Donnees CRM et RGPD : le guide de conformite pour les equipes B2B

Premiere chose a comprendre : votre CRM est, au sens du RGPD, un traitement de donnees personnelles. Chaque contact stocke, chaque email tracke, chaque note de call est une donnee personnelle soumise a la reglementation. Et vous etes le responsable de traitement.

Ce que ca implique concretement :

• Vous devez documenter le traitement. Finalite (prospection commerciale), categories de donnees (coordonnees, historique), destinataires (equipe commerciale, sous-traitants), duree de conservation. C'est l'article 30 du RGPD : le registre des traitements.
• Vous devez avoir une base legale. Pour chaque traitement, vous devez justifier pourquoi vous avez le droit de stocker et utiliser ces donnees. En B2B, c'est generalement l'interet legitime ou le consentement.
• Vous devez respecter les droits des personnes. Droit d'acces, de rectification, de suppression, de portabilite. Si un prospect vous demande quelles donnees vous avez sur lui, vous devez pouvoir repondre en 30 jours.

La bonne nouvelle : si votre CRM est bien configure, la plupart de ces obligations sont gerees automatiquement. La mauvaise : la plupart des CRM ne sont pas bien configures.

En B2B, deux bases legales sont principalement utilisees pour justifier le traitement des donnees dans un CRM. Le choix depend du contexte et du type de prospection.

La nuance B2B. En France, la CNIL considere que la prospection B2B par email est possible sans consentement prealable a condition que le message soit en rapport avec la fonction professionnelle du destinataire et qu'un lien de desinscription soit present. C'est l'interet legitime qui s'applique.

Attention aux newsletters. Des que vous envoyez du contenu marketing regulier (newsletter, nurturing sequences), le consentement est requis. L'interet legitime ne couvre pas l'envoi repete de contenu marketing a quelqu'un qui n'a pas souscrit explicitement.

La documentation. Quelle que soit la base legale choisie, documentez-la. Pour l'interet legitime, redigez une balance des interets (vos interets commerciaux vs les droits du prospect). Pour le consentement, conservez la preuve (date, heure, source, texte du consentement).

Le RGPD impose de ne conserver les donnees que pour la duree necessaire a la finalite du traitement. En clair : vous ne pouvez pas garder un contact dans votre CRM indefiniment si vous n'avez plus de raison de le faire.

Voici les durees de conservation recommandees par la CNIL pour les donnees commerciales B2B :

En pratique. La plupart des CRM B2B contiennent des contacts qui n'ont pas ete contactes depuis plus de 3 ans. Ces contacts doivent etre supprimes ou anonymises. C'est la partie la plus douloureuse de la mise en conformite car les equipes commerciales detestent supprimer des contacts. Mais c'est la loi.

L'automatisation de la purge. Dans HubSpot, vous pouvez creer un workflow qui identifie automatiquement les contacts inactifs depuis plus de 3 ans et les supprime ou les anonymise. C'est la seule facon de maintenir la conformite dans le temps sans intervention manuelle.

Chaque personne dont les donnees sont dans votre CRM a des droits garantis par le RGPD. Vous devez etre en mesure de les exercer dans un delai de 30 jours.

Le process a mettre en place. Designez une personne responsable des demandes RGPD (souvent l'ops ou le DPO). Creez un email dedie (rgpd@votreentreprise.com). Documentez chaque demande et chaque reponse. Le delai de reponse est de 30 jours maximum, mais visez 48 heures pour les demandes simples.

HubSpot dispose de fonctionnalites RGPD natives qui couvrent la majorite des obligations. Mais elles ne sont pas activees par defaut. Voici les 6 configurations essentielles.

En 9 ans d'accompagnement CRM, on voit les memes erreurs RGPD se repeter. La plupart sont dues a un manque de formation, pas a une volonte de non-conformite.

L'utilisation de l'IA dans le CRM ajoute une couche de complexite RGPD. Quand vous envoyez des donnees de contacts a une API IA pour du scoring, de l'enrichissement ou de la personnalisation, vous effectuez un transfert de donnees vers un sous-traitant.

Le contrat de sous-traitance. Chaque fournisseur d'IA (Anthropic, OpenAI, etc.) doit etre couvert par un Data Processing Agreement (DPA). Ce document definit les conditions de traitement : finalite, duree, mesures de securite, localisation des donnees. La plupart des fournisseurs majeurs proposent un DPA standard. Verifiez qu'il est signe.

Le transfert hors UE. Si votre fournisseur IA traite les donnees aux Etats-Unis, vous devez vous assurer que le transfert est encadre par le Data Privacy Framework (DPF) ou des clauses contractuelles types. Depuis juillet 2023, le DPF encadre les transferts vers les entreprises americaines certifiees.

Le scoring automatise. Le RGPD encadre les decisions automatisees (article 22). Si votre lead scoring IA determine automatiquement quels prospects sont contactes et lesquels sont ignores, le prospect a le droit de demander une intervention humaine. En pratique, assurez-vous qu'un humain valide les decisions critiques prises par l'IA.

La minimisation des donnees. N'envoyez a l'IA que les donnees strictement necessaires au traitement. Pour personnaliser un email, l'IA n'a pas besoin du numero de telephone ou de l'historique complet des interactions. Filtrez les champs avant l'envoi a l'API.

L'AI Act europeen. Le reglement europeen sur l'IA, entre en vigueur progressivement depuis 2025, impose des obligations supplementaires pour les systemes IA a haut risque. Le scoring et la prise de decision automatisee en font partie. Restez informes des evolutions reglementaires.