.png){kind=small}
RGPD en boutique vélo : le guide pratique du vélociste
Une boutique ou un atelier de vélos manipule des données personnelles tous les jours : nom, téléphone et e-mail à l’accueil atelier, adresse pour une livraison, historique d’achats, numéro de série d’un vélo, parfois un paiement en plusieurs fois. Le RGPD s’applique donc à vous comme à n’importe quel commerce, quelle que soit votre taille. La bonne nouvelle : la mise en conformité tient en quelques décisions simples, prises une fois, puis appliquées dans votre outil de gestion. Ce guide les passe en revue, dans l’ordre où vous les rencontrez au comptoir.
En bref
Ne collectez que ce qui sert la facturation, la garantie, la livraison ou le suivi atelier. Le reste (date de naissance, historique détaillé) doit rester facultatif.
Informez vos clients : mention sur chaque formulaire, rubrique « Protection des données » dans les CGV, et un contact clair pour exercer leurs droits.
Fixez des durées de conservation : relation commerciale puis trois ans pour la prospection, dix ans pour les pièces comptables, suppression du cryptogramme dès le paiement.
En cas de fuite ou de vol de données, documentez l’incident et notifiez la CNIL sous 72 heures si possible lorsqu’il présente un risque.
Un logiciel de gestion bien paramétré (droits d’accès, sauvegardes, purge) fait l’essentiel du travail à votre place.
Table des matières
Quelles données une boutique vélo peut-elle collecter ?
Le principe est celui de la minimisation : vous ne demandez que les données utiles à une finalité précise. Pour un vélociste, les finalités légitimes sont connues. Selon la CNIL, une boutique peut demander les données nécessaires à la facturation, à la livraison, à la garantie ou à la relation client, l’historique des achats pouvant rester facultatif et soumis à l’accord du client.
Traduit en situations de comptoir :
Situation | Données utiles | Données à éviter ou à rendre facultatives |
Dépôt d’un vélo en atelier | Nom, téléphone, e-mail, description du vélo, devis accepté | Date de naissance, profession, situation familiale |
Vente d’un vélo neuf ou d’occasion | Identité, adresse de facturation, numéro de série | Pièce d’identité conservée en copie |
Livraison ou expédition | Adresse, téléphone du destinataire | Données non liées à la livraison |
Garantie et rappel constructeur | Coordonnées, référence et date d’achat | Informations de santé ou de pratique sportive |
Newsletter, offres de saison | E-mail, consentement | Tout champ non indispensable |
Un exemple concret : demander la taille et le poids d’un client pour régler un vélo (étude posturale, réglage de selle) relève d’une finalité de service. Ces informations doivent rester liées à cette prestation, ne pas alimenter des campagnes marketing, et être supprimées avec le reste de la fiche à l’échéance prévue.
Les données sensibles : une vigilance particulière
Une boutique n’a pas vocation à collecter de données de santé. Si un client mentionne une blessure pour justifier un réglage, notez le réglage, pas le diagnostic. Dans le doute, une zone de commentaire libre est un risque : les équipes y écrivent des remarques sur le client qu’elles ne diraient pas à voix haute. Réservez-la aux informations techniques et factuelles.
Informer les clients : mentions, CGV, affichage
La transparence est la première obligation visible. La CNIL détaille ce qu’il faut communiquer : l’identité du responsable du traitement, les finalités, la base légale, le caractère obligatoire ou facultatif des réponses, les destinataires, la durée de conservation et les droits des personnes. Elle demande aussi qu’une rubrique « Protection des données », accessible et compréhensible, figure dans les conditions générales de vente, avec une mention d’information sur chaque formulaire de collecte (source : CNIL, relation client).
Pour une boutique, cela donne quatre points de contact :
Le bon de dépôt atelier : quelques lignes en bas du document (qui traite les données, pourquoi, combien de temps, à qui s’adresser).
Le formulaire de prise de rendez-vous en ligne et celui de votre site e-commerce.
Les CGV et la politique de confidentialité de votre site.
Un affichage en caisse ou à l’accueil renvoyant vers la politique complète, utile pour les ventes au comptoir.
Votre mention d’information peut rester courte et lisible. Elle doit nommer l’entreprise (raison sociale et coordonnées), la finalité (« gérer votre commande, votre réparation et la garantie »), la base légale (exécution du contrat, obligation légale, ou consentement pour les offres commerciales), la durée de conservation et l’adresse e-mail où écrire. Évitez le jargon : vos clients doivent comprendre en dix secondes.
Fichier client, ordres de réparation : durées de conservation
C’est la question que se posent le plus souvent les gérants : combien de temps garder une fiche client, un ordre de réparation ou un devis ? Il n’existe pas de durée unique, mais des repères clairs fournis par la CNIL.
Type de donnée | Durée de conservation | Source |
Données nécessaires au contrat (vente, réparation) | Pendant la relation contractuelle, puis archivage intermédiaire si une obligation légale ou une preuve le justifie, dans la limite de la prescription | |
Client inactif | Suppression recommandée trois ans après la fin de la relation commerciale | |
Prospect non client | Trois ans à compter de la collecte ou du dernier contact émanant du prospect | |
Pièces comptables | Durée légale applicable, par exemple dix ans pour une obligation comptable | |
Cryptogramme de carte bancaire | Supprimé dès que le règlement est finalisé |
Appliquer ces durées à l’atelier
Deux logiques coexistent dans votre logiciel. D’un côté, la vie commerciale de la fiche : un client qui revient pour sa révision annuelle reste actif, et le délai de trois ans repart à chaque nouvelle relation. De l’autre, la conservation comptable : la facture reste archivée pour la durée légale, même si la fiche commerciale est purgée. L’enjeu est de séparer les deux, pour ne pas garder une fiche complète « au cas où » parce qu’une facture existe.
Une règle de travail simple : une fois par an, listez les fiches sans passage ni achat depuis plus de trois ans, supprimez ou anonymisez-les, et conservez uniquement les pièces comptables. Si votre garantie ou un rappel produit impose de retrouver un propriétaire, la finalité justifie de garder le lien plus longtemps pour le produit concerné, à condition que vous puissiez l’expliquer.
Pour aller plus loin sur la structure de votre fichier, notre guide RGPD et CRM pour le vélociste détaille les bonnes pratiques côté fichier client, et celui sur la création d’une fiche client efficace montre quels champs garder.
Prospection et newsletters : consentement ou opposition
Les offres de saison, les rappels de révision et les relances « votre vélo est prêt » ne relèvent pas du même régime. Un SMS « votre vélo est prêt » est un message de service lié à la réparation. Une promotion sur les vélos électriques est de la prospection.
Pour les particuliers, la CNIL précise que la prospection par courrier électronique, SMS ou MMS suppose le consentement préalable, libre, spécifique et éclairé, retirable à tout moment. Pour les professionnels (clubs, collectivités, entreprises avec flotte de vélos), la personne doit être informée et pouvoir s’opposer. La même page de la CNIL détaille les exceptions applicables aux clients existants pour des produits ou services analogues : vérifiez-les avant de lancer une campagne.
En pratique :
une case de consentement non précochée sur vos formulaires ;
un lien de désinscription dans chaque message ;
une trace de la date et de la source du consentement dans la fiche client ;
des segments séparés entre clients particuliers et clients professionnels.
Ces réflexes servent aussi la fidélisation : un fichier propre, avec des abonnés qui ont dit oui, convertit mieux qu’une liste large et froide. Nos idées de fidélisation clients en boutique vélo s’appuient sur ce principe.
Droits des clients : accès, rectification, suppression
Vos clients disposent de droits d’accès, de rectification et d’effacement et, selon les cas, d’un droit d’opposition (source : CNIL). Concrètement, un client peut vous écrire pour demander ce que vous détenez sur lui ou pour faire supprimer sa fiche.
Pour ne pas être pris au dépourvu :
Désignez un point de contact (une adresse e-mail dédiée, un référent dans l’équipe) et indiquez-le dans votre politique de confidentialité.
Vérifiez l’identité du demandeur avant de transmettre des informations, pour ne pas créer vous-même une fuite.
Retrouvez toutes les données : fiche client, historique atelier, devis, e-mails, boutique en ligne. Plus ces éléments sont centralisés, plus la réponse est rapide.
Répondez et tracez : notez la date de la demande, la réponse apportée et les éventuelles données conservées au titre d’une obligation légale (la facture ne s’efface pas).
Une demande de suppression ne vous oblige pas à détruire vos écritures comptables. Elle vous oblige à supprimer ce qui n’a plus de justification, et à expliquer ce que vous gardez et pourquoi.
Sécuriser les données de l’atelier
Le guide de la CNIL sur la sécurité des données personnelles repose sur des mesures techniques et organisationnelles, parmi lesquelles le chiffrement et la gestion des mots de passe. Dans un commerce de cycles, les failles viennent rarement d’un piratage sophistiqué. Elles viennent de :
un compte unique partagé par tous les mécaniciens et vendeurs ;
un ordinateur de caisse accessible à la clientèle ou laissé ouvert à l’atelier ;
des carnets papier d’ordres de réparation laissés sur l’établi ;
des fichiers Excel envoyés par e-mail ou copiés sur une clé USB ;
l’absence de sauvegarde, ou une sauvegarde stockée au même endroit que la caisse.
Une checklist réaliste pour une boutique de deux à dix personnes :
Action | Pourquoi |
Un identifiant par personne, mot de passe robuste | Savoir qui a fait quoi, révoquer un départ |
Droits différenciés (mécanicien, vendeur, gérant) | Le mécanicien n’a pas besoin des données comptables |
Verrouillage automatique des postes | Limite l’accès au comptoir |
Sauvegardes régulières hors du magasin | Reprise après panne, vol ou rançongiciel |
Suppression des fichiers d’export inutiles | Moins de copies, moins de risques |
Sensibilisation de l’équipe | La majorité des incidents commence par une erreur humaine |
Sur la question de la sauvegarde, notre guide sur la sauvegarde des données de caisse pour un atelier vélo détaille les points d’attention.
Registre des traitements et rôles : qui est responsable de quoi ?
Le registre des activités de traitement est un document simple qui liste vos traitements : gestion clients, atelier, facturation, newsletter, vidéosurveillance éventuelle, paie. La CNIL met à disposition des TPE et PME un modèle de registre simplifié, gratuit. Pour chaque traitement, vous notez la finalité, les catégories de données, la durée de conservation, les destinataires et les mesures de sécurité.
Un point souvent mal compris : le rôle de chacun. Vous êtes responsable du traitement des données de vos clients. Votre éditeur de logiciel, votre hébergeur, votre prestataire de site web ou d’e-mailing sont des sous-traitants. La CNIL rappelle que la qualification dépend des faits : qui décide et qui exécute, et non ce que dit un contrat. Cela implique d’avoir, avec chaque prestataire qui traite vos données, un contrat ou une clause de sous-traitance qui précise ce qu’il peut faire de ces données. En cas de litige, l’exemple de l’amende de 125 000 € infligée à Renault par l’autorité roumaine après une violation de données rappelle que la protection des données reste une responsabilité d’entreprise, quelle que soit sa taille ou sa chaîne de prestataires.
Si vous exploitez plusieurs magasins ou une franchise, clarifiez qui décide des finalités : chaque point de vente, ou une structure centrale. C’est ce qui détermine qui informe les clients et qui répond aux demandes.
Que faire en cas de violation de données ?
Vol d’un ordinateur de caisse, e-mail de relance envoyé à un mauvais destinataire avec toute la liste en copie visible, piratage du site marchand : ce sont des violations de données. La procédure, selon la CNIL, est la suivante :
Documentez l’incident en interne, même s’il est mineur : ce qui s’est passé, les données concernées, les mesures prises.
Évaluez le risque pour les droits et libertés des personnes.
Notifiez la CNIL dans les meilleurs délais s’il y a un risque, avec une notification initiale sous 72 heures si possible.
Informez les personnes concernées si le risque est élevé.
Si la fuite vient de votre éditeur ou hébergeur, sachez que le sous-traitant doit, d’après la CNIL, aider ses clients concernés à notifier la violation. Prévoyez donc dans vos contrats un canal d’alerte rapide.
Sanctions : que risque vraiment une boutique ?
Le cadre légal est la loi Informatique et Libertés. Le non-respect du RGPD expose à des sanctions administratives et financières prononcées par la CNIL, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, selon la gravité. Ces plafonds visent d’abord les grands acteurs, et la sanction est proportionnée à la gravité des manquements. Mais l’enjeu d’une boutique indépendante est ailleurs : un client mécontent qui saisit la CNIL, une fuite qui touche des centaines de fiches, un mailing sans consentement. Dans tous les cas, la réputation locale se fragilise vite. La CNIL le souligne : la protection des données des clients participe à la confiance envers la marque.
Notre point de vue : le RGPD se règle dans l’outil, pas dans un classeur
Nous accompagnons plus de 1 000 boutiques et ateliers avec Shifter, et le constat est constant : la plupart des écarts RGPD ne viennent pas de mauvaises intentions, mais d’un fichier éparpillé entre un carnet d’atelier, un tableur, une caisse et une boîte mail. Chaque copie est une donnée de plus à protéger, à purger et à retrouver en cas de demande d’accès.
Notre conviction de professionnels du cycle : la conformité devient simple quand le client, l’ordre de réparation, la facture et le stock vivent dans un seul outil, avec des droits d’accès par rôle et sans ressaisie. Moins de doublons, des fiches complètes mais sobres, et une trace claire de qui a fait quoi. C’est aussi pour cela que nous recommandons de décider une fois les champs de la fiche client, les durées de purge et les consentements, puis de s’y tenir.
— App-shifter
Un outil de gestion qui facilite la conformité
Un logiciel spécialisé ne remplace pas votre responsabilité de gérant, mais il rend les bonnes pratiques applicables au quotidien. Avec le CRM de Shifter pour boutique et atelier vélo, vous centralisez fiches clients, historique atelier et facturation, et vous évitez les copies en dehors du système. Les formules sont publiées sur la page des tarifs : 69 € par mois pour les non-assujettis à la TVA (EURL, auto, micro), 89 € par mois pour boutique et atelier (+ café vélo), 148 € par mois pour le multi-boutiques (+ gestion entrepôt), et un support téléphonique 6J/7 à 9 € par mois en option. L’abonnement est mensuel, sans engagement.
[
Si votre boutique travaille déjà avec un logiciel, profitez d’un audit simple : listez les endroits où figurent des données clients, et comptez les copies. Moins il y en a, plus votre conformité est facile à tenir.
Plan d’action en sept étapes
Cartographiez vos traitements : caisse, atelier, CRM, site, newsletter, vidéosurveillance, paie.
Rédigez votre registre à partir du modèle de la CNIL.
Allégez vos formulaires : supprimez les champs inutiles, rendez les autres facultatifs.
Ajoutez les mentions d’information sur le bon de dépôt, les formulaires et les CGV.
Paramétrez les durées de conservation et programmez une purge annuelle.
Sécurisez : comptes nominatifs, droits par rôle, sauvegardes, postes verrouillés.
Formez l’équipe à reconnaître une demande de droit et un incident, et à qui les transmettre.
Ce plan prend quelques demi-journées la première année, puis un contrôle annuel suffit. Il se combine bien avec une réflexion plus large sur l’exploitation des données clients en atelier, qui montre comment une donnée bien tenue devient un levier commercial.
FAQ
Une boutique de vélos est-elle obligée d’appliquer le RGPD ?
Oui. Dès que vous collectez et utilisez des données de personnes identifiables, même sur un simple bon de dépôt, le RGPD s’applique, quelle que soit la taille de l’entreprise. L’effort demandé est proportionné : informer, limiter la collecte, sécuriser et répondre aux demandes.
Combien de temps garder la fiche d’un client d’atelier ?
La CNIL recommande de supprimer les données d’un client après trois ans d’inactivité, à compter de la fin de la relation commerciale. Les factures restent conservées pour la durée légale comptable, par exemple dix ans, dans un archivage séparé de la fiche commerciale.
Puis-je envoyer une newsletter à mes clients ?
Pour des particuliers, il faut leur consentement préalable, libre et spécifique, avec une désinscription possible à tout moment. Pour des professionnels, il suffit de les informer et de leur permettre de s’opposer. Conservez la preuve de la date et de la source du consentement.
Que faire si un client demande la suppression de ses données ?
Vérifiez son identité, supprimez ce qui n’a plus de justification (fiche commerciale, préférences marketing) et conservez uniquement ce que la loi impose, comme les factures. Répondez par écrit et notez la demande dans votre registre.
Faut-il prévenir la CNIL après un vol d’ordinateur de caisse ?
Documentez l’incident dans tous les cas. Si le risque pour les personnes existe, notifiez la CNIL dans les meilleurs délais, avec une première notification sous 72 heures si possible. Si le risque est élevé, informez aussi les clients concernés.
Sources
Conformité RGPD : informer les personnes et assurer la transparence, CNIL
La prospection commerciale par courrier électronique, SMS-MMS et automate d’appel, CNIL
Guide pratique RGPD : sécurité des données personnelles, CNIL
Modèle de registre des activités de traitement pour TPE/PME, France Num
Responsable du traitement, sous-traitants : bien identifier son rôle, CNIL
Amende de 125 000 € infligée à Renault pour violation de données
Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Légifrance
Recommandations
Commentaires