Protéger les données de vos clients : obligations et bon sens

Une boutique en ligne collecte des noms, des adresses, des téléphones et un historique d'achats. C'est peu comparé à une banque, et c'est déjà assez pour causer un vrai préjudice si ces informations fuitent ou circulent.

Repères pratiques : les obligations exactes dépendent de votre situation et de la réglementation applicable. En Tunisie, la protection des données personnelles est encadrée et une déclaration auprès de l'autorité compétente peut être requise selon les traitements. Faites vérifier votre cas.

Le principe directeur : la minimisation

Ne collectez que ce dont vous avez réellement besoin pour exécuter la commande. Concrètement :

• le nom, le téléphone, l'adresse : oui, indispensables à la livraison ;
• l'e-mail : oui, pour la confirmation et le suivi ;
• la date de naissance, la profession, le nombre d'enfants : non, sauf si votre activité le justifie vraiment.

Chaque donnée que vous ne collectez pas est une donnée que vous ne pouvez pas perdre.

Ce qu'il faut écrire dans la politique de confidentialité

Une page claire, en langage simple, qui répond à six questions :

1. Qui collecte les données (votre identité et vos coordonnées).
2. Quelles données sont collectées.
3. Pourquoi : exécuter la commande, livrer, facturer, envoyer des offres si consentement.
4. Avec qui elles sont partagées : transporteur, prestataire de paiement, outil d'e-mailing. Nommez-les.
5. Combien de temps elles sont conservées.
6. Quels droits a la personne (accès, rectification, suppression) et comment les exercer.

Publiez-la, liez-la depuis le pied de page et depuis le checkout.

Le consentement, distingué du reste

Deux régimes différents à ne pas confondre :

• Les données nécessaires à la commande ne demandent pas de consentement séparé : elles sont indispensables à l'exécution du contrat.
• Les données utilisées pour la prospection commerciale (newsletter, SMS promotionnel) exigent un consentement libre et explicite, avec une case non pré-cochée, et la possibilité de se désinscrire à tout moment.

Les mesures de protection élémentaires

Sans être informaticien, cinq réflexes couvrent l'essentiel :

1. HTTPS sur tout le site, sans exception.
2. Un compte par personne dans l'équipe, avec des droits limités, et suppression le jour du départ.
3. Des mots de passe forts et une double authentification sur les comptes sensibles (boutique, banque, messagerie).
4. Pas d'export sauvage : évitez les fichiers clients qui traînent sur un téléphone personnel ou dans une conversation WhatsApp.
5. Des sauvegardes régulières et vérifiées.

Les erreurs fréquentes

• Envoyer un e-mail groupé à cent clients en copie visible : vous exposez leurs adresses à tous.
• Partager une liste de clients avec un partenaire commercial sans base légale ni information.
• Conserver indéfiniment des données qui ne servent plus.
• Photographier des documents d'identité de clients sans nécessité.

Que faire en cas d'incident

Si vous découvrez une fuite : identifiez ce qui est concerné, corrigez la faille, changez les accès, informez les personnes touchées et l'autorité compétente si la réglementation l'exige. La transparence coûte moins cher que la découverte par un tiers.

En résumé

Collectez le minimum, expliquez clairement ce que vous en faites, séparez le nécessaire du promotionnel, sécurisez les accès, et ne laissez pas traîner de fichiers clients. Vos données clients sont hébergées et chiffrées par Storilive.