RGPD et avis clients : les bonnes pratiques pour les commerçants

Un avis client paraît anodin : quelques lignes et une note. Pourtant, il contient des données personnelles, et la façon dont vous y répondez, dont vous le stockez ou dont vous le partagez en interne est concernée par le RGPD, le règlement européen sur la protection des données.

Ce guide résume les réflexes simples à adopter. Il ne remplace pas un conseil juridique : pour une situation particulière, rapprochez-vous d’un professionnel ou consultez les ressources de la CNIL.

Pourquoi le RGPD concerne les avis

Une donnée personnelle est toute information qui permet d’identifier une personne, directement ou indirectement. Dans un avis, on trouve souvent :

• Le nom ou le pseudonyme de l’auteur, et parfois sa photo de profil.
• La date de sa visite ou de son achat.
• Des détails sur sa commande, son rendez-vous ou sa situation.
• Parfois des informations sensibles, par exemple sur sa santé dans le cas d’un cabinet médical.

Tant que l’avis reste sur la plateforme où il a été publié, c’est la plateforme qui en est responsable. Dès que vous le copiez, le stockez, l’analysez ou le croisez avec vos propres fichiers clients, vous traitez vous aussi des données personnelles.

La règle d’or : rien de privé dans une réponse publique

C’est le risque le plus concret, et le plus fréquent. Une réponse à un avis est publique et reste en ligne. N’y mentionnez jamais :

• Le nom complet du client s’il ne l’a pas lui-même affiché.
• Le détail de sa commande, de son dossier ou de sa facture.
• Des informations de santé, même pour contester un avis sur un soin.
• Son adresse, son téléphone, son e-mail ou tout autre moyen de contact.
• Des informations tirées de votre fichier client, par exemple « vous êtes venu trois fois ce mois-ci ».

Même pour rétablir les faits face à un avis injuste, restez général en public et proposez de poursuivre l’échange en privé. Notre guide pour répondre à un avis Google donne des exemples de formulations sûres.

Les principes à appliquer

Le RGPD repose sur quelques principes (article 5). Appliqués aux avis, ils se traduisent ainsi.

Minimisation

Ne conservez que ce qui vous est utile. Pour suivre vos avis et y répondre, vous avez besoin du texte, de la note, de la date et de l’établissement concerné. Évitez de constituer des fichiers qui rapprochent les auteurs d’avis de vos données clients sans raison claire.

Finalité

Utilisez les avis pour ce à quoi ils servent : répondre, améliorer votre service, suivre votre réputation. Ne vous en servez pas pour autre chose, comme de la prospection auprès de leurs auteurs.

Durée de conservation

Définissez combien de temps vous gardez les avis et les réponses dans vos propres outils, et supprimez ce qui n’est plus utile. Une durée alignée sur votre besoin de suivi (par exemple quelques années d’historique) est plus facile à justifier qu’une conservation illimitée.

Sécurité et accès

Limitez l’accès aux personnes qui en ont besoin, avec des comptes individuels plutôt qu’un identifiant partagé. Retirez les accès quand quelqu’un quitte l’équipe.

Organiser les accès en interne

• Un compte par personne, jamais de mot de passe partagé.
• Des rôles clairs : qui lit, qui répond, qui administre.
• Un historique des réponses publiées : qui a répondu, quand, avec quel texte.
• Des accès retirés le jour du départ d’un collaborateur, y compris sur votre fiche Google.

Ces règles protègent les données et évitent aussi qu’une personne partie puisse encore répondre au nom de l’établissement.

Les demandes des clients

Le RGPD donne des droits aux personnes : accès à leurs données (article 15), effacement (article 17), opposition (article 21), entre autres. Pour les avis, deux cas se présentent souvent.

Un client demande la suppression de son avis

L’avis est publié sur la plateforme, pas chez vous : vous ne pouvez pas le supprimer vous-même. Indiquez-lui qu’il peut le modifier ou le supprimer depuis son compte, ou s’adresser à la plateforme. Supprimez en revanche les copies que vous conservez dans vos propres outils si la demande les concerne.

Un client vous demande quelles données vous avez sur lui

Répondez dans le délai prévu par le RGPD (un mois en principe), en incluant le cas échéant les avis et réponses que vous conservez dans vos outils.

Le cas des outils de gestion des avis

Si vous utilisez un logiciel pour suivre vos avis, il traite ces données pour votre compte. Vérifiez :

• Quelles données il stocke et pour combien de temps.
• Les mesures de sécurité : chiffrement des échanges, contrôle des accès, journalisation.
• La manière dont il se connecte à Google : une autorisation officielle que vous pouvez révoquer est préférable.
• Les conditions contractuelles et la liste des sous-traitants, disponibles sur demande.
• La possibilité de récupérer ou supprimer vos données en partant.

Voir aussi notre checklist pour choisir un logiciel de gestion des avis.

CloutAlert se connecte à Google Business Profile par une autorisation que vous pouvez révoquer à tout moment depuis Google, applique un principe de minimisation, chiffre les communications (HTTPS/TLS) et contrôle strictement les accès. Les détails d’hébergement et de sous-traitants sont disponibles sur demande. Voir la page sécurité, la politique de confidentialité et, pour le fonctionnement de la connexion, comment ça marche.

Checklist

• Aucune donnée privée dans vos réponses publiques
• Comptes individuels et rôles définis
• Accès retirés lors d’un départ
• Historique des réponses conservé
• Durée de conservation définie pour vos copies d’avis
• Procédure simple pour répondre aux demandes des clients
• Outil de gestion des avis vérifié (données, sécurité, sous-traitants)

Une question sur la gestion de vos données dans CloutAlert ? Contactez-nous.