RGPD et collecte d'avis clients : ce que dit la loi en 2025

Le RGPD, c'est quoi en 2 lignes

Le Règlement Général sur la Protection des Données (UE) impose à toute entreprise qui traite des données personnelles de respecter 7 principes : licéité, finalité, minimisation, exactitude, durée limitée, sécurité, responsabilité.

Collecter un email pour demander un avis = traitement RGPD

Oui. Le simple fait d'envoyer un email "Donnez votre avis" déclenche les obligations RGPD. Bonne nouvelle : il est parfaitement légal de le faire si vous respectez quelques règles.

La base légale : intérêt légitime

Pour les clients existants, l'intérêt légitime de l'entreprise (améliorer son service, gagner en visibilité) suffit. Pas besoin de consentement explicite, à condition que : - l'email soit obtenu dans le cadre d'une prestation réelle. - le client puisse se désabonner à tout moment. - vous informiez clairement (mention dans vos CGV ou politique de confidentialité).

Le désabonnement obligatoire

Chaque email de demande d'avis doit inclure un lien de désabonnement fonctionnel. Trusteo l'ajoute automatiquement.

Durée de conservation

• Email + nom : 3 ans après le dernier contact.
• Avis publié sur Google : indéterminé (c'est Google qui en est responsable).
• Réponse privée à un avis négatif : 3 ans.

Sous-traitants

Vous devez lister les sous-traitants qui traitent les données pour votre compte : hébergeur (Supabase), envoi d'email (Resend), paiement (Stripe). Trusteo les liste publiquement dans sa politique de confidentialité.

Les droits des clients

• Accès : "Quelles données avez-vous sur moi ?"
• Rectification : "Corrigez mon nom."
• Suppression : "Effacez-moi."
• Portabilité : "Donnez-moi mes données en JSON."
• Opposition : "Ne m'envoyez plus rien."

Vous avez 1 mois pour répondre.

Sanctions

Jusqu'à 4 % du CA mondial ou 20 M€. Mais en pratique, la CNIL commence par des avertissements.

Comment Trusteo vous protège

• Désabonnement systématique.
• Anonymisation après 3 ans.
• DPA disponible.
• Hébergement UE (Supabase).
• Export RGPD en 1 clic.

FAQ

Faut-il un DPO ? Pas obligatoire pour une PME, sauf traitement à grande échelle. Un avis est-il une donnée perso ? Oui s'il contient un nom ou un identifiant.

À lire aussi