RGPD et CRM : les obligations concrètes d'un logiciel client

La CNIL distingue trois phases dans la vie d'une donnée personnelle : la conservation en base active, l'archivage intermédiaire et l'archivage définitif. Un CRM doit donc pouvoir faire passer une fiche de "client actif" à "archivé" sans perdre l'historique, puis la supprimer ou l'anonymiser à terme. Dans certains cas, la durée est fixée par un texte : deux ans pour les données d'un candidat non retenu, dix ans pour les factures, cinq ans pour les bulletins de paie. Dans d'autres, c'est au responsable de traitement de la définir. Pour la prospection, la durée de conservation est de trois ans : trois ans à compter de la collecte pour un prospect non client, trois ans après la fin de la relation commerciale pour un client. Le CRM doit donc gérer des durées différentes selon la nature exacte de chaque donnée, et non appliquer une suppression uniforme.

Le RGPD donne à toute personne le droit d'obtenir l'effacement de ses données dans les meilleurs délais. Dans un CRM, cela ne se limite pas à un bouton "supprimer". Il faut pouvoir identifier toutes les tables où le contact apparaît, supprimer ou anonymiser les données de prospection, mais conserver ce qui doit l'être en vertu d'une obligation légale. Par exemple, une facture liée à un client effacé reste conservée dix ans. Le droit à l'effacement n'est pas absolu : il cède face à des obligations comptables ou fiscales. Le logiciel doit aussi tracer la demande d'effacement et sa suite. Si un prospect exerce son droit d'opposition à la prospection, ses coordonnées ne doivent pas être supprimées immédiatement : elles doivent être conservées de manière minimale (par exemple l'adresse e-mail) pendant au moins trois ans, uniquement pour respecter son opposition. Le CRM doit permettre de bloquer l'envoi de communications à ce contact sans pour autant effacer toute trace dans l'historique commercial.

L'hébergement des données est une question concrète de conformité. Vos données clients sont stockées sur des serveurs, quelque part. Le RGPD n'impose pas un lieu unique, mais le niveau de protection doit être garanti. Un hébergement chez un prestataire situé dans l'Union européenne est le cas le plus simple : le règlement s'applique directement. Si le sous-traitant héberge hors UE, il faut des garanties supplémentaires, comme des clauses contractuelles types approuvées par la Commission européenne, qui encadrent les transferts. Le CRM doit vous indiquer clairement la localisation des serveurs et les mesures de sécurité mises en place (chiffrement, sauvegardes, contrôle des accès). Ne vous contentez pas d'une mention vague dans les conditions générales. Posez la question à votre éditeur et exigez une réponse écrite. En cas d'audit de la CNIL, le lieu d'hébergement fait partie des informations que vous devrez être en mesure de fournir.

Dans la relation RGPD, vous êtes le responsable de traitement : c'est vous qui déterminez les finalités (prospection, gestion commerciale, facturation) et les moyens. L'éditeur du CRM, lui, agit comme sous-traitant dès lors qu'il traite des données personnelles pour votre compte. À ce titre, il doit vous fournir un contrat de sous-traitance conforme à l'article 28 du RGPD. Ce contrat doit préciser les données traitées, la durée, les obligations de sécurité, les sous-traitants éventuels et les droits des personnes concernées. Le CRM doit aussi vous aider à tenir votre registre des traitements. Cela passe par la journalisation des accès, l'historique des modifications et la possibilité d'exporter des preuves en cas de contrôle. Un logiciel qui ne garde aucune trace des actions ne permet pas de démontrer votre conformité. C'est un critère de choix à vérifier dès l'évaluation d'un outil, pas après l'incident.

Concrètement, un CRM conforme doit permettre de paramétrer des durées de conservation par type de données, de lancer des alarmes ou des purges automatiques, et de gérer les demandes d'effacement avec traçabilité. Il doit aussi savoir bloquer un contact en opposition à la prospection et conserver la preuve de cette opposition pendant la durée requise. Les champs de date associés à chaque fiche, les statuts (actif, archiver, à supprimer) et les droits d'accès par profil sont des fonctionnalités de base. Chez CRM sur Mesure, nous intégrons ces règles dès le paramétrage du logiciel, secteur par secteur. Assurance, immobilier, recrutement, santé : chaque métier a des obligations de conservation différentes. Nous configurons des règles de gestion adaptées, pour que la conformité ne soit pas un dossier à part, mais une fonctionnalité native de votre outil.