathologie. Ces catégories relèvent de l'article 9 du RGPD et exigent un consentement explicite et des garanties supplémentaires. Pour un programme de fidélité, le jeu n'en vaut pas la chandelle.

Sur quelle base légale reposez-vous ?

Tout traitement doit s'appuyer sur l'une des bases prévues à l'article 6 du RGPD. Pour un programme de fidélité, deux se distinguent selon l'usage.

Gérer la carte : exécution du contrat

Quand un client s'inscrit à votre programme, il adhère à des conditions : il cumule des points, il obtient une récompense. Le traitement de ses données pour faire fonctionner ce mécanisme relève de l'exécution du contrat. Vous n'avez pas besoin d'une case à cocher pour compter ses points — c'est l'objet même de son inscription.

Lui envoyer des offres : consentement

C'est là que le régime change. La prospection commerciale par SMS ou email vers un particulier suppose en principe un consentement préalable, libre, spécifique et éclairé. Une exception existe pour l'email adressé à un client existant à propos de produits ou services analogues aux siens, à condition qu'il ait pu s'y opposer au moment de la collecte et dans chaque message.

En pratique, la seule position tenable pour un restaurant est simple : une case à cocher distincte, non pré-cochée, pour les communications marketing, séparée de l'adhésion au programme. Et un moyen évident de se désinscrire dans chaque message.

Le cas des notifications push

Une notification push suppose que le client a déjà accepté la demande d'autorisation de son système d'exploitation — un consentement technique explicite qu'il peut retirer à tout moment dans ses réglages. C'est un canal plus confortable que le SMS, mais il ne dispense pas d'être pertinent : voir notifications push et services creux.

Ce que vous devez dire au client au moment de l'inscription

L'information doit être accessible avant la validation, pas cachée derrière trois liens. Les éléments à faire figurer :

• Qui traite les données : la raison sociale de l'établissement, pas seulement l'enseigne
• Pourquoi : gérer le programme de fidélité, et le cas échéant envoyer des offres
• Quelles données sont collectées
• Combien de temps elles sont conservées
• Quels droits le client peut exercer, et à quelle adresse écrire
• Si un prestataire technique intervient, sa qualité de sous-traitant

En pratique, une page de politique de confidentialité liée depuis le formulaire d'inscription remplit cette obligation, à condition qu'elle soit lisible et à jour.

Combien de temps conserver les données

Le RGPD ne fixe pas de durée chiffrée : il impose une durée proportionnée à la finalité, définie à l'avance et respectée. Pour un programme de fidélité, la référence retenue par la CNIL est la fin de la relation commerciale, en général mesurée à partir de la dernière activité du client.

Une politique lisible et défendable ressemble à ceci :

1. 1Compte actif : conservation tant que le client utilise sa carte.
2. 2Inactivité prolongée (souvent trois ans après la dernière visite) : le compte est considéré comme dormant.
3. 3Relance : un message proposant de conserver le compte ou de le supprimer.
4. 4Sans réponse : suppression ou anonymisation des données personnelles. Les statistiques agrégées, elles, peuvent être conservées puisqu'elles ne permettent plus d'identifier quiconque.

Les droits des clients, en pratique

Un client peut vous demander l'accès à ses données, leur rectification, leur effacement, ou s'opposer à la prospection. Vous disposez d'un mois pour répondre. Concrètement, trois choses suffisent à être prêt :

• Une adresse de contact dédiée, indiquée dans la politique de confidentialité
• La capacité d'exporter la fiche d'un client et son historique depuis votre outil
• La capacité de supprimer un compte définitivement, sans passer par le support de votre prestataire

Si votre solution ne permet pas de supprimer un client en autonomie, c'est un signal d'alarme : vous ne pourrez pas honorer une demande d'effacement dans les délais.

Registre des traitements et sous-traitance

Le registre des traitements est obligatoire, y compris pour les petites structures dès lors que le traitement n'est pas occasionnel — ce qui est le cas d'un programme de fidélité, qui tourne en continu. Rassurez-vous : pour un restaurant, il s'agit d'un tableau d'une page listant la finalité, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité. La CNIL publie un modèle.

Votre prestataire de fidélité, lui, agit comme sous-traitant. L'article 28 du RGPD impose un contrat écrit encadrant ce rôle — c'est le fameux DPA (Data Processing Agreement). Vérifiez qu'il est disponible et signé, et regardez notamment où les données sont hébergées et ce qu'il advient d'elles à la fin du contrat. Notre accord de sous-traitance et notre page sécurité documentent ces points.