Logiciel de fidélisation et RGPD : ce qu’il faut savoir en 2026

Pourquoi le commerçant est responsable de traitement

Tout commerçant qui collecte des données clients via un programme de fidélité devient automatiquement « responsable de traitement » au sens du RGPD. Cela signifie qu’il est juridiquement responsable du respect des droits des personnes dont il détient les données, même s’il utilise un logiciel tiers pour les gérer.

Le RGPD (Règlement Général sur la Protection des Données) est entré en vigueur en mai 2018. En 2026, il s’applique à tout traitement de données personnelles effectué dans l’Union européenne, sans exception de taille d’entreprise. Une boulangerie de quartier avec 300 clients inscrits à son programme de fidélité est concernée au même titre qu’une chaîne nationale.

Le concept de « responsable de traitement » est central :

• Vous avez décidé de collecter les données (nom, prénom, téléphone, date de naissance) de vos clients.
• Vous avez défini à quoi elles servent (fidélisation, envoi de notifications, collecte d’avis).
• Vous êtes donc juridiquement responsable du respect des droits des personnes dont vous détenez les données.

Si vous utilisez un logiciel de fidélisation client, ce logiciel est votre « sous-traitant » au sens du RGPD. Cela ne vous décharge pas de votre responsabilité : vous restez responsable du traitement, et le logiciel doit disposer de son propre plan de conformité RGPD, que vous êtes en droit d’exiger.

La bonne nouvelle : un logiciel de fidélisation bien conçu simplifie considérablement votre conformité, en intégrant le consentement, la traçabilité et les droits des personnes directement dans son fonctionnement.

Les 4 obligations concrètes pour un commerçant

Le RGPD impose quatre obligations principales à tout commerçant gérant un programme de fidélité : recueillir un consentement explicite, permettre le droit à l’oubli, garantir la portabilité des données, et notifier rapidement en cas de fuite. Ces obligations sont applicables dès le premier client inscrit.

Obligation 1 : Consentement explicite. Le client doit donner son accord de manière non équivoque avant que ses données soient collectées. En pratique, cela signifie une case à cocher (checkbox) lors de l’inscription, non pré-cochée, avec une mention claire sur l’usage des données. La case « j’accepte les conditions » en tout petit en bas du formulaire ne suffit pas : la finalité doit être explicite (« vos données sont utilisées pour gérer votre programme de fidélité et vous envoyer des notifications »).

Obligation 2 : Droit à l’oubli. Tout client peut demander la suppression de l’ensemble de ses données personnelles à tout moment, sans avoir à justifier sa demande. Vous devez être en mesure de procéder à cette suppression dans un délai de 30 jours. Avec un logiciel de fidélisation, cette opération se fait depuis le dashboard CRM en quelques clics. Sans logiciel, retrouver et supprimer toutes les occurrences d’un nom et d’un numéro de téléphone dans vos fichiers est une opération fastidieuse.

Obligation 3 : Portabilité des données. Tout client peut demander à récupérer ses données dans un format lisible et réutilisable (CSV, JSON). Il peut ensuite les transmettre à un autre prestataire. Cette obligation vise à éviter l’enfermement des données. En pratique, les demandes de portabilité sont rares pour un programme de fidélité local, mais vous devez être en mesure d’y répondre.

Obligation 4 : Notification de fuite. En cas de violation de données (piratage, perte de fichier, envoi accidentel), vous avez 72 heures pour notifier la CNIL. Si la violation est susceptible d’engendrer un risque élevé pour les personnes concernées, vous devez également les informer directement. Travailler avec un logiciel SaaS dont l’infrastructure est sécurisée et auditée réduit mécaniquement ce risque.

Les amendes : les risques réels pour une PME

Les amendes RGPD sont proportionnelles au chiffre d’affaires mondial : 2 % ou 10 millions d’euros pour des manquements organisationnels (sans intention délibérée), 4 % ou 20 millions d’euros pour des infractions graves (usage délibéré hors cadre). Pour une PME, le premier seuil est le plus probable en cas de contrôle.

En France, la CNIL (Commission Nationale de l’Informatique et des Libertés) est l’autorité de contrôle du RGPD. Elle instruit des plaintes, effectue des contrôles (sur place ou en ligne), et prononce des sanctions.

Deux niveaux de sanctions :

• Niveau 1 (manquements organisationnels) : jusqu’à 2 % du chiffre d’affaires mondial annuel ou 10 millions d’euros (le plus élevé des deux). Ce niveau concerne les manquements aux obligations de documentation, de tenue d’un registre des traitements, ou d’absence d’accord de sous-traitance avec le logiciel utilisé.
• Niveau 2 (infractions graves) : jusqu’à 4 % du chiffre d’affaires mondial annuel ou 20 millions d’euros. Ce niveau concerne l’utilisation délibérée des données à des fins non consenties, le non-respect du droit à l’oubli, ou la transmission de données à des tiers sans base légale.

Pour une PME avec 500 000 euros de chiffre d’affaires annuel, le niveau 1 représente une amende potentielle de 10 000 euros. C’est un risque réel, surtout si un client dépose plainte suite à une utilisation de ses données qu’il n’a pas consentie.

Les cas les plus fréquents de mise en cause pour les commerces locaux :

• Envoi de SMS ou d’emails promotionnels sans opt-in explicite.
• Conservation des données au-delà de la durée nécessaire (clients inactifs depuis 3 ans toujours dans la base).
• Impossibilité de répondre à une demande de droit à l’oubli dans le délai imparti.
• Absence d’accord de sous-traitance avec le logiciel utilisé pour gérer les données.

Checklist de conformité en 5 points

Cinq actions concrètes permettent à un commerçant local de se mettre en conformité RGPD pour son programme de fidélité : consentement explicite avec checkbox, finalité clairement décrite, données minimales collectées, droit à l’oubli opérationnel, et vérification de la conformité du logiciel sous-traitant.

Voici la checklist pratique, traduite en actions concrètes pour un non-juriste :

1. Consentement explicite avec checkbox. Le formulaire d’inscription à votre programme de fidélité doit comporter une case à cocher non pré-cochée, avec une formulation claire du type : « J’accepte que mes données personnelles (nom, téléphone, date de naissance) soient utilisées pour gérer mon programme de fidélité et me recevoir des notifications de [Nom de votre commerce]. »
2. Finalité clairement décrite. Les données collectées ne peuvent être utilisées qu’aux fins déclarées au moment de l’inscription. Si vous souhaitez utiliser les données pour des finalités supplémentaires (exemple : partager avec un partenaire commercial), vous devez recueillir un consentement séparé pour chaque finalité.
3. Données minimales. Le RGPD impose le principe de minimisation : ne collecter que ce qui est strictement nécessaire. Pour un programme de fidélité, les données nécessaires sont : prénom, nom, numéro de téléphone (pour les push), date de naissance (pour le push anniversaire). Les données non nécessaires (numéro de carte bancaire, nationalité, opinions politiques ou religieuses) sont à exclure.
4. Droit à l’oubli opérationnel. Vérifiez que vous pouvez supprimer toutes les données d’un client en moins de 30 minutes depuis votre dashboard, sur simple demande. Si ce n’est pas le cas, votre processus de conformité est incomplet.
5. Logiciel sous-traitant RGPD-conforme. Demandez à votre logiciel de fidélisation une copie ou une confirmation de son accord de traitement des données (DPA – Data Processing Agreement). Cet accord formalise les obligations du logiciel en tant que sous-traitant de vos données clients. Sans ce document, vous ne pouvez pas justifier votre conformité en cas de contrôle CNIL.

Comment un logiciel SaaS simplifie la conformité

Un logiciel de fidélisation SaaS bien conçu intègre le consentement, la traçabilité et les droits des personnes directement dans son fonctionnement. Le commerçant bénéficie d’une conformité « by design » sans avoir à construire ces mécanismes lui-même.

La différence entre un programme de fidélité géré avec un fichier Excel et un logiciel SaaS certifié est significative du point de vue RGPD :

Avec Excel :

• Le consentement n’est pas tracé (aucune preuve horodatée).
• La suppression d’un client exige de retrouver toutes les feuilles où ses données apparaissent.
• Le fichier peut être copié, partagé par email, perdu sur une clé USB.
• Il n’y a pas de journal des accès (qui a ouvert le fichier et quand).

Avec un logiciel SaaS RGPD-conforme :

• Le consentement est collecté via un formulaire web avec checkbox, horodaté et enregistré automatiquement.
• La suppression d’un client se fait en un clic depuis le dashboard et efface toutes les occurrences de ses données.
• Les données sont hébergées sur des serveurs sécurisés avec accès restreint et chiffré.
• Le journal des accès est maintenu automatiquement.
• La portabilité des données est disponible via export CSV ou JSON depuis le dashboard.

En d’autres termes, un logiciel SaaS conforme transforme la conformité RGPD d’une contrainte organisationnelle complexe en une fonctionnalité intégrée qui fonctionne automatiquement.

BoomerangMe et le RGPD : ce que cela signifie pour vous

BoomerangMe, la plateforme sous-jacente à Revient, a désigné un Délégué à la Protection des Données (DPO) avant la mise en oeuvre du RGPD en 2018. Les serveurs sont hébergés en Europe. Des accords de traitement des données sont disponibles sur demande. Le formulaire d’inscription intègre le consentement explicite par design.

Revient est développé en partenariat avec BoomerangMe, une plateforme américaine avec plus de 300 agences et 30 000 clients dans le monde. Voici les éléments de conformité RGPD de la plateforme :

• DPO désigné avant 2018 : BoomerangMe a nommé un Délégué à la Protection des Données avant l’entrée en vigueur du RGPD, ce qui démontre une anticipation et non une réaction contrainte.
• Hébergement en Europe : les données des clients européens sont hébergées sur des serveurs situés en Europe, conformément aux exigences de transfert de données du RGPD.
• Accords de traitement disponibles : un accord de traitement des données (DPA) peut être obtenu sur demande à support@boomerangme.cards. Ce document formalise les obligations de BoomerangMe en tant que sous-traitant de vos données clients.
• Formation RGPD des équipes : tous les membres de l’équipe BoomerangMe suivent une formation sur la protection des données.
• Consentement by design : le formulaire d’inscription Revient intègre une checkbox de consentement non pré-cochée par défaut. Le consentement est enregistré avec un horodatage pour chaque client.
• Politiques en ligne : les politiques de confidentialité et conditions d’utilisation sont disponibles et régulièrement mises à jour.

En tant que commerçant utilisant Revient, vous restez responsable de traitement. Mais vous disposez d’un sous-traitant dont les garanties RGPD sont documentées et justifiables en cas de contrôle CNIL. C’est la position la plus solide possible pour un commerce local.

Une précision importante sur le DPO : pour un commerce local dont le programme de fidélité traite les données de quelques centaines à quelques milliers de clients, la désignation d’un DPO n’est pas obligatoire (le RGPD l’impose uniquement pour les traitements à grande échelle ou les données sensibles). En revanche, il est recommandé de désigner un responsable interne chargé de répondre aux demandes des clients (droit à l’oubli, portabilité) et de veiller à la conformité de la base de données.