RGPD et formulaire de contact : ce qu'un site vitrine doit faire, sans excès

Le RGPD fait peur, et la peur produit deux réactions inutiles : ne rien faire, ou tout faire à l'excès (cases à cocher partout, bandeaux à rallonge). Pour un site vitrine qui a un formulaire de contact, de devis ou de réservation, les obligations tiennent en cinq points.

1. Ne collecter que le nécessaire

Nom, téléphone, email, message : suffisant pour un contact. Pour une réservation : date, heure, nombre de personnes. Pour un devis : nature des travaux, ville, photos. Pas de date de naissance, pas d'adresse complète, pas de « comment nous avez-vous connu » obligatoire. Chaque champ doit avoir une raison d'être.

2. Informer, au bon endroit

Sous le formulaire, une phrase : « Les informations saisies servent uniquement à traiter votre demande. Elles sont conservées trois ans et ne sont pas transmises à des tiers. Vous pouvez demander leur suppression à contact@… Voir notre politique de confidentialité. » Plus un lien vers la page complète. Pas besoin de case à cocher pour un simple contact : la demande du client est la base légale (mesures précontractuelles).

3. Une case à cocher seulement pour la newsletter

Si vous voulez envoyer des emails commerciaux à des particuliers, il faut leur accord explicite : une case non précochée, séparée, « Je souhaite recevoir les offres de… ». Pour les professionnels, l'information et la possibilité de s'opposer suffisent, si l'email est lié à leur activité.

4. Conserver un temps limité, et sécuriser

Trois ans après le dernier contact pour les prospects, le temps de la relation puis les délais légaux pour les clients. Les demandes doivent être stockées dans un outil sécurisé (votre espace du site, un CRM), pas transférées sur un fichier Excel partagé par email. Supprimez ce qui est périmé une fois par an.

5. Répondre aux demandes de droits

Un client peut demander ce que vous avez sur lui, le corriger, le supprimer. Vous avez un mois pour répondre. Pour une petite entreprise, cela arrive rarement ; quand cela arrive, répondez simplement et rapidement.

Les cookies : plus simple qu'on ne croit

Un site vitrine sans publicité ni statistiques tierces n'a besoin d'aucun bandeau : les cookies techniques (session, sécurité) sont exemptés. Le bandeau n'est requis que si vous déposez des traceurs publicitaires ou de mesure d'audience non exemptés. Une mesure d'audience sans cookie, comme un simple comptage côté serveur, en est dispensée.

Les cas particuliers

• Santé : le formulaire ne doit pas demander de détails médicaux ; les motifs de rendez-vous restent généraux.
• Mineurs : accord des parents pour les activités enfants.
• Photos de clients : autorisation écrite pour les publier.

Qui est responsable, qui est sous-traitant

Vous êtes responsable des données de vos clients. Votre prestataire de site, qui les héberge et vous les affiche, est sous-traitant : il doit s'engager par contrat à ne pas les utiliser pour lui et à les sécuriser. Vérifiez que ses conditions générales le prévoient.

Avec Joow

Les formulaires sont réduits au nécessaire, la mention d'information est intégrée, les demandes sont stockées dans votre espace sécurisé, la politique de confidentialité est générée selon les modules activés, et les sites ne déposent aucun traceur publicitaire. L'engagement de sous-traitance figure dans nos conditions générales.