En bref. Un caviste peut tenir un fichier client sans consentement pour gérer ses ventes et ses factures. Pour envoyer une newsletter à un particulier, il faut son accord, sauf s'il est déjà client et que les produits sont analogues. Les données de prospection se gardent trois ans après le dernier contact, les factures dix ans. Une demande d'accès ou d'effacement se traite sous un mois.
Le fichier client est le premier actif d'une cave indépendante : c'est lui qui permet de prévenir les amateurs de Bourgogne de l'arrivée du millésime, ou de relancer les clients qui ne sont pas venus depuis six mois. C'est aussi un traitement de données personnelles soumis au RGPD. Voici les règles qui s'appliquent au quotidien, avec leurs sources.
Quelles données un caviste peut-il collecter sur ses clients ?
Celles qui servent un objectif précis, et seulement celles-là : c'est le principe de minimisation (article 5 du RGPD). Pour une cave, les usages courants sont la vente, la facturation, la livraison, le suivi des achats pour conseiller, et la prospection.
- Utile : nom, coordonnées, adresse de livraison, historique d'achats, préférences de vins exprimées par le client, consentements recueillis.
- À éviter : ce qui ne sert pas la relation commerciale, comme des remarques sur la santé ou la vie privée (« ne boit plus depuis sa maladie »), ou une pièce d'identité conservée sans raison.
- Interdit sans accord explicite : conserver les données de carte bancaire au-delà de la transaction.
Combien de temps garder les données d'un client ?
| Donnée | Durée de conservation | Source |
|---|---|---|
| Données utiles à la prospection d'un client | 3 ans après la fin de la relation commerciale (dernier achat ou dernier contact venant du client) | CNIL, référentiel gestion commerciale |
| Données d'un prospect jamais client | 3 ans après la collecte ou le dernier contact venant de lui | CNIL, référentiel gestion commerciale |
| Factures et pièces comptables | 10 ans | Code de commerce, article L123-22 |
| Données de carte bancaire | Le temps de la transaction, sauf accord explicite | CNIL |
| Preuve du consentement ou de l'opposition | Tant qu'elle peut servir à démontrer votre bonne foi | RGPD, article 7 |
Au-delà de ces durées, les données doivent être supprimées ou anonymisées. Une facture, elle, ne se supprime pas : c'est une obligation comptable, qui l'emporte sur la demande d'effacement pour les données qu'elle contient.
Faut-il un consentement pour envoyer une newsletter ?
Pour un particulier, oui : la prospection par e-mail ou SMS exige un consentement préalable (article L34-5 du code des postes et des communications électroniques). Une case pré-cochée ne vaut pas consentement.
Une exception couvre la plupart des caves : si la personne est déjà cliente et que vous lui proposez des produits analogues à ceux qu'elle a achetés, vous pouvez lui écrire sans consentement préalable, à condition qu'elle ait été informée et ait pu s'y opposer au moment de la collecte, et que chaque message permette de se désinscrire simplement.
Pour un professionnel (restaurant, entreprise), l'e-mail de prospection est admis sans consentement préalable s'il concerne son activité, avec une information et un droit d'opposition à chaque envoi. Le contenu d'une newsletter de cave reste soumis à la loi Évin.
Comment répondre à un client qui demande ses données ou leur effacement ?
Le délai est d'un mois à compter de la demande, prolongeable de deux mois pour une demande complexe (article 12 du RGPD).
- Vérifiez l'identité du demandeur, sans exiger plus que nécessaire.
- Pour une demande d'accès, transmettez toutes les données le concernant : fiche, historique d'achats, consentements.
- Pour une demande d'effacement, supprimez ou anonymisez sa fiche, en conservant les factures pour la durée légale.
- Gardez une trace de la demande et de votre réponse.
Dans Hubcave, la fiche client exporte les données du client pour une demande d'accès et propose l'anonymisation pour le droit à l'oubli, factures conservées. Les consentements sont suivis par type, et chaque e-mail de newsletter porte un lien de désinscription.
Devenir bêta-testeurQuelles obligations au-delà du fichier ?
- Informer : une mention à la collecte (formulaire, ticket, site) qui dit qui collecte, pourquoi, combien de temps, et comment exercer ses droits.
- Tenir un registre des traitements : une cave qui tient un fichier client en continu est concernée, même petite (article 30 du RGPD).
- Sécuriser : accès protégé par mot de passe, pas de fichier Excel client envoyé par mail ou laissé sur une clé USB.
Ce que cet article ne tranche pas
Il présente le cadre général pour un commerce de détail en France et ne constitue pas un conseil juridique : un traitement particulier (programme de fidélité avec profilage poussé, jeu-concours, vidéosurveillance) appelle une analyse propre. Hubcave ne supprime pas automatiquement les fiches inactives au bout de trois ans : la durée se pilote par le caviste, depuis la fiche.
À retenir
- Collectez ce qui sert la relation, pas plus.
- Prospection : trois ans après le dernier contact. Factures : dix ans.
- Newsletter à un particulier : consentement, sauf client existant et produits analogues.
- Accès ou effacement : réponse sous un mois, factures conservées.