Carte de visite digitale et RGPD : ce qu'il faut savoir

Oui, une carte de visite digitale est soumise au RGPD. Elle affiche les données personnelles du collaborateur et recueille souvent celles des contacts qui laissent leurs coordonnées. L'entreprise est responsable de ces données, l'outil qui héberge les cartes agit pour son compte. Pour être en règle, il faut informer les collaborateurs, n'afficher que l'utile, demander un consentement clair aux contacts et choisir un outil qui encadre l'hébergement, la conservation et la suppression.

Vous voulez des cartes digitales en règle sans y passer vos journées ? Brandesk enregistre le consentement avec chaque contact et met hors ligne la carte d'un collaborateur qui part. Essai gratuit 14 jours, sans carte bancaire.

Ce guide passe en revue les données concernées, qui en répond et les bons réflexes à prendre. Si vous découvrez le sujet, commencez par notre guide carte de visite digitale : qu'est-ce que c'est et comment la partager.

Quelles données personnelles passent par une carte de visite digitale ?

Une carte digitale manipule trois types de données.

Les données du collaborateur. Son nom, son poste, son e-mail et son téléphone professionnels, parfois sa photo et ses liens vers les réseaux sociaux. Elles sont visibles par toute personne qui ouvre la carte.

Les données des contacts. Beaucoup de cartes proposent un formulaire pour que la personne rencontrée laisse ses coordonnées. Nom, e-mail, entreprise, poste : ce sont aussi des données personnelles.

Les statistiques. Vues de la carte, ajouts aux contacts, scans du QR code ou de la carte NFC. Selon l'outil, elles peuvent s'appuyer sur des cookies ou des adresses IP, ou s'en passer.

Le RGPD s'applique aux trois. La CNIL rappelle les grands principes dans sa page RGPD : de quoi parle-t-on ?.

Qui est responsable : l'entreprise ou l'outil ?

C'est l'entreprise qui décide pourquoi et comment les cartes sont utilisées. Elle est donc responsable de traitement.

L'éditeur de l'outil traite les données pour son compte. Il est sous-traitant au sens de l'article 28 du RGPD. Ce rôle doit être encadré par un contrat, souvent appelé accord de traitement des données ou DPA. Il précise les finalités, les mesures de sécurité, les sous-traitants ultérieurs et le sort des données en fin de contrat.

Avant de choisir un outil, demandez ce document et lisez-le. Chez Brandesk, l'accord de traitement des données est public et détaille tous ces points.

Les données du collaborateur : informer et limiter

Informez vos équipes. Chaque collaborateur doit savoir qu'une carte publique est créée à son nom, ce qu'elle affiche et qui peut la voir. Une note interne ou une mention dans la charte informatique suffit souvent. L'entreprise doit aussi choisir et documenter la base légale du traitement.

N'affichez que l'utile. Les coordonnées professionnelles suffisent. Évitez le numéro de portable personnel et laissez le choix pour la photo. Moins la carte en dit, moins il y a de risque.

Gardez la main sur le contenu. Si chacun crée sa carte dans une appli gratuite, l'entreprise ne sait plus ce qui circule à son nom. Des cartes gérées par l'entreprise évitent ce problème.

Pensez à l'indexation. Une carte publique peut finir dans Google. Vérifiez si l'outil bloque l'indexation par défaut et si vous pouvez la régler carte par carte.

Les contacts qui laissent leurs coordonnées : le consentement

Quand une personne laisse ses coordonnées sur la carte d'un commercial, l'entreprise collecte des données. Le formulaire doit dire clairement à qui elles sont transmises et pourquoi.

Si vous vous appuyez sur le consentement, il doit être libre, spécifique, éclairé et univoque. En pratique, cela veut dire une case non cochée par défaut, un texte court et compréhensible, et pas de réutilisation cachée. La CNIL détaille ces conditions dans sa page sur le consentement.

Gardez aussi la preuve. Le texte accepté et la date de collecte doivent être enregistrés avec le contact. C'est encore plus important si les contacts partent ensuite dans votre CRM.

Statistiques et cookies

Mesurer l'audience des cartes est utile, mais tout dépend de la méthode. Des cookies de suivi sur une carte publique demandent en général un bandeau de consentement, ce qui gâche l'ouverture de la carte.

Privilégiez un outil qui mesure sans cookie, ne conserve pas les adresses IP et supprime les statistiques au bout d'une durée définie.

Le départ d'un collaborateur

Une carte qui reste en ligne après un départ pose deux problèmes. Elle affiche les données d'une personne qui n'a plus de raison d'y figurer, et elle envoie vos clients vers un contact qui ne répond plus.

La carte doit donc être désactivée dès le départ, de préférence automatiquement. Les contacts recueillis restent à l'entreprise, qui les réattribue ou les supprime selon ses règles de conservation.

Les questions à poser à votre fournisseur

Où sont hébergées les données ? Un hébergement dans l'Union européenne simplifie la conformité.

Qui sont les sous-traitants ultérieurs ? La liste doit être fournie, avec leur pays et les garanties prévues en cas de transfert hors de l'Union européenne.

Peut-on exporter et supprimer les données d'une personne ? C'est indispensable pour répondre aux demandes d'accès ou d'effacement.

Que deviennent les données en fin de contrat ? Le délai d'export puis de suppression doit être écrit.

Le prix n'est pas le seul critère : notre guide carte de visite digitale gratuite ou payante compare les deux options pour une entreprise.

Ce que fait Brandesk

Avec Brandesk, chaque collaborateur a une carte de visite digitale créée à partir de sa fiche et gérée par l'entreprise. Vous choisissez les informations affichées. Les pages ne sont pas indexées par défaut, et vous pouvez rendre une carte publique ou privée.

Le bouton « Échanger mes coordonnées » enregistre le consentement avec chaque contact : le texte accepté et la date de collecte. C'est vous qui rédigez ce texte. Les contacts peuvent ensuite être synchronisés avec HubSpot, Salesforce ou Pipedrive.

Les cartes sont des pages sans cookie. Les statistiques ne gardent que le pays et le type d'appareil, sans adresse IP, et sont supprimées après 13 mois par défaut, une durée que vous pouvez régler.

Quand un collaborateur part, sa carte est mise hors ligne automatiquement. Une carte de visite NFC ne contient qu'une adresse de redirection : elle peut être désactivée ou déclarée perdue à tout moment.

Les données sont hébergées en France. Le service permet d'exporter et de supprimer les données d'un collaborateur ou d'un contact. En fin de contrat, vous disposez de 30 jours pour exporter vos données, puis elles sont supprimées.

Questions fréquentes

Faut-il le consentement du collaborateur pour créer sa carte ?

Pas forcément. L'entreprise choisit la base légale adaptée et la documente. Dans tous les cas, elle doit informer le collaborateur de ce que la carte affiche et de qui peut la voir.

Une carte de visite digitale peut-elle utiliser des cookies ?

Elle peut, mais les cookies de suivi demandent en général un consentement. Une carte qui mesure son audience sans cookie évite le bandeau et reste plus simple à ouvrir.

Combien de temps garder les contacts collectés ?

C'est à l'entreprise de fixer une durée, selon l'usage qu'elle en fait. Fixez-la par écrit, puis appliquez-la dans le CRM comme dans l'outil de cartes.

Que faire si un contact demande la suppression de ses données ?

Supprimez-les dans l'outil de cartes et dans le CRM s'ils y ont été envoyés. Avec Brandesk, vous pouvez supprimer les données d'un contact directement dans le service.