En vertu de l'article 17 du RGPD, une petite entreprise doit repondre a une demande de suppression verifiee d'un client dans un delai d'un mois : confirmer l'identite du demandeur, arreter tout nouveau traitement, puis supprimer les donnees ou planifier leur suppression, en ne conservant que ce qu'une obligation legale de conservation exige.

Etape 1 : confirmer qu'il s'agit bien du titulaire du compte

Pour une petite entreprise locale, c'est plus difficile qu'il n'y parait. Un grand detaillant verifie via un compte connecte et une authentification a deux facteurs ; un cafe ou un salon n'a souvent qu'un numero de telephone ou un profil de fidelite sans mot de passe. Avant d'agir sur une demande de suppression, confirmez qu'elle provient du meme canal que celui utilise a l'origine par le client (numero de telephone enregistre, compte connecte ou e-mail verifie) plutot que d'accepter une simple affirmation par WhatsApp. Agir sur une demande non verifiee constitue lui-meme un risque pour la protection des donnees.

Etape 2 : arreter immediatement tout nouveau traitement

Une fois l'identite confirmee, arretez immediatement d'envoyer de nouveaux messages marketing et de collecter de nouvelles donnees d'activite pour ce client, meme avant que la suppression elle-meme ne soit terminee. C'est l'action la plus rapide et la moins risquee.

Etape 3 : suppression immediate ou periode de grace

L'article 17 exige une suppression "dans les meilleurs delais", mais pas une suppression instantanee et irreversible des la reception de la demande. De nombreuses petites entreprises sont mieux servies par une courte periode de grace reversible (generalement 30 a 60 jours) : le compte est immediatement desactive et exclu de toute utilisation -- aucune connexion, aucun nouveau message, aucune activite de fidelite -- mais les donnees sous-jacentes ne sont supprimees definitivement qu'a l'issue de ce delai. Cela protege contre les demandes accidentelles ou forcees (telephone familial partage, farce, ex-partenaire), tout en respectant l'exigence de delai raisonnable puisque les donnees cessent d'etre activement utilisees des le premier jour.

Etape 4 : savoir ce que vous ne pouvez pas encore supprimer

Le droit a l'effacement n'est pas absolu. Si votre entreprise est legalement tenue de conserver certains documents -- par exemple les factures et les donnees de paiement au titre du droit fiscal, que la plupart des juridictions exigent de conserver plusieurs annees -- vous pouvez conserver le minimum de donnees necessaire pour respecter cette obligation legale, meme apres avoir supprime le reste. La bonne approche consiste a indiquer clairement au client quelles donnees sont conservees et pourquoi, plutot que d'ignorer silencieusement une partie de la demande.

Etape 5 : documenter la demande et votre action

Conservez une trace simple : quand la demande est arrivee, comment l'identite a ete verifiee, ce qui a ete supprime ou planifie pour suppression, et ce qui a ete conserve et pourquoi. C'est ce que vous montreriez a une autorite de protection des donnees si la demande etait un jour contestee.

Comment RevYoMe gere cela

L'application et le portail client de RevYoMe integrent un parcours en libre-service pour les deux volets : les clients peuvent demander un export complet de leurs donnees (article 15 du RGPD) et demander la suppression de leur compte (article 17) directement, ce qui declenche une desactivation reversible avec periode de grace, revoque immediatement toutes les sessions actives et planifie automatiquement la suppression definitive -- sans que le commerçant n'ait a improviser un processus manuel. Cela s'ajoute au logiciel de carte de fidelite plus large de RevYoMe.

Questions frequentes

Combien de temps ai-je pour repondre a une demande de suppression RGPD ?

Un mois a compter de la reception d'une demande verifiee, prolongeable de deux mois supplementaires pour les cas complexes, a condition d'informer le client du delai et de la raison dans le premier mois.

Puis-je refuser une demande de suppression ?

Seulement pour des motifs legaux specifiques -- le plus souvent une obligation legale de conservation (comme les documents fiscaux) ou un contrat en cours necessitant les donnees. Vous devez indiquer au client quels motifs s'appliquent plutot que de simplement refuser.

Dois-je supprimer les donnees instantanement, ou puis-je utiliser une periode de grace ?

"Dans les meilleurs delais" n'exige pas une suppression instantanee et definitive. Une courte periode de grace reversible, durant laquelle le compte est entierement desactive mais pas encore purge, est une approche courante et defendable tant que les donnees cessent d'etre activement traitees immediatement.

Comment traiter une demande de suppression RGPD d'un client pour une petite entreprise