.png){kind=small}
RGPD et CRM : le guide du vélociste pour fichier client
Votre CRM contient des noms, des e-mails, des numéros de téléphone, l’historique des réparations et parfois le numéro de série de vélos à plusieurs milliers d’euros. C’est un traitement de données personnelles, et vous en êtes le responsable. Le RGPD ne vous demande pas de renoncer au CRM : il vous demande de savoir pourquoi vous collectez chaque donnée, combien de temps vous la gardez, qui y accède et comment vous réagissez en cas de fuite. Voici comment y répondre concrètement, comptoir et atelier compris.
TL;DR
Le gérant est responsable de traitement ; l’éditeur du logiciel est son sous-traitant. Le contrat doit le préciser, mais la configuration des accès reste de votre côté.
Chaque usage du CRM (facturation, SAV d’atelier, newsletter) a sa propre base légale et sa propre durée de conservation : 10 ans pour la facturation, relation commerciale + 3 ans pour la prospection.
Un client existant peut recevoir des offres pour des produits ou services similaires (révision, accessoires) sans consentement préalable, à condition de pouvoir s’y opposer simplement.
Un identifiant par collaborateur, des droits d’accès par rôle et une procédure écrite de violation de données (72 heures) valent mieux que n’importe quel label.
Un CRM intégré à la caisse, au stock et à l’atelier évite les copies de fichiers dans des tableurs, premier vrai risque RGPD en boutique.
Table des matières
Pourquoi le CRM d’un vélociste est concerné
Le RGPD s’applique à toute entreprise qui traite des données personnelles, quelle que soit sa taille, y compris un fichier clients, comme le rappelle Service-Public Entreprendre. Une boutique de deux personnes est donc soumise aux mêmes principes qu’un grand réseau, avec des moyens évidemment plus modestes à mettre en face.
Dans une boutique ou un atelier, les données circulent à de nombreux endroits :
le passage en caisse (nom, e-mail, achat, mode de paiement) ;
l’ordre de réparation (téléphone, marque, modèle, numéro de série, diagnostic) ;
la prise de rendez-vous en ligne ;
la synchronisation avec la boutique e-commerce ;
les relances de révision et les newsletters ;
les dossiers de garantie ou de vol, parfois avec une pièce d’identité.
Chacun de ces flux est un traitement. Le piège habituel n’est pas le logiciel lui-même, mais ce qui se passe autour : l’export Excel envoyé par e-mail à un conseiller, le cahier de l’atelier avec les numéros de téléphone, la liste de diffusion copiée dans un outil d’e-mailing tiers.
Responsable de traitement et sous-traitant : qui fait quoi
Vous décidez des finalités et des moyens : vous êtes le responsable de traitement. L’éditeur de votre CRM héberge et traite les données selon vos instructions : c’est le sous-traitant. Le guide du sous-traitant de la CNIL détaille ce partage de responsabilités et les clauses attendues dans le contrat.
À vérifier dans le contrat ou l’annexe de traitement de votre éditeur :
l’objet, la durée et la nature du traitement ;
le type de données et les catégories de personnes concernées ;
l’obligation de ne traiter les données que sur vos instructions ;
les mesures de sécurité et la gestion des sauvegardes ;
le sort des données à la fin du contrat (restitution, suppression) ;
l’aide apportée en cas de demande d’accès ou de violation ;
le lieu d’hébergement et les éventuels sous-traitants ultérieurs.
Un logiciel « conforme RGPD » n’existe pas au sens d’un label automatique. La CNIL rappelle, dans sa page sur la sécurité du cloud, que le recours à un prestataire ne dispense pas l’utilisateur de ses responsabilités. Le prestataire fournit les leviers techniques ; c’est à vous de décider qui a accès à quoi.
Une base légale par usage, pas une base légale « CRM »
La confusion vient du principe de finalité. Un CRM n’est pas une simple base de données : chaque usage doit être rattaché à une base légale distincte. Pour un vélociste, le découpage ressemble à ceci :
Usage dans le CRM | Base légale courante | Durée de conservation de référence |
Vente et facturation | Contrat et obligation légale | 10 ans pour les pièces comptables (Code de commerce) |
Ordre de réparation, suivi atelier, garantie | Exécution du contrat | Durée de la relation, puis archivage limité à la garantie ou au litige |
Relance de révision, offres d’accessoires aux clients | Intérêt légitime ou règle du produit similaire | Relation commerciale + 3 ans |
Newsletter à un prospect (non-client) | Consentement | 3 ans à compter de la collecte ou du dernier contact |
Les durées de 10 ans pour la facturation, de 3 ans pour les prospects et de « relation + 3 ans » pour les clients découlent des référentiels de la CNIL ; elles sont présentées dans l’annonce du référentiel gestion commerciale et dans le référentiel complet. La page de la CNIL sur les durées de conservation rappelle le principe : une durée déterminée selon l’objectif de la collecte, jamais « indéfinie ».
Ce que cela change en pratique : une fiche client qui n’a pas acheté depuis des années ne doit pas rester éternellement dans vos listes de diffusion, même si la facture correspondante reste archivée côté comptabilité. Les deux ne se gèrent pas avec la même règle. Un CRM qui sépare nettement la partie commerciale de la partie comptable vous évite de tout garder « par prudence ».
Prospecter sans se tromper : clients, prospects, particuliers, pros
Le sujet qui inquiète le plus les gérants est le marketing. La règle est plus simple qu’on ne le croit.
Le client existant. Lorsqu’un particulier a acheté chez vous, vous pouvez lui envoyer des offres pour des produits ou services analogues sans consentement préalable : rappel de révision annuelle, offre sur des accessoires, éclairage avant l’hiver. Deux conditions : l’informer dès la collecte de cet usage de son adresse, et lui offrir un moyen simple de refuser, à chaque message. Cette règle est rappelée par la CNIL et relayée par Service-Public.
Le prospect particulier. Un visiteur qui a simplement rempli un formulaire ou croisé votre stand lors d’un salon n’est pas client. Pour l’e-mail ou le SMS commercial, son consentement est nécessaire. Case non précochée, finalité claire, preuve conservée.
Le professionnel. Pour une prospection B2B (comité d’entreprise, flotte de vélos de société, collectivité), l’intérêt légitime suffit en général, si le message concerne l’activité professionnelle du destinataire et s’il peut s’opposer facilement.
Ce qui ne passe pas : l’achat ou la location d’un fichier sans vérifier le consentement des personnes, la réutilisation des données de l’atelier (numéro laissé pour prévenir de la fin d’une réparation) pour envoyer des promotions sans l’avoir annoncé, et l’absence de lien de désinscription.
Le cas de l’atelier
Le numéro de portable laissé à l’accueil de l’atelier sert à prévenir que le vélo est prêt. C’est la finalité annoncée. L’utiliser ensuite pour des SMS promotionnels suppose que le client en ait été informé et puisse s’y opposer, sinon vous détournez la finalité. Une mention sur l’ordre de réparation, ou une case dans la fiche client, règle la question.
Le registre des traitements : une page par finalité, pas par logiciel
Depuis le RGPD, il n’y a plus de déclaration préalable à la CNIL pour ce type de fichier. La responsabilité repose sur la tenue d’un registre et sur la sécurité, comme l’explique la CNIL sur le registre des activités de traitement.
Le registre se construit par finalité. Pour une boutique, comptez environ cinq à huit lignes :
gestion de la vente et de la facturation ;
gestion des réparations et de la garantie ;
fidélité et relances de révision ;
newsletter et prospection ;
prise de rendez-vous en ligne ;
vente en ligne et livraison ;
gestion du personnel (paie, planning), à part du CRM.
Pour chaque ligne : les données concernées, la base légale, la durée de conservation, les destinataires (comptable, éditeur, transporteur, fournisseurs si une commande implique le client final) et les mesures de sécurité. Un tableau simple suffit. L’intérêt d’un outil unique pour la caisse, l’atelier et le CRM est que les lignes du registre pointent vers un seul système, ce qui rend l’exercice lisible et le contrôle moins risqué que sur un patchwork d’outils.
Sécuriser son CRM au quotidien
La CNIL détaille ses attentes dans son guide de la sécurité des données personnelles, fondé sur l’article 32 du RGPD. Pour une boutique, les mesures qui comptent le plus sont modestes et vérifiables.
Un compte par personne
Le login partagé du comptoir (« boutique@ », mot de passe collé sous l’écran) est le défaut numéro un. Avec un identifiant par collaborateur, vous savez qui a modifié une fiche ou exporté un fichier. C’est aussi ce qui permet de fermer l’accès le jour où un apprenti ou un saisonnier part.
Des droits par rôle
Un mécanicien d’atelier a besoin de l’historique de réparation, pas forcément des coordonnées bancaires, des statistiques de marge ou de l’export complet du fichier. Un vendeur n’a pas besoin de la comptabilité. Dans un logiciel de gestion, vérifiez qu’il est possible de limiter ces droits, et faites-le : l’éditeur offre le levier, le réglage vous revient.
Chiffrement, sauvegardes, postes
Les échanges avec un logiciel en ligne doivent passer par une connexion chiffrée (HTTPS/TLS). Interrogez votre éditeur sur la fréquence et l’emplacement des sauvegardes. Côté boutique : verrouillage de session au bout de quelques minutes, mises à jour du poste de caisse, antivirus, et pas de fiches clients sur une clé USB.
Les exports et les tableurs
Chaque export CSV est une copie hors de votre contrôle. Si vous devez en faire (comptable, outil d’e-mailing), supprimez-le après usage et ne le stockez pas dans une messagerie. Un CRM qui reste branché sur la caisse, le stock et l’atelier réduit le besoin même d’exporter.
Violation de données : les 72 heures
Perdre un ordinateur de caisse non chiffré, envoyer un fichier client au mauvais destinataire, voir un compte piraté : ce sont des violations de données. Si elle est susceptible d’engendrer un risque pour les personnes, vous devez la notifier à la CNIL dans les 72 heures après en avoir pris connaissance (article 33 du RGPD), un délai détaillé dans le guide du sous-traitant de la CNIL. Le sous-traitant doit vous prévenir sans délai et vous aider à documenter l’incident.
Préparez à froid une fiche d’une page :
qui prévenir dans la boutique, et qui joint l’éditeur du logiciel ;
comment couper les accès (changer les mots de passe, désactiver un compte) ;
quelles informations consigner (date, nature des données, nombre de personnes, mesures prises) ;
quand informer les clients concernés, si le risque pour eux est élevé.
La traçabilité fait ici la différence. Savoir quel compte a consulté ou exporté quoi permet d’identifier l’origine en quelques heures. Avec des tableurs dispersés, la question « qui avait cette liste ? » reste sans réponse.
Notre point de vue chez App-shifter
Nous développons Shifter avec des professionnels du cycle, et le même constat revient en boutique : le RGPD est rarement un problème de logiciel, c’est un problème de dispersion. Un fichier de clients dans la caisse, un autre dans l’outil d’e-mailing, un cahier d’atelier, un tableur de relances. Chaque copie multiplie les durées de conservation à suivre et les accès à surveiller.
C’est pourquoi nous avons relié le CRM à la caisse, au stock, au planning atelier, à la facturation et à la comptabilité, au sein du même logiciel. Une fiche client unique permet de rattacher chaque usage à sa finalité sans ressaisie, et de retrouver à un seul endroit ce qui est facturé, ce qui est réparé et ce qui sert à la relation commerciale.
Notre position est nette sur la répartition des rôles : nous fournissons l’outil, vous restez responsable de traitement. Nous vous conseillons de lire attentivement l’annexe de traitement de n’importe quel éditeur, le nôtre compris, de limiter les droits par rôle et de ne jamais partager un identifiant. Un logiciel métier n’efface pas ces réflexes, il les rend simplement plus faciles à tenir.
— App-shifter
Votre plan d’action en une semaine
Jour 1 : cartographier. Listez les endroits où figurent des données clients : caisse, atelier, site, newsletter, cahiers, tableurs.
Jour 2 : écrire le registre. Une ligne par finalité, avec base légale et durée.
Jour 3 : trier le fichier. Repérez les contacts sans achat ni échange depuis plus de 3 ans et supprimez-les ou archivez-les selon leur usage.
Jour 4 : verrouiller les accès. Un compte par personne, des droits par rôle, fin des mots de passe partagés.
Jour 5 : revoir les mentions. Ordre de réparation, ticket ou e-mail de confirmation, formulaire en ligne, avec le lien de désinscription dans chaque message.
Jour 6 : lire le contrat de l’éditeur. Clauses de sécurité, sauvegarde, suppression en fin de contrat.
Jour 7 : rédiger la fiche violation. Une page, affichée dans l’arrière-boutique.
Pour structurer votre fichier de façon propre dès le départ, notre guide pour créer une fiche client efficace liste les champs utiles, et donc ceux qu’il est inutile de collecter. Pour la logique d’ensemble, voir aussi pourquoi et comment exploiter les données clients en atelier.
Un CRM pensé pour la boutique et l’atelier
Le CRM de Shifter fait partie d’un logiciel de gestion complet pour boutiques et ateliers de vélos, trottinettes et motos : caisse certifiée, stock connecté à plus de 30 fournisseurs, planning atelier, facturation, comptabilité. Plus de 1 000 boutiques l’utilisent au quotidien.
Les formules, sans engagement, sont publiées sur la page tarifs :
Formule | Prix |
Non assujettis à la TVA (EURL, auto, micro) | 69 € par mois |
Boutique et atelier (+ café vélo) | 89 € par mois |
Multi-boutiques (+ gestion entrepôt) | 148 € par mois |
Option support téléphonique 6J/7 | 9 € par mois |
Si vous voulez voir ce que le CRM apporte à l’organisation de l’atelier, gérer un atelier efficacement grâce au CRM détaille les usages au quotidien, et le suivi des clients après réparation est traité dans notre guide du suivi de maintenance.
FAQ
Dois-je obtenir le consentement de mes clients pour leur envoyer des relances de révision ?
Pas systématiquement. Pour un client particulier, la prospection par e-mail pour des produits ou services analogues à ceux déjà achetés est possible sans consentement préalable. Il faut l’avoir informé lors de la collecte et lui permettre de refuser simplement à chaque envoi. Pour un prospect qui n’a jamais acheté, le consentement est nécessaire.
Combien de temps puis-je garder une fiche client ?
Tout dépend de l’usage. Les pièces comptables se conservent 10 ans selon le Code de commerce. Les données de prospection sont conservées pendant la relation commerciale puis 3 ans après son terme pour un client, et 3 ans après la collecte ou le dernier contact pour un prospect. Votre CRM doit permettre de purger ou d’archiver sans toucher aux factures.
Un logiciel SaaS est-il conforme au RGPD par défaut ?
Non. Le prestataire doit offrir des garanties de sécurité et un contrat de sous-traitance conforme, mais vous restez responsable de traitement, notamment pour les habilitations et la gestion des accès. Lisez l’annexe de traitement et paramétrez les droits par rôle dès la mise en service.
Faut-il déclarer mon fichier clients à la CNIL ?
Non, la déclaration préalable a disparu avec le RGPD pour ce type de fichier. En revanche, vous devez tenir un registre des traitements, sécuriser les données et pouvoir démontrer votre conformité en cas de contrôle.
Quel CRM choisir pour rester en règle dans une boutique de vélos ?
Privilégiez un outil métier qui regroupe caisse, atelier, stock et fichier client, afin d’éviter les copies de données. C’est la logique de Shifter, conçu pour les vélocistes. Vérifiez dans tous les cas le contrat de sous-traitance, les droits par rôle et les possibilités de purge.
Sources
Recommandations
Commentaires