Carte de fidélité
et RGPD.

Ce que vous collectez, et rien de plus.

Une carte de fidélité a besoin de très peu de choses : de quoi reconnaître le client, et de quoi le prévenir. C’est tout. Le principe de minimisation du RGPD dit exactement cela : on ne collecte que ce qui sert à la finalité annoncée.

• Un identifiant — un numéro de téléphone, ou une adresse e-mail. Il sert à retrouver la bonne carte au moment d’encaisser.
• Un prénom, si vous voulez que vos messages soient un peu chaleureux. Il n’est pas indispensable.
• L’historique des passages — c’est le compteur lui-même : sans lui, il n’y a pas de carte de fidélité.

Ce que vous n’avez aucune raison de demander : une date de naissance complète, une adresse postale, une profession. Si un jour vous ne savez pas justifier pourquoi vous détenez une information, c’est qu’il ne fallait pas la collecter.

L’accord du client, avant tout message.

La CNIL est nette : la publicité par voie électronique — e-mail, SMS — n’est possible qu’à condition que les personnes aient donné leur consentement avant d’être démarchées. Ce consentement doit être « libre, spécifique, éclairé et univoque », ce qui suppose une action positive : une case à cocher dédiée, et non pré-cochée.

Il existe une exception, et elle vous concerne : si la personne est déjà cliente et que la prospection porte sur des produits ou services similaires fournis par la même entreprise, le consentement préalable n’est pas exigé. La CNIL précise la limite : cette exception ne s’applique pas si aucune vente n’a été réalisée, y compris lorsque la personne a créé un compte en ligne.

En clair, pour un commerce : la personne qui vient d’acheter chez vous et à qui vous proposez la carte de fidélité est dans le cas simple. Celle qui a laissé son adresse sans jamais rien acheter, non — pour elle, il vous faut son accord explicite.

Ce que vous devez lui dire, au moment où vous l’inscrivez.

La règle tient en une phrase : la personne doit savoir qui collecte, pourquoi, et comment refuser. La CNIL demande que chaque personne soit informée que son adresse ou son numéro servira à de la prospection, et qu’elle puisse s’y opposer de manière simple et gratuite dès la collecte.

• Qui vous êtes — le nom de votre commerce, pas seulement une enseigne.
• À quoi ça sert — tenir sa carte, et le prévenir quand sa récompense est prête.
• Combien de temps vous gardez ses informations.
• Comment refuser ou faire supprimer — une adresse e-mail suffit, à condition qu’elle soit lue.

Concrètement : une petite pancarte en caisse, ou une phrase sur le chevalet. La mention à copier-coller est plus bas.

Quand vous lui écrivez.

Une règle vaut pour chaque message, sans exception. La CNIL : « chaque sollicitation doit obligatoirement permettre à la personne concernée de prendre connaissance de l’identité de l’organisation qui l’émet ainsi que d’exprimer, si elle le souhaite et par un moyen simple, son refus de recevoir de nouvelles sollicitations ».

• Votre nom doit être lisible dans le message. Un expéditeur anonyme n’est pas conforme, et finit en indésirable.
• Un moyen simple de refuser, dans chaque envoi. Par e-mail, c’est le lien de désinscription. Par SMS, c’est en pratique la mention « STOP ».
• Le refus doit être respecté tout de suite, et pour de bon.

La notification qui arrive sur la carte dans le téléphone — « votre récompense est prête » — n’est pas un e-mail publicitaire : c’est le fonctionnement de la carte que le client a lui-même ajoutée, et il la retire de son téléphone quand il veut. Cela ne vous dispense de rien : si vous lui écrivez par ailleurs, les règles ci-dessus s’appliquent.

Combien de temps vous gardez.

Le référentiel de la CNIL sur la gestion des activités commerciales donne deux durées, et elles ne se confondent pas :

• Vos clients — les données peuvent être conservées pendant la relation commerciale, puis trois ans à compter de sa fin : un achat, le terme d’un contrat, ou le dernier contact émanant du client.
• Vos prospects non clients — trois ans à compter de la collecte, ou du dernier contact venant d’eux.

La CNIL ajoute une précision que beaucoup ignorent : l’ouverture d’un courriel ne compte pas comme un contact émanant du prospect. Un clic sur un lien, oui ; une simple ouverture, non.

Au terme des trois ans, vous pouvez reprendre contact pour demander si la personne souhaite continuer à recevoir vos messages. Sans réponse positive et explicite de sa part, les données doivent être supprimées ou archivées.

Ce qu’il peut vous demander, et que vous devez lui donner.

Un client peut vous écrire à tout moment pour exercer ses droits. Vous n’avez pas à les connaître par cœur, mais vous devez savoir les reconnaître quand ils arrivent :

• Accès — savoir ce que vous détenez sur lui.
• Rectification — corriger une information inexacte.
• Effacement — faire supprimer ses données.
• Opposition — refuser que vous les utilisiez pour lui écrire.
• Portabilité — en obtenir une copie réutilisable.
• Limitation — geler l’utilisation de ses données.

Si vous ne répondez pas, la personne peut saisir la CNIL. Celle-ci dispose de plusieurs mesures : rappel à l’ordre, avertissement, injonction de se mettre en conformité, astreinte, et amende administrative.

La mention à copier-coller.

Elle couvre ce qu’un commerce de proximité doit annoncer : qui collecte, pourquoi, combien de temps, et comment refuser. Remplacez les crochets par vos informations, affichez-la près de la caisse ou sur votre chevalet — et relisez-la : c’est votre commerce qui parle, pas nous.

Ce que Fidoly fait pour vous.

Une partie de ces obligations est technique. Celles-là, nous les portons — vous n’avez rien à installer ni à paramétrer :

• La carte se demande, elle ne s’impose pas. C’est le client qui donne son numéro ou qui scanne : l’inscription part de son geste, jamais du vôtre.
• Chaque e-mail porte un lien de désinscription, ainsi que le mécanisme de désinscription en un clic reconnu par les messageries.
• Une désinscription bloque les envois immédiatement, et définitivement, sans que vous ayez à y penser.
• Les adresses qui rebondissent et les signalements en indésirable sont retirés automatiquement de vos envois.
• Le client se retire seul : il supprime la carte de son téléphone quand il veut, sans passer par vous.

Ce qui reste à votre charge : afficher la mention, répondre aux demandes de vos clients, et n’écrire qu’à ceux qui l’ont accepté. Nous fournissons l’outil ; le fichier reste le vôtre, et la responsabilité aussi.

Nos sources.

Chaque règle de cette page vient d’une de ces pages, consultées le 27 août 2026. Nous n’avons rien reformulé au-delà du nécessaire, et rien ajouté que nous ne puissions montrer.

• CNIL — La prospection commerciale par courrier électronique, SMS-MMS et automate d’appel
  Consentement préalable · exception client existant · identité de l’émetteur · refus par un moyen simple
• CNIL — Référentiel « gestion des activités commerciales »
  Durées de conservation des données clients et prospects
• CNIL — Les droits pour maîtriser vos données personnelles
  Liste des droits des personnes
• CNIL — Les sanctions prononcées par la CNIL
  Nature des mesures : rappel à l’ordre, avertissement, injonction, astreinte, amende